Impacto del ENS: Propuesta Oracle

Transcripción

1 <Insert Picture Here> Impacto del ENS: Propuesta Oracle Xavier Martorell Sales Identidad y Seguridad

2 Objetivo del Esquema Nacional de Seguridad La finalidad del Esquema Nacional de Seguridad es la creación de las condiciones necesarias de confianza en el uso de los medios electrónicos, a través de medidas para garantizar la seguridad de los sistemas, los datos, las comunicaciones, y los servicios electrónicos, que permita a los ciudadanos y a las Administraciones públicas, el ejercicio de derechos y el cumplimiento de deberes a través de estos medios. Persigue fundamentar la confianza en que los sistemas de información prestarán sus servicios y custodiarán la información de acuerdo con sus especificaciones funcionales, sin interrupciones o modificaciones fuera de control, y sin que la información pueda llegar al conocimiento de personas no autorizadas.

3 Vulnerabilidad La vulnerabilidad aumenta con la Innovación Mobile Computing Cloud Computing Social Computing Web s E-Commerce Colaboración B2B Data Centers 2000s Remote Access 1990s Apps Data Innovación

4 Time Magazine, July 6, Oracle Corporation Proprietary and Confidential 4

5 Time Magazine, July 6, Oracle Corporation Proprietary and Confidential 5

6 Más fugas de información que nunca

7 Cual es la fuente principal de las fugas? 2010 Data Breach Investigations Report 92% Registros afectados proceden de Bases de Datos comprometidas

8 Mercado global de la seguridad Gasto estimado en 2009: millones Seguridad final (empresas) millones Seguridad millones Gestión de Identidades millones Empleados Clientes Ciudadanos Seguridad en BB.DD. SÓLO 500 millones? Seguridad final (cliente) millones Gestión de vulnerabilidades millones Otro tipo de seguridad millones Cifras en Dólares EE.UU. Seguridad de red millones

9 Una paradoja La seguridad de los datos esta identificada como la primera prioridad en el ámbito de la Seguridad IT (Forrester 2010) La primera fuente de fugas de información (92%) son los servidores de base de datos Sólo un 3% del presupuesto invertido en securizar las bases de datos (Gartner 2009) 2010 Data Breach Investigations Report

10 Bases de Datos: vulnerables The 2010 IOUG Data Security Report

11 Bases de Datos: vulnerables The 2010 IOUG Data Security Report

12 ENS: Requisitos Mínimos Todo órgano de la Administración Pública, deben disponer formalmente de una Política de Seguridad que cubra los siguientes requisitos mínimos, en función de los riesgos identificados: Organización e implantación del proceso de seguridad Análisis y gestión de los riesgos Gestión de personal Profesionalidad Autorización y control de los accesos Protección de las instalaciones Adquisición de productos Seguridad por defecto Integridad y actualización del sistema Protección de la información almacenada y en tránsito Prevención ante otros sistemas de información interconectados Registro de actividad Incidentes de seguridad Continuidad de la actividad Mejora continua del proceso de seguridad

13 Seguridad Oracle Seguridad en BBDD Cifrar y enmascarar Control usuarios privilegiados Autorización multi-factor Monitorización y auditoría Información Infraestructura Base de Datos Gestión de Identidades Provisión de usuarios Gestión de roles Gestión de autorizaciones Risk-Based Access Control Directorio virtual Aplicaciones Contenidos

14 Service-Oriented Security La Identidad como Servicio Oracle Apps Aplicaciones 3 os /Desarrollos Proveedores Servicios Cloud Servicios Web Declarative Security Services Autorización Federación Autenticación Auditoría ID Admin Role Mgmt Servicios de Directorio Almacén de Identidad, Credenciales, Políticas y Acceso al Dato. Access Management Identity Administration Directory Services BBDD 2009 Oracle Corporation

15 Fuentes de amenaza Los ataques pueden venir de cualquier parte Cuentas de Administracion System admin, DBA, Administrador de Aplicaciones Credenciales robadas, uso malicioso, errores Aplicaciones SQL Injection from Bypass de aplicaciones Test & Dev Acceso a datos de produccion en entornos no seguros Acceso a datos en produccion para resolución de problemas Operaciones Acceso directo OS y Red Backups perdidos/robados 15

16 Oracle: Arquitectura de Seguridad Secure Configuration Scanning Patch Management Oracle Audit Vault Enterprise Manager Applications Procurement Sensitive Auditing Authorization Confidential HR Authentication Rebates Public Unauthorized DBA Activity Multi-factor Authorization DB Consolidation Security Oracle Database Vault Oracle Database Firewall Encrypted Database Encrypted Traffic Oracle Advanced Security Mask For Test and Dev Oracle Data Masking 2011 Oracle Corporation Proprietary and Confidential 16

17 Preguntas

18