Facebook como dispositivo de seguridad: Una aproximación ...
Seguridad de la Información (aproximación)
Transcript of Seguridad de la Información (aproximación)
Seguridad de la Información
(aproximación)René F. Aguirre Quino
Porqué hablar de la Seguridad de la Información?
Porque el negocio se sustenta a partir de la información que maneja.....
Entorno
Sistemas de Información
Estrategia de negocio
Funciones y procesos de
negocio
ACTIVIDADES DE LA EMPRESA
Planificación de Objetivos
Diseño y ejecución de acciones para conseguir objetivo
Control (de resultados de acciones contra objetivos)
Registro de transacciones
Transacciones
ORGANIZACION
CULTURA de la seguridad, responsabilidad de TODOS
ACTITUD proactiva,
Investigación permanente
Porque la seguridad tiene un costo, pero la INSEGURIDAD tiene un costo mayor.
“Ninguna medicina es útil a menos que el
paciente la tome”
Paso 1: Reconocer los activos de información importantes para la
institución..
• Información propiamente tal : bases de datos, archivos, conocimiento de las personas
• Documentos: contratos, manuales, facturas, pagarés, solicitudes de créditos.
• Software: aplicaciones, sistemas operativos, utilitarios.
• Físicos: equipos, edificios, redes• Recursos humanos: empleados internos y
externos• Servicios: electricidad, soporte,
mantención.
Paso 2: Reconocer las Amenazas a que están expuestos...
• Amenaza:” evento con el potencial de afectar negativamente la Confidencialidad, Integridad o Disponibilidad de los Activos de Información”.
• Ejemplos: Desastres naturales (terremotos, inundaciones)Errores humanosFallas de Hardware y/o SoftwareFallas de servicios (electricidad)Robo
Paso 3: Reconocer las Vulnerabilidades
• Vulnerabilidad: “ una debilidad que facilita la materialización de una amenaza”
• Ejemplos:
Inexistencia de procedimientos de trabajoConcentración de funciones en una sola personaInfraestructura insuficiente
Paso 5: Identificación de Riesgos
• Riesgo: “ La posibilidad de que una amenaza en particular explote una vulnerabilidad y afecte un activo”
• Que debe analizarse?
El impacto (leve ,moderado,grave)La probabilidad (baja, media, alta)
Contexto general de seguridad
Propietariosvaloran
Quieren minimizar
Salvaguardasdefinen
Pueden tener conciencia de
Amenazas
explotanVulnerabilidades
Permiten o facilitan
Daño
RECURSOSQue pueden tener
Reducen
RIESGO
Principales problemas:
• No se entienden o no se cuantifican las amenazas de seguridad y las vulnerabilidades.
• No se puede medir la severidad y la probabilidad de los riesgos.
• Se inicia el análisis con una noción preconcebida de que el costo de los controles será excesivo o que la seguridad tecnológica no existe.
• Se cree que la solución de seguridad interferirá con el rendimiento o apariencia del producto o servicio del negocio.
Conclusiones (parte 1)
• La Información es uno de los activos mas valiosos de la organización
• Las Políticas de seguridad permiten disminuir los riesgos
• Las políticas de seguridad no abordan sólo aspectos tecnológicos
• El compromiso e involucramiento de todos es la premisa básica para que sea real.
• La seguridad es una inversión y no un gasto.• No existe nada 100% seguro• Exige evaluación permanente.
La clave es encontrar el justo equilibrio de acuerdo al giro de cada negocio que
permita mantener controlado el RIESGO.
La seguridad Informática, sus problemas y limitaciones
La realidad ….
¿los conocemos?...
¿todos?
La seguridad y sus problemas
• La seguridad “corre” en sentido completamente opuesto a la operación...
Seguridad Operación
Entonces, ¿¿¿mucha o poca seguridad???
La seguridad y sus problemas
La operación vs. el Nivel de SeguridadEstado de EQUILIBRIO
≡ Seguridad en proporción del posible impacto y costo de implantación
≡ Esto es logrado mediante la construcción de una arquitectura de seguridad basada en análisis de riesgos
La seguridad y sus problemas
• Internet es:Cada vez más peligrosa, mas necesaria y más complejaCada vez hay mas proveedores, socios de negocio, clientes, pero tambien, competidores, enemigos y amenazas
• Productos de seguridad orientados a la detecciónRechazan el ataque, oFallan!!!
La seguridad y sus limitaciones
• Demasiados proveedoresDemasiados productosDemasiados serviciosPoca información sólida
• Problemas en el escalamiento y/o comprensión de las necesidades de seguridad
Ya tenemos un firewall!!! o ¿no?
La seguridad y sus limitaciones
El administrador de seguridad debe estar prevenido de todos y cada uno de los ataques y vulnerabilidades, conocidos y desconocidos
Los atacantes SÓLO necesitan explotar UNA vulnerabilidad
Poca gente disponible y especializada
• Pocos proveedores enfocados a la seguridad de la información
Muy pocos con verdadera provisión de Soluciones Integrales, o son productos o serviciosDemasiada improvisaciónOrientados a un área de experiencia
• La seguridad es relativa y dinámica• Lo que hoy puede ser seguro, mañana “seguramente”
no lo será• No existe seguridad a prueba de todo
La seguridad y sus limitaciones
Algunas recomendaciones
• Administre el riesgoTodas las compañías lo hacen en sus procesos de negocioEl de la tecnología de información es uno másSe presentarán fallasEl negocio las puede resistirDebe incluirse en el costo de hacer negocio
• Hay que equilibrar riesgo .vs. costoLa evaluación de esta fórmula debe ser continuaCambia con el tiempo, las condiciones de negocio, la gente, los cambios organizacionales, las fusiones, las alianzas, la tecnología, etc.
Algunas recomendaciones
• Proteja, Detecte y RespondaTodos los productos presentan fallas durante su vida útilTodos los proveedores de servicios cometen errores durante la duración del contratoSus usuarios se equivocan o deciden actuar en contra de las recomendaciones
Hay que monitorearLos monitores deben estar capacitados para tomar acciones que vayan más de allá de hacer sonar una alarma
Algunas recomendaciones
Contrate uno o más Proveedores de Cabecera.
Ellos se dedican a la seguridad, su empresa o institución.
Tienen mas experiencia por el número de clientes con los que trabajan.
Un buen proveedor puede entender, apreciar y actuar de manera efectiva observando la seguridad y sus efectos así como los requerimientos de negocio.
Tipos de Medidas de seguridad
• Preventivas
Limitan la posibilidad de que se concreten las contingencias
• Detectivas
Limitan los efectos de las contingencias presentadas
• Correctivas
Orientadas a recuperar la capacidad de operación normal
Que tipo de controles pueden efectuarse para aumentar la seguridad?
• Acceso Físico• Acceso Lógico
Métodos de control de accesos
• Contraseñas
Características, fuerzas y debilidades• Otros medios de autenticación (biometricas)
Impresiones digitalesMedidas de geometría de mas manosIris del ojo
Backups y recuperación
• Hardware• Software• Algunas preguntas frecuentes
De que dependen?Como se manifiestan?Donde se realizan?Cada cuanto deben realizarse?
Qué es y como contribuye la criptografía a la SI?
• Ininteligibilidad a usuarios no autorizados• Métodos de encriptación
Valiosos para la protección de datos y redesUsan algoritmos matemáticos en función de cadenas validas o passwords
Plan de seguridad - PS
Conjunto de medidas preventivas, detectivas y correctivas destinadas a enfrentar los riesgos a los que están expuestos los activos informáticos de una organizaciónSu objetivo esencial es proteger los activos informáticos en cuanto a integridad, confidencialidad, privacidad y continuidad
Plan de contingencias - PC
• Conjunto de procedimientos que luego de producido un desastre, pueden ser rápidamente ejecutados para restaurar las operaciones normales con máxima rapidez y mínimo impacto
• Es un capitulo del plan de seguridad – Medidas correctivas
• Objetivos esencialesMinimizar el impactoPromover una rápida recuperación de la operatividad
Directivas, procedimientos yprotección del nivel de
concienciación
Directiva de confidencialidad de la información del usuario
Procedimiento de solicitud de dispositivos
Procedimiento de configuración de servidores de seguridad Directiva
de seguridad del acceso físico
Descripción del nivel de seguridadfísica
Compromiso del nivel de seguridadfísica
Instalar código malintencionado
Quitar hardware
Dañar el hardware
Ver, cambiar o quitar archivos
Descripción del nivel perimetral
Internet Sucursales Socios
comerciales Usuarios remotos Redes
inalámbricas Aplicaciones de
Internet
Los perímetros de red incluyen conexiones a:
Socio comercial
Servicios Internet
LAN
Oficina principal
LAN
Servicios Internet
Sucursal
LAN
Red inalámb
rica
Usuario remoto
Internet
Socio comercial
Servicios Internet
LAN
Oficina principal
LAN
Servicios Internet
Sucursal
LAN
Red inalámb
rica
Usuario remoto
Internet
Compromiso de seguridad del nivelde perímetro
Ataque a la red corporativa
Ataque a los usuarios remotos
Ataque desde un socio comercial
Ataque desde una sucursal
Ataque a servicios Internet
Ataque desde Internet
El compromiso de seguridad en el perímetro de red puede resultar en:
Protección del nivel de perímetro
Servidores de seguridad
Bloqueo de puertos de comunicación
Traducción de direcciones IP y puertos
Redes privadas virtuales
Protocolos de túnel
La protección del perímetro de red incluye:
Socio comercial
Servicios Internet
LAN
Oficina principal
LAN
Servicios Internet
Sucursal
LAN
Red inalámb
rica
Usuario remoto
Internet
Descripción del nivel de red interna
Marketing
Recursos humanos
Finanzas
Ventas
Red inalámbrica
Compromiso de seguridad del nivelde red interna
Acceso no autorizado a los sistemas
Rastreo de paquetes desde la
red
Puertos de comunicación inesperados
Acceso a todo
el tráfico de red
Acceso no autorizado a
redes inalámbricas
Descripción del nivel de hostFunción específica de la redConfiguración del sistema operativoEl término ‘host’ se utiliza para hacer referencia a estaciones de trabajo y a servidores
Compromiso de seguridad del nivelde host
Configuración insegura del sistema operativo
Acceso no supervisa
do
Explotación de la
debilidad del sistema
operativo
Distribución de virus
Descripción del nivel de aplicación
Aplicaciones que crean y tienen
acceso a los datos
Aplicaciones de servidor (por ejemplo, Servidor de correo, Servidor de Bases
de Datos)
• Problemas de seguridad específicos de las aplicaciones
• Debe mantenerse la funcionalidad
Compromiso de seguridad del nivelde aplicación
• Pérdida de la aplicación• Ejecución de código malintencionado• Uso extremo de la aplicación• Uso no deseado de las aplicaciones
Descripción del nivel de datos
DocumentosArchivos de directorio
Aplicaciones
Compromiso de seguridad del nivelde datos
DocumentosArchivos de directorio
Aplicaciones
Visualización, cambio o
modificación de la
información
Consulta de los archivos de directorio
Sustitución o modificación de los archivos de
aplicación
Protección en el nivel de seguridadfísica
Cierre las puertas e instale alarmas
Emplee personal de seguridad
Aplique procedimientos de acceso
Supervise el acceso
Limite los dispositivos de entrada de datos
Utilice herramientas de acceso remoto para mejorar la seguridad
Protección en el nivel de red interna
Implemente autenticación mutua
Segmente la red
Cifre las comunicaciones de red
Bloquee los puertos de comunicación
Controle el acceso a los dispositivos de red
Firme los paquetes de red
Implemente autenticación mutua
Protección en el nivel de host
Refuerce la seguridad del sistema operativo
Instale actualizaciones de seguridad
Implemente sistemas de auditoría
Deshabilite o quite los servicios innecesarios
Instale y mantenga software antivirus
Protección en el nivel de aplicación
Habilite únicamente los servicios y funcionalidad requeridos
Configure las opciones de seguridad de las aplicaciones
Instale actualizaciones de seguridad para las aplicaciones
Instale y actualice software antivirus
Ejecute las aplicaciones con el menor privilegio
Protección en el nivel de datos
Cifre los archivos
Limite el acceso a los datos con listas de control de acceso
Mueva los archivos de la ubicación predeterminada
Cree planes de copia de seguridad y recuperación de datos
Proteja los documentos y el correo electrónico
Lista de verificación de respuestas aincidentes
Reconocer que se está produciendo un ataque
Identificar el ataque
Informar del ataque
Contener el ataque
Implementar medidas preventivas
Documentar el ataque
Contención de los efectos de un ataque
Apague los servidores afectados
Quite los equipos afectados de la red
Bloquee el tráfico de red entrante y saliente
Tome medidas de precaución para proteger los equipos cuya seguridad aún no se haya visto comprometida
Conserve las pruebas
Conclusiones
La seguridad No es un Producto, es un Proceso en la Organización.
Se recomienda implementar Estándares de seguridad en la organización.
Las Herramientas de seguridad son solo un elemento en la cadena de la Seguridad de la información
Conclusiones
Las Herramientas de seguridad con una adecuada configuración, nos ayudaran a detectar y mitigar los principales problemas
Algunas herramientas de seguridad deben evolucionar, conforme evoluciona el delito. (AV)
Recomendamos un análisis de riesgos de la información para conocer a fondo los activos a proteger.