TECNOLOGÍAS EMERGENTES PARA LA SEGURIDAD

Transcripción

1 Sistemas de Seguridad TECNOLOGÍAS EMERGENTES PARA LA SEGURIDAD XI CONGRESO DE PROFESIONALES IT MARTA OLIVÁN ORDÁS Noviembre de 2009

2 índice Infraestructura de Servicios Integrales de Firma Portafirmas electrónico Asegurar las aplicaciones Infraestructuras NAC Data Loss Prevention Comunicaciones Seguras Detección de Webs Maliciosas Suplantación de identidad

3 Infraestructura de Servicios Integrales de Firma Ciudadano 1 Ciudadano 2 Portafirmas Electrónico Firmante 1 Firmante 2 SOA servicios web App 1 Plataforma de Servicios de Firma Electrónica App Interna App 2 SOA servicios web SOA servicios web App Interna App n Sistema de Custodia de Documentos Firmados Organización / AAPP Autoridades de Validación (internas y/o externas) Autoridades de Sellado de Tiempos (internas y/o externas) Gestor Gestor Documental Documental 3

4 Portafirmas electrónico Principales necesidades cubiertas Resolver la operativa de firma de documentos de una organización a través del despliegue de la firma electrónica. Una única interfaz para la Firma de diferentes documentos/datos (herramienta centralizada). Muy intuitivo y fácil de utilizar, similar a otras aplicaciones/sistemas electrónicos conocidos. Capacidad de adaptarse a las necesidades y flujos de firma específicos para cada documento / proceso. Modelo de no injerencia (sólo gestión del proceso de firma). Funcionamiento pasivo (las aplicaciones controlan el proceso completo). Portafirmas electrónico Permite la firma en bloque de los usuarios (ciudadanos/clientes) 4

5 Asegurar las aplicaciones Problema: Según analistas como NIST el 92% de las vulnerabilidades se encuentran en el software. Solución: Herramientas SCA Hay una tendencia en el mercado para que los departamentos de seguridad de las empresas verifiquen los desarrollos antes de su paso a producción con el enfoque Software Security as a Gate : Homologación de una aplicación estable, tras pruebas de aceptación funcional. Las herramientas SCA (Source Code Analisys) examinan los ficheros de código fuente y buscan coincidencias con una serie de reglas que pueden indicar posibles vulnerabilidades de seguridad, dentro de una serie de categorías o rulesets. 5

6 Infraestructuras NAC Control de Acceso a la Red Problema: Controlar qué dispositivos acceden a la red y en qué localizaciones. Solución: Un sistema NAC (Network Access Control Control de Acceso a la Red) independiente del dispositivo conectado. Hay soluciones que nos permiten conocer el dispositivo conectado antes de permitirle el acceso, sin agentes (que pueden ser engañados ), y proporciona una monitorización completa y en tiempo real del punto más débil en el acceso a la red, el switch físico, controlando quién, cómo y cuándo accede a la red. Incluso verificar si a un puerto se conecta más de un dispositivo. Soluciones que permiten detectar los dispositivos por su comportamiento y asignar puertos para usos específicos (p.ej. Impresión, VoIP, guest, etc). 6

7 Data Loss/Leak Prevention El nivel de riesgo de pérdida de información en empresas es muy elevado: Todas estas pérdidas de información pueden o no suponer pérdidas económicas, pero siempre suponen una pérdida de confianza y de imagen de la institución o empresa. Por eso, por el aumento del descontento entre los empleados, y por la necesidad de cumplimiento de las nuevas directivas, normas y regulaciones (SOX, MiFID, LAESCP, LISI, PCI ) se está haciendo gran hincapié en sus soluciones de DLP 7

8 Data Loss/Leak Prevention: Problema: Clasificar la información Definir la política de clasificación de la información Clasificar la información según la política Refuerzo de la seguridad con controles: técnicos, personales, administrativos Solventar los incidentes Informes de riesgo y cumplimiento periódicos CONSULTORÍA IMPLANTACIÓN SOC Solución: Implantar medidas para descubrir. Modelo de Clasificación Implantar Medidas Técnicas Formación Implantar Medidas Organizativas DLP DRM Clasificación Continua 8

9 Sistemas de Comunicaciones Seguras Problema: Comunicaciones expuestas. Solución: Solución integral de comunicaciones seguras extremo a extremo, incluyendo los terminales seguros, el cifrado de comunicaciones y el centro de gestión-pki. Terminales Móviles de comunicaciones seguras. Comunicaciones móviles con PDA en modo Push-To-Talk (PTT). Integración con Terminales fijos especiales MiniPBX. Supervisores Agente-PC VoIP cifrada en Sistema Full-Duplex y Push-To-Talk.. Localización GPS y por celda GSM. 9

10 Detección de Webs Maliciosas Problema: Ya no existen webs confiables. El acceso a Internet para conseguir información, contactar con proveedores y/o clientes, realizar operaciones comerciales, etc. se ha convertido en una necesidad para la mayoría de las empresas y organismos públicos. Pero para proteger la navegación por Internet, ya no vale sólo con las medidas tradicionales (antivirus, filtraje de contenido y de Web), para defender a las empresas de las amenazas existentes (código inyectado, código ofuscado, virus antiguos ). Solución: Motores de inspección de comportamiento proactivo 10

11 Verificación de identidad Problema: Suplantación de identidad. Solución: Verificador de documentos. Cae una red de estafa con tarjetas Falsificación de documentos de identidad y tarjetas de residencia portuguesa para obtener tarjetas de crédito. Perjuicio a una Entidad Financiera de La Razón. Septiembre, 2009 De cara a que las empresas e instituciones puedan ser proactivos a la hora de detectar posibles suplantadores, tenemos productos encaminados a detectar posibles fraudes de suplantación de identidad. Verificación de Documentos Indra ha desarrollado un Verificador de Documentos que mejora el control de autenticidad de documentos de identidad y de viaje y permite tomar una decisión segura sobre la validez del documento, convirtiéndose en una herramienta básica de gestión policial, de control de accesos (fronterizos o en infraestructuras) y prevención del fraude. Detecta los documentos más comunes en los controles. Eficacia Actualizable OBJETIVOS Confianza Fiabilidad en el resultado y asistencia en la toma de decisión del agente. Sencillez Interfaz intuitivo y fácil de usar. Envío de incidencia en tiempo real Aplicación independiente del hardware de captura de documentos. Autónomo Portabilidad Equipos portátiles y robustos, preparados para el día a día policial. Gestión Remota 11

12 Marta Oliván Ordás Gerente Desarrollo de Negocio HLS Parque Empresarial La Finca, Edificio 4 P1º del Club Deportivo, Pozuelo de Alarcón Madrid España molivan@indra.es 12