HERRAMIENTA DE ESTIMACIÓN DE RIESGO PARA DISPOSITVOS MÓVILES. Entidad Colaboradora: ICAI Universidad Pontificia Comillas

Transcripción

1 HERRAMIENTA DE ESTIMACIÓN DE RIESGO PARA DISPOSITVOS MÓVILES. Autor: Palancar Fernández de Alarcón, Rodrigo. Director: Vida, Rafael. Entidad Colaboradora: ICAI Universidad Pontificia Comillas RESUMEN DEL PROYECTO El proyecto presente nace del fruto del auge en la tecnología de dispositivos móviles con su correspondiente aumento de las amenazas y vulnerabilidades de dichos dispositivos. La agilización de las redes ha provocado la aparición de nuevos y potentes dispositivos de muchos tipos, desde teléfonos inteligentes como el iphone de Apple y los teléfonos Android de Google. Todo ello unido al auge de tecnologías como el cloud computing, están elevando los riesgos de aquellas empresas que no están gestionando de forma eficiente su seguridad. Hoy en día, el uso de teléfonos inteligentes y tabletas tanto a nivel personal como empresarial se ha convertido en una práctica creciente debido a las múltiples funcionalidades que proporcionan estos equipos así como a las aplicaciones que pueden ser instaladas en los mismos. En el caso de que el personal vaya a utilizar sus dispositivos propios, se le debe concienciar en aspectos tales como el uso de contraseñas complejas de bloqueo/desbloqueo de sus equipos, utilizar firewalls, realizar copias de seguridad, uso de antivirus para el análisis de datos y aplicaciones, configurar opciones de bloqueo y/o borrado de datos del dispositivo en caso de pérdida o robo, entre muchas otras buenas prácticas que en la actualidad existen para un uso seguro de los dispositivos en las redes empresariales. Metodología La metodología empleada en el desarrollo del proyecto presente, se define por una serie de etapas que se han llevado acabado, basadas en dos pilares clave, la investigación y desarrollo. I

2 1. Etapa de establecimiento de criterios: Durante esta etapa se han definido los distintos criterios que afectan al cálculo de riesgo para un activo en general, que factores le afectan y como son definidos. 2. Etapa sobre modelos de gestión: Se ha realizado un análisis y estudio de los modelos de gestión que realizan las empresas para controlar el riesgo. Se han definido de una manera abstracta las actividades de los procesos de gestión y como mitigan el riesgo. 3. Etapa de estudio de metodologías: Se ha realizado un estudio de las principales metodologías de gestión del riesgo tanto en el ámbito nacional e internacional. Metodologías como MAGERIT, OCTAVE o NIST, muestran metodologías muy abstractas, poco fiables para el cálculo del riesgo en dispositivos móviles y complejas de implantar. 4. Etapa de desarrollo de nuestra metodología: Se ha realizado una metodología sencilla y concreta, dirigida al cálculo del riesgo en dispositivos móviles. Destaca las fases principales para el cálculo del riesgo que son, la caracterización del activo, identificación de controles y de amenazas. 5. Etapa de identificar controles y amenazas: Estudio realizado para la obtención de los controles que poseen los dispositivos móviles y a la vez una investigación profunda sobre la amenaza malware en los dispositivos móviles para encontrar las vulnerabilidades posibles. 6. Etapa de desarrollo de la herramienta: Una vez obtenida y almacenada toda la información sobre controles y vulnerabilidades, se ha procedido a la programación de la herramienta. Con los distintos módulos que posee. 7. Etapa de refinado: Estructurar los módulos, realizar más visible y simple la herramienta y corrección de errores. II

3 Tecnologías y herramientas empleadas: Son las siguientes: Al ser metodologías dirigidas en el ámbito empresarial y hemos visto que las empresas usan Excel, en el desarrollo de la herramienta hemos utilizado Microsoft Excel como plantilla. La programación de la herramienta se ha realizado en el lenguaje de programación VBA. Se apoya con JQuery para acceder a la información en la base de datos. Base de datos en Microsoft Access. Conclusiones Se ha conseguido realizar una investigación profunda sobre las distintas metodologías existentes, y desarrollar una herramienta fiable y eficiente para la estimación del riesgo en dispositivos móviles. Al final el usuario comprobara que vulnerabilidades le pueden afectar y como mitigar dicho riesgo. Implantando controles y realizando actualizaciones necesarias. III

4 IV

5 DEVELOPMENT AND DESIGN OF A RISK ASSESSMENT TOOL FOR MOBILE DEVICES Author: Palancar Fernández de Alarcón, Rodrigo. Supervisor: Vida, Rafael. Affiliation: ICAI University Pontificia Comillas ABSTRACT The present project is born of the fruit of the heyday in the technology of mobile devices with its corresponding increase of the threats and vulnerabilities of the above mentioned devices. The increasing use of the networks has made the appearance of new and powerful devices of many types, from intelligent phones like the iphone of Apple and the phones Android of Google. All this joined the heyday of technologies like the cloud computing are raising the risks of those companies that are not managing correctly their security. Nowadays, the use of intelligent phones and tablets at personal level and for business level has turned into an increasing practice due to the multiple functionalities that these devices provide as well as to the applications that can be installed in the same ones. In case the personnel is going to use its own devices, it is necessary to make aware him in such aspects like the use of complex passwords of blockade / unfreezing of its teams, to use firewalls, to realize safety copies, use of antivirus for the data analysis and applications, to form options of blockade and/or erasure of information of the device in case of loss or theft, between many other good practices that at present exist for a sure use of the devices in the business networks. Methodology The methodology used in the development of the present project, is based on two principal activities, the research and development. V

6 1. Stage of establishment of criteria: During this stage have been defined the different criteria that they affect to the risk calculation for assets in general, which factors affect him. 2. Stage on management models: There has been realized an analysis and study of the models of management that realize the companies to control the risk. 3. Stage of study of methodologies: There has been realized a study of the main methodologies of management of the risk so much in the national and international ambience. Methodologies like MAGERIT, OCTAVE or NIST, They are complex and abstract, difficult to implement. 4. Stage of development of our methodology: Has been realized a simple and concrete methodology directed to the calculation of the risk in mobile devices. We emphasize the main phases for the calculation of the risk that are, the characterization of the assets, identification of controls and of threats. 5. Stage of identifying controls and threats: Study realized for the securing of the controls that possess the mobile devices and simultaneously a deep investigation on the threat malware in the mobile devices to find the possible vulnerabilities. 6. Stage of development of the tool: Once obtained and stored all the information about controls and vulnerabilities, one has proceeded to the programming of the tool. With the different modules that it possesses. 7. Stage of refined: To structure the modules, to realize more visible and simple the tool and errors correction. Technologies and used tools: There are the following ones: We have seen that most of the companies use Excel, with this reason in the development of the tool we have used Microsoft Excel as a template.. VBA. The programming of the tool has been realized in the computer language Database in Microsoft Access. VI

7 Conclusions It has become possible to realize a deep investigation on the different existing methodologies, and to develop a trustworthy and efficient tool for the estimation of the risk in mobile devices. In the end the user could verify the vulnerabilities can affect him and how to mitigate the above mentioned risk. VII

8