Smart devices & Conectividad Total: Están seguros nuestros datos? Javier Contreras Director General Maine Avenue Technologies jct@maineavtech.

Transcripción

1 Smart devices & Conectividad Total: Están seguros nuestros datos? Javier Contreras Director General Maine Avenue Technologies Ariel Súcari Director de Operaciones, Itera

2 Agenda 1 Introducción. Acerca de ITERA. Introducción al contexto de la seguridad en la actualidad. Solución de IBM para el desarrollo de aplicaciones seguras 2 Caso de éxito. Qué son los Smart Devices?. Ejemplos reales, riesgos reales. Acerca de Maine Avenue Technologies. Cómo reducir el riesgo de seguridad con una solución a la medida? 2

3 Las necesidades del ejecutivo de negocio y funcionarios públicos son Proporcionar rumbo y certeza Incrementar ganancias o servicios mientras se reducen los costes. Agilidad de respuesta a los cambios para concretar nuevas oportunidades de servicios Mejorar la capacidad y habilidades de la organización para sustentar el crecimiento, efectividad y cambio son los retos del ejecutivo de TI Alinear TI a las metas del negocio para incrementar ganancias o servicios y contener costes Facilitar la agilidad de la organización mediante servicios de TI Hacer más efectiva a la gente y a los equipos mediante TI 3

4 A qué nos dedicamos? Todos reconocemos la importancia de tener un equipo de trabajo de calidad, motivado pero. Personas BPM Tecnología Procesos Mejora Iterativa de Procesos 4

5 Dónde estamos? 5

6 Soluciones con IBM Rational Ciclos de vida de desarrollo: Definición de procesos ágiles Automatización de procesos con Rational Team Concert Formación en procesos y herramientas Especialistas en: Rational ClearCase, ClearQuest, Doors, Quality Manager, Software Architect, RAD i y z Series. Websphere Portal y HATS Desarrollo seguro de aplicaciones: Análisis de riesgos y vulnerabilidades Auditorías de código seguro Adaptación de procesos Tablero de control de vulnerabilidades Implantación de Rational Appscan 6

7 Soluciones de formación Cursos Presenciales: PMP, RMP CMMI V1.3 CEH V7, CHFI, ECSP Lead Auditor ISO 27001, ITIL & ITIL Expert Cobit TOGAF Rational BPM Cursos LIVE ONLINE: ITIL Foundation, Expert 7

8 Soluciones de productividad, calidad visibilidad Oficinas de proyectos y/o calidad: Definición Implantación Automatización Ejecución Implantación CMMI v1.3: Desarrollo, Adquisiciones y Servicios Implantación Automatización Evaluación (SCAMPI) Formación 8

9 Algunos clientes El principal evento sobre innovación en software 9

10 Robo tradicional El principal evento sobre innovación en software 10

11 Nace la WWW El principal evento sobre innovación en software 11

12 Y hoy WORLD INTERNET USAGE AND POPULATION STATISTICS March 31, 2011 World Regions Population ( 2011 Est.) Internet Users Dec. 31, 2000 Internet Users Latest Data Penetration (% Population) Grow th Users % of Table Africa 1,037,524,058 4,514, ,609, % 2,527.4 % 5.7 % Asia 3,879,740, ,304, ,329, % % 44.0 % Europe 816,426, ,096, ,213, % % 22.7 % Middle East 216,258,843 3,284,800 68,553, % 1,987.0 % 3.3 % North Am erica 347,394, ,096, ,066, % % 13.0 % Latin America/ Carib. 597,283,165 18,068, ,939, % 1,037.4 % 10.3 % Oceania/ Australia 35,426,995 7,620,480 21,293, % % 1.0 % WORLD TOTAL 6,930,055, ,985,492 2,095,006, % % % 12

13 Hackers 13

14 Los 10 ataques mas grandes de la historia 14

15 Los 10 ataques mas grandes de la historia 15

16 Los 10 ataques mas grandes de la historia 10. Gawker Breach Announced: December 12, 2010 Records Stolen: 1.3 million Data Breached: s, passwords, site code, staff messages 16

17 Los 10 ataques mas grandes de la historia 17

18 Los 10 ataques mas grandes de la historia 9. RBS WorldPay Breach Announced: December 29, 2008 Records Stolen: 1.1 million Data Breached: Social Security numbers, ATM-card numbers 18

19 Los 10 ataques mas grandes de la historia 19

20 Los 10 ataques mas grandes de la historia 8. Virginia Department of Health Professions Breach Announced: June 2, 2009 Records Stolen: 8.3 million (530,000 Social Security numbers) Data Breached: names, birthdates, medical records, social security numbers 20

21 Los 10 ataques mas grandes de la historia 21

22 Los 10 ataques mas grandes de la historia 7. TD Ameritrade Breach Announced: September 14, 2007 Records Stolen: 6.3 million Data Breached: Social Security numbers, names, s, account information At left, TD Ameritrade's Chairman Joe Moglia 22

23 Los 10 ataques mas grandes de la historia 23

24 Los 10 ataques mas grandes de la historia 6. CardSystems Breach Announced: June 19, 2005 Records Stolen: 40 million Data Breached: names, credit-card numbers 24

25 Los 10 ataques mas grandes de la historia 25

26 Los 10 ataques mas grandes de la historia 5. RockYou Inc. Breach Announced: December 14, 2009 Records Stolen: 32 million Data Breached: names, addresses, passwords 26

27 Los 10 ataques mas grandes de la historia 27

28 Los 10 ataques mas grandes de la historia 4. TJX Companies (TJ Maxx) Breach Announced: January 17, 2007 Records Stolen: 94 million Data Breached: names, credit-card numbers 28

29 Los 10 ataques mas grandes de la historia 29

30 Los 10 ataques mas grandes de la historia 3. Heartland Payment Systems Breach Announced: January 20, 2009 Records Stolen: 130 million Data Breached: credit-card numbers At left, Albert Gonzalez, 28, of Miami, Florida, seen in an undated U.S. law enforcement handout photo, was indicted by U.S. authorities August 17, 2009 for conspiring to hack into computer networks supporting major retail and financial organizations, and stealing data relating to more than 130 million credit and debit cards. 30

31 Los 10 ataques mas grandes de la historia 31

32 Los 10 ataques mas grandes de la historia 2. TRW, Sears Roebuck Breach Announced: June 1, 1984 Records Stolen: 90 million Data Breached: credit-card histories, Social Security numbers 32

33 Los 10 ataques mas grandes de la historia 33

34 Los 10 ataques mas grandes de la historia 1. Sony Playstation Network/Sony Online Entertainment Breach Announced: April 26, 2011; May 5, 2001 Records Stolen: million Data Breached: names, addresses, s, birthdates, logins and passwords, purchase history, password security questions, credit-card numbers 34

35 Estadísticas de vulnerabilidades (31,373 Sites) ** 35

36 SECURITY Requisitos Desarrollo Versión QA Pre-Prod Producción AppScan Enterprise AppScan Reporting Console Security Requirements Definition Security requirements defined before design & implementation AppScan Source AppScan Build Build security testing into the IDE Automate Security / Compliance testing in the Build Process AppScan Tester Security / compliance testing incorporated into testing & remediation workflows AppScan Standard Security & Compliance Testing, oversight, control, policy, audits AppScan Standard Outsourced testing for security audits & production site monitoring Mejores prácticas de seguridad de aplicaciones Análisis Dinámico/Blackbox Análisis Estático/Whitebox - 36

37 Un tablero para cada interesado Nivel ejecutivo Analista de seguridad Evaluación Soporte para estándares Análisis de tendencia Priorización rápida de amenazas Todos los activos de Software: Internos, externos y open source Análisis simplificado Provee guías Foco por prioridades Aumenta la experiencia en seguridad Reporte distribuído Resultados consolidados Terminos orientados al auditor Reportes centrados en auditoría Métricas (Vdensity) para priorizar y dar seguimiento a las correcciones Relación con el analista de seguridad Capacidad de diagnósticos Simplifica la adquisición de conocimientos sobre seguridad Auditor Desarrollador 37

38 Modelo de madurez de seguridad de aplicaciones Inconsciente Correctiva Semi integrada Completamente Integrada Cobertura de aplicaciones No se hace nada Pruebas por terceros Pruebas antes de la liberación Pruebas de seguridad en todo el ciclo Duración 1-2 años Tiempo 38

39 Pruebas de seguridad en el SDLC SDLC Código Versión QA Seguridad Producción % de errores encontrados en el SDLC La mayoría de los errores son encontrados antes de salir a producción. 39

40 Pruebas de seguridad en el SDLC SDLC Código Versión QA Seguridad Producción % de errores encontrados en el SDLC Perfil deseado 40

41 Pruebas de seguridad en el SDLC SDLC Código Versión QA Seguridad Producción Desarrolladores Desarrolladores Desarrolladores Madurez en las pruebas de seguridad 41

42 Próxima edición: 21 de Noviembre 42

43 Próxima edición: 14 de Noviembre Diciembre 43

44 44

45 45

46 Agenda 1 Introducción Acerca de ITERA Introducción al contexto de la seguridad en la actualidad Solución de IBM para el desarrollo de aplicaciones seguras 2 Caso de éxito Acerca de Maine Avenue Technologies Qué son los Smart Devices? Ejemplos reales, riesgos reales Cómo reducir el riesgo de seguridad con una solución a la medida? - Caso de Cardbone: The Backbone of your Smart Card Services 46

47 Acerca de Maine Avenue Technologies Empresa de Software (ISV) fundada en 2003 Ubicada en el Parque Científico de Madrid Grupo de desarrollo en París Gestión de Smart Devices a través de Internet Proposición de Valor: «Utilización de Internet para la gestión de smart devices así como de la información éstos contienen» IBM Partner desde 2010 Importantes referencias, principalmente en el sector Telco 47

48 Qué son los Smart Devices? (1/2) Características: Capacidad de almacenamiento Capacidad de cómputo Capacidades de comunicación Infrarojos GSM, GPRS, UMTS Bluetooth Wi-Fi etc. cada vez mayores (Moore s law, exponential rates, etc.) 48

49 Qué son los Smart Devices? (2/2) 49

50 Por qué son interesantes? (1/2) Desde un punto de vista de negocio: en cada uno de esos dominios, mercados masivos Worldwide Smart Secure Device shipment and 2011 forecasts Ej.: SIM Cards Fuente: Eurosmart 50

51 Por qué son interesantes? (2/2) Desde un punto de vista de los usuarios proximidad sinergias servicios de valor añadido optimización de procesos y recursos Internet of things, Smart Devices: piezas clave de un Smarter Planet 51

52 Ejemplos Reales. Riesgos Reales Sector Sanidad 52

53 Ejemplos Reales. Riesgos Reales Sector Automoción 53

54 Ejemplos Reales. Riesgos Reales Sector Telco 54

55 Por qué? Los escenarios de uso son nuevos Los riesgos son nuevos Los proveedores de servicio están muy enfocados en el nuevo killer service La complejidad de un servicio end-to-end 55

56 Caso de Uso real: Cardbone The backbone of your Smart Card services Plataforma para la gestión remota de Smart Cards a través de Internet Principales referencias en Telcos: gestión remota de SIMs en POS Telefónica España más de tiendas Méditelecom (Marruecos) descarga de Applets en SIM Vodafone fase de prueba Vivo (Brasil) fase de prueba Disponible en IBM Global Solutions Directory desde mayo

57 Cardbone Entrada en GSD 57

58 Cardbone Platform + IBM Infrastructure 58

59 Cardbone Service 59

60 Cardbone Administration Center 60

61 Cardbone Evaluación de Seguridad / ITERA Cardbone vendido inicialmente únicamente en modo licencia/venta de plataforma en Julio 2011, lanzamiento en modo SaaS Evaluación de seguridad de Cardbone para lanzamiento de servicio Debilidades detectadas permitido correcciones Muy importante know-how mostrado Avalado por herramientas state-of-the-art IBM IBM Rational AppScan white-box black-box 61

62 Conclusiones Servicios y Aplicaciones para Smart Devices presentan nuevas oportunidades nuevos desafíos nuevos clientes Pero también nuevos riesgos nuevas vulnerabilidades Es necesario que la seguridad de las nuevas aplicaciones esté avalada por expertos en la materia 62

63 63

64 Copyright IBM Corporation All rights reserved. The information contained in these materials is provided for informational purposes only, and is provided AS IS without warranty of any kind, express or implied. IBM shall not be responsible for any damages arising out of the use of, or otherwise related to, these materials. Nothing contained in these materials is intended to, nor shall have the effect of, creating any warranties or representations from IBM or its suppliers or licensors, or altering the terms and conditions of the applicable license agreement governing the use of IBM software. References in these materials to IBM products, programs, or services do not imply that they will be available in all countries in which IBM operates. Product release dates and/or capabilities referenced in these materials may change at any time at IBM s sole discretion based on market opportunities or other factors, and are not intended to be a commitment to future product or feature availability in any way. IBM, the IBM logo, Rational, the Rational logo, Telelogic, the Telelogic logo, and other IBM products and services are trademarks of the International Business Machines Corporation, in the United States, other countries or both. Other company, product, or service names may be trademarks or service marks of others. 64