Seguridad Informática Mitos y Realidades VII Reunión de Responsables de Sistemas de Información San Pedro Sula, Honduras Adrián Palma,CISSP,CISA,CISM. Presidente ALAPSI INTERNACIONAL
Introducción La actualidad y la información. Grandes volúmenes de información y procesos. Alta dependencia tecnológica. Bajo control en la protección de información. Internet, una nueva forma de vida o un problema para pensar. Necesitamos seguridad.
Introducción Pero... qué vamos a proteger? cómo lo vamos a proteger? qué tan costosa es la seguridad? quién va a responder estas preguntas? Sin embargo, antes de que se respondan, sabemos que necesitamos seguridad, eso es un hecho!!!.
Introducción Veamos los 6 errores mas comunes: Ya compramos un Firewall, ya tenemos seguridad no?. Manejar el oscurantismo de lo inesperado. Nunca ha pasado nada, o al menos no nos hemos dado cuenta. No estoy en Internet, no necesito seguridad. Mis empleados son gente de confianza!!! Ver el problema de la seguridad como un problema tecnológico.
de Ataques quién invierte mas en seguridad? de dónde vienen los ataques? qué tecnologías son las mas usadas? cuánto cuestan las intrusiones? y los sitios web?, etc.
Clasificación por puesto del participante
Clasificación por volumen de ingresos de la organización participante
Participación por sector industrial
Qué tan importante es la seguridad de la información para alcanzar los objetivos del negocio?
Cuánta importancia le dan los ejecutivos al tema?
Existen o se planea que existan las siguientes posiciones en su organización?
Existen o se planea que existan las siguientes posiciones en su organización?
A quién le reporta su departamento de seguridad de la información?
Qué tan efectivo es su departamento de seguridad de la información para satisfacer sus necesidades de la organización?
Con qué frecuencia se reporta a su consejo de dirección o equivalente sobre temas relacionados con seguridad de la información?
Qué tan seguido se reúne el responsable de la seguridad de la información con los líderes de las unidades de negocio?
De la Preocupación a la Conciencia
Prácticas de Control
Prácticas de Control
Prácticas de Monitoreo
Prácticas de Análisis de Riesgos
Qué le preocupa?
En qué va a concentrarse?
Qué le quitó el sueño?
Qué le quitó el sueño?
Cuanto se lo quitó?
Cuál fue el que más daño causó?
Ejecuta pruebas de penetración recurrentes o planea ejecutarlas en el 2004?
Qué tan preparados están para hacer frente a sus vulnerabilidades?
Quién cree que enfrenta mayores riesgos? Estadísticas
Preparándose para lo inesperado
En relación con los ingresos por ventas Qué porcentaje representa su presupuesto para seguridad?
Cómo es su presupuesto de seguridad de la información de 2004 en comparación con 2003?
Cómo cree que será su presupuesto de seguridad de la información de 2005 en comparación con 2004?
Espera que el tiempo que su organización dedique al tema de seguridad de la información en 2004 se incremente o decremento?
Qué tan efectiva cree que está siendo la inversión en seguridad de la información en relación con los objetivos de negocio y las amenazas?
Qué lo detiene?
Qué tan efectivas son sus herramientas? Estadísticas
Qué tan efectiva es la tercerización para su programa de seguridad?
Qué tan efectivos son sus servicios?
Si algo le sucediera A quién le avisaría?
La seguridad Informática, sus problemas y limitaciones los conocemos?... todos?
La seguridad de la información De quién es el problema de la seguridad? Áreas Tecnológicas Gente De herramientas de Seguridad Infraestructura de TI Negocio Organizacional
La seguridad y sus problemas La seguridad corre en sentido completamente opuesto a la operación... Seguridad Operación Entonces, mucha o poca seguridad???
La seguridad y sus problemas La operación vs. el Nivel de Seguridad Estado de EQUILIBRIO Seguridad en proporción del posible impacto y costo de implantación Esto es logrado mediante la construcción de una arquitectura de seguridad basada en análisis de riesgos
La seguridad y sus problemas Internet es: Cada vez más peligrosa, mas necesaria y más compleja Cada vez hay mas proveedores, socios de negocio, clientes, pero tambien, competidores, enemigos y amenazas Productos de seguridad orientados a la detección Rechazan el ataque, o Fallan!!!
La seguridad y sus limitaciones Demasiados proveedores Demasiados productos Demasiados servicios Poca información sólida Problemas en el escalamiento y/o comprensión de las necesidades de seguridad Ya tenemos un firewall!!! o no? Cuando vendes martillos, a todos los problemas les ves cabeza de clavo, o no?
La seguridad y sus limitaciones El administrador de seguridad debe estar prevenido de todos y cada uno de los ataques y vulnerabilidades, conocidos y desconocidos Los atacantes SÓLO necesitan explotar UNA vulnerabilidad Poca gente disponible y especializada
La seguridad y sus limitaciones Pocos proveedores enfocados a la seguridad de la información Muy pocos con verdadera provisión de Soluciones Integrales, o son productos o servicios Demasiada improvisación Orientados a un área de experiencia La seguridad es relativa y dinámica Lo que hoy puede ser seguro, mañana seguramente no lo será No existe seguridad a prueba de todo
Algunas recomendaciones Administre el riesgo Todas las compañías lo hacen en sus procesos de negocio El de la tecnología de información es uno más Se presentarán fallas El negocio las puede resistir Debe incluirse en el costo de hacer negocio Hay que equilibrar riesgo.vs. costo La evaluación de esta fórmula debe ser continua Cambia con el tiempo, las condiciones de negocio, la gente, los cambios organizacionales, las fusiones, las alianzas, la tecnología, etc.
Algunas recomendaciones Proteja, Detecte y Responda Todos los productos presentan fallas durante su vida útil Todos los proveedores de servicios cometen errores durante la duración del contrato Sus usuarios se equivocan o deciden actuar en contra de las recomendaciones Hay que monitorear Los monitores deben estar capacitados para tomar acciones que vayan más de allá de hacer sonar una alarma
Algunas recomendaciones Contrate uno o más Proveedores de Cabecera. Ellos se dedican a la seguridad, su empresa o institución no! Tienen mas experiencia por el número de clientes con los que trabajan. Un buen proveedor puede entender, apreciar y actuar de manera efectiva observando la seguridad y sus efectos así como los requerimientos de negocio.
M u c h a s g r a c i a s! Adrián Palma,CISSP,CISA,CISM presidencia@alapsi.org www.alapsi.org