SEGURIDAD DE INFORMACIÓN

EN LAS EMPRESAS PERUANAS

Ing. Víctor Arturo Simich

01/02/2013
Agenda
Los Gobiernos frente a la revolución de la
información.
Retos en la Gestión de la Seguridad de
Información alineada a la Gestión Empresarial.
Conceptos y Fundamentos para la Seguridad de
Información.
Riesgos de un Manejo inseguro de Información
Ámbitos de la Seguridad de Información
Marco Internacional para la Seguridad de
Información
Marco Nacional para la Seguridad de Información
Formación Profesional de los responsables de
Seguridad de Información.
Lineamientos para lograr una Seguridad de
Información alineada a la Gestión Empresarial
Los Gobiernos frente la Revolución de la
Información.

Riesgo
País
Agenda
Los Gobiernos frente a la revolución de la
información.
Retos en la Gestión de la Seguridad de
Información alineada a la Gestión Empresarial.
Conceptos y Fundamentos para la Seguridad de
Información.
Riesgos de un Manejo inseguro de Información
Ámbitos de la Seguridad de Información
Marco Internacional para la Seguridad de
Información
Marco Nacional para la Seguridad de Información
Formación Profesional de los responsables de
Seguridad de Información.
Lineamientos para lograr una Seguridad de
Información alineada a la Gestión Empresarial
RETOS DE LA GESTION DE LA SEGURIDAD DE
INFORMACION ALINEADA A LA GESTION
EMPRESARIAL

ASPECTOS CRÍTICOS DE LA GESTIÓN

1
LIDERAZGO Y DIRECCION
2
ENFOQUE DEL PROCESO
Requiere mayor involucramiento del

administración de riesgos mas pro

nivel directivo. Es necesaria una

COMUNICACION Y
Modelo de Gestión vs
Controles vs Riesgos
3 CULTURA
Modelo de Control

No existe un lenguaje en común

Confusión en el vinculo entre las áreas de tecnología y
activa

entre procesos de Seguridad de

Información vs las áreas usuarias o de negocio
tecnología y activos
de tecnología Seguridad Informática

La seguridad de la información
Falta de lenguaje en no se entiende como un proceso
Organización que involucra a toda la empresa
adecuada común entre
participantes y stakeholders.
Agenda
Los Gobiernos frente a la revolución de la
información.
Retos en la Gestión de la Seguridad de
Información alineada a la Gestión Empresarial.
Conceptos y Fundamentos para la Seguridad de
Información
Riesgos de un Manejo inseguro de Información
Ámbitos de la Seguridad de Información
Marco Internacional para la Seguridad de
Información
Marco Nacional para la Seguridad de Información
Formación Profesional de los responsables de
Seguridad de Información.
Lineamientos para lograr una Seguridad de
Información alineada a la Gestión Empresarial
 CONCEPTOS Y FUNDAMENTOS.

¿QUÉ ES LA SEGURIDAD DE LA INFORMACIÓN?

• Característica de la Información que se logra mediante la

adecuada combinación de políticas, procedimientos, estructura
organizacional y herramientas informáticas especializadas a efectos
que dicha información cumpla los criterios de:
• Confidencialidad
• Integridad
• Disponibilidad.

Estructura
Políticas + Procedimientos + organizacional + Herramientas
 CONCEPTOS Y FUNDAMENTOS

FUNCIONES DEL SISTEMA DE GESTIÓN DE SEGURIDAD DE INFORMACION

Lograr un Sistema de Gestión Establecimiento

del
que apoye una adecuada Modelo
administración de
Riesgos.
Mejora SGSI Implementación

Monitoreo

A
A Infraestructura Gerencial
C
Lograr adecuado niveles P Desarrollo de Tecnología V
T A
de control O L
O
I Y R
a nivel de O
Gestión de Recursos Humanos
V
las organización Adquisiciones
I
P
D R Logística Servicio
A I Logística Externa
M R
Interna O
D A L
Marketing A
R V
E I Operaciones
S A
S
 CONCEPTOS Y FUNDAMENTOS
¿Cuál es el objetivo de los Controles?

ACTIVIDADES
TAREAS
ROLES
TECNOLOGIA

PROVEEDOR CLIENTE

CONTROLES
Agenda
Los Gobiernos frente a la revolución de la
información.
Retos en la Gestión de la Seguridad de
Información alineada a la Gestión Empresarial.
Conceptos y Fundamentos para la Seguridad de
Información
Riesgos de un Manejo inseguro de Información
Ámbitos de la Seguridad de Información
Marco Internacional para la Seguridad de
Información
Marco Nacional para la Seguridad de Información
Formación Profesional de los responsables de
Seguridad de Información.
Lineamientos para lograr una Seguridad de
Información alineada a la Gestión Empresarial
RIESGOS DE UN MANEJO INSEGURO DE LA
INFORMACION
FUGA DE INFORMACIÓN Y FRAUDES
 RIESGOS DE LA MANEJO INSEGURO DE
LA INFORMACION
FUGA DE INFORMACIÓN Y FRAUDES

Ataque a Citigroup en la primera semana de

Junio del 2011. Impacto 200 a 300 mil clientes
perjudicados con impacto en información de
tarjetas de crédito
Robo de datos a Google entre Febrero y
Marzo del 2011, Impacto : 35 millones de
perfiles (cuentas de usuario) afectadas)
Febrero de 2012, Fuga de Información de
tarjetas de crédito de VISA y Mastercard.
Junio 2012 Operación Medre : Primer caso de
espionaje industrial detectado en
Latinoamérica.
Surgimiento de Colectivos como Anonymous
que realizan diversas protestas mediante
ataques informáticos,
a) Operación Andes Libre con impacto en diversos
portales del Gobierno Peruano.
b) Ataques contra diversas webs gubernamentales y de
la industria discográfica norteamericana
 RIESGOS DE UN MANEJO INSEGURO DE
LA INFORMACION
FUGA DE INFORMACIÓN Y FRAUDES

Ataque a Citigroup en la primera semana de

Junio del 2011. Impacto 200 a 300 mil clientes
perjudicados con impacto en información de
tarjetas de crédito
Febrero de 2012, Fuga de Información de
tarjetas de crédito de VISA y Mastercard.
Junio 2012 Operación Medre : Primer caso de
espionaje industrial detectado en
Latinoamérica.
 RIESGOS DE UN MANEJO INSEGURO DE
LA INFORMACION
FUGA DE INFORMACIÓN Y FRAUDES

Ataque a Citigroup en la primera semana de

Junio del 2011. Impacto 200 a 300 mil clientes
perjudicados con impacto en información de
tarjetas de crédito
Febrero de 2012, Fuga de Información de
tarjetas de crédito de VISA y Mastercard.
Junio 2012 Operación Medre : Primer caso de
espionaje industrial detectado en
Latinoamérica.
Agenda
Los Gobiernos frente a la revolución de la
información.
Retos en la Gestión de la Seguridad de
Información alineada a la Gestión Empresarial.
Conceptos y Fundamentos para la Seguridad de
Información
Riesgos de un Manejo inseguro de Información
Ámbitos de la Seguridad de Información
Marco Internacional para la Seguridad de
Información
Marco Nacional para la Seguridad de Información
Formación Profesional de los responsables de
Seguridad de Información.
Lineamientos para lograr una Seguridad de
Información alineada a la Gestión Empresarial
AMBITOS DE LA SEGURIDAD DE INFORMACIÓN
ALCANCE EMPRESARIAL

La seguridad implica la participación conjunto de personas, procesos y tecnología

SOPORTE DE
SOFTWARE Y PERSONAS Y INGRESOS Y
PROCESOS Y OPERACIÓN
COMPONENTES SISTEMAS
REDES

El lugar de penetración de los El objetivo de los “Intrusos”

“Intrusos”
AMBITOS DE LA SEGURIDAD DE INFORMACIÓN
ALCANCE METODOLÓGICO

• Manejo seguro de la
información por el personal
Seguridad de • Seguridad de Información y
Información procesos de negocios

Riesgo • Riesgos en los Procesos de

Tecnológico
Sistemas y Tecnología
• Riesgos en los controles
residentes en los Sistemas
de Información

Seguridad
• Segregación de Funciones
Informática
del Personal del Banco.
• Segregación de funciones
del personal de sistemas.
• Hacer frente a los Hackers.
Agenda
Los Gobiernos frente a la revolución de la
información.
Retos en la Gestión de la Seguridad de
Información alineada a la Gestión Empresarial.
Conceptos y Fundamentos para la Seguridad de
Información
Riesgos de un Manejo inseguro de Información
Ámbitos de la Seguridad de Información
Marco Internacional para la Seguridad de
Información
Marco Nacional para la Seguridad de Información
Formación Profesional de los responsables de
Seguridad de Información.
Lineamientos para lograr una Seguridad de
Información alineada a la Gestión Empresarial
 MARCO INTERNACIONAL
PARA LA SEGURIDAD DE INFORMACION

PROCESOS DE NEGOCIO

PROCESO PROCESO PROCESO PROCESO

PROCESO “A”
“B” “C” “D” “E”

APLICACIONES

Riesgos y calidad en
procesos de TI / SI
COBIT – ISO 17799 / 27000
CMMI / ITIL
Bases de
datos
Riesgos y calidad en
aplicaciones
(test de controles)
SISTEMAS DE INFORMACION
TECNOLOGIA
Riesgos y calidad en
tecnología
(estándares
Servidores, Redes y
NIST/CIS/DISA/NSA)
Comunicaciones

INFRAESTRUCTURA TECNOLOGICA
Agenda
Los Gobiernos frente a la revolución de la
información.
Retos en la Gestión de la Seguridad de
Información alineada a la Gestión Empresarial.
Conceptos y Fundamentos para la Seguridad de
Información
Riesgos de un Manejo inseguro de Información
Ámbitos de la Seguridad de Información
Marco Internacional para la Seguridad de
Información
Marco Nacional para la Seguridad de Información
Formación Profesional de los responsables de
Seguridad de Información.
Lineamientos para lograr una Seguridad de
Información alineada a la Gestión Empresarial
MARCO NACIONAL PARA LA SEGURIDAD DE INFORMACION

Ley de protección de datos

Norma Técnica peruana personales.
NTP-ISO/IEC 27001-2008 LEY Nº 29733.

RM-129-2012
Circular SBS-G-140-2009
Adecuación de las Empresas
Gestión de la Seguridad
Públicas a la Gestión de la
de la Información
Seguridad de Información

Resolución 2115-2009
Requerimiento de Patrimonio
Efectivo por Riesgo Operacional
 MARCO NACIONAL PARA LA
SEGURIDAD DE INFORMACION
RESULTADOS

7 BANCOS QUE HAN LOGRADO LA

CERTIFICACION AL METODO
ESTANDARIZADO DE RIESGO
OPERACIONAL

5 EMPRESAS CON CERITIFICACIONES ISO-

27001.

3 EMPRESAS CON CERTIFICACION SAS70.

Agenda
Los Gobiernos frente a la revolución de la
información.
Retos en la Gestión de la Seguridad de
Información alineada a la Gestión Empresarial.
Conceptos y Fundamentos para la Seguridad de
Información
Riesgos de un Manejo inseguro de Información
Ámbitos de la Seguridad de Información
Marco Internacional para la Seguridad de
Información
Marco Nacional para la Seguridad de Información
Formación Profesional de los responsables de
Seguridad de Información.
Lineamientos para lograr una Seguridad de
Información alineada a la Gestión Empresarial
Formación Profesional del Responsable de
Seguridad de Información
Agenda
Los Gobiernos frente a la revolución de la
información.
Retos en la Gestión de la Seguridad de
Información alineada a la Gestión Empresarial.
Conceptos y Fundamentos para la Seguridad de
Información
Riesgos de un Manejo inseguro de Información
Ámbitos de la Seguridad de Información
Marco Internacional para la Seguridad de
Información
Marco Nacional para la Seguridad de Información
Formación Profesional de los responsables de
Seguridad de Información.
Lineamientos para lograr una Seguridad de
Información alineada a la Gestión Empresarial
LINEAMIENTOS PARA UNA GESTION DE LA SEGURIDAD DE
INFORMACION ALINEADA A LA GESTION EMPRESARIAL

El Responsable de Seguridad de Información en la Encrucijada

Responsable de la Regulaciones y
Alta
Seguridad de Información Auditoría
Dirección

Personal de la
Empresa
LINEAMIENTOS PARA UNA GESTION DE LA SEGURIDAD DE
INFORMACION ALINEADA A LA GESTION EMPRESARIAL
Un Enfoque alineado al Negocio

DIMENSION

ESTRATEGICA
Prácticas
Internacionales COMITE
de Seguridad DIMENSION

ORGANIZACIONAL

Regulación
DIMENSION

LEGAL
Negocio
DIMENSION

FINANCIERA

DIMENSION

TECNOLOGICA
SEGURIDAD DE INFORMACIÓN EN
LAS EMPRESAS PERUANAS

¿PREGUNTAS?
SEGURIDAD DE INFORMACIÓN EN
LAS EMPRESAS PERUANAS

MUCHAS GRACIAS
ING. ARTURO SIMICH
asimich@computer.org