Arquitectura de Seguridad Informatica

MODULO I
Arquitectura de Seguridad Informtica
Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.
08.2003 | Pgina 1
PROGRAMA
Introduccin a la Seguridad Informtica.
Amenazas y contramedidas.
Desarrollo de la arquitectura de SI.
Anlisis de riesgos.
Polticas, estndares, guas y su clasificacin.
Aspectos de implementacin de polticas de
seguridad.
Planificacin BCP/DRP.
Auditoria de Seguridad Informtica
Adiestramiento
08.2003 | Pgina 1
Qu es Seguridad Informtica?
La seguridad informtica comprende los
siguientes aspectos:
Confidencialidad, los datos se mantienen
ocultos a terceros.
Integridad, los datos, aplicaciones,
configuraciones, etc., no son alterados por
terceros.
Disponibilidad, los datos, aplicaciones, etc.,
pueden utilizarse en cualquier momento en
que se requiera.
08.2003 | Pgina 1
Confidencialidad
Proteccin de la informacin del acceso no
autorizado.
La autenticacin y la autorizacin son los dos
mecanismos utilizados para asegurar la
confidencialidad.
Debe desarrollarse un marco de referencia para
clasificar la informacin de acuerdo a su nivel de
confidencialidad.
08.2003 | Pgina 1
Integridad
Proteccin de la informacin, las aplicaciones, los
sistemas y las redes de cambios accidentales o
intencionales no autorizados.
Requiere de la validacin y prueba de cualquier
cambio en los sistemas. La autenticacin es tambin
importante.
clasificar la informacin de acuerdo a su nivel de
integridad requerido.
08.2003 | Pgina 1
Disponibilidad
Asegurar que la informacin y los recursos estn
disponibles para los usuarios autorizados cada vez
que se necesite.
Este aspecto es abordado en el Plan de
Contingencia (Business Continuity Planning/Disaster
Recovery Planning)
clasificar la informacin de acuerdo a su nivel
requerido de disponibilidad.
08.2003 | Pgina 1
Objetivos de Seguridad Informtica

Confidencialidad
Configuracin
Confiable
Disponibilidad
Integridad
08.2003 | Pgina 1
Amenazas y contramedidas
Revisaremos las amenazas y vulnerabilidades ms
comunes relacionadas a la seguridad de la
informacin.
Las amenazas pueden ser causadas por uno o
ms eventos accidentales, deliberados o
ambientales.
Cada amenaza puede o no ser relevante para la
organizacin.
Se debe determinar las amenazas relevantes
mediante un anlisis de riesgos.
08.2003 | Pgina 1
Algunas definiciones . . .
Amenaza: Una causa potencial de un evento no deseado
que puede resultar en perjuicio de la organizacin.
Vulnerabilidad: Una caracterstica de un activo informtico
que puede ser utilizado por una amenaza.
Responsabilidad: Propiedad que asegura que para las
acciones se puede determinar sin ambiguedades la entidad
de origen.
Autenticidad: Propiedad que asegura que la identidad de un
sujeto o recurso es la que se afirma.
Confiabilidad: La habilidad de un activo informtico de tolerar
fallas que pueden hacerlo inutilizable o incorrecto.
08.2003 | Pgina 1
Amenazas ambientales
Las amenazas ambientales incluyen a los desastres
naturales y a otras condiciones ambientales.
Resultan en la prdida de disponibilidad de la informacin
que puede dar origen a:
Incapacidad de realizar tareas crticas.
Incapacidad de tomar decisiones.
Prdida de imgen y confianza pblica.
Prdida econmica
Afectar la salud y seguridad del personal.
Si stas amenazas se conjuntan con seguridad fsica

inadecuada pueden originar prdidad de confidencialidad de
la informacin.
08.2003 | Pgina 1
Desastres naturales
Terremoto
Incendio
Inundacin
Tormenta
Marea alta/Oleaje
08.2003 | Pgina 1
Condiciones ambientales
Contaminacin
Interferencia electrnica
Temperatura y humedad extremas
Falla de alimentacin elctrica
Fluctuaciones elctricas
Roedores
08.2003 | Pgina 1
Ejemplos de vulnerabilidades
Localizacin en zona ssmica.

Localizacin en rea susceptible a incendios forestales.
Carencia de mantenimiento de equipos e instalaciones.
Monitoreo inadecuado de condiciones ambientales.
No se cuenta con UPS.
No se tienen planes de contingencia o procedimientos
para recuperacin de informacin y activos.
Archivos y sistemas de respaldo no disponibles.
08.2003 | Pgina 1
Amenazas accidentales
Las amenazas accidentales estn relacionadas a
errores u omisiones. Los errores y omisiones de
empleados y usuarios son la causa principal de
problemas de seguridad informtica.
Resultan en la prdida de disponibilidad,
confidencialidad, integridad, responsabilidad,
autenticidad y confiabilidad, que puede dar origen
a:
Interrupcin de las funciones normales de la empresa.
Errores al tomar decisiones.
Prdida econmica.
08.2003 | Pgina 1
Falla de los servicios de comunicacin
Falla de operaciones externas (outsourced)
Prdida o ausencia de personal clave
Envo/re-envo equvoco de mensajes
Errores de usuarios o staff operativo
Errores de programacin/software
Fallas tcnicas
Errores de transmisin
08.2003 | Pgina 1
Carencia de redundancia y respaldos

Manejo inadecuado de incidentes
Procedimientos no documentados
Documentacin faltante o inadecuada
Capacitacin inadecuada del personal
Staff inexperto
Carencia de personal de respaldo
Falta de conciencia del usuario
08.2003 | Pgina 1
Amenazas deliberadas
Las amenazas deliberadas (ataques) involucran la
destruccin o manipulacin deliberada de datos,
software o hardware.
Resultan en la prdida de disponibilidad,
confidencialidad, integridad, responsabilidad,
autenticidad y confiabilidad, que puede dar origen
a:
Incapacidad de realizar tareas crticas.
Incapacidad de tomar decisiones.
Prdida econmica.
08.2003 | Pgina 1
Intrusin
Denegacin de servicio (DoS)
Intervencin (Eavesdropping, sniffing)
Cdigo malicioso
Sabotaje
Impostura
Repudio
Huelgas y paros
Ingeniera social
Robo y fraude
08.2003 | Pgina 1
Carencia de firewall.
Utilizar sistemas operativos no actualizados.
Comunicaciones sin cifrar.
No utilizar software antivirus.
No tener control sobre el software que se baja de
Internet.
Ex empleados que conservan el acceso a los recursos.
Carencia de controles de acceso a los datos.
08.2003 | Pgina 1
Tendencias en Ataques
De acuerdo al CERT/CC Overview Incident and
Vulnerability Trends 2003 las tendencias en ataques son:

Troyanos/Cdigo malicioso
Internet sniffers
Scanning/ataques en gran escala
Herramientas de ataque distribuido (recoleccin de
salidas de sniffers)
Herramientas de ataques DoS distribuido
Ver: http://www.cert.org/present/cert-overview-trends/
08.2003 | Pgina 1
Tendencias en Ataques
De acuerdo al CSI/FBI Computer Crime and Security
Survey 2003:
530 empresas, agencias gubernamentales, instituciones

financieras, universidades, etc.
56% report uso no autorizado (60% en 2002)
Total de prdidas reportadas: $201,797,340 (en 2002
fueron $445 millones).
Mayor prdida financiera ocasionada por robo de
informacin propietaria ($70,195,900).
Denegacin de servicio, segundo ataque ms costoso
($65,643,300)
Formas ms comnes de ataque: virus (82%) y abuso
interno de acceso a la red (%80).
08.2003 | Pgina 1
Amenazas y riesgos
Una amenaza es una causa potencial de un dao.
Un riesgo es la probabilidad de que una amenaza
se vuelva real.
Una vez que se ha reconocido un riesgo, hay tres
alternativas:
Aceptar el riesgo.
Reducir el riesgo: Hacer algo para reducir el riesgo
a un nivel aceptable.
Transferir el riesgo: Comprar un seguro.
08.2003 | Pgina 1
Controles de seguridad
La reduccin de riesgo se logra mediante la

implementacin de controles efectivos.
Los controles se clasifican en tres categorias:
Controles administrativos
Controles fsicos
Controles tcnicos
08.2003 | Pgina 1
Controles administrativos
Los controles administrativos incluyen:
Polticas y procedimientos de seguridad.
Separacin de deberes.
Induccin y adiestramiento en seguridad.
Planes de contingencia y recuperacin.
Reportes de auditorias de seguridad.
Responsabilidades sobre datos/recursos.
08.2003 | Pgina 1
Controles fsicos
Relacionadas a la proteccin de amenazas ambientales,
as como a la proteccin de acceso fsico a sistemas,
equipo, etc., por parte de intrusos.
Control de acceso fsico:
Acceso a instalaciones solo a personal autorizado.
Servidores crticos en lugares cerrados bajo llave.
Dispositivos de red en racks cerrados.
Hardware en gabinetes cerrados.
Fijar equipo a muebles no movibles.
Respaldos y medios en sitio seguro, bajo llave.
08.2003 | Pgina 1
Controles fsicos
Alimentacin elctrica
Acondicionamiento de potencia (supresin de picos)
Fuentes ininterrumpibles (UPS)
Usar alfombras anti-estticas
Utilizar pulseras anti-stticas
Clima y ambiente
Asegurar flujo de aire en equipo de cmputo
Temperatura controlada entre 10-26C
Instalar aire acondicionado con filtraje de aire para
evitar polvo.
08.2003 | Pgina 1
Controles fsicos
Humo y fuego
Prohibir fumar en sitios de servidores.
Extinguidores de incendios.
Extinguidores automatizados en sitios importantes.
Detectores de humo.
Agua
Humedad controlada entre 20% y 80%.
Sensores de agua en pisos.
No encender equipo humedo.
Respaldos
Respaldos off-site
08.2003 | Pgina 1
Controles tcnicos
Los controles tcnicos (o lgicos) son implementados
a travs de hardware o de software y, una vez
implementados, pueden trabajar sin intervencin
humana.
Incluyen:
Aplicaciones criptogrficas.
Endurecimiento (hardening) de servidores
Software antivirus.
Herramientas de administracin de red.
Firewalls.
Sistemas detectores de intrusos (IDS).
08.2003 | Pgina 1
Controles tcnicos
Aplicaciones criptogrficas:
Utilizan algoritmos de cifrado simtrico, de clave pblica,
de hash, etc.
Proporcionan:
Confidencialidad La informacin se cifra para que solo
sea legible a quienes posean la clave correspondiente.
Autenticacin Existen diversos protocolos

criptogrficos para la autenticacin de entidades a
comunicarse.
No repudio Mediante el uso de firmas y certificados

digitales.
08.2003 | Pgina 1
Controles tcnicos
Endurecimiento de servidores:
Los sistemas operativos con instalaciones por default
son muy vulnerables:
Bugs en el SO.
Configuracin incorrecta
Servicios innecesarios abiertos
Aberturas por servicios de administracin y
monitoreo remotos.
Mayoria de compromisos en servidores
debido a vulnerabilidades previamente
conocidas y documentadas !!
08.2003 | Pgina 1
Controles tcnicos
Endurecimiento de servidores:
Instalar SO con opciones de configuracin seguras.
Bajar e instalar parches para vulnerabilidades
conocidas.
Cerrar servicios y aplicaciones innecesarios.
Endurecer servicios y aplicaciones restantes.
Configurar adecuadamente usuarios y grupos.
Configurar permisos de accesos
Emplear protecciones avanzadas (verificadores de
integridad, analizadores de bitcoras, etc.)
08.2003 | Pgina 1
Controles tcnicos
Seguridad perimetral:
La principal fuente de ataques es el punto de conexin
de la redes a Internet.
Es necesario proteger el permetro de la red local,
aislndola del acceso no autorizado desde el exterior.
Se logra mediante la utilizacin de cortafuegos y de IDS
(sistemas detectores de intrusos).
Transmisin segura de datos: VPNs.
NOTA: La seguridad perimetral es solamente uno de
todos los controles tcnicos necesarios.
08.2003 | Pgina 1
Porqu una Arquitectura de SI?

La implementacin efectiva de controles de
seguridad necesita de un plan integral.
El plan estratgico de seguridad debe estar
alineado con el plan estrtegico de tecnologa
informtica de la empresa y, a travs de ste,
con el plan estratgico de negocios.
La arquitectura de seguridad informtica
proporciona una visin sistmica de la
infraestructura y administracin de la
seguridad informtica dentro de la empresa.
08.2003 | Pgina 1
Arquitectura de SI
Los componentes de una ASI son:
Organizacin e infraestructura de seguridad.

Polticas, estndares y procedimientos de
seguridad.
Evaluaciones de riesgos y de seguridad.
Programas de induccin y adiestramiento en
seguridad.
Cumplimiento.
08.2003 | Pgina 1
Organizacin/Infraestructura
Debe desarrollarse para apoyar la continuidad del
desarrollo e implementacin de la arquitectura de
seguridad.
Debe incluir:
Definicin de la autoridad de aprobacin de todas las

polticas y resolucin de aspectos de seguridad.
Definicin del Equipo de Seguridad para desarrollo de la

ASI y el desarrollo, implementacin y difusin de las
polticas, estndares y procedimientos de seguridad.
Establecimiento de reuniones periodicas.
Identificacin y documentacin de las responsabilidades

de seguridad de los miembros del equipo.
08.2003 | Pgina 1
Polticas, Estndares y Procedimientos
Poltica Su propsito es informar a todos los usuarios

sobre las expectativas de administracin concernientes al
uso apropiado de la informacin, los sistemas, y los
recursos.
Estndares Diseados para una operacin consistente y
ms eficiente. Aseguran que los individuos operan
consistentemente para minimizar riesgos y para hacer la
adminsitracin de sistemas y redes ms eficiente.
Procedimientos Procesos y operaciones que
proporcionan los detalles especficos de como realizar
acciones particulares (mantenimiento, respaldos, manejo
de bitcoras, etc.)
08.2003 | Pgina 1
Polticas, estndares y procedimientos
08.2003 | Pgina 1
Evaluaciones de riesgos
Inicialmente, evaluacin de riesgos de alto nivel:
Entorno de operacin
Organizacin de la seguridad
Planeacin y administracin de seguridad
Polticas, planes y procedimientos de seguridad informtica
Clasificacin y control de informacin
Evaluaciones detalladas: Aplicaciones, bases de datos, redes,
sistemas operativos y telecomunicaciones.
Cada uno de los sistemas de la empresa debera ser evaluado.
Debe haber revaluaciones periodicas.
08.2003 | Pgina 1
Programa de Induccin y Adiestramiento
Auxilia a reducir el riesgo de perdida de activos informticos

entrenando a los empleados para entender el valor de la
seguridad informtica, reconocer sus responsabilidades en la
proteccin de activos y reconocer as como reportar violaciones
potenciales.
Consiste tanto de clases de adiestramiento como de
recordatorios frecuentes.
Requiere planeacin, presupuesto, creatividad y apoyo de la
administracin.
Para ser efectivo debe cubrir a toda la organizacin.
Los beneficios son difciles de ver y cuantificar en el corto plazo,
pero los resultados finales pueden tener un impacto financiero
significativo en la organizacin evitando incidentes innecesarios
por negligencia, ignorancia o conducta negativa.
08.2003 | Pgina 1
Desarrollo de la ASI
El desarrollo de la ASI se realiza en las
siguientes fases:
1. Fase de anlisis.
2. Fase de diseo.
3. Fase de implementacin.
4. Fase de pruebas.
5. Fase de mantenimiento.
08.2003 | Pgina 1
Fases de desarrollo
08.2003 | Pgina 1
Anlisis de riesgos
Independientemente del proceso utilizado, el
mtodo siempre es el siguiente:
a) Identificar los activos.
b) Identificar los riesgos.
c) Determinar las vulnerabilidades.
d) Definir los controles.
08.2003 | Pgina 1
Anlisis de Impcto en el Negocio (BIA)
Identifica los costos asociados a los riesgos

por:
Prdidas de flujo de efectivo
Reemplazo de equipo
Salarios derogados por repeticin de trabajo
Prdida de ganacias
Otros
El impacto debe expresarse monetariamente
($$$) !!!
08.2003 | Pgina 1
Clasificacin de Datos y Recursos
Para proporcionar mecanismos de proteccin

donde ms se necesitan y colocar controles
menos costosos en reas menos crticas.
Para cada objetivo de seguridad:
confidencialidad, integridad y disponibilidad se
clasifican los datos/recursos como de:
Alto impacto
Mediano impacto
Bajo impacto
08.2003 | Pgina 1
Clasificacin de Confidencialidad
Alto impacto (Confidencial)
Datos altamente delicados que pueden comprometer a la
empresa, a los clientes o empleados si se divulgan.
Su revelacin viola la privacidad de un individuo.
Su revelacin reduce la ventaja competitiva de una empresa.
Estrategias de negocios, direcciones en I&D, o avances en
tecnologa, relacionados al xito financiero de un producto.
Mediano impacto (Uso interno)

Para uso exclusivo de los empleados o grupos de empleados
dentro de una divisin particular o departamento.
Bajo impacto (Pblico)

Disponible para el pblico.
08.2003 | Pgina 1
Clasificacin de Integridad
Alto impacto
No existe respaldo para la informacin/aplicacin. No existe
documentacin.
Decisiones crticas de la empresa se hacen utilizando la
informacin/salida de esta aplicacin.
Un error en los datos se puede propagar a otros sistemas.
La corrupcin de datos puede tener un impacto serio en las
ganancias, el servicio al cliente, o las operaciones.
La aplicacin o el sistema cambia frecuentemente y la
informacin relacionada crece significativamente.
La aplicacin o el sistema est integrado con muchas otras
aplicaciones o procesos en diferentes plataformas.
08.2003 | Pgina 1
Mediano impacto
Los datos pueden ser verificados o comparados con
documentos fuente, reportes, etc.
Los errores en los datos tienen una probabilidad moderada de
corromper otros sistemas.
La aplicacin, el sistema o los procesos estn limitados a
ciertas reas o departamentos de la empresa.
La aplicacin o el sistema tiene cambios poco frecuentes y la
informacin relacionada a l crece en proporcin moderada
respecto a su uso.
La aplicacin o el sistema est integrado con pocas
aplicaciones y tiene relativamente pocas interfaces.
08.2003 | Pgina 1
Bajo impacto
Los datos son utilizados como una fuente secundaria de
informacin.
Las decisiones y operaciones de la empresa no se basan
significativamente en la informacin proporcionada por la
aplicacin.
Es un sistema stand-alone y es utilizado por una sola rea o
departamento.
Es un proceso relativamente estable o un sistema que no
requiere de modificaciones.
08.2003 | Pgina 1
Clasificacin de Disponibilidad
Alto impacto
Los datos se requieren diariamente para realizar funciones
importantes en la empresa.
La indisponibilidad de los datos resulta en fuertes prdidas
econmicas.
Existen compromisos legales para el acceso continuo al
sistema.
Se tiene una reduccin seria en la productividad de los
empleados si los datos no estn disponibles.
08.2003 | Pgina 1
Clasificacin de Disponibilidad
Mediano impacto
Se tiene cierta reduccin en la productividad de los
empleados o cierta prdida econmica si los datos no estn
disponibles.
Los empleados pueden continuar trabajando manualmente
por cierto periodo con cierta reduccin de la eficiencia.
Bajo impacto
No se requiere acceso inmediato a los datos para realizar
funciones esenciales.
Pueden utilizarse procedimientos manuales por un periodo
extenso de tiempo para continuar las operaciones de la
empresa.
08.2003 | Pgina 1
Definiciones. . .
Control/Salvaguarda una contramedida que actua para
prevenir, detectar o minimizar la consecuencias de ocurrencia
de una amenaza.
Factor de exposicin cuanto impcto o prdida de activos
se ha tenido
0% a 100%
Prdida Singular (PS) cuando una amenaza ocurre,
cantidad de prdida de valor del activo esperada, en trminos
monetarios.
Tasa de Ocurrencia Anualizada (TOA) frecuencia de
ocurrencia esperada de una amenaza durante un ao.
08.2003 | Pgina 1
Tasas de ocurrencia de riesgos

Prdida Esperada Anualizada (PEA) un valor
definido en el anlisis de riesgos clsico que indica
la prdida esperada para una amenaza dada.
Considerando el valor del activo (V) y la
probabilidad del factor de exposicin (L), la PEA
ser igual a:
V x L = PEA
08.2003 | Pgina 1
Tabla de multiplicadores
Nunca
0.0
Una en 300 aos
1/300
0.00333
Una en 200 aos
1/200
0.055
Una en 100 aos
1/100
0.01
Una en 50 aos
1/50
0.02
Una en 25 aos
1/25
0.04
Una en 5 aos
1/5
0.20
Una en 2 aos
0.5
Anual
Mensual
12
12
Semanal
52
52
Diaria
365
365
08.2003 | Pgina 1
Ejercicio...
Se tiene un centro de datos de $3 millones de dlares
en una rea susceptible a inundaciones. Cada 100
aos, se produce una gran inundacin que podra
destruir el centro de datos.
Calcular el PEA.
Usando el PEA calculado, cul es la probabilidad de
que la administracin est dispuesta a gastar
$35,000.00 dlares anuales para controlar esta
amenaza?
Es efectivo en costo?
08.2003 | Pgina 1
Mtodos cuantitativos de AR
PROS
Los resultados se basan substancialmente en procesos
y mtricas objetivas.
Se trabaja en la definicin de valores de los activos y en
la mitigacin de riesgos.
Es esencial el trabajo en la evaluacin costo/beneficio.
Los resultados se expresan en el mismo lenguaje de la
administracin:
Valor monetario, porcentajes, probabilidad.
08.2003 | Pgina 1
Mtodos cuantitativos de AR
CONTRAS
Clculos complejos
Requiere la estimacin econmica de valores de activos
Requiere del conocimiento de frecuencias de amenazas
(estadsticas previas)
Mucho trabajo preliminar
Requiere una asesoria adecuada
Difcil cambiar de direccin
08.2003 | Pgina 1
Mtodos cualitativos de AR
PROS
Clculos simples
No es necesario determinar valores econmicos de
activos
No es necesario cuantificar frecuencia de amenazas
Es fcil involucrar personal que no es del rea tcnica ni
de seguridad
Proporciona flexibilidad en el proceso
No requiere asesoria
08.2003 | Pgina 1
Mtodos cualitativos de AR
CONTRAS
De naturaleza muy subjetiva
Esfuerzo limitado en la determinacin del valor de los
activos
No aporta informacin para el anlisis costo/beneficio
No fcilmente aceptable para la administracin
08.2003 | Pgina 1
QRA
Qualitative Risk Analysis
1) Establecer el alcance
2) Integrar un equipo competente
3) Identificar las amenazas.
Llenar el campo en la hoja de determinacin de factores
de riesgo.
4) Priorizar las amenazas
Tasa de ocurrencia de la amenaza (TOA)
5) Priorizar el impcto
Estimar la prdida si la amenaza ocurre
6) Calcular impcto total
TOA+L=Factor de Riesgo
08.2003 | Pgina 1
QRA
Qualitative Risk Analysis
7) Identificar controles
Identifica controles fsicos, administrativos y tcnicos que ofrezcan un nivel de
proteccin aceptable y de costo efectivo para el activo bajo revisin.
Cuatro capas:
Prevencin
Aseguramiento
Deteccin
Recuperacin
Anlisis costo/beneficio
9) Ordenar controles por su prioridad
10) Reporte del anlisis de riesgo
8)
08.2003 | Pgina 1
FRAP
FACILITATED RISK ANALYSIS PROCESS
FRAP analiza un sistema, una aplicacin o un segmento del
negocio a la vez.
Se convoca a un equipo de personas que incluya
administradores y de soporte.
El equipo realiza una lluvia de ideas sobre las amenazas
potenciales, las vulnerabilidades y los impactos negativos
resultantes sobre la integridad, confidencialidad y
disponibilidad de los datos/recursos.
Se analiza el impacto sobre las operaciones de la empresa.
Se priorizan las amenazas y riesgos.
08.2003 | Pgina 1
FRAP
Despus de identificar y categorizar los riesgos, el grupo
identifica los controles que puedan mitigar los riesgos
Un grupo comn de 26 controles es utilizado como inicio

La decisin de que controles se necesitan descansa en la
administracin de la empresa.
El equipo concluye documentando que riesgos existen y que
controles se necesitan as como el plan de accin a seguir
para la implementacin de los controles.
08.2003 | Pgina 1
FRAP
Cada sesin de anlisis de riesgo toma aproximadamente 4
horas.
Incluye de 7 a 15 personas.
Se requiere tiempo adicional para desarrollar el plan de
accin.
No se intentan obtener nmeros especficos para la
probabilidad de las amenazas o estimar prdidas anualizadas.
El reporte de riesgos y controles es confidencial y depositado
en la administracin de la empresa.
08.2003 | Pgina 1
Metodologia FRAP
1. Reunin pre-FRAP (aprox. 1 hora)
Establecer lcance
Diagrama visual (proceso a analizar)
Miembros del equipo
Mecnica de las reuniones
2. Sesin FRAP (aprox. 3 horas)
Riesgos identificados
Riesgos priorizados
Controles sugeridos
3. Proceso post-FRAP (hasta 10 das)
Llenar hoja de referencias cruzadas
Identificacin de controles existentes
Seleccin de controles para riesgos abiertos o aceptar riesgos
08.2003 | Pgina 1
Estndares Internacionales
Organizaciones
ISO/IEC
IETF
IEEE
NIST
ITU-T
W3C
NCSA
...
08.2003 | Pgina 1
Estndares Internacionales
ISO/IEC 17799 y BS 7799-2.
Common Criteria
CDSA Common Data Security Architecture
GMITS Guideline for the Management of IT
Security (ISO)
OSI Security (ISO)
GASSP Generally Accepted System Security
Principles (I2SF) Promovida por la OCDE.
08.2003 | Pgina 1
ISO 17799 y BS 7799-2

ISO 17799:2000, cdigo de prctica para la
administracin de la seguridad informtica
(ISM).
BS 7799-2:2002, estndar de sistemas de
administracin de la seguridad informtica
(ISMS).
08.2003 | Pgina 1
ISO 17799
Qu es?
Un conjunto de controles que abarcan las mejores

prcticas en seguridad de la informacin.
Bsicamente...un estndar genrico de
seguridad informtica internacionalmente
reconocido.
08.2003 | Pgina 1
ISO 17799
Porqu?
Su intencin es servir como un punto de referencia

nico para identificar un rango de controles
requeridos para la mayoria de las situaciones en las
cuales son utilizados los sistemas de informacin en
la industria y el comercio.
08.2003 | Pgina 1
Historia de ISO 17799

Publicado por primera vez como Cdigo de
Prctica DTI en el Reino Unido.
Revaluado y pblicado como versin 1 del BS
7799 en febrero de 1995.
NO fue adoptado ampliamente, por varias
razones, como:
No era suficientemente flexible
Enfoque de controles clave simplista
Otro problemas eran prioridad (Y2K)
08.2003 | Pgina 1
Historia de ISO 17799

Revisin del BS7799. Versin 2 es publicada en
mayo de 1999.
En el mismo ao se lanzan los esquemas de
acreditacin y certificacin formal.
Comienzan a aparecer herramientas de apoyo.
Se acelera la iniciativa ISO.
Publicada como estndar ISO en diciembre del
2000.
08.2003 | Pgina 1
Contenido del ISO 17799

El contenido abarca diez tpicos principales:
Establecimiento de la poltica de seguridad de la organizacin.

Infraestructura de seguridad organizacional.
Clasificacin y control de activos.
Seguridad en personal.
Seguridad ambiental y fsica.
Administracin de operaciones y comunicaciones.
Control de acceso.
Mantenimiento y desarrollo de sistemas.
Administracin de continuidad del negocio (BCM)
Cumplimiento (compliance).
08.2003 | Pgina 1
Ejemplo del ISO 17799

Control: 8.6.2 Eliminacin de medios
Los medios deberian eliminarse de manera segura una vez que ya no se requieran.
Pueden darse fugas de informacin a personas externas mediante la eliminacin
descuidada de medios. Podran establecerse procedimientos formales para la
eliminacin segura de medios para minimizar este riesgo. Podran considerarse los
siguientes controles...
a) Los medios que contengan informacin sensible deben ser almacenados y

eliminados de manera segura...
b) La siguiente lista identifica items que pueden requerir eliminacin
segura...
...
e) La eliminacin de items sensibles debera registrarse en bitcoras
cuando sea posible con el propsito de mantener un rastro de auditoria.
08.2003 | Pgina 1
BS 7799-2
BS 7799-2:2002 Information Security Management
Systems Specification with Guidance of Use
Estndar britnico, no ISO.
Especifica requerimientos para definir, implementar, operar,

monitorear, revisar, mantener y mejorar un ISMS
documentado.
Proporciona un enfoque sistemtico a la administracin de la

seguridad informtica.
Requerimientos de administracin en concordancia con ISO 9001 e
ISO 17799.
ISO ha iniciado un estudio sobre BS 7799 que

presumiblemente dar origen a un estndar ISO.
08.2003 | Pgina 1
Ambito del BS 7799-2

Requerimientos extensivos sobre el sistema de
administracin
Evaluacin y administracin de riesgos.

Compromiso de la administracin y recursos.
Entrenamiento y concientizacin.
Revisin y mejora del sistema.
Ciclo de vida: Plan/Do/Check/Act

Annex A incluye 127 controles directamente derivados de la
ISO 17799
una organizacin debe considerar que [...] controles adicionales pueden

ser necesarios
No todos los controles descritos pueden ser relevantes para todas las
situaciones...
08.2003 | Pgina 1
Ejemplo del BS 7799-2

Annex A.8: Los medios deben eliminarse de manera segura cuando ya no se
requieran.
4.2.1 Establecimiento del ISMS: La organizacin debe hacer lo siguiente. [...]
c) Definir un enfoque sistemtico a la evaluacin de riesgos. Identificar un mtodo de
evaluacin de riesgos que se adapte al ISMS y los requerimientos de seguridad
informtica de la empresa, legales y regulatorios identificados. Establecer polticas y
objetivos para el ISMS con el fin de reducir los riesgos a un nivel aceptable.
Determinar los criterios para aceptar los riesgos e identificar los niveles aceptables
de riesgo.
d) Identificar los riesgos
1) Identificar los activos dentro del mbito del ISMS y los propietarios de los
activos
2) Identificar las amenazas a esos activos
3) Identificar las vulnerabilidades que pueden explotar las amenazas.
4) Identificar el impacto que las prdidas de confidencialidad, integridad y
disponibilidad pueden tener en los activos.
08.2003 | Pgina 1
Ciclo de vida ISMS

Plan: La organizacin debe...
Definir mbito ISMS
Identificar y evaluar los riesgos
Administrar los riesgos
Do: La organizacin debe...

Implementar un plan de mitigacin
de riesgos
Implementar controles
seleccionados
Check: La organizacin debe...

Realizar monitoreos
Conducir revisiones periodicas
Act: La organizacin debe...

Implementar mejoras
Tomar acciones correctivas
08.2003 | Pgina 1
Common Criteria
Estndar desarrollado por:
Communications Security Establishment (CAN)
Communications-Electronic Security Group (UK)
Bundesamt fur Sicherbeit in der Informationstechnik (GER)
NSA, NIST (USA)
Service Central de la Securite des Systemes d'Information (FR)
National Security Agency (HOL)
Basado principalmente en ITSEC de Europa.

Adoptado como ISO 15408 en 1999.
08.2003 | Pgina 1
Common Criteria
CC presenta requerimientos de seguridad para un producto
o sistema bajo distintas categorias de requerimientos
funcionales (CC parte 2) y requerimientos de
aseguramiento (CC parte 3).
Requerimientos funcionales CC Definen caractersticas
de seguridad deseadas.
Requerimientos de aseguramiento CC Bases para tener
confianza en que las medidas de seguridad declaradas son
efectivas y correctamente implementadas.
08.2003 | Pgina 1
Enfoque de los CC
La confianza en la seguridad informtica puede obtenerse a
travs de acciones que puedan tomarse durante el proceso
de desarrollo, evaluacin y operacin.
Desarrollo CC define un conjunto de requerimientos
de seguridad para productos y sistemas candidatos.
Evaluacin Asegurar que los objetivos de seguridad
son satisfechos.
Operacin Revaluacin ante nuevas vulnerabilidades
o revisin de supocisiones ambientales.
08.2003 | Pgina 1
Conceptos clave
Protection Profile (PP) Define un conjunto de requerimientos
y objetivos de seguridad para una categoria de productos o
sistemas que satisfacen necesidades similares. Se han
desarrollado PP para firewalls, bases de datos, etc.
Target of Evaluation (TOE) Producto o sistema a evaluar.

Security Target (ST) Contiene los requerimientos y objetivos
de seguridad para un TOE especfico y define las medidas
funcionales y de aseguramiento de que el TOE satisface los
requerimientos.
08.2003 | Pgina 1
Catlogo de Componentes
La parte 2 de los CC contiene el catlogo de componentes
funcionales:
Audit (FAU)
Cryptographic Support (FCS)
Communication (FCO)
User Data Protection (FDP)
Identification and Authenticacion (FIA)
Security Management (FMT)
Privacy (FPR)
Protection of the TOE Security Functions (FPT)
Resource Utilisation (FRU)
TOE Access (FTA)
Trusted Path/Channels (FTP)
08.2003 | Pgina 1
Niveles de Evaluacin
Los CC contienen un conjunto de niveles de evaluacin
(Evaluation Assurance Levels EAL) construidos usando
componentes de las familias de aseguramiento.
Hay siete niveles EAL jerrquicos:
EAL1 probado funcionalmente
EAL2 estructuralmente probado
EAL3 metdicamente probado y verificado
EAL4 metdicamente diseado, probado y revisado
EAL5 diseado semiformalmente y probado
EAL6 diseo verificado semiformalmente y probado
EAL7 diseo verificado formalmente y probado
08.2003 | Pgina 1
ISO 17799 vs. CC

ISO 17799 es un estndar de administracin y concierne a
aspectos no tcnicos relacionados a sistemas de TI
instalados.
ISO 17799 toca aspectos tales como personal,
procedimientos, seguridad fsica y administracin de
seguridad en general.
CC es un estndar tcnico para apoyar la especificacin y
evaluacin tcnica de caractersticas de seguridad en
productos de TI.
CC proporciona una estructura y una sintxis que puede
utilizarse para especificar requerimientos tcnicos de
seguridad en productos.
08.2003 | Pgina 1
GASSP
Principios:
Principio de responsabilidad
Principio de atencin
Principio de tica
Principio de multidisciplinareidad
Principio de proporcionalidad
Principio de integracin
Principio de diligencia
Principio de revaluacin
Principio de equidad
08.2003 | Pgina 1
Prcticas de seguridad CERT

Prcticas:
Endurecimiento de sistemas mediante el
establecimiento de configuraciones seguras.
Prepararse para intrusiones mediante la deteccin y la
respuesta.
Detectar intrusiones rpidamente.
Responder a intrusiones rpidamente.
Mejorar la seguridad para proteger contra futuros
ataques.
08.2003 | Pgina 1
Mtodo OCTAVE (CERT)

OCTAVE:
Operationally Critical Threat, Asset and Vulnerability Evaluation.
Fase 1:
Proceso 1: Identificar conocimiento de la administracin.
Proceso 2: Identificar conocimiento del rea operativa.
Proceso 3: Identificar conocimiento del staff.
Fase 2:
Proceso 5: Identificar componentes claves.
Proceso 6: Evaluar componentes seleccionados.
Fase 3:
Proceso 7: Conducir anlisis de riesgos.
Proceso 8: Desarrollar estrategia de proteccin, seleccionar
estrategias de proteccin.
08.2003 | Pgina 1
Desarrollo de Polticas de SI
Poltica de seguridad informtica:
Conjunto de reglas cuyo cumplimiento garantiza la
consecucin y mantenimiento de los objetivos de
seguridad informtica.
Polticas:
Uso aceptable de recursos
Autenticacin y seguridad en red
Seguridad en Internet (perimetral)
Seguridad en correo electrnico
Manejo de cdigo malicioso
Cifrado (Proteccin de datos)
08.2003 | Pgina 1
Polticas de SI
Definen la conducta adecuada
Proporcionan la base para determinar las
herramientas y procedimientos adecuados
Establecen un consenso
Proporcionan un fundamento a las accin de
RH en respuesta a una conducta inadecuada
Pueden auxiliar en la persecucin de delitos
08.2003 | Pgina 1
Confianza
La confianza es el primer principio en el cual
basar el desarrollo de las polticas de
seguridad.
Paso inicial: Determinar quien tiene acceso.
Decidir el nivel de confianza es un acto
delicado:
Demasiada confianza puede originar problemas de
seguridad
Poca confianza puede hacer difcil encontrar y
conservar empleados.
Qu tanto se confa en los recursos y en la

gente?
08.2003 | Pgina 1
Proceso de Diseo de PSI

Elegir el equipo de desarrollo de polticas.
Designar a una persona o entidad como el aval
oficial de la poltica.
Decidir sobre el mbito y objetivos de la poltica
El mbito debe ser una declaracin escrita sobre que
aspectos cubre la poltica.
Decidir que tan especfica debe ser la poltica

NO debe ser un plan detallado de implementacin
NO debe incluir hechos que cambien frecuentemente
08.2003 | Pgina 1
Proceso de Diseo de PSI

Se debe dar una oportunidad a un grupo
representativo de las personas afectadas por la
poltica de revisarla y comentarla.
Se debe dar oportunidad a gente de soporte de
revisarla.
Se debe incorporar una induccin a la poltica
como parte de la orientacin del empleado.
Se debe dar una revisin y actualizacin a la
poltica una o dos veces al ao.
08.2003 | Pgina 1
Requerimientos Bsicos
La poltica debe:
Ser implementable y poder hacerse cumplir
Ser concisa y fcil de entender
Equilibrar proteccin con productividad
La poltica debera:
Establecer razones por las cuales es necesaria
Describir que es cubierto por la poltica
Definir contactos y responsabilidades
Discutir como sern manejadas las violaciones
08.2003 | Pgina 1
Estructura de la Poltica
Dependiente del tamao y objetivos de la organizacin.
Un solo documento o varios documentos ms
pequeos?
Documentos ms pequeos, ms fciles de
mantener/actualizar
Alguna polticas son genricas, otras son especficas

para ciertos entornos
Algunas polticas clave:
Uso aceptable
Acceso remoto
Proteccin de informacin
Seguridad perimetral
Seguridad bsica para hosts/dispositivos
08.2003 | Pgina 1
Poltica de Uso Aceptable

Define el uso aceptable del equipo y de los servicios de cmputo, y las
medidas apropiadas de los empleados para proteger los recursos e
informacin propiedad de la organizacin.
Se debe pedir a los usuarios leer y firmar la conformidad con la poltica
de uso aceptable como parte del proceso de crear una cuenta.
Es una poltica clave que todos los sitios debe tener.
Ejemplo de contenido:
1.0 Introduccin
2.0 Propsito
3.0 Ambito
4.0 Poltica
4.1 Uso general y propiedad
4.2 Informacin propietaria
4.3 Uso inaceptable
5.0 Sanciones
08.2003 | Pgina 1
Algunos elementos
Debe establecer las responsabilidades de los usuarios en
relacin a la proteccin de la informacin contenida en sus
cuentas
Debe establecer si los usuarios pueden leer y copiar
archivos que no son de su propiedad, pero son accesibles
a ellos.
Debe establecer el nivel de uso aceptable del correo
electrnico y acceso a Internet.
Debe discutir uso aceptable de recursos de la empresa
para fines ajenos a la misma.
Ejemplo: http://www.sans.org/resources/policies/
08.2003 | Pgina 1

4.0 Poltica
4.1 Uso general y propiedad
1. [...]
3. Se recomienda que cualquier informacin que los usuarios
consideren confidencial sea cifrada. Para lineamientos de
clasificacin de informacin consultar (...). Para lineamientos sobre
cifrado de datos y documentos consultar (...).
4. Para propsitos de mantenimiento de la red y la seguridad, el
personal autorizado de <Compaia> puede monitorear equipos,
sistemas y trfico de red en cualquier momento.
5. <Compaia> se reserva el derecho de auditar redes y sistemas de
forma periodica para asegurar el cumplimiento de esta poltica.
08.2003 | Pgina 1

4.2 Seguridad e Informacin Propietaria
1. [...]
2. Mantener seguras la contraseas y no compartir cuentas. Los
usuarios autorizados son responsables de la seguridad de sus
cuentas y contraseas. Las contraseas de sistema debern ser
cambiadas quincenalmente, las de usuarios debern cambiarse
semestralmente.
3. Todas las PC, laptops, estaciones de trabajo deberan asegurarse con
un protector de pantalla protegido con contrasea configurado con
activacin automtica en 10 minutos o menos, o con desconexin
automtica (logoff) cuando los equipos estn desatendidos.
4. [...]
08.2003 | Pgina 1

4.3 Uso Inaceptable
Las siguientes actividades estn estrictamente prohibidas, sin excepcin:
1. Violaciones de derechos de autor sobre [...]
2. Copiado no autorizado de material con derechos de autor
incluyendo, pero no limitado a [...]
3. Introduccin de programas maliciosos en la red o en servidores.
4. Revelar la contrasea de usuario a otros o permitir el uso de la
cuenta a terceros.
5. Utilizar equipo de computo de <Compaia> para realizar
actividades ilegales o fraudulentas.
6. Realizar escrutinio de puertos o de seguridad sin autorizacin
previa.
7. Efectuar cualquier forma de monitoreo de red que intercepte datos
08.2003 | Pgina 1
que no conciernen al empleado. [...]
Poltica de Acceso Remoto

Define mtodos aceptables para conectarse de manera
remota a la red interna.
Esencial en organizaciones grandes donde las redes estn
geogrficamente dispersas y se extienden incluso a los
hogares.
Debe cubrir todos los mtodos disponibles para acceder
remotamente a recursos internos:
Dial-in (SLIP,PPP)
ISDN/Frame Relay
Acceso mediante Telnet/SSH
Cable modem/vpn/DSL
08.2003 | Pgina 1
Algunos elementos
Debe definir quienes tienen permitido el acceso
remoto
Debe definir que mtodos son permitidos para el
acceso remoto
Debe discutir quienes tienen permitido el acceso
remoto de banda ancha tal como ISDN, frame relay o
cable modem
Requerimientos extra
Uso apropiado
Debe discutir las restricciones sobre datos que puedan

ser accesados remotamente.
08.2003 | Pgina 1
Poltica de Proteccin de Informacin

Proporciona una gua a los usuarios sobre el
procesamiento, almacenamiento y envo de
informacin.
El principal objetivo es asegurar que la informacin es
protegida adecuadamente contra modificaciones o
revelacin.
Puede ser apropiado hacer que los empleados nuevos
firmen conformidad con la poltica.
Debe definir niveles de confidencialidad de la
informacin.
08.2003 | Pgina 1
Algunos elementos
Debe definir quienes tienen acceso a informacin
confidencial.
Mnimo privilegio (need-to-know)
Circunstancias especiales
Acuerdos de confidencialidad
Debe definir como ser almacenada y transmitida la

informacin confidencial (cifrado, manejo de medios,
etc.)
Debe definir en que sistemas se almacenar
informacin confidencial.
08.2003 | Pgina 1
Algunos elementos
Debe discutir que niveles de informacin confidencial
puede imprimirse en impresoras fsicamente
inseguras.
Debe definir como debe removerse informacin
confidencial de los sistemas y de medios de
almacenamiento:
Demagnetizacin de medios de almacenamiento
Limpiado de discos duros
Triturado de copias duras
Debe discutir permisos por defecto para directorios y

archivos compartidos.
08.2003 | Pgina 1
Poltica de Seguridad Perimetral

Describe, en general, el mantenimiento de la
seguridad perimetral.
Describe quien es el responsable del mantenimiento
de la seguridad perimetral.
Describe como se administran los cambios de
hardware y software en los dispositivos de seguridad
perimetral.
08.2003 | Pgina 1
Algunos elementos
Debe discutir quien tiene acceso privilegiado a
sistemas de seguridad perimetral.
Debe discutir el proceso para solicitar un cambio de
configuracin en un dispositivo de seguridad
perimetral y como es aprobada la solicitud.
Debe discutir a quien se permite obtener informacin
concerniente a la configuracin perimetral y listas de
acceso.
Debe discutir el proceso de revisin periodica de
configuracin de sistemas de seguridad perimetral.
08.2003 | Pgina 1
Poltica de Cdigo Malicioso

Proporciona requerimientos bsicos para la utilizacin
de software antivirus.
Proporciona guias para reportar y manejar infecciones
de virus.
Debe discutir la poltica para la descarga e instalacin
de software de dominio pblico.
Debe discutir la frecuencia en las actualizaciones de
los archivos de datos sobre virus.
Debe discutir el procedimiento de verificacin para la
instalacin de software nuevo.
08.2003 | Pgina 1
Poltica de Plan de Contingencias

Establece objetivos en caso de contingencias.
Elementos claves de la poltica son:
Roles y responsabilidades
Ambito de los planes de contingencia
Requerimientos de recursos y adiestramiento
Programacin de pruebas y ejercicios
Programacin de mantenimiento
Frecuencia de realizacin de respaldos de medios,
localizacin de almacenamiento, convencin de
etiquetado, frecuencia de rotacin de medios y mtodo de
transporte offsite.
08.2003 | Pgina 1
Aspectos de implementacin de polticas
El personal tiende a ver las polticas como:

Impedimento a la productividad
Medidas de control
El personal puede tener diferentes opiniones sobre la
necesidad de los controles de seguridad.
Las polticas deben afectar a todos en la organizacin.
Deben tener un fundamento legal y estar apoyadas
por el departamento de RH.
En Mxico, cuidar aspectos relacionados con la Ley
de Transparencia y Acceso a la Informacin.
08.2003 | Pgina 1
Procedimientos de Seguridad
Las polticas solo definen que ser protegido. Los
procedimientos definen como se protegern los
recursos y los mecanismos para hacer cumplir las
polticas.
Los procedimientos definen en detalle las acciones a
tomar en caso de incidentes especficos.
Los procedimientos proporcionan una referencia
rpida en el momento de un incidente.
Los procedimientos eliminan el problema de que un
empleado clave est ausente cuando ocurra un
incidente de seguridad !!
08.2003 | Pgina 1
Planes de Contingencia
La organizacin debe utilizar un conjunto de planes
para preparar adecuadamente la respuesta,
recuperacin y continuidad de actividades ante una
interrupcin que afecte los sistemas informticos, los
procesos y las instalaciones.
Trminos similares:
Business Continuity Planning (BCP)
Disaster Recovery Planning (DRP)
Business Resumption Planning (BRP)
Contingency Planning (CP)
Etc., etc.
08.2003 | Pgina 1
Proceso de Planeacin de Contingencia
Realizar anlisis de impcto en el negocio

Desarrollar la poltica de planes de contingencia.
Identificar e implementar controles preventivos
Desarrollar estrategias de recuperacin
Desarrollar plan de contingencia
Prueba, adiestramiento y ejercicios del plan.
Mantenimiento del plan.
08.2003 | Pgina 1
Realizar anlisis de impacto en el negocio

Identificar recursos crticos
Identificar impacto de intermisin y tiempos permisibles de
suspensin
Desarrollar prioridades de recuperacin
Desarrollar la poltica de planes de contingencia.

Identificar requerimientos regulatorios
Establecer polticas de planeacin de contingencias
Obtener aprobacin de la poltica
Publicar la poltica
Identificar controles preventivos

Implementar controles
Mantenimiento de controles
08.2003 | Pgina 1
Desarrollar estrategias de recuperacin

Identificar mtodos
Integrar a la arquitectura
Desarrollar plan de contingencia

Documentar estrategias de recuperacin
Prueba, adiestramiento y ejercicios del plan.

Establecer objetivos de la prueba
Establecer criterios de xito
Documentar lecciones aprendidas
Incorporarlas al plan
Entrenar al personal
Mantenimiento del plan.

08.2003 | Pgina 1
Controles Preventivos
Fuentes de poder ininterrumpibles (UPS)
Generadores basados en gasolina o diesel.
Sistemas de aire acondicionado
Sistemas de supresin de incendios
Detectores de fuego y humo
Sensores de agua
Cubiertas plsticas para equipo de cmputo
Almacenamiento offsite de respaldo de medios,
registros no electrnicos y documentacin
Respaldos periodicos, frecuentes
08.2003 | Pgina 1
Estrategias de Recuperacin
Mtodos de respaldo
respaldo de medios
caja fuerte electrnica
mirroring de discos/hosts
Sitios alternos
Cold sites
Warm sites
Hot sites
Mobile sites
Mirrored sites
08.2003 | Pgina 1
Estrategias de Recuperacin
Reemplazo de equipo
Acuerdos con provedores
Equipo almacenado
Equipo compatible existente
Roles y responsabilidades
08.2003 | Pgina 1
Pruebas, entrenamiento y ejercicios

Prueba del plan Hace posible identificar y resolver
deficiencias del plan.
Establecer objetivos y criterios de xito.
Escenario: Puede ser el del peor caso o el del
caso ms probable.
Debe imitar la realidad tan cercanamente como
sea posible.
Entrenamiento El personal que apoya el plan debe
recibir adiestramiento para que sean capaces de
ejecutar sus respectivos procedimientos de
recuperacin.
08.2003 | Pgina 1
Pruebas, entrenamiento y ejercicios

Ejercicios Se realizan con el objetivo de adiestrar y
preparar a los miembros del equipo.
Table Top Los participantes revisan y discuten las
acciones que tomarn, sin realizar ninguna de estas
acciones.
Simulacin Los participantes realizan algunas o todas
las acciones que se tomarn al hacerse la activacin del
plan.
Operativo Los participantes realizan algunas o todas las
acciones, bajo condiciones operativas reales.
Desastre mofa Los participantes son retados a
determinar las acciones que realizarian en caso de un
escenario especfico de desastre. Pueden realizar o
simular las acciones.
08.2003 | Pgina 1
Componentes del Plan

Informacin de Apoyo
Introduccin
Concepto de Operaciones
Fase de Notificacin/Activacin
Procedimientos de notificacin
Evaluacin de dao
Activacin del plan
Fase de recuperacin
Secuencia de actividades de recuperacin
Procedimientos
Fase de reconstitucin
Restaurar sitio original
Probar sistemas
Terminacin de operaciones
08.2003 | Pgina 1
Informacin de Apoyo
Introduccin
Propsito Objetivos del plan.
Aplicabilidad Areas impactadas por el plan.
Ambito Problemas, aspectos y situaciones consideradas.
Sistema(s) y sitios cubiertos.
Registro de cambios Modificaciones realizadas al plan.
Concepto de Operaciones
Descripcin del sistema Descripcin general del sistema cubierto
por el plan.
Lnea de sucesin Personal responsable de asumir la autoridad
para ejecutar el plan en caso dela persona designada no est
disponible.
Responsabilidades Equipo, jerarquia, roles y responsabilidades.
08.2003 | Pgina 1
Fase de Notificacin/Activacin
Procedimientos de Notificacin Deben describir los mtodos
utilizados para notificar al personal de recuperacin durante horario
normal y fuera de horario.
Call tree
Evaluacin de daos Describir procedimientos de evaluacin de

daos.
Causas de la emergencia o interrupcin
Potencial de interrupciones o dao adicional
Area(s) afectada(s) por la emergencia
Status de infraestructura fsica
Activacin del plan Debe activarse si y solo si se satisfacen uno o

ms de los criterios de activacin del plan. Los criterios de activacin son
nicos para cada organizacin.
08.2003 | Pgina 1
Fase de Recuperacin
Inicia una vez que:
El plan ha sido activado
Se ha evaluado el dao (si es posible)
El personal ha sido notificado
Se han movilizado los equipos adecuados
Secuencia de actividades de recuperacin

Los procedimientos de recuperacin deben reflejarlas
prioridades establecidas por el BIA.
Deben escribirse por pasos, en forma secuencial de manera que
los componentes del sistema sean restaurados de forma lgica.
Deben incluir instrucciones para coordinar equipos.
08.2003 | Pgina 1
Fase de Reconstitucin
Inicia una vez que han terminado las actividades de recuperacin y las
operaciones normales se han transferido de vuelta a las instalaciones de
la organizacin.
Si la instalacin original es irrecuperable, actividades de preparacin de
nuevas instalaciones.
Principales actividades:
Asegurar infraestructura adecuada
Instalar hardware, software y firmware
Establecer conectividad con red y sistemas externos
Probar operaciones de los sistemas
Respaldar datos operacionales del sistema de contingencia y subirlos al
sistema restaurado.
Dar de baja el sistema de contingencia
Terminar operaciones de contingencia
Asegurar, remover y/o relocalizar todos los materiales sensibles del sitio de
contingencia.
08.2003 | Pgina 1
Consideraciones Tcnicas
1. Computadoras de escritorio y portatiles:
Documentar configuraciones de sistema y de aplicaciones
Estandarizar hardware, software y perifricos
Proporcionar asesora sobre respaldo de datos
Asegurar la interoperabilidad de componentes
Coordinar con polticas de seguridad y controles
Respaldar datos y almacenar fuera de sitio
Usar discos duros alternos
Discos imgen
Implementar redundancia en componentes crticos
Utilizar fuentes de poder ininterrumpibles
08.2003 | Pgina 1
2. Servidores:
Documentar configuraciones de sistema y aplicaciones
Estandarizar hardware, software, y perifricos
Coordinar con polticas y controles de seguridad
Asegurar interoperabilidad entre componentes
Respaldar datos y almacenar fuera de sitio
Respaldar aplicaciones y almacenar fuera de sitio
Usar fuentes ininterrumpibles de poder
Implementar redundancia en componentes de sistema crticos
Implementar tolerancia a fallas en componentes de sistema crticos
Replicar datos
Implementar soluciones de almacenamiento
08.2003 | Pgina 1
Tecnologa de contingencia en servidores
Respaldos:
Completo
Incremental
Diferencial
RAID
Tecnicas de redundancia:
Mirroring
Paridad
Striping
RAID-0 solo striping
RAID-1 solo mirroring
RAID-2 striping a nivel de bits
RAID-3 striping a nivel bit con
paridad dedicada
RAID-4 striping a nivel de bloque

con paridad dedicada
RAID-5 striping a nivel de bloque
y paridad distribuida
Discos hot-swap
Fuentes de poder redundantes
Caja fuerte electrnica
Balanceo de carga en servidores
Virtualizacin:
Network-attached storage
(NAS)
Storage area network (SAN)
Internet SCSI (iSCSI)
08.2003 | Pgina 1
Clustering
Cluster: Conjunto de servidores que se comportan como un solo servidor.
Tpicamente utilizado para lograr alta disponibilidad o alto desempeo.
Cluster de alta disponibilidad:
08.2003 | Pgina 1
Tecnologa de Clustering
Sun Cluster 3
IBM High Availability Cluster Multiprocessing (HACM) para
AIX
Compaq TruCluster Server
Kimberlite
http://www.missioncriticallinux.com/products/cluster.php
Linux HA http://www.linux-ha.org/
Sistemas Legato http://www.veritas.com/
PolyServe http://www.polyserve.com/
Windows 2000 Advanced Server y Datacenter Server
08.2003 | Pgina 1
Componentes de un sistema HA
Componentes de un sistema de alta disponibilidad:
Servicios de membresa
Servicios de comunicacin
Administracin de cluster
Monitoreo de recursos
Administracin de recursos
Almacenamiento replicado/compartido:
Compartido: SCSI compartido, SAN, etc.
Replicado:
Protocolo de aplicacin (DNS, NIS, etc.),
Rsync
Drbd, nbd, etc.
08.2003 | Pgina 1
Estrategias de Tolerancia a Fallas

Espera inactiva Nodo de respaldo permanece inactivo,
monitoreando al nodo activo (heartbeat). Un nodo es
prioritario.
Espera rotatoria Como en espera inactiva pero sin
prioridades en nodo.
Fallover simple Nodo de respaldo corre aplicaciones no
crticas.
Takeover mutuo Es bsicamente una espera inactiva de
dos vias.
Acceso concurrente Todos los nodos estn activos y
accesan el almacenamiento externo concurrentemente.
(Oracle Parallel Server).
08.2003 | Pgina 1
Estrategias de Tolerancia a Fallas

Redundancia en conexin de red
Takeover de direccin IP (IPAT)
Takeover de direccin MAC
Heartbeat
UDP
No IP:
Cable RS232 null modem corriendo TTY
Opciones de almacenamiento
DAS Direct Attached Storage
NAS Network Attached Storage
SAN Storage Area Network
08.2003 | Pgina 1
DAS Direct Attached Storage

Mtodo tradicional de conectar el almacenamiento a un
servidor mediante un canal de comunicacin dedicado
entre el servidor y el dispositivo de almacenamiento.
Ejemplo, SCSI
Discos, RAID u otro
Interfaz a nivel bloque
08.2003 | Pgina 1
SAN Storage Area Network

Red dedicada de almacenamiento diseada
especficamente para conectar almacenamiento,
dispositivos de respaldo y servidores.
Redes conmutadas Fibre Channel
Localizado o disperso
Interfaz a nivel bloque
Sistema de archivos en servidor
08.2003 | Pgina 1
NAS Network Attached Storage

Arreglo de almacenamiento con su propio sistema de
archivos se conecta directamente a la red.
Interfaz de sistemas de archivos de red
NFS (UNIX)
SMB/CIFS (WinNT/Win2k)
Utiliza RPCs
08.2003 | Pgina 1
SAN versus NAS

SAN
Orientado a bloques
Basado en Fibre
Channel
Almacenamiento
protegido y aislado de
acceso de clientes
Servidores de alto
desempeo
Instalacin compleja
NAS
Orientado a archivos
Basado en Ethernet
Provisto para acceso
general de clientes
Soporta aplicaciones
cliente NFS/CIFS de
bajo desempeo
Puede instalarse rpida
y fcilmente
08.2003 | Pgina 1
3. Servidores Web:
Documentar el sitio web
Considerar contingencias de la infraestructura que lo soporta
Implementar balanceo de cargas
Elaborar procedimientos de respuesta a incidentes
4. Redes de rea local (LAN)
Documentar la red
Identificar puntos de falla nicos
Implementar redundancia en componentes crticos
Monitorear la LAN
Integrar tecnologa de WLAN y acceso remoto
08.2003 | Pgina 1
5. Redes de rea amplian (WAN):
Documentar WAN
Coordinar con provedores
Identificar puntos de falla nicos
Instalar redundancia en componentes crticos
Redundancia en enlaces
Redundancia en provedores de servicios de redes
Redundancia en dispositivos de enlace
Redundancia en ISPs
Instituir SLAs. (Service Level Agreement)
08.2003 | Pgina 1
Respuesta a Incidentes
Incidente de seguridad Una violacin real o potencial de una poltica
de seguridad explcita o implcita.
Categoras de incidentes:
Acceso incrementado
Revelacin de informacin
Corrupcin de informacin
Denegacin de servicios
Robo de recursos
Proceso de respuesta a incidentes (de acuerdo a FedCIRC)
Fase 1: Deteccin, evaluacin y canalizacin (triage)
Fase 2: Contencin, recoleccin de evidencia, anlisis e
investigacin, y mitigacin.
Fase 3: Correccin, recuperacin, post-mortem.
08.2003 | Pgina 1
Fase 1: Deteccin, evaluacin y canalizacin.
Paso 1-1: Documentar todo. Registrar todo lo que ocurre en
detalle: nombres, fechas, y eventos. Puede ser notas
manuscritas y no inicialmente ordenadas.
Paso 1-2: Contactar IRT primario. En ausencia de un IRT
interno, debe contactarse a un IRT externo.
Paso 1-3: Preservar evidencia. Asegurar integridad y
disponibilidad de la evidencia.
Paso 1-4: Verificar el incidente. Basndose en los datos
disponibles, establecer si ha ocurrido o no un incidente.
Paso 1-5: Notificar al personal apropiado. Seguir plan de
notificacin de incidentes.
08.2003 | Pgina 1
Fase 1: Deteccin, evaluacin y canalizacin.
Paso 1-6: Determinar estado del incidente. Est ctivo el
incidente?
Paso 1-7: Evaluar mbito. Determinar cuales y cuantos
sistemas fueron afectados.
Paso 1-8: Evaluar riesgo. Considerar que est en riesgo
basndose en la actividad del incidente.
Paso 1-9: Establecer objetivos. Dependiendo de la actividad
puede incluir preservar la reputacin, proteger datos
clasificados, asegurar disponibilidad, etc.
Paso 1-10: Evaluar opciones.
Paso 1-11: Implementar canalizacin.
Paso 1-12: Escalamiento y pase.
08.2003 | Pgina 1
Fase 2: Contencin, recoleccin, anlisis y mitigacin.
Paso 2-1: Verificar contencin. Validar que la contencin y las
actividades de canalizacin fueron efectivas.
Paso 2-2: Revisar mbito, riesgos y objetivos.
Cmo? Cundo? Quin?
Existi actividad despus del incidente inicial?
Quin fue el origen del ataque?
Recomendaciones inmediatas y futuras?
Paso 2-3: Recolectar evidencias. Identificar y capturar datos
relevantes a la investigacin del incidente.
Bitcoras de cortafuegos, IDS, DHCP, correo, etc.
Evidencia externa: ISPs, web hosters, etc.
08.2003 | Pgina 1
Fase 2: Contencin, recoleccin, anlisis y mitigacin.
Paso 2-4: Analizar evidencia. Altamente dependiente de la
experiencia, herramientas y conocimiento del equipo
investigador.
Paso 2-5: Plantear y verificar hiptesis. Formular respuestas
hipotticas a las preguntas planteadas en el paso 2-2. Deben
estar soportadas en lo posible por la evidencia.
Paso 2-6: Mitigacin intermedia. De acuerdo a lo crtico de la
situacin, y a las prioridades y disponibilidad de recursos,
pueden aplicarse algunas recomendaciones de mitigacin
mientras la investigacin prosigue.
08.2003 | Pgina 1
Fase 3: Finalizar anlisis y reporte.
Paso 3-1: Archivar evidencia. Toda la evidencia debe ser
almacenada en forma segura.
Paso 3-2: Implementar correcciones. Corregir vulnerabilidades
identificadas durante la investigacin. Pueden incluir acciones
a mediano y a largo plazo.
Paso 3-3: Ejecutar recuperacin. Si un incidente ha resultado
en la destruccin o corrupcin de datos, ser necesaria la
recuperacin.
Paso 3-4: Post-mortem. Reporte final del incidente, incluyendo
lecciones aprendidas.
08.2003 | Pgina 1
Prevencin de Incidentes
Uno de los aspectos centrales en la Poltica de Seguridad.
Aproximadamente un 80% de intrusiones se podran evitar si se
aplicran parches conocidos.
La evaluacin periodica de vulnerabilidades debe formar parte de
la poltica de seguridad.
La aplicacin sistemtica de parches debe formar parte de los
procedimientos de seguridad.
Se debe realizar la suscripcin a servicios de notificacin de
vulnerabilidades:
CERT advisories.
http://www.cert.org/contact_cert/certmaillist.html
08.2003 | Pgina 1
Auditoria de SI
La auditoria de seguridad informtica tiene como
objetivos:
Detectar las vulnerabilidades y los puntos de
fallo que pueden representar una amenaza
para la seguridad de un sistema de
informacin.
Determinar las medidas necesarias para
mejorar la seguridad del sistema de
informacin.
08.2003 | Pgina 1
Etapas de la Auditoria
La auditoria se realiza en tres etapas:
Recoleccin de datos.
Anlisis y pruebas adicionales.
Elaboracin de reporte.
08.2003 | Pgina 1
Recoleccin de Datos
La etapa de recoleccin de datos incluye, entre
otras, las siguientes actividades:
Mapeo de la red
Identificacin de sistemas
Escrutinio de puertos
Muestreo de trfico
Deteccin de vulnerabilidades
Recoleccin de polticas y procedimientos de
seguridad
08.2003 | Pgina 1
Mapeo de la red
Se determinan:
Enlaces de datos
Ruteadores y firewalls
Dispositivos de red
Rangos de direcciones
Dominios y DNS
ISPs
08.2003 | Pgina 1
Identificacin de Sistemas
Para cada equipo en la
red se determina:
Sistema operativo,
versin y
actualizaciones
instaladas.
Versiones de firmware
y fabricante en caso de
dispositivos de red.
08.2003 | Pgina 1
Escrutinio de Puertos
En cada equipo se detecta:
Puertos abiertos (TCP, UDP, ICMP)

Servicios disponibles (ftp, http, dns, etc.)
Protocolos utilizados (incluyendo versiones)
Recursos compartidos (NetBIOS, NFS, etc.)
Aplicaciones especficas
08.2003 | Pgina 1
Escrutinio de Puertos
08.2003 | Pgina 1
Muestreo de Trfico
Para cada segmento de la red:
Se captura una muestra del trfico de red.
Se clasifica la muestra obtenida.
Posteriormente, en la etapa de anlisis, se
analizan los paquetes obtenidos para
determinar posibles compromisos de
seguridad.
08.2003 | Pgina 1
Muestreo de Trfico
08.2003 | Pgina 1
Deteccin de Vulnerabilidades
Se realiza en dos partes:
Deteccin automatizada:
Se utilizan varias herramientas para la
deteccin automtica de vulnerabilidades.
Deteccin manual:
En base a las vulnerabilidades reportadas
por las herramientas, se prueba su posible
explotacin.
08.2003 | Pgina 1
Deteccin de Vulnerabilidades
08.2003 | Pgina 1
Rompimiento de Contraseas
08.2003 | Pgina 1
Anlisis y Pruebas Adicionales

Durante la etapa de anlisis se incluyen las
siguientes actividades:
Anlisis de Vulnerabilidades.
Anlisis de Bitcoras.
Anlisis de Trfico.
Anlisis de Permisos y Control de Acceso.
Anlisis de Polticas y Procedimientos de
Seguridad.
08.2003 | Pgina 1
Anlisis de Vulnerabilidades
En base a los datos obtenidos, se determina la
posibilidad de:
Intrusiones
Fugas de informacin
Ataques de denegacin de servicio
Puntos de falla nicos
Propagacin de cdigo malicioso (virus,
gusanos, troyanos, etc.)
08.2003 | Pgina 1
Anlisis de Vulnerabilidades
Las vulnerabilidades se clasifican en:
De bajo riesgo, solo implican la fuga de
informacin de menor importancia.
De medio riesgo, pueden ocasionar el
mal funcionamiento o interrupcin
temporal de los servicios.
De alto riesgo, pueden ocasionar el
compromiso total de los sistemas.
08.2003 | Pgina 1
Anlisis de Bitcoras
A partir de las bitcoras de los servidores se
determina:
Registro detallado de eventos de
seguridad.
Indicios de actividad sospechosa o
rastros de compromisos anteriores.
Posibles fallas de hardware o del
software del sistema.
Interrupciones abruptas en el
funcionamiento de los sistemas.
08.2003 | Pgina 1
Anlisis de Trfico
De la muestra de trfico se determinan:
Estadsticas de trfico
Trfico susceptible de intercepcin
Posibles fugas de informacin
Actividad sospechosa
Puntos de falla nicos (cuellos de botella)
08.2003 | Pgina 1
Anlisis de Control de Acceso
En esta parte se analizan:

Permisos en directorios y recursos
compartidos
Uso de contraseas fuertes
Listas de control de acceso en dispositivos
de red
Reglas de filtraje de paquetes en los
cortafuegos.
08.2003 | Pgina 1
Polticas y Procedimientos
Las polticas y procedimientos de seguridad
deben incluir:
Polticas de uso adecuado de los
recursos.
Polticas de privacidad.
Polticas de asignacin de privilegios.
Planes de contingencia.
Planes de recuperacin.
08.2003 | Pgina 1
Anlisis de Polticas
Se analizan las polticas y procedimientos de
seguridad para determinar:
Su aplicacin y seguimiento.
Su pertinencia respecto a la situacin
actual del sistema de informacin.
Si existe normas respecto a su
cumplimiento.
08.2003 | Pgina 1
Reporte Final
El reporte final incluye:
Informacin detallada de las vulnerabilidades
encontradas y los potenciales problemas de
seguridad que pueden darse.
Recomendaciones para prevenir tales
problemas:
Actualizaciones
Procedimientos
Herramientas
08.2003 | Pgina 1
Programa de Induccin
Objetivos:
Los empleados reconocen su responsabilidad en la
proteccin de los activos informticos de la
organizacin.
Entienden el valor de la seguridad informtica.
Reconocen potenciales violaciones y saben a quien
contactar.
El nivel de conciencia respecto a la SI permanece
alto entre los empleados.
08.2003 | Pgina 1
Diseo del programa:
Plantear una estrategia
Determinar necesidades de la organizacin
Evaluar necesidades
Incorporar resultados de revisiones
Desarrollar un plan de induccin y adiestramiento
Identificar audiencias, delimitar mbito,
establecer prioridades, comprometer a la
admon.
08.2003 | Pgina 1
Desarrollar material de induccin:
Aspectos de polticas y guias
El programa es dependiente de la poltica
Revisar aspectos legales y contractuales !!
Aspectos de infraestructura y logstica
Capacitacin in-situ o externa
Induccin a distancia o basada en web
Fuentes: Advisories, websites de seguridad,
revistas, etc.
08.2003 | Pgina 1
Certificaciones
(ISC)2 CISSP, SSCP
GIAC GSE
CompTIA Security+
ISACA CISM, CISA
SCP SCNP, SCNA
CERT CCSIH
Cisco CCSP
Microsoft MCSA, MCSA
08.2003 | Pgina 1
Certificaciones (ISC)2
(ISC)2 Internet Information System Security
Certification Consortium
Certificacin CISSP Reconoce el dominio de un
estndar internacional de seguridad informtica y
entendimiento de un cuerpo comn de
conocimiento (CBK)
Certificacin SSCP Se enfoca en prcticas, roles
y responsabilidades tal como se han definido por
expertos en la industria de SI.
08.2003 | Pgina 1
Dominios CISSP
Son cubiertos los diez dominios siguientes:
Metodologia y sistemas de control de acceso
Desarrollo de sistemas y aplicaciones
Planeacin de continuidad del negocio
Criptografia
Leyes, investigacin y tica
Seguridad de operaciones
Seguridad fsica
Modelos y arquitectura de seguridad
Prcticas de administracin de la seguridad
Seguridad de telecomunicaciones, redes e Internet
08.2003 | Pgina 1
Dominios SSCP
Son cubiertos los siete dominios siguientes:
Controles de acceso
Administracin
Auditoria y monitoreo
Riesgo, respuesta y recuperacin
Criptografia
Comunicaciones de datos
Cdigo malicioso
08.2003 | Pgina 1
GIAC Security Expert

GIAC Global Information Assurance Certification, SANS.
Abarca un conjunto de habilidades tales como:
Auditoria
Deteccin de intrusos
Manejo de incidentes
Cortafuegos y seguridad perimetral
Forensia
Tcnicas de hackers
Seguridad en Windows y Unix
Se evalua a travs de diferentes tareas (assignaments)
08.2003 | Pgina 1
CompTIA Security+
CompTIA Computing Technology Industry Association.
Se evalua:
Dominio del rea de seguridad informtica
Dos aos de experiencia profesional
Tpicos cubiertos en el examen:
Conceptos generales
Seguridad de comunicaciones
Seguridad de infraestructura
Bases de criptografia
Seguridad operacional/organizacional
08.2003 | Pgina 1
ISACA CISM, CISA

ISACA Information System Audit and Control Association
CISM Certified Information Security Manager
Planeacin de la seguridad informtica
Administracin de riesgos
Administracin del programa de SI
Administracin de respuestas de SI
CISA Certified Information Security Auditor
08.2003 | Pgina 1
SCP SCNP, SCNA

SCP Security Certified Program
SCNP Security Certified Network Professional
Diseo e implementacin de IDS
Trfico de red
Anlisis de vulnerabilidades
Diseo e implementacin de cortafuegos
Seguridad de ruteadores
Seguridad de sistemas operativos
Conocimiento avanzado de TCP
Bases de seguridad en redes
SCNA Security Certified Network Architect

VPNs, criptografia, PKI, autenticacin biometrica, etc.
08.2003 | Pgina 1
CERT CCSIH
CERT Computer Emergency & Response Team
CCSIH Certified Computer Security Incident Handler
Requerimientos:
Cuatro cursos obligatorios:
Creacin de un CSIRT
SI para staff tcnico
Administracin de CSIRTs
Manejo de incidentes avanzado
Curso optativo:
Forensia
Deteccin y anlisis de intrusiones
Auditorias y evaluaciones de seguridad
Tres aos de experiencia, carta de recomendacin, examen.
08.2003 | Pgina 1
Cisco CCSP
CCSP Cisco Certified Security Professional
Prerrequisitos: CCNA o CCIP
Examenes:
Securing Cisco IOS Networks
Cisco Secure PIX Firewall Advanced
Cisco Secure Intrusion Detection System
Cisco Secure VPN
Cisco SAFE Implementation
08.2003 | Pgina 1
Microsoft MCSA, MCSE

MCSA Microsoft Certified System Administrator
Core: (3 examenes)
Sistemas operativos cliente
Redes
Especializacin en seguridad (2 examenes)
Implementacin y administracin de seguridad en redes de
Windows 2000.
Instalacin, configuracin y administracin de ISSA Server 2000
o CompTIA Security+
MCSE Microsoft Certified Security Engineer
Sistema operativo cleinte (1 examen)
Redes de windows (3 examenes)
Diseo de seguridad (1 examen)
Especializacin en seguridad (2 examenes)
08.2003 | Pgina 1
Gracias por su atencin
http://www.sekureit.com
08.2003 | Pgina 1

Arquitectura de Seguridad Informatica

Caricato da

Informazioni sul documento

Copyright

Formati disponibili

Condividi questo documento

Condividi o incorpora il documento

Opzioni di condivisione

Hai trovato utile questo documento?

Questo contenuto è inappropriato?

Copyright:

Formati disponibili

Arquitectura de Seguridad Informatica

Caricato da

Copyright:

Formati disponibili

MODULO I

Arquitectura de Seguridad Informtica

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Objetivos de Seguridad Informtica

Si stas amenazas se conjuntan con seguridad fsica

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Localizacin en zona ssmica.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Carencia de redundancia y respaldos

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Vulnerability Trends 2003 las tendencias en ataques son:

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

530 empresas, agencias gubernamentales, instituciones

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

La reduccin de riesgo se logra mediante la

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Autenticacin Existen diversos protocolos

No repudio Mediante el uso de firmas y certificados

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Porqu una Arquitectura de SI?

Organizacin e infraestructura de seguridad.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Definicin de la autoridad de aprobacin de todas las

Definicin del Equipo de Seguridad para desarrollo de la

Establecimiento de reuniones periodicas.

Identificacin y documentacin de las responsabilidades

Polticas, Estndares y Procedimientos

Poltica Su propsito es informar a todos los usuarios

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Polticas, estndares y procedimientos

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Programa de Induccin y Adiestramiento

Auxilia a reducir el riesgo de perdida de activos informticos

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Anlisis de Impcto en el Negocio (BIA)

Identifica los costos asociados a los riesgos

Clasificacin de Datos y Recursos

Para proporcionar mecanismos de proteccin

Mediano impacto (Uso interno)

Bajo impacto (Pblico)

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Tasas de ocurrencia de riesgos

Diplomado en Seguridad Informtica | 2003 SekureIT, S.A. de C.V.

Una en 300 aos

Una en 200 aos

Una en 100 aos