Herramientas para la Gestión del Riesgo Digital

CIO Summit: Ciberseguridad para CIOs

Cartagena de Indias, 17 de abril de 2018

TALENTO Y CAPACITACIÓN CIBERSEGURIDAD RED / BLUE CIBERSEGURIDAD

INDUSTRIAL TEAM NACIONAL
 Contenido
▪ Introducción
▪ Gestión del riesgo digital
▪ Consejos para sobrevivir al tsunami digital

CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
 Contenido
▪ Introducción
▪ Gestión del riesgo digital
▪ Consejos para sobrevivir al tsunami digital

CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
Source: Data Breach Level Index
 Introducción
La Aritmética del Riesgo Digital
Superficie Ecosistema
Riesgo
Exposición Dinámico
+ = Digital
Digital Amenazas

Omnipresencia Sofisticadas

Hiperconectividad Dirigidas

Complejidad Disruptivas

CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
 Introducción

Fraude Terceros

Ciber Seguridad Riesgos

Tecnológicos
Operacionales

Procesos
Legales

Ambientales

CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
 Introducción
Cómo Control y Regulación abordan la Ciberseguridad

ANTES AHORA

Directiva de GDPR
Privacidad
ISO 27001
Cyber Security Directiva NIS
Framework
Banco Central
NERC CIP Europeo
BS 17799

Basado en Línea Base Basado en Gestión de Riesgos

CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
 Introducción

Costes de Gestión de Riesgos

$

Gestión Riesgos

Punto Optimo

Nivel de Riesgo

Nivel Mínimo por Regulación Nivel Madurez

Ciberseguridad
CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
 Contenido
▪ Introducción
▪ Gestión del riesgo digital
▪ Consejos para sobrevivir al tsunami digital

CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
 Gestión del riesgo digital

1 Análisis de
Exposición 2 ADT as a Service
3 Evaluación de
Ciber Riesgos

Análisis de la exposición en Evaluación técnica para El objetivo es ejecutar una

fuentes abiertas de forma
no intrusiva para
proporcionar información
sobre el nivel de
exposición de la empresa a
eventuales incidentes de
seguridad
determinar el Nivel de
Vulnerabilidad de los
servicios digitales y de la
infraestructura tecnológica
y en la concienciación,
formación y
entrenamiento de los
empleados.
evaluación en profundidad
para levantar y cualificar
los riesgos de
Ciberseguridad y proponer
un Plan de Tratamiento de
los riesgos.

DINAMICO (continuo durante el año) ESTATICO (1 vez al año)

CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
 Gestión del riesgo digital
Identificación y Gestión de Riesgos Digitales

DINAMICO (continuo durante el año) ESTATICO (1 vez al año)

1 2 3
Análisis de Evaluación de
ADT as a Service
Exposición Ciber Riesgos

Seguimiento Plan de
Gestión del Riesgo Tratamiento del
Riesgo

Nivel de Riesgo Nivel de Riesgo

Matriz de Riesgos

► Alerta ► Alerta
► Informe de Exposición ► Informe de Vulnerabilidades
► Plan de Tratamiento ► Informe de Ciber Riesgos
► Plan de Capacitación ► Plan de Tratamiento del Riesgo

CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
 Gestión del riesgo digital
Exposición en Redes Sociales,
Medios digitales, Deep&Dark
Evaluar qué información está
disponible de la compañía y
personal clave, que pueda ser
utiliza para un eventual
ataque dirigido contra la
misma.
Uso fraudulento de dominios
Determinar el uso fraudulento
de dominios similares a los
corporativos. Se pueden usar
en campañas de Phising,
Pharming, de Malware
dirigido, etc.
CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
Análisis de Vulnerabilidades
Escaneo de vulnerabilidades
(no invasivo) de la
infraestructura expuesta,
obteniendo las principales
vulnerabilidades que les
afecta.
Suplantación de marca
Identificar Mediante el abuso
y uso fraudulento de la
imagen de marca.
Filtración de datos
corporativos
Búsqueda de información de
la compañía que pueda estar
filtrada en fuentes públicas y
que puedan comprometer su
seguridad.
Black Market y Alternative
market places
Identificación de información
de clientes de la compañía en
el mercado negro. Detectar
aplicaciones móviles
ilegítimas y publicarlas en
market places alternativos.
 Gestión del riesgo digital

ANÁLISIS / INVESTIGACIÓN NIVEL DE RIESGO ENTREGABLES

Exposición en Redes Sociales, Medios Muy bajo

Muy Alto
digitales, Deep&Dark Web, etc.

Análisis de Vulnerabilidades Alto

Filtración de datos corporativos Medio

Medio
alto ALERTA

INFORME DE
Uso fraudulento de dominios Bajo EXPOSICIÓN

Suplantación de marca Medio alto

Black Market & Alt. market places Medio Bajo

PASO 1 PASO 2 PASO 3

CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
 Evaluación Preliminar

ADTaS – (Attack, Defense, Training, Simulation as a Service)

Servicio continuo de ataque desde el exterior y

explotación controlada de las vulnerabilidades,
analizando la capacidad de respuesta de los
equipos de respuesta de incidentes.

CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
 Evaluación Preliminar
PLANEAR
Preparación
• Obtener conocimiento del proceso.
• Construir infraestructura para
(Red Team)
Ataque
pruebas especificas.
• Obtener información en actividades
de la comunidad profesional
(conferencias, workshops, etc.)
(Blue Team)
Defensa
• Analizar del proceso (Process
Hazard Analysis, PHA)
• Analizar inteligencia de amenazas
(Threat Inteligence)
CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
DESCUBRIR
Compromiso
• Lanzamiento de ataques
controlados.
• Explotar vulnerabilidades
específicas en sistemas, redes,
arquitecturas, prácticas, protocolos
o procesos
• Uso de datos e información técnica
proporcionada por el objetivo de
forma no autorizada o controlada
Monitorizar de forma integrada IT y
OT:
• SOC, SIEM, IDS/IPSs, etc.
• Defender el perímetro
• Analizar vulnerabilidades y actividad
de forma pasiva
ATACAR
Expansión
Aprovechar debilidades comunes:
• Monitorización escasa o
inexistente
• Sistemas antiguos
• Falta de concienciación.
• Relaciones de confianza entre
sistemas
• Debilidades de arquitecturas
Monitorizar efectividad de:
• Firewalls
• Arquitectura de red
• Sistemas de detección pasiva de
intrusiones
• Contramedidas específicas del
proceso
DOCUMENTAR
Explotación
• Explotar interdependencias
• Explotar vulnerabilidades de día
cero (zero-days)
• Evaluar los efectos objetivo,
impactos esperados y resultados
• Exfiltrar, compartir y publicar
Información
• Categorizar riesgos e incidentes
• Responder a incidentes
• Comprobar efectividad y
rendimiento de las medidas de
protección
• Recomendar mejores y
contramedidas adicionales.
 Gestión del riesgo digital

Gobierno, Riesgo y Identificar Proteger

Cumplimiento
Evaluar el nivel de Evaluar el nivel de Evaluar el nivel de
madurez de controles madurez de controles madurez de controles
relativos al Gobierno, relativos a Identificación relativos a la Protección de
Riesgo y Cumplimiento de de Riesgos de Activos de la organización.
la Ciberseguridad. ciberseguridad.

Detectar Responder Recuperar

Evaluar el nivel de Evaluar el nivel de Evaluar el nivel de

madurez de controles madurez de controles madurez de controles
relativos a la Detección de relativos a Respuesta ante relativos a Recuperación
Incidentes de seguridad. Incidentes de ante Incidentes de
Ciberseguridad. Ciberseguridad.

CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
 Gestión del riesgo digital

ANÁLISIS DE RIESGOS CUALIFICACIÓN DEL RIESGO ENTREGABLES

Gobierno
Gobierno de
dela
la Ciberseguridad
Ciberseguridad

Riesgo Nivel Tratamiento ...

Identificación
Identificación del
delRiesgo
Riesgo
Riesgo 1 Medio Aceptar ... INFORME DE CIBER
RIESGOS
Protección
Protección de
deActivos
Activos Riesgo 2 Bajo Mitigar ...

Riesgo 3 Alto Mitigar ...

Detección
Detecciónde
deIncidentes
Incidentes
Riesgo 4 Medio Traspasar ... PLAN DE TRATAMIENTO DEL RIESGO
Respuesta
Respuestaante
anteIncidentes
Incidentes
... ... ... ...

Recuperación
Recuperación ante
anteIncidentes
Incidentes

PASO 1 PASO 2 PASO 3

CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
 Contenido
▪ Introducción
▪ Gestión del riesgo digital
▪ Consejos para sobrevivir al tsunami digital

CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
 10 consejos para sobrevivir al Tsunami Digital
I II VI VII
Sea consciente Preocuparse no Comprar La
de que no saber es suficiente, servicios de ciberseguridad
que esta siendo OCUPESE Ciberseguridad NO SOLO SON
atacado no NO ES ANTIVIRUS
significa que NO COMPRAR
LO ESTE CARAMELOS
SIENDO
IV VIII IX
III Recuerde que la
ciber seguridad
La Exija a su
Nombre a un REGULACION PROVEEDOR
de su empresa
RESPONSABLE y NO ES que entregue
depende de
dele los medios SUFICIENTE servicios ciber
TODOS los
necesarios seguros
EMPLEADOS

INVIERTA
ACORDE a
Encargue
V AUDITORIAS a X
como de digital
sea su negocio
terceros

Confidential
CIO Summit: Ciberseguridad para CIOs - Cartagena de Indias, Abril 17, 2018
 Gracias
miguel.rego@ihacklabs.com
TALENTO Y CIBERSEGURIDAD RED / BLUE CIBERSEGURIDAD
CAPACITACIÓN INDUSTRIAL TEAM NACIONAL