Asociación Latinoamericana de Profesionales en Seguridad Informática Seguridad Informática Mitos...
-
Upload
piedad-gato -
Category
Documents
-
view
4 -
download
1
Transcript of Asociación Latinoamericana de Profesionales en Seguridad Informática Seguridad Informática Mitos...
Asociación Latinoamericana de Profesionales en Seguridad Informática
““Seguridad Informática Mitos y Seguridad Informática Mitos y Realidades”Realidades”
VII Reunión de Responsables de Sistemas de InformaciónSan Pedro Sula, Honduras
Adrián Palma,CISSP,CISA,CISM.PresidenteALAPSI INTERNACIONAL
Asociación Latinoamericana de Profesionales en Seguridad Informática
IntroducciónIntroducción
La actualidad y la información.
Grandes volúmenes de información y procesos.
Alta dependencia tecnológica.
Bajo control en la protección de información.
Internet, una nueva forma de vida o un problema para pensar.
Necesitamos seguridad.
Asociación Latinoamericana de Profesionales en Seguridad Informática
IntroducciónIntroducción
Pero...
¿qué vamos a proteger?
¿cómo lo vamos a proteger?
¿qué tan costosa es la seguridad?
¿quién va a responder estas preguntas?
Sin embargo, antes de que se respondan, sabemos que necesitamos seguridad, eso es un hecho!!!.
Asociación Latinoamericana de Profesionales en Seguridad Informática
IntroducciónIntroducción
Veamos los 6 errores mas comunes:
Ya compramos un Firewall, ya tenemos seguridad ¿no?.
Manejar el oscurantismo de lo inesperado.
Nunca ha pasado nada, o al menos no nos hemos dado cuenta.
No estoy en Internet, no necesito seguridad.
Mis empleados son gente de confianza!!!
Ver el problema de la seguridad como un problema tecnológico.
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas de AtaquesEstadísticas de Ataques
¿quién invierte mas en seguridad?¿de dónde vienen los ataques?¿ qué tecnologías son las mas usadas?¿cuánto cuestan las intrusiones?¿y los sitios web?, etc.
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
Clasificación por puesto del participante
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
Clasificación por volumen de ingresos de la organización participante
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
Participación por sector industrial
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Qué tan importante es la seguridad de la información para alcanzar los objetivos del negocio?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Cuánta importancia le dan los ejecutivos al tema?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Existen o se planea que existan las siguientes posiciones en su organización?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Existen o se planea que existan las siguientes posiciones en su organización?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿A quién le reporta su departamento de seguridad de la información?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Qué tan efectivo es su departamento de seguridad de la información para satisfacer sus necesidades de la organización?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Con qué frecuencia se reporta a su consejo de dirección o equivalente sobre temas relacionados con seguridad de la información?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Qué tan seguido se reúne el responsable de la seguridad de la información con los líderes de las unidades de negocio?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
De la Preocupación a la Conciencia
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
Prácticas de Control
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
Prácticas de Control
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
Prácticas de Monitoreo
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
Prácticas de Análisis de Riesgos
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Qué le preocupa?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿En qué va a concentrarse?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Qué le quitó el sueño?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Qué le quitó el sueño?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Cuanto se lo quitó?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Cuál fue el que más daño causó?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Ejecuta pruebas de penetración recurrentes o planea ejecutarlas en el 2004?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Qué tan preparados están para hacer frente a sus vulnerabilidades?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Quién cree que enfrenta mayores riesgos?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
Preparándose para lo inesperado
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
En relación con los ingresos por ventas ¿Qué porcentaje representa su presupuesto para seguridad?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Cómo es su presupuesto de seguridad de la información de 2004 en comparación con 2003?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Cómo cree que será su presupuesto de seguridad de la información de 2005 en comparación con 2004?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Espera que el tiempo que su organización dedique al tema de seguridad de la información en 2004 se incremente o decremento?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Qué tan efectiva cree que está siendo la inversión en seguridad de la información en relación con los objetivos de negocio y las amenazas?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Qué lo detiene?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Qué tan efectivas son sus herramientas?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Qué tan efectiva es la tercerización para su programa de seguridad?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
¿Qué tan efectivos son sus servicios?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
EstadísticasEstadísticas
Si algo le sucediera ¿A quién le avisaría?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
La seguridad Informática, La seguridad Informática, sus problemas y limitacionessus problemas y limitacionesLa seguridad Informática, La seguridad Informática, sus problemas y limitacionessus problemas y limitaciones
¿los conocemos?...
¿todos?
Asociación Latinoamericana de Profesionales en Seguridad Informática
La seguridad de la informaciónLa seguridad de la información
Áreas Tecnológicas
Gente
De herramientas de Seguridad
Infraestructura de TI
Negocio
Organizacional
¿De quién es el problema de la seguridad?
Asociación Latinoamericana de Profesionales en Seguridad Informática
La seguridad y sus problemasLa seguridad y sus problemas
La seguridad “corre” en sentido completamente opuesto a la operación...
Seguridad Operación
Entonces, ¿¿¿mucha o poca seguridad???
Asociación Latinoamericana de Profesionales en Seguridad Informática
La seguridad y sus problemasLa seguridad y sus problemas
La operación vs. el Nivel de Seguridad
Estado de EQUILIBRIO
Seguridad en proporción del posible impacto y costo de implantación
Esto es logrado mediante la construcción de una arquitectura de seguridad basada en análisis de riesgos
Asociación Latinoamericana de Profesionales en Seguridad Informática
La seguridad y sus problemasLa seguridad y sus problemas
Internet es:Cada vez más peligrosa, mas necesaria y más complejaCada vez hay mas proveedores, socios de negocio, clientes, pero tambien, competidores, enemigos y amenazas
Productos de seguridad orientados a la detecciónRechazan el ataque, oFallan!!!
Asociación Latinoamericana de Profesionales en Seguridad Informática
La seguridad y sus limitacionesLa seguridad y sus limitaciones
Demasiados proveedoresDemasiados productosDemasiados serviciosPoca información sólida
Problemas en el escalamiento y/o comprensión de las necesidades de seguridad
Ya tenemos un firewall!!! o ¿no?
Cuando vendes martillos, a todos los problemas les ves
cabeza de clavo, ¿o no?
Asociación Latinoamericana de Profesionales en Seguridad Informática
La seguridad y sus limitacionesLa seguridad y sus limitaciones
El administrador de seguridad debe estar prevenido de todos y cada uno de los ataques y vulnerabilidades, conocidos y desconocidos
Los atacantes SÓLO necesitan explotar UNA vulnerabilidad
Poca gente disponible y especializada
Asociación Latinoamericana de Profesionales en Seguridad Informática
Pocos proveedores enfocados a la seguridad de la información
Muy pocos con verdadera provisión de Soluciones Integrales, o son productos o serviciosDemasiada improvisaciónOrientados a un área de experiencia
La seguridad es relativa y dinámicaLo que hoy puede ser seguro, mañana “seguramente” no lo seráNo existe seguridad a prueba de todo
La seguridad y sus limitacionesLa seguridad y sus limitaciones
Asociación Latinoamericana de Profesionales en Seguridad Informática
Algunas recomendacionesAlgunas recomendaciones
Administre el riesgoTodas las compañías lo hacen en sus procesos de negocioEl de la tecnología de información es uno másSe presentarán fallasEl negocio las puede resistirDebe incluirse en el costo de hacer negocio
Hay que equilibrar riesgo .vs. costoLa evaluación de esta fórmula debe ser continuaCambia con el tiempo, las condiciones de negocio, la gente, los cambios organizacionales, las fusiones, las alianzas, la tecnología, etc.
Asociación Latinoamericana de Profesionales en Seguridad Informática
Algunas recomendacionesAlgunas recomendaciones
Proteja, Detecte y RespondaTodos los productos presentan fallas durante su vida útilTodos los proveedores de servicios cometen errores durante la duración del contratoSus usuarios se equivocan o deciden actuar en contra de las recomendaciones
Hay que monitorearLos monitores deben estar capacitados para tomar acciones que vayan más de allá de hacer sonar una alarma
Asociación Latinoamericana de Profesionales en Seguridad Informática
Algunas recomendacionesAlgunas recomendaciones
Contrate uno o más Proveedores de Cabecera.
Ellos se dedican a la seguridad, su empresa o institución no!
Tienen mas experiencia por el número de clientes con los que trabajan.
Un buen proveedor puede entender, apreciar y actuar de manera efectiva observando la seguridad y sus efectos así como los requerimientos de negocio.
Asociación Latinoamericana de Profesionales en Seguridad Informática
¡M u c h a s g r a c i a s!¡M u c h a s g r a c i a s!
Adrián Palma,CISSP,CISA,CISM
www.alapsi.org