“seguridad informática mitos y realidades”€¦ · asociación latinoamericana de...
TRANSCRIPT
Asociación Latinoamericana de Profesionales en Seguridad Informática
“Seguridad Informática Mitos y Realidades”
VII Reunión de Responsables de Sistemas de InformaciónSan Pedro Sula, Honduras
Adrián Palma,CISSP,CISA,CISM.PresidenteALAPSI INTERNACIONAL
Asociación Latinoamericana de Profesionales en Seguridad Informática
Introducción
La actualidad y la información.
Grandes volúmenes de información y procesos.
Alta dependencia tecnológica.
Bajo control en la protección de información.
Internet, una nueva forma de vida o un problema para pensar.
Necesitamos seguridad.
Asociación Latinoamericana de Profesionales en Seguridad Informática
Introducción
Pero...
¿qué vamos a proteger?
¿cómo lo vamos a proteger?
¿qué tan costosa es la seguridad?
¿quién va a responder estas preguntas?
Sin embargo, antes de que se respondan, sabemos que necesitamos seguridad, eso es un hecho!!!.
Asociación Latinoamericana de Profesionales en Seguridad Informática
Introducción
Veamos los 6 errores mas comunes:
Ya compramos un Firewall, ya tenemos seguridad ¿no?.
Manejar el oscurantismo de lo inesperado.
Nunca ha pasado nada, o al menos no nos hemos dado cuenta.
No estoy en Internet, no necesito seguridad.
Mis empleados son gente de confianza!!!
Ver el problema de la seguridad como un problema tecnológico.
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas de Ataques
¿quién invierte mas en seguridad?¿de dónde vienen los ataques?¿ qué tecnologías son las mas usadas?¿cuánto cuestan las intrusiones?¿y los sitios web?, etc.
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
Clasificación por puesto del participante
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
Clasificación por volumen de ingresos de laorganización participante
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
Participación por sector industrial
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Qué tan importante es la seguridad de la informaciónpara alcanzar los objetivos del negocio?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Cuánta importancia le dan los ejecutivos al tema?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Existen o se planea que existan las siguientesposiciones en su organización?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Existen o se planea que existan las siguientesposiciones en su organización?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿A quién le reporta su departamento de seguridad de lainformación?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Qué tan efectivo es su departamento de seguridad dela información para satisfacer sus necesidades de laorganización?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Con qué frecuencia se reporta a su consejo dedirección o equivalente sobre temas relacionados conseguridad de la información?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Qué tan seguido se reúne el responsable de laseguridad de la información con los líderes de lasunidades de negocio?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
De la Preocupación a la Conciencia
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
Prácticas de Control
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
Prácticas de Control
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
Prácticas de Monitoreo
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
Prácticas de Análisis de Riesgos
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Qué le preocupa?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿En qué va a concentrarse?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Qué le quitó el sueño?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Qué le quitó el sueño?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Cuanto se lo quitó?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Cuál fue el que más daño causó?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Ejecuta pruebas de penetración recurrentes o planeaejecutarlas en el 2004?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Qué tan preparados están para hacer frente a susvulnerabilidades?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Quién cree que enfrenta mayores riesgos?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
Preparándose para lo inesperado
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
En relación con los ingresos por ventas ¿Qué porcentajerepresenta su presupuesto para seguridad?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Cómo es su presupuesto de seguridad de lainformación de 2004 en comparación con 2003?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Cómo cree que será su presupuesto de seguridad de lainformación de 2005 en comparación con 2004?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Espera que el tiempo que su organización dedique altema de seguridad de la información en 2004 seincremente o decremento?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Qué tan efectiva cree que está siendo la inversión enseguridad de la información en relación con losobjetivos de negocio y las amenazas?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Qué lo detiene?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Qué tan efectivas son sus herramientas?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Qué tan efectiva es la tercerización para su programade seguridad?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
¿Qué tan efectivos son sus servicios?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
Estadísticas
Si algo le sucediera ¿A quién le avisaría?
Fuente: Encuesta Global de Seguridad de la Información 2004
Asociación Latinoamericana de Profesionales en Seguridad Informática
La seguridad Informática, sus problemas y limitaciones
¿los conocemos?...
¿todos?
Asociación Latinoamericana de Profesionales en Seguridad Informática
La seguridad de la información
Áreas Tecnológicas
Gente
De herramientas de Seguridad
Infraestructura de TI
Negocio
Organizacional
¿De quién es el problema de la seguridad?
Asociación Latinoamericana de Profesionales en Seguridad Informática
La seguridad y sus problemas
La seguridad “corre” en sentido completamente opuesto a la operación...
Seguridad Operación
Entonces, ¿¿¿mucha o poca seguridad???
Asociación Latinoamericana de Profesionales en Seguridad Informática
La seguridad y sus problemas
La operación vs. el Nivel de Seguridad
Estado de EQUILIBRIO
≡ Seguridad en proporción del posible impacto y costo de implantación
≡ Esto es logrado mediante la construcción de una arquitectura de seguridad basada en análisis de riesgos
Asociación Latinoamericana de Profesionales en Seguridad Informática
La seguridad y sus problemas
Internet es:Cada vez más peligrosa, mas necesaria y más complejaCada vez hay mas proveedores, socios de negocio, clientes, pero tambien, competidores, enemigos y amenazas
Productos de seguridad orientados a la detecciónRechazan el ataque, oFallan!!!
Asociación Latinoamericana de Profesionales en Seguridad Informática
La seguridad y sus limitaciones
Demasiados proveedoresDemasiados productosDemasiados serviciosPoca información sólida
Problemas en el escalamiento y/o comprensión de las necesidades de seguridad
Ya tenemos un firewall!!! o ¿no?
Cuando vendes martillos, a todos los problemas les ves
cabeza de clavo, ¿o no?
Asociación Latinoamericana de Profesionales en Seguridad Informática
La seguridad y sus limitaciones
El administrador de seguridad debe estar prevenido de todos y cada uno de los ataques y vulnerabilidades, conocidos y desconocidos
Los atacantes SÓLO necesitan explotar UNAvulnerabilidad
Poca gente disponible y especializada
Asociación Latinoamericana de Profesionales en Seguridad Informática
Pocos proveedores enfocados a la seguridad de la información
Muy pocos con verdadera provisión de Soluciones Integrales, o son productos o serviciosDemasiada improvisaciónOrientados a un área de experiencia
La seguridad es relativa y dinámicaLo que hoy puede ser seguro, mañana “seguramente” no lo seráNo existe seguridad a prueba de todo
La seguridad y sus limitaciones
Asociación Latinoamericana de Profesionales en Seguridad Informática
Algunas recomendaciones
Administre el riesgoTodas las compañías lo hacen en sus procesos de negocioEl de la tecnología de información es uno másSe presentarán fallasEl negocio las puede resistirDebe incluirse en el costo de hacer negocio
Hay que equilibrar riesgo .vs. costoLa evaluación de esta fórmula debe ser continuaCambia con el tiempo, las condiciones de negocio, la gente, los cambios organizacionales, las fusiones, las alianzas, la tecnología, etc.
Asociación Latinoamericana de Profesionales en Seguridad Informática
Algunas recomendaciones
Proteja, Detecte y RespondaTodos los productos presentan fallas durante su vida útilTodos los proveedores de servicios cometen errores durante la duración del contratoSus usuarios se equivocan o deciden actuar en contra de las recomendaciones
Hay que monitorearLos monitores deben estar capacitados para tomar acciones que vayan más de allá de hacer sonar una alarma
Asociación Latinoamericana de Profesionales en Seguridad Informática
Algunas recomendaciones
Contrate uno o más Proveedores de Cabecera.
Ellos se dedican a la seguridad, su empresa oinstitución no!
Tienen mas experiencia por el número de clientes conlos que trabajan.
Un buen proveedor puede entender, apreciar y actuarde manera efectiva observando la seguridad y susefectos así como los requerimientos de negocio.
Asociación Latinoamericana de Profesionales en Seguridad Informática
¡M u c h a s g r a c i a s!
Adrián Palma,CISSP,CISA,[email protected]