Cómo desarrollar aplicaciones más seguras?

Tamaño: px
Comenzar la demostración a partir de la página:

Download "Cómo desarrollar aplicaciones más seguras?"

Transcripción

1 Cómo desarrollar aplicaciones más seguras?

2 Presentada por: Julio César Ardita CTO CYBSEC Marcelo Stock Jefe de Seguridad Informática Banco Columbia

3 Aclaración: Todos los derechos reservados. No está permitida la reproducción parcial o total del material de esta sesión, ni su tratamiento informático, ni la transmisión de ninguna forma o por cualquier medio, ya sea electrónico, mecánico, por fotocopia, por registro u otros métodos, sin el permiso previo y por escrito de los titulares de los derechos. Si bien este Congreso ha sido concebido para difusión y promoción en el ámbito de la profesión a nivel internacional, previamente deberá solicitarse una autorización por escrito y mediar la debida aprobación para su uso.

4 - Desarrollo de un Proyecto de Desarrollo - Problemáticas más comunes en el desarrollo de aplicaciones - Inclusión de la seguridad en SDLC - Seguridad en el Análisis - Seguridad en el Diseño - Seguridad en la Codificación - Testing de Seguridad - Implementación Segura

5 Desarrollo de un proyecto de Desarrollo Proyectos de desarrollo de software Qué problemáticas actuales tiene el desarrollo del software? Qué problemáticas actuales tiene el desarrollo del software en un entorno seguro? Desvíos en proyectos de IT

6 Desarrollo de un proyecto de Desarrollo Costo de solución de Problemas Costo de un error por fase 800 Unidad de Costo Requerimientos Diseño Desarrollo Test en desarrollo Test de Aceptación Operación Barry Bohem determinó el rango de costo por error generado por falsos supuestos en la fase de requerimientos y no detectados hasta fases posteriores ( Software Engineering Economics ). Poor management can increase software cost more rapidly than any other factor.

7 Desarrollo de un proyecto de Desarrollo 1. Planificación 2. Análisis 3. Diseño Etapas en el System Development Life Cycle 4. Codificación/Desarrollo 5. Testing 6. Implementación y Operación 7. Mantenimiento

8 Problemáticas más comunes en el desarrollo de aplicaciones Por qué fracasan los proyectos de sistemas? 1. Poca participación y compromiso de usuarios 2. Requerimientos incompletos 3. Cambio de requerimientos 4. Falta de soporte de la dirección 5. Incompetencia tecnológica 6. Falta de recursos 7. Expectativas ilusorias 8. Objetivos poco claros 9. Cronogramas irreales 10. Nuevas tecnologías 11. Otros Fuente: The Standish Group

9 Problemáticas más comunes en el desarrollo de aplicaciones Grandes mitos y excusas flacas La seguridad de la aplicación es responsabilidad del programador. Nadie sabe cómo funciona, por ende, no la van a atacar. Si no se encontraron vulnerabilidades hasta ahora A nadie le interesaría atacar nuestra aplicación. La aplicación es segura porque corre detrás de un firewall. La aplicación es segura porque usa encripción. Si, ese característica (que es insegura) viene habilitado por default, pero el administrador lo puede deshabilitar. Si no corre como Administrador no funciona. No hay tiempo para incluir seguridad

10 Problemáticas más comunes en el desarrollo de aplicaciones Interacción con Desarrollo: Ciencia o arte? Ciencia Métricas Métodos Standards Técnicas Training Templates Arte Comunicación Lenguaje Negociación Resol. Problemas Conflictos Expectativas Interpretaciones Juicios Percepciones Cap. Escucha Cultura Educación

11 Problemáticas más comunes en el desarrollo de aplicaciones Modelos mentales Las personas son diferentes y por lo tanto, también lo son sus representaciones de la realidad. Una aplicación bien segura, NO HAY PROBLEMA!!! Buenísim o. Em pecem os ya. La necesitam os en 2 meses.

12 Problemáticas más comunes en el desarrollo de aplicaciones La naturaleza del conflicto El conflicto es natural. Ni positivo ni negativo. Lo que importa no es el conflicto sino como lo gestionamos. Ganar o perder son objetivos de los juegos. No de los conflictos. Resolver un conflicto no tiene que ver con quién tiene razón sino con el entendimiento y la apreciación de las diferencias. Para cambiar nuestra perspectiva en un conflicto debemos movernos desde nuestro punto de vista a un punto de observación.

13 Inclusión de la seguridad en SDLC Participa Seguridad en el SDLC? Porqué? Debe participar en el SDLC? Porqué? Cómo y cuándo debe participar?

14 Inclusión de la seguridad en SDLC Grado de madurez del área de Seguridad Informática Grado de madurez de la Organización Cultura organizacional

15 Inclusión de la seguridad en SDLC Modelos actuales - ISO/IEC Information technology Security techniques Systems Security Engineering Capability Maturity Model (SSE-CMM ) - Microsoft s Trustworthy Computing Security Development Lifecycle - Team Software Process for Secure Software Development (TSP) - Correctness by Construction - Software Assurance Maturity Model - Software Security Framework

16 Inclusión de la seguridad en SDLC Participación de Seguridad Informática El área de Seguridad debe: en el desarrollo de Aplicaciones - Evaluar el grado de madurez del área y la Compañía. - Seleccionar en que proyectos participar - Definir en que etapas del SDLC va a participar: - Participar desde el inicio - Definir como va a participar

17 Inclusión de la seguridad en SDLC Participación de Seguridad Informática en el desarrollo de Aplicaciones - Política de Seguridad - Estándares - Regulaciones - Aspectos legales - Validación de conceptos básicos - Determinación de amenazas y vulnerabilidades. - Requisitos de seguridad. - Análisis costo/beneficio - Nivel de protección deseada. - Desarrollo de planes de testing.

18 Inclusión de la seguridad en SDLC Participación de Seguridad Informática en el desarrollo de Aplicaciones - Incorporar especificaciones de seguridad. - Ajustar planes de test. - Determinar controles de acceso. - Diseñar documentación. - Evaluar opciones de encripción. - Diseñar controles de seguridad tomando en cuenta requerimientos regulatorios. - Diseñar controles de acceso. - Utilizar encripción. - Adaptar los planes de testing. - Diseño detallado de la documentación. - Considerar aspectos de la continuidad del negocio.

19 Inclusión de la seguridad en SDLC Participación de Seguridad Informática en el desarrollo de Aplicaciones - Desarrollar código de forma segura. - Implementar testing de código. - Dar soporte al plan de continuidad del negocio. - Desarrollar documentación. - Integrar componentes de seguridad. - Testing integrado de seguridad - Ajustar documentación. - Llevar a cabo verificación integral del producto.

20 Inclusión de la seguridad en SDLC Participación de Seguridad Informática en el desarrollo de Aplicaciones - Instalar software de forma segura. - Llevar a cabo test de aceptación. - Testing de seguridad (PT`s). - Completar la documentación. - Certificación y acreditación de ser necesaria. - Revalidar controles de seguridad. - Realizar Penetration tests y análisis de vulnerabilidades. - Gestionar requerimientos de cambios. - Implementar control de cambios. - Implementar cambios de forma segura. - Evaluar el nivel de servicio. - Actualizar y mantener la documentación.

21 Seguridad en el Análisis Durante el análisis de requerimientos, se pueden identificar diversas características que derivarán en los requerimientos de seguridad del software. Arquitectura de la aplicación. Plataforma donde correrá la aplicación. Requerimiento de compliance con normativas y marcos regulatorios. Tipo de conectividad Tipos de datos que se almacenarán o transmitirán Perfiles de usuario necesarios para la aplicación. Tipos de registro que el sistema debe generar.

22 Seguridad en el Análisis Seguridad en el análisis de requerimientos REQUISITOS DE SEGURIDAD INFORMÁTICA PARA ADQUISICIÓN Y DESARROLLO DE SOFTWARE - Arquitectura de la aplicación - Mecanismo de autenticación de usuarios - Administración de usuarios - Administración de contraseñas - Encripción - Transmisión - Registro de eventos

23 Seguridad en el Diseño Reducción de superficie de ataque Superficie de ataque: Puntos de entrada que tiene una aplicación desde el punto de vista de un atacante. Cuanto menor sea nuestra superficie de ataque, menos posibilidades tendrá un potencial atacante de explotar vulnerabilidades en nuestro sistema. Servicios/procesos activos Sockets TCP/UDP Características del sistema Usuarios de la aplicación sin privilegios administrativos ni demo. Repositorios de ejemplo Archivos temporales / Archivos de intercambio

24 Seguridad en el Diseño Principio del menor privilegio En Windows y Unix, las aplicaciones y procesos corren en el contexto de un usuario X. Privilegios de la aplicación = Privilegios del usuario X. Si un atacante explota una vulnerabilidad de la aplicación, podrá actuar con los privilegios del usuario X. Se debe utilizar un usuario X con los privilegios mínimos e indispensables para ejecutar la aplicación.

25 Seguridad en el Diseño Defensa en profundidad Implementar medidas de seguridad en TODAS las capas del sistema. Asumir siempre que la capa anterior pudo ser comprometida Nunca confiar en los datos recibidos

26 Seguridad en el Diseño Manejo seguro de mensajes de error Brindar únicamente la información necesaria para que el usuario tome las acciones correspondientes. Evitar mostrar los mensajes de error de otras capas y aplicaciones. Expresar los mensajes de manera clara y concisa. Diseñar los mensajes teniendo en mente el perfil de usuario que los leerá. Evitar mensajes con demasiada información.

27 Seguridad en el Diseño Manejo de información sensible Almacenamiento protegido Encripción Hashes ACL`s Restricciones en DB Transmisión segura Encripción de la comunicación Borrado de datos Depuración de datos Borrado seguro

28 Seguridad en el Diseño Encripción y manejo de claves de encripción Definir algoritmo de encripción Definir granularidad de la encripción NUNCA colocar la clave en el código (MUY INSEGURO!) Considerar encripción de claves de encripción La aplicación debe contemplar el cambio de claves de encripción

29 Seguridad en el Diseño - Interacción con Firewalls. Interacción de la aplicación - Interacción con dispositivos (Proxy / Reverse Proxy / Firewalls). - Interacción con Bases de Datos. - Interfases (que sean seguras!!!).

30 Seguridad en el Diseño Auditoría y logging Los registros de auditoría son una herramienta de vital importancia en cualquier aplicación. Una buena aplicación, debería proveer facilidades de logging para: Definir qué eventos a registrar Definir distintos niveles de logging. Definir cómo y dónde registrarlos Definir políticas de rotación de logs Definir acciones a tomar si no se pueden registrar logs Dónde loguear? Archivos propios de la aplicación Sistema de logging local (Event logger / Syslog). Sistema de logging remoto

31 Seguridad en el Diseño Auditoría y logging Qué loguear? Lo que se haya definido en la etapa de análisis. Accesos al sistema en general (exitosos y fallidos) Accesos a datos sensibles Cambios de permisos y privilegios Cambios de configuraciones Modificaciones a objetos de la aplicación Todos los errores de la aplicación Inicio y detención de la aplicación (servicios)

32 Seguridad en el Diseño Diseño de autenticación Qué hay que tener en cuenta en la etapa de diseño? Autenticación local vs. autenticación externa (integrada). Tipos de autenticación (integrada vs. propia). Factores de autenticación. Usuarios y contraseñas por defecto. Nivel de acceso de los usuarios por defecto. Bloqueo de cuentas / vs. Captcha.

33 Seguridad en el Diseño Diseño de autorización Una vez que el usuario fue autenticado, la aplicación deberá decidir si tiene o no permisos para realizar las acciones que solicita. Definición de niveles de acceso (ej: Roles) Funciones que puede ejecutar cada nivel Datos que puede leer / escribir / modificar cada nivel Asignación de niveles propia o integrada Roles / grupos definidos localmente Pertenencia a grupo en servicio de directorios Requerimiento de autorización en TODOS los componentes del sistema

34 Seguridad en el Diseño Documentación Utilizar lenguaje claro y conciso. Diferenciar complejidad para usuarios básicos y administradores. Incluir instructivos "paso a paso. Documentar TODOS los aspectos de seguridad de la aplicación. Explicar los riesgos concretos de cada caso Incluir configuraciones de seguridad recomendadas. Deben corresponderse con la instalación default Explicar cómo usar la aplicación de forma segura.

35 Seguridad en la Codificación Programadores

36 Seguridad en la Codificación Programadores Cómo es la relación de seguridad informática con los programadores? Cómo ven los programadores al área de seguridad informática? Áreas de desarrollo interno y la tercerización del desarrollo CLAVE: CAPACITACIÓN Y CONCIENTIZACIÓN

37 Seguridad en la Codificación Tipos de Vulnerabilidades Existen muchos tipos de vulnerabilidades. El impacto depende del tipo general de vulnerabilidad y las condiciones particulares del software y el sistema donde se ejecuta. Tipos más comunes: Stack buffer overflows Heap buffer overflows SQL Injections Cross Site Scripting (XSS) Directory Traversal void main(int argc, char **argv) { char nombre[10]; char apellido[10]; strcpy(nombre, argv[1]); // argumento 1 strcpy(apellido, argv[2]); // argumento 2 printf( Hola %s, %s, apellido, nombre); } Authentication Bypass Information Disclosure Escalamiento de privilegios Manejo inseguro de sesiones Denegación de servicio

38 Seguridad en la Codificación Revelación de información Es la publicación de información sensible acerca de la Aplicación, su arquitectura, configuración o implementación. Dicha información es utilizada como fuente para la diagramación de ataques más avanzados. Algunos ejemplos: Comentarios en código fuente. Información de rutas y nombres de archivos. Información de nombres de servidores, strings de conexión. Mensajes de error de capas inferiores (no capturados).

39 Seguridad en la Codificación Principio del menor privilegio. Recomendaciones de seguridad Evitar correr la aplicación /servicio con privilegios administrativos Validar SIEMPRE los valores de entrada. Proteger de archivos de configuración y registro. Restringir posibles archivos de salida. Basar los privilegios en la autenticación del usuario. Utilizar manejo de sesiones seguro.

40 Seguridad en la Codificación Programación segura Programación de forma segura (C++, Java,.NET, etc.) Training / explicación / monitoreo a los desarrolladores. Revisión de código (automatizada y manual). Secure Programming in Java Secure Coding Guidelines for the Java Secure Coding Guidelines.NET CERT - Secure Coding

41 Testing de Seguridad Testing funcional vs. Testing de seguridad Bugs que se encuentran mediante Testing de seguridad Funcionalidad diseñada Funcionalidad real Bugs que se encuentran mediante Testing funcional

42 Testing de Seguridad Testing Funcional Testing funcional vs. Testing de seguridad Consiste en verificar que las funcionalidades esperadas de la aplicación cumplan con los requerimientos. Se basa en un uso bien intencionado de la aplicación. Se levanta un error cuando la aplicación no hace lo que debería. Testing de seguridad Consiste en verificar que no se pueda forzar a la aplicación a efectuar acciones que excedan a la funcionalidad especificada. Se basa en un uso malintencionado de la aplicación. Se levanta un error cuando la aplicación hace lo que no debería.

43 Testing de Seguridad Testing de seguridad (Penetration Test) Contenidos de paquetes de red Variables de entorno Archivos de configuración Contenido de archivos temporales Registro de Windows Valores de peticiones y respuestas Todos los que sirvan como valores de entrada

44 Testing de Seguridad Testing de seguridad (Penetration Test) Testear al cliente con un server falso Desarrollar un prototipo de server Ad Hoc que pueda ser controlado Enviar respuestas incorrectas Enviar respuestas fuera de orden Insertar delays Idem para testear un server con un cliente falso Test de Stress Generar una carga alta de peticiones/transacciones a la aplicación Mantener esta carga durante tiempos prolongados Simular tráfico en ráfagas

45 Implementación Segura Implementación segura de aplicaciones Todo el esfuerzo de seguridad empleado en las etapas anteriores puede ser que haya sido en vano si la implementación / instalación de la aplicación no se hace de forma segura. Topología de la implementación Instalación y hardening de software de base Proceso de implementación Administración de implementación y mantenimiento

46 Implementación Segura Topología de la instalación La topología sobre la que se instala una aplicación, tiene implicancias directas sobre la seguridad. Segmentación de red DMZ s, VLANS Firewalls de borde Dirección de establecimiento de conexiones Entrantes / Salientes Funciones separadas en hosts separados Database server / Application server / Web Server Esquema Back-end / Front-end

47 Implementación Segura Aseguramiento del software de base El sector de tecnología / operaciones debe encargarse de asegurar correctamente el software de base antes del proceso de implementación de la solución. Recomendaciones: Eliminar servicios y funcionalidades innecesarias. Eliminar usuarios innecesarios. Eliminar objetos de ejemplo y documentación. Cambiar contraseñas e identificadores por default. Configurar correctamente el nivel de logueo y mensajes de error.

48 Implementación Segura Proceso de implementación segura Asumir que el usuario no tiene conocimientos sobre seguridad. Los valores seteados por default en la instalación, deben ser lo más seguros que la funcionalidad permita. Si una funcionalidad es peligrosa, debe instalarse deshabilitada o no instalarse por default. Si se emplean contraseñas por default, forzar al usuario a cambiarlas.

49 Conclusiones Debemos conocer nuestro nivel de madurez y el nivel de madurez de la Compañía para determinar como y de que forma podemos incluir la seguridad en el SDLC. Comenzar de a poco, mantener bajo perfil e ir ganando terreno mostrando resultados concretos. Ponerle más foco al arte que a la ciencia.

50 Gracias por asistir a esta sesión

51 Para mayor información: Julio César Ardita CTO CYBSEC Marcelo Stock Jefe de Seguridad Informática Banco Columbia Los invitamos a sumarse al grupo Segurinfo en

Seguridad en el ciclo de vida del desarrollo de software

Seguridad en el ciclo de vida del desarrollo de software Seguridad en el ciclo de vida del desarrollo de software Lic. Pablo Milano 12 de Septiembre de 2007 Buenos Aires - Argentina Introducción Introducción n a la seguridad en el SDLC Actualmente

Más detalles

Protección de Infraestructuras Críticas Seguridad en Sistemas de Control Industrial

Protección de Infraestructuras Críticas Seguridad en Sistemas de Control Industrial Presentada por: Julio César Ardita, CTO CYBSEC jardita@cybsec.com Aclaración: Todos los derechos reservados. No está permitida la reproducción parcial o total del material de esta sesión, ni su tratamiento

Más detalles

Julio Ardita CTO CYBSEC jardita@cybsec.com. Santiago Cavanna - Security Sales Specialist IBM cavanna@ar.ibm.com

Julio Ardita CTO CYBSEC jardita@cybsec.com. Santiago Cavanna - Security Sales Specialist IBM cavanna@ar.ibm.com Julio Ardita CTO CYBSEC jardita@cybsec.com Santiago Cavanna - Security Sales Specialist IBM cavanna@ar.ibm.com Aclaración: Todos los derechos reservados. No está permitida la reproducción parcial o total

Más detalles

Calidad y Seguridad en la programación de aplicaciones

Calidad y Seguridad en la programación de aplicaciones Calidad y Seguridad en la programación de aplicaciones Presentada por: Tartarelli Martin COO, Infobyte Security Research Aclaración: Todos los derechos reservados. No está permitida la reproducción parcial

Más detalles

Seguridad en los grados de madurez de virtualización hasta la nube

Seguridad en los grados de madurez de virtualización hasta la nube VII Congreso Internacional de Seguridad de la Información La seguridad agrega valor 10 y 11 de marzo de 2010 SHERATON Buenos Aires - Argentina Seguridad en los grados de madurez de virtualización hasta

Más detalles

Presentada por: Lic. Pablo G. Milano CISSP / QSA / PA-QSA

Presentada por: Lic. Pablo G. Milano CISSP / QSA / PA-QSA Presentada por: Lic. Pablo G. Milano CISSP / QSA / PA-QSA Aclaración: Todos los derechos reservados. No está permitida la reproducción parcial o total del material de esta sesión, ni su tratamiento informático,

Más detalles

Cloud Computing. Su aplicación en la Banca Privada Argentina.

Cloud Computing. Su aplicación en la Banca Privada Argentina. Cloud Computing. Su aplicación en la Banca Privada Argentina. Presentada por: Noceti, Héctor Management Systems Manager / Southern Cone Logicalis Aclaración: Todos los derechos reservados. No está permitida

Más detalles

Haga clic para modificar el estilo de título del patrón Haga clic para modificar el estilo de texto del patrón

Haga clic para modificar el estilo de título del patrón Haga clic para modificar el estilo de texto del patrón texto del DESAFÍOS PARA ALCANZAR EL CUMPLIMIENTO: GUÍA DE IMPLEMENTACIÓN, INTEGRACIÓN DE LA SEGURIDAD EN EL CICLO DE VIDA DEL SOFTWARE, LABORATORIO PCI DSS COMPLIANT. FERMÍN GARDE FERNÁNDEZ RESPONSABLE

Más detalles

CLOUD COMPUTING MITOS Y VERDADES

CLOUD COMPUTING MITOS Y VERDADES CLOUD COMPUTING MITOS Y VERDADES Presentada por: Ardita, Julio César CTO CYBSEC jardita@cybsec.com Aclaración: Todos los derechos reservados. No está permitida la reproducción parcial o total del material

Más detalles

Circular de Tecnología Pautas de seguridad para el desarrollo de aplicaciones Web

Circular de Tecnología Pautas de seguridad para el desarrollo de aplicaciones Web ASIT 20070501 CT Pautas de seguridad para aplicaciones web v1 2007-05-16 Documento de Circular de Tecnología Pautas de seguridad para el desarrollo de aplicaciones Web Versión 01 ARCHIVO: ASIT 20070501

Más detalles

Seguridad en el desarrollo

Seguridad en el desarrollo OWASP Latam Tour Venezuela 2013 Seguridad en el desarrollo Mateo Martínez, CISSP mateo.martinez@owasp.org OWASP Uruguay Comité Global de Industrias de OWASP Agenda Agenda Introducción Seguridad en el ciclo

Más detalles

Servicio de Protección Total Web

Servicio de Protección Total Web Servicio de Protección Total Web Prevención de Fraude Inspecciones de Procesos, Tecnología, Personas y Lugares, Ethical hacking, Concientización y Capacitación en Seguridad Detección de Fraude Ambientes

Más detalles

AUDITORÍAS TÉCNICAS PARA LA CERTIFICACIÓN DE LOS SISTEMAS DE RECOGIDA DE INICIATIVAS CIUDADANAS EUROPEAS

AUDITORÍAS TÉCNICAS PARA LA CERTIFICACIÓN DE LOS SISTEMAS DE RECOGIDA DE INICIATIVAS CIUDADANAS EUROPEAS AUDITORÍAS TÉCNICAS PARA LA CERTIFICACIÓN DE LOS SISTEMAS DE RECOGIDA DE INICIATIVAS CIUDADANAS EUROPEAS Las auditorias técnicas según el Reglamento 211/2011 de la Unión Europea y según el Reglamento de

Más detalles

Hacking Ético y Frameworks Opensource

Hacking Ético y Frameworks Opensource Hacking Ético y Frameworks Opensource Mariano Nuñez Di Croce mnunez@cybsec.com Febrero 11-13, 13, 2009 IX Seminario Iberoamericano de Seguridad en las Tecnologías de la Información La Habana,, Cuba Copyright

Más detalles

El Estado del Arte de la Seguridad Informática

El Estado del Arte de la Seguridad Informática El Estado del Arte de la Seguridad Informática Lic. Julio C. Ardita jardita@cybsec.com Septiembre de 2005 Buenos Aires - ARGENTINA Agenda Problemática de la seguridad informática Situación en nuestro país

Más detalles

Seguridad en Aplicaciones Web

Seguridad en Aplicaciones Web Seguridad en Aplicaciones Web Leandro Meiners lmeiners@cybsec cybsec.comcom Septiembre de 2005 Buenos Aires - ARGENTINA Temario Temario Introducción al Protocolo HTTP: Arquitectura, carácterísticas, autenticación,

Más detalles

Estado de la Seguridad Informática

Estado de la Seguridad Informática 1 Estado de la Seguridad Informática Lic. Julio C. Ardita jardita@cybsec.com CIASFI 2004 23 de Abril de 2004 Córdoba - ARGENTINA 2 Temario - Situación en la Argentina. - Realidades - Qué pasa con la seguridad

Más detalles

Gestión de Seguridad en canales electrónicos. Ing. Jorge O Higgins, CISSP

Gestión de Seguridad en canales electrónicos. Ing. Jorge O Higgins, CISSP Gestión de Seguridad en canales electrónicos Ing. Jorge O Higgins, CISSP Contenido 1. Objetivos de seguridad en el ambiente financiero 2. Definición de requerimientos de seguridad 3. Seguridad como proceso

Más detalles

Segurinfo NOA 2011. Seguridad en el desarrollo de aplicaciones Web

Segurinfo NOA 2011. Seguridad en el desarrollo de aplicaciones Web Segurinfo NOA 2011 Seguridad en el desarrollo de aplicaciones Web Hernán Santiso Gerente de Seguridad de la Información Claro Argentina, Uruguay y Paraguay hsantiso@claro.com.ar Introducción El problema

Más detalles

LBSEC. http://www.liveboxcloud.com

LBSEC. http://www.liveboxcloud.com 2014 LBSEC http://www.liveboxcloud.com LiveBox Srl no asume responsabilidades o garantías sobre el contenido y uso de ésta documentación y declina cualquier garantía explicita o implícita de comercialidad

Más detalles

Seguridad Perimetral. Juan Manuel Espinoza Marquez juanmanuel.espinoza@gmail.com CFT San Agustín Linares -2012

Seguridad Perimetral. Juan Manuel Espinoza Marquez juanmanuel.espinoza@gmail.com CFT San Agustín Linares -2012 Seguridad Perimetral Juan Manuel Espinoza Marquez juanmanuel.espinoza@gmail.com CFT San Agustín Linares -2012 Introducción La mayoría de las empresas sufren la problemática de seguridad debido a sus necesidades

Más detalles

PCI DSS v 3.1 Un enfoque práctico para su aplicación

PCI DSS v 3.1 Un enfoque práctico para su aplicación PCI DSS v 3.1 Un enfoque práctico para su aplicación Presentada por: Ricardo Gadea Gerente General Assertiva S.A. Alberto España Socio/QSA Aclaración: Todos los derechos reservados. No está permitida la

Más detalles

Capítulo V EVALUACIÓN DE RIESGOS, AMENAZAS Y VULNERABILIDADES

Capítulo V EVALUACIÓN DE RIESGOS, AMENAZAS Y VULNERABILIDADES Capítulo V EVALUACIÓN DE RIESGOS, AMENAZAS Y VULNERABILIDADES Con el propósito de obtener un adecuado entendimiento de la implicancia que tiene el uso de tecnología, las amenazas y vulnerabilidades, así

Más detalles

Privacy by design (PbD). Necesidades de desarrollo seguro. Daniel de los Reyes dadecal@s2grupo.es Director de desarrollo. S2 Grupo 12 de Mayo, 2011

Privacy by design (PbD). Necesidades de desarrollo seguro. Daniel de los Reyes dadecal@s2grupo.es Director de desarrollo. S2 Grupo 12 de Mayo, 2011 Privacy by design (PbD). Necesidades de desarrollo seguro. Daniel de los Reyes dadecal@s2grupo.es Director de desarrollo. S2 Grupo 12 de Mayo, 2011 Antecedentes Nueva Directiva comunitaria sobre Protección

Más detalles

Tecnologías Aplicadas al Dominio "Desarrollo, Adquisición y Mantenimiento de los Sistemas de Información"

Tecnologías Aplicadas al Dominio Desarrollo, Adquisición y Mantenimiento de los Sistemas de Información Tecnologías Aplicadas al Dominio "Desarrollo, Adquisición y Mantenimiento de los Sistemas de Información" No nos va a pasar nosotros Riesgo en Aplicaciones y Sistemas de Información Malas prácticas de

Más detalles

Seguridad en el Ciclo de Desarrollo

Seguridad en el Ciclo de Desarrollo First OWASP DAY Chile 2010 The OWASP Foundation http://www.owasp.org Seguridad en el Ciclo de Desarrollo Alejandro Johannes M. Business Advisor Vice president Capítulo Chileno OWASP ajohannesm@gmail.com

Más detalles

Especificaciones Técnicas para Ethical Hacking

Especificaciones Técnicas para Ethical Hacking Especificaciones Técnicas para Ethical Hacking OBJETIVO PRINCIPAL El BANCO DEL ESTADO, requiere efectuar un estudio de Ethical Hacking sobre su infraestructura, que permita identificar y corregir las vulnerabilidades

Más detalles

Penetration Test Metodologías & Usos

Penetration Test Metodologías & Usos Penetration Test Metodologías & Usos Lic. Luis Ramírez lramirez@cybsec.com 18 de Noviembre de 2009 Asunción, n, Paraguay Agenda Introducción Seguridad Informática en los Sistemas Objetivos, Tipos y Alcances

Más detalles

Análisis forense técnico en entornos virtuales

Análisis forense técnico en entornos virtuales Análisis forense técnico en entornos virtuales Julio César Ardita, CISM jardita@cybsec.com Agenda - Riesgos actuales en entornos virtuales - El entorno de virtualización - Dónde están los logs? - Investigación

Más detalles

Servicios de Seguridad de la Información

Servicios de Seguridad de la Información Servicios de Seguridad de la Información Las siguientes actuaciones son medidas dirigidas a garantizar la Confidencialidad, Privacidad y Disponibilidad de los Servicios de la Información y que podemos

Más detalles

Julio C. Ardita, CISM jardita@cybsec.com. 9 de Abril de 2014

Julio C. Ardita, CISM jardita@cybsec.com. 9 de Abril de 2014 Experiencias i de Seguridad d en SAP Julio C. Ardita, CISM jardita@cybsec.com 9 de Abril de 2014 Agenda - Seguridad en la arquitectura - Seguridad en el SO y DB del entorno SAP - Seguridad a nivel técnico

Más detalles

POLÍTICA DE DESARROLLO, MANTENCIÓN Y ADQUISICIÓN DE SISTEMAS DE INFORMACIÓN

POLÍTICA DE DESARROLLO, MANTENCIÓN Y ADQUISICIÓN DE SISTEMAS DE INFORMACIÓN PÁGINA Nº1 POLÍTICA DE DESARROLLO, MANTENCIÓN Y ADQUISICIÓN DE SISTEMAS DE INFORMACIÓN Versión 1.0 MINISTERIO DE OBRAS PÚBLICAS ELABORADO POR: Dirección General de Obras Públicas FECHA: 9/09/2012 REVISADO

Más detalles

Presentada por: Ing. Hernán Pacín Consultor de Seguridad Informática

Presentada por: Ing. Hernán Pacín Consultor de Seguridad Informática Presentada por: Ing. Hernán Pacín Consultor de Seguridad Informática Aclaración: Todos los derechos reservados. No está permitida la reproducción parcial o total del material de esta sesión, ni su tratamiento

Más detalles

3-ANÁLISIS DE VULNERABILIDADES

3-ANÁLISIS DE VULNERABILIDADES 3-ANÁLISIS DE VULNERABILIDADES Es la tercera fase del ciclo de auditoria del tipo Hacking Ético, y tiene como objetivo el identificar si un sistema es débil o susceptible de ser afectado o atacado de alguna

Más detalles

Cómo hacer que el CEO nos invite a cenar a su casa. SI como Unidad de Negocio

Cómo hacer que el CEO nos invite a cenar a su casa. SI como Unidad de Negocio Cómo hacer que el CEO nos invite a cenar a su casa. SI como Unidad de Negocio Presentada por: Marcelo F. Rodríguez Director de Operaciones ROOT-SECURE 1 Aclaración: Todos los derechos reservados. No está

Más detalles

Haga clic para cambiar el estilo de título. Curso de Seguridad de la Información

Haga clic para cambiar el estilo de título. Curso de Seguridad de la Información Haga clic para cambiar el estilo de título Haga clic para modificar el estilo de texto del patrón Segundo nivel Tercer nivel Cuarto nivel Quinto nivel Curso de Seguridad de la Información Agenda Conceptos

Más detalles

Haga clic para cambiar el estilo de título. Curso de Seguridad de la Información. Haga clic para cambiar el estilo de título

Haga clic para cambiar el estilo de título. Curso de Seguridad de la Información. Haga clic para cambiar el estilo de título Haga clic para cambiar el estilo de título Haga clic para modificar el estilo de texto del patrón Segundo nivel Tercer nivel Cuarto nivel Quinto nivel Curso de Seguridad de la Información Agenda Conceptos

Más detalles

Haga clic para cambiar el estilo de título. Curso de Seguridad de la Información

Haga clic para cambiar el estilo de título. Curso de Seguridad de la Información Haga clic para cambiar el estilo de título Haga clic para modificar el estilo de texto del patrón Segundo nivel Tercer nivel Cuarto nivel Quinto nivel Curso de Seguridad de la Información Agenda Conceptos

Más detalles

Haga clic para cambiar el estilo de título. Curso de Seguridad de la Información. Seguridad de Bases de Datos. Seguridad de Bases de Datos

Haga clic para cambiar el estilo de título. Curso de Seguridad de la Información. Seguridad de Bases de Datos. Seguridad de Bases de Datos Haga clic para cambiar el estilo de título Haga clic para modificar el estilo de texto del patrón Segundo nivel Tercer nivel Cuarto nivel Quinto nivel Curso de Seguridad de la Información Agenda Conceptos

Más detalles

La Gestión del Negocio por Procesos hoy. Presentada por: SELVINO, Pablo y PEREYRA, Ariel

La Gestión del Negocio por Procesos hoy. Presentada por: SELVINO, Pablo y PEREYRA, Ariel La Gestión del Negocio por Procesos hoy Presentada por: SELVINO, Pablo y PEREYRA, Ariel Aclaración Todos los derechos reservados. No está permitida la reproducción parcial o total del material de esta

Más detalles

Venciendo a la Pesadilla de la Gestión de Usuarios

Venciendo a la Pesadilla de la Gestión de Usuarios Venciendo a la Pesadilla de la Gestión de Usuarios Presentada por: Ing. Colasurdo Silvana Marina CEO, Penta Security Solutions / Pitbull Software Aclaración: Todos los derechos reservados. No está permitida

Más detalles

BAGGIERI, Ariel Business Development Manager, NextVision

BAGGIERI, Ariel Business Development Manager, NextVision Presentada por: BAGGIERI, Ariel Business Development Manager, NextVision LOGO de la EMPRESA Aclaración: Todos los derechos reservados. No está permitida la reproducción parcial o total del material de

Más detalles

CONCLUSIONES 155 A través de cada uno de los capítulos del presente documento se han enumerado una serie herramientas de seguridad que forman parte del sistema de defensa de una red y que, controlan su

Más detalles

Modelos de Madurez de Seguridad de la. seguridad en las organizaciones

Modelos de Madurez de Seguridad de la. seguridad en las organizaciones Modelos de Madurez de Seguridad de la Información: cómo debe evolucionar la seguridad en las organizaciones Roberto Arbeláez CISSP, CISA Security Program Manager for Latin America Microsoft Corp. QUÉ ES

Más detalles

MANUAL DE PROCESOS Y PROCEDIMIENTOS UNIDAD DE TECNOLOGÍAS DE INFORMACIÓN Y COMUNICACIONES - TICS

MANUAL DE PROCESOS Y PROCEDIMIENTOS UNIDAD DE TECNOLOGÍAS DE INFORMACIÓN Y COMUNICACIONES - TICS MANUAL DE PROCESOS Y PROCEDIMIENTOS UNIDAD DE TECNOLOGÍAS DE INFORMACIÓN Y COMUNICACIONES - Guatemala, julio de 2011 1 CONTENIDO DEL MANUAL Sección Página Acrónimos 1 Mapa de macro procesos y relaciones

Más detalles

Presentada por: Antúnez Javier Director, Porto,Trentalance, Antúnez y Asociados

Presentada por: Antúnez Javier Director, Porto,Trentalance, Antúnez y Asociados Presentada por: Antúnez Javier Director, Porto,Trentalance, Antúnez y Asociados Aclaración: Todos los derechos reservados. No está permitida la reproducción parcial o total del material de esta sesión,

Más detalles

Seminario CISSP Control de Acceso

Seminario CISSP Control de Acceso Seminario CISSP Control de Acceso Roberto Woo Borrego CISSP, CISA, ITIL, ISO27001 Propiedad de ALAPSI Noreste 1 CÁPSULA: Conceptos generales de Control de Acceso Propiedad de ALAPSI Noreste 2 Instructor

Más detalles

Tema 6. Seguridad Perimetral Parte 3. Análisis de seguridad en redes Tests de intrusión

Tema 6. Seguridad Perimetral Parte 3. Análisis de seguridad en redes Tests de intrusión Tema 6 SSI T. intrusión Tipos Metodologías Fases Tema 6. Seguridad Perimetral Parte 3. Análisis de seguridad en redes Tests de intrusión Seguridad en Sistemas Informáticos Noviembre-2012 Tema 6 SSI Contenido

Más detalles

Capítulo VII PLAN DE IMPLEMENTACIÓN DE ALTO NIVEL

Capítulo VII PLAN DE IMPLEMENTACIÓN DE ALTO NIVEL Capítulo VII PLAN DE IMPLEMENTACIÓN DE ALTO NIVEL Luego de la identificación de riesgos amenazas y vulnerabilidades se pudo determinar el conjunto de actividades más importantes a ser realizadas por el

Más detalles

Seguridad en Aplicaciones Web

Seguridad en Aplicaciones Web Seguridad en Aplicaciones Web Fabian Portantier Consultor en Seguridad Informática Instructor y Escritor sobre el tema Coordinador de la Carrera de Seguridad www.portantier.com Aplicaciones Web Actuales

Más detalles

Proceso de Auditoría de la Seguridad de la Información en las Instituciones Supervisadas por la CNBS

Proceso de Auditoría de la Seguridad de la Información en las Instituciones Supervisadas por la CNBS Proceso de Auditoría de la Seguridad de la Información en las Instituciones Supervisadas por la CNBS Julio 2005 Proceso de Auditoría de la Seguridad de la Información en las Instituciones Supervisadas

Más detalles

Julio César Ardita jardita@cybsec.com. 21 de Octubre de 2014 Buenos Aires - Argentina

Julio César Ardita jardita@cybsec.com. 21 de Octubre de 2014 Buenos Aires - Argentina Estado del arte de la seguridad de la información Julio César Ardita jardita@cybsec.com 21 de Octubre de 2014 Buenos Aires - Argentina Agenda Incidentes de seguridad El rol del CISO Presión de las regulaciones

Más detalles

COBIT - Control Objectives for Information and related Technology (Objetivos de Control para la Información y la Tecnología relacionada) Mayo de 2012

COBIT - Control Objectives for Information and related Technology (Objetivos de Control para la Información y la Tecnología relacionada) Mayo de 2012 - Control Objectives for Information and related Technology (Objetivos de Control para la Información y la Tecnología relacionada) Mayo de 2012 Antecedentes Ante la necesidad de crear y fortalecer el ambiente

Más detalles

Nomenclador de cargos

Nomenclador de cargos Nomenclador de cargos ROLES Áreas de I T Definición de módulos y roles Versión: 1.0 Pagina 1 Módulos interactuantes en un área de IT 1. Infraestructura Tecnológica 2. Producción de Software 3. Asistencia

Más detalles

Bootcamp de Certificación 2015

Bootcamp de Certificación 2015 CISSP 2015 Bootcamp de Certificación 2015 La Información es el activo más importante de la Organización y de las personas. La seguridad que puede lograrse por medios técnicos es limitada y debe ser respaldada

Más detalles

Suplemento informativo: aclaración del requisito 6.6 sobre revisiones de códigos y firewalls de aplicaciones

Suplemento informativo: aclaración del requisito 6.6 sobre revisiones de códigos y firewalls de aplicaciones Norma: Normas de Seguridad de Datos (DSS) Requisito: 6.6 Fecha: febrero de 2008 Suplemento informativo: aclaración del requisito 6.6 sobre revisiones de códigos y firewalls de aplicaciones Fecha de publicación:

Más detalles

SEGURIDAD ataques riesgos tipos de amenazas

SEGURIDAD ataques riesgos tipos de amenazas SEGURIDAD La seguridad en sistemas es un área de las Ciencias de la Computación que se ocupa de diseñar las normas, procedimientos, métodos y técnicas destinados a conseguir un sistema de información seguro

Más detalles

Primeras Jornadas de Seguridad Web OWASP DAY ARGENTINA 2010

Primeras Jornadas de Seguridad Web OWASP DAY ARGENTINA 2010 Primeras Jornadas de Seguridad Web OWASP DAY ARGENTINA 2010 La seguridad como ventaja competitiva Web Application: Security Tips Hernán M. Racciatti hracciatti@siclabs.com SICLABS Acerca del Autor Analista

Más detalles

LABORATORIO DE FTP. PRESENTADO POR: Diana Maritza Aragón Marta Moreno Luis Miguel Pérez. PRESENTADO A: Marcelo Utard Javier Bozzuto

LABORATORIO DE FTP. PRESENTADO POR: Diana Maritza Aragón Marta Moreno Luis Miguel Pérez. PRESENTADO A: Marcelo Utard Javier Bozzuto LABORATORIO DE FTP PRESENTADO POR: Diana Maritza Aragón Marta Moreno Luis Miguel Pérez PRESENTADO A: Marcelo Utard Javier Bozzuto ESCUELA DE GRADUADOS DE ELECTRÓNICA Y TELECOMUNICACIONES LABORATORIO DE

Más detalles

Clasificación y protección de la Información. Un caso práctico

Clasificación y protección de la Información. Un caso práctico Clasificación y protección de la Información. Un caso práctico Presentada por: Daniel Marino Gerente Gestión de Riesgos y Cumplimiento, Sancor Seguros Claudio Tana Gerente de Consultoría, NeoSecure Leonardo

Más detalles

Seguretat en xarxes. Tallafocs, IDS, IPS, filtrat de continguts

Seguretat en xarxes. Tallafocs, IDS, IPS, filtrat de continguts Seguretat en xarxes. Tallafocs, IDS, IPS, filtrat de continguts Índice de contenido Seguretat en xarxes. Tallafocs, IDS, IPS, filtrat de continguts...1 Licencia...1 Cortafuegos...1 Sin estado...2 Con estado

Más detalles

Seguridad en Home Banking. Tendencias de la Tecnología en Seguridad Informática Argentina 2010

Seguridad en Home Banking. Tendencias de la Tecnología en Seguridad Informática Argentina 2010 Seguridad en Home Banking Tendencias de la Tecnología en Seguridad Informática Argentina 2010 1 Agenda 1. Proyecto Home Banking 2. Confección de equipos de trabajo 3. Arquitectura integral de seguridad

Más detalles

Segurinfo Santa Fé 2014. Tendencias de Gestión de Seguridad de la Información. Andrés L. Gil Rosario, Diciembre 2014

Segurinfo Santa Fé 2014. Tendencias de Gestión de Seguridad de la Información. Andrés L. Gil Rosario, Diciembre 2014 Segurinfo Santa Fé 2014 Tendencias de Gestión de Seguridad de la Información Andrés L. Gil Rosario, Diciembre 2014 Agenda Seguridad de la Información y Cyber Riesgos Hoy Principales tendencias en Gestión

Más detalles

Técnicas del Penetration Testing

Técnicas del Penetration Testing Técnicas del Penetration Testing Victor H. Montero vmontero@cybsec cybsec.comcom Septiembre de 2005 Buenos Aires - ARGENTINA Agenda - Qué es un Penetration Test? - El rol del PenTest en la Seguridad Informática.

Más detalles

INTRODUCCIÓN A LA SEGURIDAD EN SISTEMAS Y WEBS

INTRODUCCIÓN A LA SEGURIDAD EN SISTEMAS Y WEBS INTRODUCCIÓN A LA SEGURIDAD EN SISTEMAS Y WEBS Marco A. Lozano Merino Mayo 2012 Índice 1.Seguridad a nivel de usuario 1.Amenazas y protección 2.La realidad de la seguridad: hackers 3.Seguridad en redes

Más detalles

S31_CompTIA Mobile App Security+ for Android

S31_CompTIA Mobile App Security+ for Android S31_CompTIA Mobile App Security+ for Android Presentación Este curso enseña el conocimiento y las habilidades necesarias para crear de forma segura una aplicación móvil Android nativo, al tiempo que garantiza

Más detalles

Como prevenir el Fraude Bancario en la Web?

Como prevenir el Fraude Bancario en la Web? Como prevenir el Fraude Bancario en la Web? Presentada por: Medina, Carlos Sales Specialist Trusteer Región Andina, IBM LOGO de la EMPRESA Aclaración: Todos los derechos reservados. No está permitida la

Más detalles

5 POLÍTICAS DE SEGURIDAD INFORMÁTICA

5 POLÍTICAS DE SEGURIDAD INFORMÁTICA Capítulo 5 POLÍTICAS DE SEGURIDADD INFORMÁTICA En este capítulo se describen las políticas de seguridad para optimizar el control del ISP Cap.5 Pág. 99 POLÍTICAS DE SEGURIDAD INFORMÁTICA La Seguridad informática

Más detalles

Seguridad de TI en Infraestructura Crítica en Procesos Industriales

Seguridad de TI en Infraestructura Crítica en Procesos Industriales Seguridad de TI en Infraestructura Crítica en Procesos Industriales Harro Osthoff: TÜV Rheinland Argentina Andrew Oteiza: Telefónica Empresas Diego Notonica y Daniel Venturino: Prisma Medios de Pago Presentada

Más detalles

Experiencias de Seguridad en SAP. Julio C. Ardita CYBSEC

Experiencias de Seguridad en SAP. Julio C. Ardita CYBSEC Julio C. Ardita CYBSEC Agenda - Evolución de la seguridad en SAP - Las capas donde aplicar seguridad en SAP - Experiencias y soluciones de seguridad en SAP Nuestra experiencia de seguridad en SAP Trabajamos

Más detalles

100% Laboratorios en Vivo

100% Laboratorios en Vivo 100% Laboratorios en Vivo Sabemos que la única forma de aprender es haciendo. Por lo mismo todos los laboratorios son con desafíos de hacking en un ambiente en vivo. Con servidores y servicios dentro de

Más detalles

Norma de seguridad de datos de la Industria de tarjetas de pago (PCI)

Norma de seguridad de datos de la Industria de tarjetas de pago (PCI) Norma de seguridad de datos de la Industria de tarjetas de pago (PCI) Resumen de los cambios de la a la 3.0 de las PCI DSS (Normas de seguridad de datos de la Industria de tarjetas de pago) Noviembre de

Más detalles

INTELIGENCIA DE NEGOCIOS CON SQL SERVER 2008 R2

INTELIGENCIA DE NEGOCIOS CON SQL SERVER 2008 R2 Programa de Capacitación y Certificación. INTELIGENCIA DE NEGOCIOS CON SQL SERVER 2008 R2 Contenido PERFIL DE UN ESPECIALISTA EN BASES DE DATOS.... 3 6231. MANTENIENDO UNA BASE DE DATOS DE SQL SERVER 2008

Más detalles

PCI: La nueva Estrategia de Seguridad de las Compañí. ñías de Tarjetas de Pago

PCI: La nueva Estrategia de Seguridad de las Compañí. ñías de Tarjetas de Pago PCI: La nueva Estrategia de Seguridad de las Compañí ñías de Tarjetas de Pago Lic. Pablo Milano (PCI Qualified Security Asessor) CYBSEC S.A Security Systems Temario Casos reales de robo de información

Más detalles

Presentada por: RODRÍGUEZ, Marcela Laura Gerente de Consultoría

Presentada por: RODRÍGUEZ, Marcela Laura Gerente de Consultoría Presentada por: RODRÍGUEZ, Marcela Laura Gerente de Consultoría Aclaración: Todos los derechos reservados. No está permitida la reproducción parcial o total del material de esta sesión, ni su tratamiento

Más detalles

Tu Educación en Manos de Profesionales

Tu Educación en Manos de Profesionales La Universidad Nacional de Ingeniera (UNI) a través de la Dirección de Posgrado, tiene el agrado de invitarlos a la Segunda Convocatoria de cursos especializados de capacitación y actualización continua

Más detalles

RESILIENCIA DEL SOFTWARE ENFOCADO DESDE EL MODELO CERT-RMM

RESILIENCIA DEL SOFTWARE ENFOCADO DESDE EL MODELO CERT-RMM RESILIENCIA DEL SOFTWARE ENFOCADO DESDE EL MODELO CERT-RMM Presentada por: Jaramillo H. Danilo R. Docente Investigador, UTPL Aclaración: Todos los derechos reservados. No está permitida la reproducción

Más detalles

Auditorías de Seguridad: revisión como método de prevención. Vicente Aguilera Díaz Internet Security Auditors, S.L.

Auditorías de Seguridad: revisión como método de prevención. Vicente Aguilera Díaz Internet Security Auditors, S.L. Auditorías de Seguridad: revisión como método de prevención Vicente Aguilera Díaz Internet Security Auditors, S.L. CONTENIDO 1. Protección de la información 2. Auditorías de seguridad 3. Implantación de

Más detalles

La Empresa en Riesgo?

La Empresa en Riesgo? 1 La Empresa en Riesgo? Claves de la Seguridad Informática MSc. Julio C. Ardita jardita@cybsec.com 19 de Octubre de 2004 Buenos Aires - ARGENTINA 2 Temario - Situación actual - Problemática de la seguridad

Más detalles

Madurez del mercado español

Madurez del mercado español Madurez del mercado español Calidad y seguridad de aplicaciones Ponente Luisa Morales Gómez-Tejedor Directora del Centro de Competencias de Sopra Por qué un estudio sobre la calidad y la seguridad?! Según

Más detalles

Seguridad en Aplicaciones Web

Seguridad en Aplicaciones Web Seguridad en Aplicaciones Web Juan Isaias Calderón CISSP, GCFA, ECSA, CEH, MCP jcalderon@trustwave.com SpiderLabs Lámina 1 Dr. Roberto Gómez C. Inseguridad de las aplicaciones Web De 300 sites auditados

Más detalles

CAPITULO 14 SEGURIDAD EN LA RED

CAPITULO 14 SEGURIDAD EN LA RED CAPITULO 14 SEGURIDAD EN LA RED Seguridad en la red La palabra seguridad de acuerdo con el Diccionario American Heritage es sinónimo de garantía y garantizar. Según el diccionario de la Real Academia seguridad

Más detalles

Symantec Mobile Management for Configuration Manager 7.2

Symantec Mobile Management for Configuration Manager 7.2 Symantec Mobile Management for Configuration Manager 7.2 Gestión de dispositivos integrada, segura y escalable Hoja de datos: Gestión y movilidad de puntos finales Descripción general La rápida proliferación

Más detalles

Capítulo 2.- Vulnerabilidades en aplicaciones web.

Capítulo 2.- Vulnerabilidades en aplicaciones web. Capítulo 2.- Vulnerabilidades en aplicaciones web. En este capítulo se explican algunas vulnerabilidades en aplicaciones web que pueden ser explotadas por software o por personas malintencionadas y como

Más detalles

Gestión de la Seguridad Informática

Gestión de la Seguridad Informática Documento de Gestión de la Seguridad Informática Versión 01 ARCHIVO: ANEXO6_GESTION DE LA SEGURIDAD INFORMATICA Nº. PÁG: 1 / 6 CREADO: 11/11/a TABLA DE CONTENIDO 1. GESTIÓN DE SEGURIDAD INFORMÁTICA...

Más detalles

Principales desafíos de Seguridad Informática asociados a la implementación de la Agenda Digital Peruana

Principales desafíos de Seguridad Informática asociados a la implementación de la Agenda Digital Peruana Principales desafíos de Seguridad Informática asociados a la implementación de la Agenda Digital Peruana Presentada por: Graciela Ricci, CISA, CGEIT, CRISC Socia PwC Aclaración: Todos los derechos reservados.

Más detalles

Tendencias 2014 Gestión de Seguridad de la Información en Instituciones Financieras de América Latina. Guatemala Julio 2014

Tendencias 2014 Gestión de Seguridad de la Información en Instituciones Financieras de América Latina. Guatemala Julio 2014 Tendencias 2014 Gestión de Seguridad de la Información en Instituciones Financieras de América Latina Guatemala Julio 2014 Agenda Introducción Tendencias Seguridad 2014 Conclusiones 2014 - Deloitte Introducción

Más detalles

SEGURIDAD INFORMATICA HERRAMIENTAS PARA LA SEGURIDAD EN REDES DE COMPUTADORES

SEGURIDAD INFORMATICA HERRAMIENTAS PARA LA SEGURIDAD EN REDES DE COMPUTADORES SEGURIDAD INFORMATICA HERRAMIENTAS PARA LA SEGURIDAD EN REDES DE COMPUTADORES Defensa equipo a equipo INTERNET Redes Externas Defensa perimetral Cliente Herramientas para la seguridad en Firewall Servicios

Más detalles

TERCERIZACIÓN DE SERVICIOS DE TI. ANEXO 4 - Actividades y niveles de servicio definidos para Primer Nivel de Soporte en Seguridad

TERCERIZACIÓN DE SERVICIOS DE TI. ANEXO 4 - Actividades y niveles de servicio definidos para Primer Nivel de Soporte en Seguridad TERCERIZACIÓN DE SERVICIOS DE TI ANEXO 4 - Actividades y niveles de servicio definidos para Primer Nivel de Soporte en Seguridad 1. ALCANCE: El Primer Nivel de Soporte en Seguridad atenderá todas las solicitudes

Más detalles

ADMINISTRACIÓN DE TECNOLOGÍAS E INFORMACIÓN PROCEDIMIENTO VERSIÓN: 1 ADMINISTRACION DE INFRAESTRUCTURA TECNOLOGICA

ADMINISTRACIÓN DE TECNOLOGÍAS E INFORMACIÓN PROCEDIMIENTO VERSIÓN: 1 ADMINISTRACION DE INFRAESTRUCTURA TECNOLOGICA ADMINISTRACIÓN DE TECNOLOGÍAS E INFORMACIÓN PROCEDIMIENTO VERSIÓN: 1 ADMINISTRACION DE INFRAESTRUCTURA TECNOLOGICA CÓDIGO: APO4-P-002 FECHA DE VIGENCIA 05/Feb/2014 1. OBJETIVO Proveer, mantener y garantizar

Más detalles

Patricio Sotomayor Jefe de Área Proyectos I+D Grupo SURA

Patricio Sotomayor Jefe de Área Proyectos I+D Grupo SURA Ricardo José Gadea Director General Assertiva S.A. Presentadadores: Patricio Sotomayor Jefe de Área Proyectos I+D Grupo SURA José Miguel Salgado Líder de Proyectos IT Grupo SURA Aclaración: Todos los derechos

Más detalles

VÍDEO intypedia007es LECCIÓN 7: SEGURIDAD EN APLICACIONES WEB. INTRODUCCIÓN A LAS TÉCNICAS DE INYECCIÓN SQL. AUTOR: Chema Alonso

VÍDEO intypedia007es LECCIÓN 7: SEGURIDAD EN APLICACIONES WEB. INTRODUCCIÓN A LAS TÉCNICAS DE INYECCIÓN SQL. AUTOR: Chema Alonso VÍDEO intypedia007es LECCIÓN 7: SEGURIDAD EN APLICACIONES WEB. INTRODUCCIÓN A LAS TÉCNICAS DE INYECCIÓN SQL AUTOR: Chema Alonso Consultor de Seguridad en Informática 64. Microsoft MVP Enterprise Security

Más detalles

PCI-DSS 2.0 - Experiencias prácticas

PCI-DSS 2.0 - Experiencias prácticas PCI-DSS 2.0 - Experiencias prácticas Julio César Ardita, CISM jardita@cybsec.com Agenda - Payment Card Industry Security Standards Council (PCI-SSC) - Requisitos de validación de cumplimiento - Qualified

Más detalles

La historia de Imperva

La historia de Imperva La historia de Imperva La misión de Imperva es sencilla: Proteger la información que impulsa a las empresas de nuestros clientes Para lograr eso, Imperva es la empresa líder en la creación de una nueva

Más detalles

PROYECTO METODOLOGIA PARA LA ELABORACION DEL PLAN DE SEGURIDAD INFORMATICA

PROYECTO METODOLOGIA PARA LA ELABORACION DEL PLAN DE SEGURIDAD INFORMATICA PROYECTO METODOLOGIA PARA LA ELABORACION DEL PLAN DE SEGURIDAD INFORMATICA Propósitos de este documento El objetivo del presente documento es establecer una metodología para la elaboración del Plan de

Más detalles

Métricas para la Seguridad de las Aplicaciones. MAI. Andrés Casas CISSP - CISA - CISM - CRISC - ITIL - COBIT Deloitte & Touche, S.A.

Métricas para la Seguridad de las Aplicaciones. MAI. Andrés Casas CISSP - CISA - CISM - CRISC - ITIL - COBIT Deloitte & Touche, S.A. Métricas para la Seguridad de las Aplicaciones MAI. Andrés Casas CISSP - CISA - CISM - CRISC - ITIL - COBIT Deloitte & Touche, S.A. Expositor About Me MAI. Andrés Casas, Director de Gestión de Riesgo de

Más detalles

Análisis requerimientos Dominios Tecnológicos del PMG-SSI 2012 y la Gestión de los Controles necesarios para su cumplimiento

Análisis requerimientos Dominios Tecnológicos del PMG-SSI 2012 y la Gestión de los Controles necesarios para su cumplimiento Análisis requerimientos Dominios Tecnológicos del PMG-SSI 2012 y la Gestión de los Controles necesarios para su cumplimiento Cumplimiento En Forma y Fondo Cumplimiento En Forma: Requerimientos y herramientas

Más detalles

Diferenciadores entre ediciones de Bases de Datos Oracle Octubre de 2011. Standard Edition One. Express Edition. Standard Edition

Diferenciadores entre ediciones de Bases de Datos Oracle Octubre de 2011. Standard Edition One. Express Edition. Standard Edition Diferenciadores entre ediciones de Bases de Datos Oracle Octubre de 2011 Características Express Standard One Standard Enterprise Procesamiento Máximo 1 CPU 2 Sockets 4 Sockets Sin límite Memoria RAM Máxima

Más detalles

Ciber Seguridad en Redes Industriales. Jhon Jairo Padilla Aguilar, PhD.

Ciber Seguridad en Redes Industriales. Jhon Jairo Padilla Aguilar, PhD. Ciber Seguridad en Redes Industriales Jhon Jairo Padilla Aguilar, PhD. El problema La conectividad expone las redes industriales críticamente seguras a una gran cantidad de problemas del Internet. Debido

Más detalles

Pruebas de Seguridad en aplicaciones web segun OWASP Donde estamos... Hacia donde vamos?

Pruebas de Seguridad en aplicaciones web segun OWASP Donde estamos... Hacia donde vamos? Venezuela The Foundation http://www.owasp.org Chapter Pruebas de Seguridad en aplicaciones web segun Donde estamos... Hacia donde vamos? Edgar D. Salazar T Venezuela Chapter Leader edgar.salazar@owasp.org

Más detalles