Checklist de seguridad en los. Beatriz Martínez Cándano

Transcripción

1 Checklist de seguridad en los negocios en internet Beatriz Martínez Cándano 1/12/2014 1

2 Sobre mí Lead Auditor en Seguridad de la Información con mas de 200 jornadas de auditoría (colaboro con entidades como Applus+, ABS, EQA, Dekra, TÜV ) CISA, CISM y CRISC por ISACA Miembro numerario de Criptored Directora de Proyecto del equipo de Seguridad M45 Socia fundadora de SIGEA, empresa consultora asturiana de seguridad de la información, gestión de la privacidad y gobernanza TIC. Más info en

3 Negocio en Internet? Una página web informativa? Un catálogo? Una tienda de comercio electrónico? Un blog?

4 Índice Seguridad d legally normativa LOPD LSSI LPI Cookies Niveles de servicio Novedades Seguridad técnica Métodos de pago online Ruegos y preguntas

5 Seguridad legal Protección de datos y privacidad: LOPD Servicios de información y comercio electrónico: LSSICE Propiedad intelectual e industrial: LOPD Cookies: Directiva Europea Acuerdos de nivel de servicio: SLA o ANS Novedades: Reglamento Europeo y PIA o EIPD

6 LOPD Cláusulas informativas: Privacidad y Protección de Datos Cláusulas de uso de datos El interesado debe dar su consentimiento El interesado debe estar informado sobre: Finalidad de los datos Identificación del responsable Derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) Confidencialidad y calidad de los datos Encargos y cesiones, en caso de existir.

7 Pol. de privacidad y LOPD Identificación del responsable Empresa, como responsable del fichero, garantiza el cumplimiento de la normativa vigente en materia de protección de datos personales, reflejada en la Ley Orgánica 15/1999 de 13 de diciembre, de Protección de Datos de Carácter Personal y en el Real Decreto 1720/2007 Finalidad de los datos Atención de solicitudes realizadas por los usuarios, inclusión en la agenda de contactos, la prestación de servicios, la gestión de la relación comercial Derechos ARCO Para hacer uso del ejercicio de estos derechos, el usuario deberá dirigirse mediante comunicación escrita, aportando documentación que acredite su identidad (DNI o pasaporte), a la siguiente dirección: Empresa A, Calle: X Nº Y, Código postal: Z, Ciudad: V, Provincia: W o la dirección que sea sustituida en el Registro General de Protección de Datos. Dicha comunicación deberá reflejar la siguiente información: Nombre y apellidos del usuario, la petición ió de solicitud, it el domicilio ili y los datos acreditativos. ti Confidencialidad y calidad de los datos Cesiones La Empresa informa a los usuarios de que sus datos personales no serán cedidos a terceras organizaciones, con la salvedad de que dicha cesión de datos este amparada en una obligación legal o cuando la prestación de un servicio implique la necesidad de una relación contractual con un encargado de tratamiento

8 LOPD

9 LSSICE Ley 34/2002 Comercio electrónico Contratación en línea Información y publicidad Servicios de intermediación Se debe informar sobre: Denominación social (CIF, Domicilio ) Precios e impuestos Datos de la inscripción registral del nombre de dominio El contenido del portal web que visita. La finalidad del sitio. Las responsabilidades que asume el creador del sitio. Las responsabilidades que asume el visitante al hacer uso del sitio web. Códigos de conducta a los que se esté adherido

10 P. Intelectual/Industrial Registrar nuestra marca (nacional, comunitaria, internacional). Registrar un nombre de dominio. Registrar nuestro sitio Web y los elementos protegidos por derecho de autor en las oficinas de derecho de autor o en sitios como safecreative.com. Hacer saber al público que el contenido de mi sitio está protegido. Firmar el pie de página con el Copyright Copyleft, Creative Commons Incluir un área de Aviso legal o Condiciones de uso Incluir un área del tipo com Añadir marcas de agua a las imágenes. Saber de qué soy propietario y de qué no.

11 P. Intelectual Quién es el titular de los derechos de Propiedad Intelectual? Programas / modo de navegación: La empresa. Fotografías: Empresas que venden bases de datos de fotografías. Gráficos: Diseñadores gráficos. Diseño: Diseñador web. Es muy importante que la empresa sepa: De qué es propietaria p Qué está autorizada a utilizar De qué manera

12 P. Intelectual Si la web de nuestra empresa ha sido creada por empleados durante su tiempo de trabajo, la empresa poseerá los derechos de autor. Si la web de nuestra empresa ha sido creada diseñadores externos, son ellos los titulares de los derechos de P.I. sobre las obras que crean, salvo que se disponga lo contrario mediante contrato. Es muy importante que la empresa Suscriba un acuerdo que regule la Propiedad Intelectual del sitio web.

13 P. Intelectual Elementos que debe contener un acuerdo de desarrollo web: Alcance de la tarea: Diseño, programación, dominio, consultoría. Titularidad del material elaborado por el desarrollador: Código, gráficos, diseño, programas. Titularidad del material proporcionado por la empresa: Manuales, procesos, logos. Derechos de la empresa sobre el material que proporcione el diseñador: Sublicencias, uso futuro... Autorizaciones en caso de material de terceros: Imágenes, logos. Titularidad de los programas que permiten visualizar el contenido: Java, Citrix. Posibilidad de reutilización del diseño: Es posible que el diseñador utilice nuestro diseño para otros? Garantías: Autorizaciones, exenciones de responsabilidad. Mantenimiento y actualización: Diseño, programación, dominio, consultoría. Confidencialidad: Duración, datos, información, tiempo. Responsabilidades: Enlaces no autorizados, uso de imágenes. Otros: Jurisdicción, indemnización, derecho aplicable..

14 COOKIES Real Decreto-Ley 13/2012 que modifica el artículo 22 de la LSSI Si nuestra web utiliza cookies para: Fines publicitarios Analizan la actividad de los usuarios Estadísticas de navegación Se debe informar sobre: Qué son? Cuáles usa nuestra web y para qué sirven? Quién las gestiona o instala? Cómo se desinstalan o se rechazan? Qué ocurre si el usuario sigue navegando? Información clara y visible Aceptadas por el usuario Es suficiente con pedir el consentimiento en la primera visita Se entiende que, si el usuario sigue navegando, da consentimiento

15 COOKIES _utmz Google Analytics Permite conocer el comportamiento del visitante, medir el rendimiento del nuestro sitio y generar estadísticas de visitas a nuestra web. Identifica la Caduca a los 6 meses fuente de donde procede la visita (otro website o un buscador) y se actualiza cada vez que los datos se envían a Google Analytics. Si usted quiere eliminar de su navegador las cookies de nuestra web, aquí tiene instrucciones para hacerlo según los distintos navegadores existentes: is_unique statcounter.com Nos permiten contar las visitas a nuestra página y las fuentes de tráfico que las originan Así pretendemos medir y mejorar el rendimiento de nuestro sitio Internet Explorer originan. Así Google Chrome Firefox Safari Otros: Por lo general, para eliminar las cookies de su navegador deberá ir al menú Preferencias o Configuración del navegador y buscar la sección Privacidad. Allí encontrará opciones para gestionar sus cookies y otros datos almacenados por los sitios web que visita, así como configurar el comportamiento de su navegador al tratar las cookies. Caducan a los 5 año

16 SLA / ANS Condiciones técnicas Horarios del servicio Coste por hora Servicios incluidos y excluidos Tiempo de disponibilidad Canal para realizar peticiones i o emitir incidenciasid i Canal para reclamaciones Penalizaciones por incumplimiento

17 Reglamento Europeo Directiva comunitaria en fase de retoques finales Derogará las leyes de protección de datos nacionales Establece la figura del Delegado de Protección de Datos Medidas de seguridad d similares il a la LOPD Obligatoriedad de reportar incidentes graves de pérdida de datos Obligatoriedad de realizar análisis de impacto a la privacidad PIA o EIPD Información al usuario mediante iconos

18 Iconos informativos

19 PIA o EIPD

20 Seguridad técnica 12 Mandamientos

21 Seguridad técnica 1. Ubicación de la web Si está en nuestra red, en una zona aislada del resto de servidores para que no haya visibilidad.

22 Seguridad técnica 2. Monitorizar el tráfico - Generado desde y hacia nuestra página web - Detectar cualquier tipo de ataque.

23 Seguridad técnica 3. Controlar las conexiones al exterior - Actualizaciones de plugins - Sincronizaciones con otras páginas

24 Seguridad técnica 4. Política de backups - Que salvaguarde el diseño - Que salvaguarde las bases de datos - Que nos obligue a probar que funciona

25 Seguridad técnica 5. Actualizar nuestro CMS - Joomla, Drupal, Wordpress.. - Eludir el rastreo de sistemas automáticos. - Minimizar el uso de complementos y plugins. - Que nos obligue a probar que funciona

26 Seguridad técnica 6. Controlar nuestro sistema de passwords - Las contraseñas deben ser complejas. - Deben ser cambiadas periódicamente. - No utilizar usuarios genéricos. - No utilizar las que vienen por defecto.

27 Seguridad técnica 7. Guardar los registros de aceso (logs) - Para poder investigar cualquier anomalía. - Para poder investigar cualquier ataque. - Para utilizarlo como prueba ante un juicio.

28 Seguridad técnica 8. Análisis técnico de visibilidad - Para comprobar qué funcionalidad está accesible desde el exterior - Para comprobar qué funcionalidades por defecto de nuestro CMS están activas.

29 Seguridad técnica 9. Saber qué está almacenado en el directorio - Imágenes - Bases de datos accesibles - Backups - Ficheros de configuración

30 Seguridad técnica 10. Contratar desarrolladores solventes - Requisitos previos de seguridad - Metodologías de desarrollo seguro (OWASP)

31 Seguridad técnica 11. Realizar análisis de SEGURIDAD - Cross Site Scripting - - Convertirnos en foco de SPAM - Cambiar configuraciones de usuarios, - SQL-Injection - OWASP

32 Seguridad técnica 12. Usar sistemas CAPTCHA en formularios - Evitar,convertirnos en foco de SPAM - Evitar robots que fuerzan ataques DOS -

33 Métodos de pago online REEMBOLSO - Garantiza al cliente que sólo pagará por el producto si lo recibe. - No es necesario que el cliente envíe sus datos por Internet.

34 Métodos de pago online PAGO CON TARJETA - Siempre mediante pasarela bancaria. - El comercio nunca tiene datos de tarjetas.

35 Métodos de pago online ENTIDADES INTERMEDIARIAS - Google, Paypal... - Comisión para el intermediario..

36 Métodos de pago online TRANSFERENCIA SEGURA - Generar CONFIANZA - Emitidas por Autoridades de Certificación

37 Preguntas? /b 37

38 Muchas gracias! Beatriz Martínez Cándano 1/12/