Curso de Seguridad de la Información

Transcripción

1 Haga clic para cambiar el estilo de título Haga clic para modificar el estilo de texto del patrón Segundo nivel Tercer nivel Cuarto nivel Quinto nivel Curso de Seguridad de la Información Seguridad Física y Ambiental Agenda Estructura y Organización de Gestión de Seguridad Objetivos Gestión de Riesgos y Amenazas Consideraciones para el diseño y ubicación Contramedidas Norma TIA-942 Caso Práctico

2 Seguridad Física - Objetivos Primera línea de defensa Ubicación y construcción de instalaciones Gestión de riesgos de seguridad física, amenazas y contramedidas Gestión de riesgos de energía eléctrica y contramedidas Mecanismos de protección perimetral Detección de intrusiones físicas Manejo de fuego Qué se incluye dentro de Seguridad Física? Controles de Acceso Físico. Guardias Rejas Barreras Iluminación Llaves y cerraduras (comunes o eléctricas) Tarjetas de identificación/ acceso Escoltas Sistemas de Monitoreo/ Detección (CCTV)

3 Qué se incluye dentro de Seguridad Física? (Cont.) Protección Ambiental (Seguridad Ambiental). Protección Eléctrica Aire Acondicionado (heat, ventilation, and air conditioning - HVAC) Protección contra Agua Detección/ Supresión de Incendios Plan de Evacuación Sistemas de Monitoreo/ Detección ambiental Gestión de Riesgos Un análisis de riesgos debería considerar: Los riesgos comunes a una instalación típica. Identificación de riesgos que aplican a una industria típica. Este análisis asegura que se consideraron al menos los temas indispensables. Tipos de amenazas y riesgos que deben ser considerados: Daño físico Robo de recursos Interrupción de servicios Revelado no autorizado de información Desastres naturales Fuego Vandalismo Terrorismo Consideraciones ambientales

4 Clasificación de amenazas Amenazas Externas Viento/ Huracán/ Tornado Inundación Tormentas eléctricas/ Rayos Temblores de tierra/ Terremotos Frio y Hielo Fuego Químicos Amenazas Internas Fuego Falla ambiental Pérdida de líquidos Interrupción eléctrica Amenazas Humanas Robo Vandalismo Sabotage Espionage Errores Instalaciones Consideraciones de locación: Desastres naturales: diferentes locaciones son susceptibles de diferentes tipos de desastres. Delitos: los terrenos más baratos normalmente son menos seguros y se deberá gastar más en seguridad. Accesos: a rutas, autopistas o aeropuertos. Acceso de clientes: será necesario que accedan dentro de las instalaciones. Visibilidad: debería identificarse fácilmente la compañía desde afuera? Consideraciones de construcción: Uso: dependiendo del destino de la instalación, existen diferentes códigos de construcción (almacenes, fábricas, oficinas). Emanaciones: en instalaciones de alta seguridad puede ser un problema. Resistencia al fuego: materiales utilizados Ubicación del datacenter en el edificio: evitar subsuelos y últimos pisos

5 Instalaciones Restricción de acceso a áreas críticas: El personal de seguridad primero debe evaluar el flujo dentro de la Compañía: Quién necesita acceso a esta área? Cuán seguido deben acceder? Qué nivel de protección requieren los elementos a proteger? Definir niveles adecuados de control de acceso para este ambiente Definir alertas y generación de rastros de auditoría de las actividades Las reglamentaciones antiincendio requieren rutas de escape. También debe controlarse acceso a: Áreas de tableros eléctricos y de HVAC Sectores de telefonía o datos (armarios) Dispositivos de vigilancia y monitoreo. Salas de UPS. Grupo electrógeno. Acometidas. Diseño y Configuración del Site Analizar plan de mitigación de los riesgos Crimen local guardias, Alarmas, Rejas, CCTV Visibilidad (cuan expuesto estoy) Quitar Carteles que identifiquen a la firma. Accesos de emergencia Mejorarlos Amenazas naturales asumir el riesgo Tráfico aéreo y de superficie asumir el riesgo Co-propietarios/ inquilinos asumir el riesgo Provisión de energía electrica estable Mejorarlos Protección perimetral existente (barreras, rejas, puertas) Mejorarlos

6 Controles de Entradas Tipo de controles de entradas: Puertas giratorias: pueden bloquearse a voluntad para restringir el acceso de una persona en particular. Mantraps: las personas deben autenticarse para acceder a una primera puerta que brinda acceso a una sala intermedia. Luego deben autenticarse nuevamente para acceder a una segunda puerta y salir de esta sala para tener acceso definitivo. Se pueden usar controles biométricos en la segunda entrada. Controlan el piggibacking o colados Accesos Fail-Safe : requeridos en códigos de construcción por los bomberos. Por default las puertas están abiertas. En contrapartida están los acceso Fail-secure Controles Administrativos Controles de Personal interno. Revisiones pre-contratación (Background Check). Seguimiento continuo de empleados. Revisiones post-contratación. Controles de Proveedores NUNCA dejarlos solos en salas críticas (CdC, Sala de UPS, Sala de Redes, etc)

7 Controles técnicos y físicos Controles de Acceso a Instalaciones. Tarjetas de Acceso. Tarjetas con o sin foto incorporada. Tarjetas codificadas digitalmente. Lectores de proximidad (ContactLess). Dispositivos biométricos: Huellas digitales Geometría/termometria de la mano Reconocimiento de voz Escaneo de retina Escaneo de iris Verificación de firma Reconocimiento facial Controles técnicos y físicos CCTV Guardias, tarjeta de Acceso, Molinetes, CCTV Biometria, tarjetas de Acceso, llaves Llaves, CCTV

8 Controles técnicos y físicos Detección de Intrusos y Alarmas: Detección de Intrusos Perimetral. Sensores Fotoeléctricos Iluminación Switches de contacto secos. Puertas, Ventanas CCTV modernos Detectores de Movimiento. Patrones de onda Accesos indebidos Detectores de sonido roturas de cristales CCTV modernos Sistemas de Alarma. (ACUDA, Stand Alone) Controles técnicos y físicos Control de Inventario. Control físico de PCs Control de laptops. Requerimientos de Almacenamientos de Medios. Acceso físico a los medios. Controles ambientales. Inventario de contenido. Auditorías de uso. Reuso del medio y Remanencia de datos.

9 Protección Perimetral Acceso Vehicular Acceso de Personal: Ocupantes Visitantes (Escoltas y Logging) Cercas: Sirven para frenar un intruso casual Complementan otros controles de acceso NO detienen a un intruso determinado Existen cercas automáticas que detectan el toque de personas y pueden enviar una descarga Protección Perimetral Iluminación. Disuaden Entradas. Estacionamiento. Areas Críticas. Tratar de no dejar puntos negros. Sistemas de detección perimetrales. No previenen penetraciones. Alertan a quien se encuentra vigilando. Requieren de algun tipo de respuesta. Costoso/ Molesto.

10 Protección Perimetral CCTV Requieren de respuesta humana. Limitaciones y Ventajas Contratación de vigiladores. Puestos de control de acceso. Patrullas Protección Perimetral CCTV: Grabacion en Equipos dedicados o en PCs Cámaras Comunes e Infrarrojas

11 Requerimientos para un centro de Cómputos Ventanas No Sugeridas en un CdC Lay Outdel CdC Acceso al equipamiento. Almacenamiento. Areas ocupadas. Fuentes de agua. Ruteo de Cables. Conectividas entre Salas (UPS, CdC, redes, etc) Requerimientos Energía Eléctrica Definiciones: Blackout Pérdida de electricidad (apagón). Mitigación Grupo Electrógeno Brownout Período prolongado de baja tensión. Noise Interferencia aleatoria que afecta a un dispositivo. Sag - Período reducido de baja tensión Spike Pico de alto voltaje momentáneo. Surge - Período prolongado de alta tensión Transient Ruido de línea, interferencia a voltaje normal. UPS

12 Requerimientos Energía Eléctrica Circuitos dedicados para el CdC Acceso controlado a: Paneles de distribución electrica Transformadores Cables de electricidad Acometida del Proveedor de Energía Controles de apagado de emergencia. Contar con 2 Proveedores de Energía Protección contra picos de tensión UPS. Requerimientos Energía Eléctrica Electricidad de Backup. Uninterruptible Power Supply (UPS) Dura Minutos Peligro de Carga de Fuego pues usa Baterias Mantenimiento/ Testeo. Generador de Emergencia Dura horas /Dias Consideraciones de combustible (GasOil, GNC) Mantenimiento/ Testeo Costo / Beneficio

13 Requerimientos Energía Eléctrica La Electricidad de Backup del CdC SOLO debe alimentar: Iluminación de Emergencia del CdC Sistemas de control de acceso físico. Sistemas de protección/ detección de incendios. Computadoras/ Servers/ etc. Dispositivos de comunicaciones Sistemas telefónicos Aire Acondicionados Requerimientos Aire Acondicionado Se estar dedicado al CdC Debe contar con una fuente de electricidad independiente. Controles de apagado de emergencia. Monitoreable (via Mails, pagers, SMS, etc) Sistema Redundante (al menos contar con dos Aires Acondicionados)

14 Tipos de Fuego: Componentes del fuego: Calor Combustible Oxígeno Reacción química Medidas de prevención: Reducir la temperatura Remover el combustible Remover el oxígeno Romper la combustión química Tipos de Fuego:

15 Requerimientos Detección y supresión de incendios en CdC Debe contar con un sistema de detección de fuegos de clase C y B El sistema de detección debe ser redundante Extintores de agua de: cañería seca, cañería mojada, activos Tipos de sistemas: Detectores de humo fotoeléctricos Detectores de humo iónicos Detectores por aspiración de partículas Detectores de humo y llama ultravioletas En la extinción: Se debe usar un gas limpio que no dañe el equipamiento ni afecte a la gente Tipos de gases utilizados: FM-200 Haloclean EA-227 Test de Seguridad Física: Paseo Nocturno por la oficina Comprobar que: Información confidencial o sensitiva de la compañia no se encuentra sobre escritorios o en lugares de acceso público (por ej. impresoras). Las estaciones de trabajo se encuentren desconectadas de la red (logged off) y apagadas. Las oficinas se encuentren cerradas con llave. Las puertas de las salidas de emergencia (escaleras) se encuentren cerradas Escritorios y armarios se encuentren cerrados. Diskettes, tapes de datos, CDS se encuentran debidamente guardados.

16 TIA-942 Principales temas alcanzados: Diseño de instalaciones relacionadas. Diseño de Cableado y acometidas. Topología de los espacios para telecomunicaciones. Redundancia. TIA-942

17 Casos prácticos Valores actuales Tn/Frio BTU/hr Potencia KW Valores máximos Tn/Frio BTU/hr Potencia KW Casos prácticos Pasillos calientes Salidas de aire frío

18 Preguntas? Curso de Seguridad de la Información - Módulo 1II Estructura y Organización de Gestión de Seguridad 34