Seguridad en Aplicaciones Críticas; SAT. Carlos Jiménez González

Transcripción

1 Seguridad en Aplicaciones Críticas; SAT Carlos Jiménez González Industry Forum IBM Corporation

2 Agenda Quién es el SAT? Necesidad Búsqueda de Soluciones Porqué asegurar los datos / Bases de Datos?

3 Quién es? El Servicio de Administración Tributaria es el encargado de regular y recaudar las contribuciones federales por concepto de Impuestos Internos y Comercio Exterior. En los últimos años ha transformado sus procesos para hacerlos mas eficaces y eficientes mediante el uso intensivo de soluciones tecnológicas integrales y servicios electrónicos ofrecidos de forma no presencial.

4 Nuestra Visión Recaudar las contribuciones federales y controlar la entrada y salida de mercancías del territorio nacional, garantizando la correcta aplicación de la legislación y promoviendo el cumplimiento voluntario y oportuno Nuestra Misión Ser una institución eficiente, eficaz y orientada al Contribuyente, con procesos integrados, formada por un equipo honesto, profesional y comprometido, al servicio de los mexicanos Nuestros Valores Compromiso, Honestidad, Respeto

5 Necesidad Para el SAT, la seguridad de los contribuyentes es un punto crucial. Por tal motivo, se decidió tomar una actitud preventiva de seguridad ante las amenazas de todo origen, así como fortalecer su imagen frente a los contribuyentes, otras entidades de gobierno y la sociedad en general a fin de maximizar la confiabilidad interna y externa por la adecuada protección de su información

6 Búsqueda Dados los requerimientos del SAT, en 2008 comenzamos a buscar en una serie de productos que pudieran analizar las posibles vulnerabilidades en los portales antes de su puesta en producción. Por diversos motivos entre los que destacan la integración con nuestra plataforma de pruebas y el valor de sus resultados, la decisión fue por IBM Rational AppScan

7 Porqué asegurar los datos / Bases de Datos? Para proteger la integridad de la información desde su generación, transformación, y durante su transmisión. Para proteger la confidencialidad y privacidad de la información sujeta por ley a obligación de secrecía. Para proteger la información, acceso y alteraciones no autorizadas. Para proteger la imagen del SAT y ser confiables a usuarios internos y externos.

8 Porqué asegurar las aplicaciones? Acceso / Uso no autorizado Código malicioso (exploits, gusanos, virus, spam, phishing, spyware, keyloggers ) Divulgación de información confidencial Acciones Inadvertidas o mal intencionadas Hackers, empleados Crimen organizado Cumplimiento, auditorías

9 Hackers? Empleados Clientes Becarios Servicio social Consultores Terceros Familiares Prestadores de servicio

10 Riesgos Acceso no autorizado Alteración (cambio o borrado) de información Robo de información Divulgación de información Negación de servicio Saturación de servicio Robo de identidad

11 Consecuencias Pérdidas: Imagen y prestigio Confianza Afectaciones al interés fiscal Productividad Tiempo Esfuerzos de recuperación Sanciones: Legales (Demandas, Repudio de actos). Económicas (Penalizaciones)

12 Solución adoptada en el SAT IBM Rational AppScan Enterprise es una solución de escaneo automática que hace evaluaciones de vulnerabilidad sobre aplicaciones Web integrada al proceso de pruebas y liberación de aplicaciones. Automatiza el ciclo de QA de seguridad a lo largo de equipos distribuidos Administración centralizada con flexibilidad para agregar nuevos equipos de pruebas

13 Beneficios Identifica vulnerabilidades de las aplicaciones web y una prueba de las soluciones durante el ciclo de Desarrollo y Pruebas. Ayuda a reducir los costos y los riesgos asociados con la seguridad en línea. Provee de seguridad a sus aplicaciones de posibles ataques por parte de Hackers, empleados descontentos, etc. Prueba sus aplicaciones antes de ser liberadas. Construye reportes entendibles para diferentes niveles dentro de la institución.

14 GRACIAS Copyright IBM Corporation 2009 All rights reserved. The information contained in these materials is provided for informational purposes only, and is provided AS IS without warranty of any kind, express or implied. IBM shall not be responsible for any damages arising out of the use of, or otherwise related to, these materials. Nothing contained in these materials is intended to, nor shall have the effect of, creating any warranties or representations from IBM or its suppliers or licensors, or altering the terms and conditions of the applicable license agreement governing the use of IBM software. References in these materials to IBM products, programs, or services do not imply that they will be available in all countries in which IBM operates. Product release dates and/or capabilities referenced in these materials may change at any time at IBM s sole discretion based on market opportunities or other factors, and are not intended to be a commitment to future product or feature availability in any way. IBM, the IBM logo, the on-demand business logo, Rational, the Rational logo, and other IBM products and services are trademarks of the International Business Machines Corporation, in the United States, other countries or both. Other company, product, or service names may be trademarks or service marks of others.