Casandra in Practice: the development of a Security Master Plan / Casandra en la Práctica: la elaboración de un Plan Director de Seguridad
Upcoming SlideShare
Loading in...5
×
 

Casandra in Practice: the development of a Security Master Plan / Casandra en la Práctica: la elaboración de un Plan Director de Seguridad

on

  • 562 views

Ponencia / Lecture.

Ponencia / Lecture.

Rafael Ortega. General Manager. Information 4 Security
Rafael Ortega. Director General de Information 4 Security.

Statistics

Views

Total Views
562
Views on SlideShare
487
Embed Views
75

Actions

Likes
0
Downloads
2
Comments
0

5 Embeds 75

http://www.cigtr.info 60
http://es.cigtr.info 9
http://cigtres.blogspot.com.es 3
http://cigtr-sicom.blogspot.com.es 2
http://test2sic.blogspot.com.es 1

Accessibility

Categories

Upload Details

Uploaded via as Adobe PDF

Usage Rights

© All Rights Reserved

Report content

Flagged as inappropriate Flag as inappropriate
Flag as inappropriate

Select your reason for flagging this presentation as inappropriate.

Cancel
  • Full Name Full Name Comment goes here.
    Are you sure you want to
    Your message goes here
    Processing…
Post Comment
Edit your comment

Casandra in Practice: the development of a Security Master Plan / Casandra en la Práctica: la elaboración de un Plan Director de Seguridad Casandra in Practice: the development of a Security Master Plan / Casandra en la Práctica: la elaboración de un Plan Director de Seguridad Presentation Transcript

  • CASANDRA en la práctica: La elaboración de un Plan Director de Seguridad
  • CONTENIDO 1. Introducción 2. Análisis de Riesgos 3. Plan Director de Seguridad de la Información 1. Práctica: Casandra 4. Seguridad en el Ciclo de Vida de Desarrollo 1. Práctica: Seguridad en Proyectos 1 4 2 5 3 6 2 2
  • 1. Introducción 3 3
  • Introducción 4
  • Introducción a La seguridad no es un valor absoluto si a>=0 -a si a<0 |a| 5
  • Introducción a a>=0 -a La seguridad no es un valor absoluto si si a<0 |a| No se puede hablar de un sistema informático que sea seguro si no más bien que no se conocen tipos de ataque que puedan vulnerarlo 6
  • Introducción a a>=0 -a La seguridad no es un valor absoluto si si a<0 |a| No se puede hablar de un sistema informático que sea seguro si no más bien que no se conocen tipos de ataque que puedan vulnerarlo El último eslabón de la seguridad descansa en la confianza en alguna persona El personal usuario de los sistemas de información constituye el eslabón más débil en la cadena de la seguridad, puesto que sus actuaciones no alineadas con las buenas prácticas en seguridad, pueden acarrear importantes impactos en la misma 7
  • Introducción a a>=0 -a La seguridad no es un valor absoluto si si a<0 |a| No se puede hablar de un sistema informático que sea seguro si no más bien que no se conocen tipos de ataque que puedan vulnerarlo El último eslabón de la seguridad descansa en la confianza en alguna persona El personal usuario de los sistemas de información constituye el eslabón más débil en la cadena de la seguridad, puesto que sus actuaciones no alineadas con las buenas prácticas en seguridad, pueden acarrear importantes impactos en la misma Es muy sencillo tener un sistema seguro. Simplemente tiene que desconectar todas las conexiones remotas y permitir únicamente los terminales directamente conectados, colocar la máquina y sus terminales en una sala protegida, y un guardia en la puerta 8
  • Sencillo… 9
  • Ley conservativa de la energía 10
  • Ley conservativa de la energía Incidencia Robo de Información DoS Exploits Vulnerabilidades Web Medidas de Protección 11
  • Medidas de Protección 12 12
  • Ley conservativa de la energía Incidencia Robo de Información DoS Escalado de Eventos Incidente Exploits Vulnerabilidades Web Gestión del Riesgo Medidas de Protección Medidas de Detección 13
  • Medidas de Detección 14 14
  • Ley conservativa de la energía Incidencia Robo de Información DoS Escalado de Eventos Incidente Tiempo en volver a la normalidad > R Exploits Vulnerabilidades Web Gestión del Riesgo Medidas de Protección Medidas de Detección Resiliencia Respuesta 15
  • Respuesta 16 16
  • Resiliencia En Teroría de Materiales Este concepto se refiere a la capacidad que los materiales tienen de acumular energía elástica antes de volverse viscosos o entrar en régimen de fluencia Se llama resiliencia de un material a la energía de deformación (por unidad de volumen) que puede ser recuperada de un cuerpo deformado cuando cesa el esfuerzo que causa la deformación. La resiliencia es igual al trabajo externo realizado para deformar un material hasta su límite elástico En la RAE 1. f. Psicol. Capacidad humana de asumir con flexibilidad situaciones límite y sobreponerse a ellas. 2. f. Mec. Capacidad de un material elástico para absorber y almacenar energía de deformación En IT Capacidad para recuperarse después de una crisis y recuperar el estado inicial En Seguridad IT La habilidad para reducir la magnitud y/o duración de eventos disruptivos. La efectividad de resiliencia de una infraestructura u organización depende de su habilidad de anticiparse, absorver, adaptarse y/o recuperarse rápidamente de un evento potencialmente disruptivo 17 17
  • Antropología “Las únicas especies que sobrevivieron fueron las que compartieron información” 18 18
  • Modelo de Servicio La seguridad es un servicio soportado por un conjunto de actividades que se organizan en procesos Función Gobierno de la Seguridad Readiness & Awareness Resiliencia Calidad y Eficiencia Mejora permanente Servicios Proceso 19 19
  • Modelo de Servicio La seguridad es un servicio soportado por un conjunto de actividades que se organizan en procesos 20 20
  • Modelo de Servicio La seguridad es un servicio soportado por un conjunto de actividades que se organizan en procesos Gobierno de la Seguridad Función focalizada en la sincronización de la Seguridad-TI-Negocio desde el punto de vista de ser un facilitador y no un inhibidor Función 21 21
  • Modelo de Servicio La seguridad es un servicio soportado por un conjunto de actividades que se organizan en procesos Gobierno de la Seguridad Función focalizada en la sincronización de la Seguridad-TI-Negocio desde el punto de vista de ser un facilitador y no un inhibidor Función Readiness & Awareness Servicio destinado a la preparación y cultura de seguridad en la organización Servicios 22 22
  • Modelo de Servicio La seguridad es un servicio soportado por un conjunto de actividades que se organizan en procesos Gobierno de la Seguridad Función focalizada en la sincronización de la Seguridad-TI-Negocio desde el punto de vista de ser un facilitador y no un inhibidor Readiness & Awareness Servicio destinado a la preparación y cultura de seguridad en la organización Función Resiliencia Servicio orientado a garantizar la continuidad de las actividades de la organización Servicios 23 23
  • Modelo de Servicio La seguridad es un servicio soportado por un conjunto de actividades que se organizan en procesos Gobierno de la Seguridad Función focalizada en la sincronización de la Seguridad-TI-Negocio desde el punto de vista de ser un facilitador y no un inhibidor Readiness & Awareness Servicio destinado a la preparación y cultura de seguridad en la organización Resiliencia Servicio orientado a garantizar la continuidad de las actividades de la organización Función Mejora permanente Destinado a medir y tomar acciones frente a todas las actividades realizadas en aspectos de seguridad Servicios 24 24
  • Modelo de Servicio La seguridad es un servicio soportado por un conjunto de actividades que se organizan en procesos Gobierno de la Seguridad Función focalizada en la sincronización de la Seguridad-TI-Negocio desde el punto de vista de ser un facilitador y no un inhibidor Readiness & Awareness Servicio destinado a la preparación y cultura de seguridad en la organización Resiliencia Servicio orientado a garantizar la continuidad de las actividades de la organización Función Mejora permanente Destinado a medir y tomar acciones frente a todas las actividades realizadas en aspectos de seguridad Calidad y Eficiencia Proceso encaminado a optimizar los recursos de seguridad (optimización de costes, integración de la seguridad en la infraestructura TI, certificaciones ISO) Servicios Proceso 25 25
  • Proceso Un proceso es un conjunto de actividades que se realizan o suceden bajo ciertas circunstancias con un fin determinado. En cualquier ámbito Entrada Nombre del Proceso Jurídico Fraude RRHH Análisis de Riesgos … Salida Tareas Actividades Responsable Dueño Suceso 26 26
  • Proceso de Análisis de Riesgos 27
  • 2. Análisis de Riesgos 28 28
  • Metodologías Clásicas EXPUESTO GESTIONADAS EXPLOTADAS ACTIVO AMENAZAS CONTROLES VULNERABILIDADES PUEDEN DEGRADAR FORMAN FORMAN POSEE SON REACTIVO PREVENTIVO EXPOSICION AL RIESGO CATALOGO DE AMENAZAS VALORACIÓN LISTA DE VULNERABILID ADES DISMINUYE DETERMINA IMPACTO PROBABILIDAD POSEE TIPO DE ACTIVO FRECUENCIA DE OCURRENCIA DISMINUYE RIESGO RESIDUAL QUEDANDO RIESGOS 29
  • Metodologías Clásicas & Modelo Casandra Elementos Generalistas Elementos Casandra ACTIVO AMENAZAS VULNERABILIDADES CONTROLES ELEMENTOS A PROTEGER INCIDENTES PATRONES DE ATAQUE PATRONES DE DEFENSA 30
  • Formalización Modelo Casandra ISO 31000 31
  • Formalización Modelo Casandra ISO 31000 Establecer el Contexto Reuniones Recogida de información Comunicados 32
  • Formalización Modelo Casandra ISO 31000 Establecer el Contexto Reuniones Recogida de información Comunicados Apreciación del Riesgo Algebra de Conjuntos (AVI) Cadena de Valor del Incidente Patrones de Ataque (Diábolo) 33
  • Formalización Modelo Casandra ISO 31000 Establecer el Contexto Reuniones Recogida de información Comunicados Apreciación del Riesgo Algebra de Conjuntos (AVI) Cadena de Valor del Incidente Patrones de Ataque (Diábolo) Tratamiento del Riesgo Patrones de Defensa (Enterprise Security Patterns) 34
  • 3. Plan Director de Seguridad de la Información 35 35
  • Evolución del Plan [ PDSL 2002 PDS PDSI 2.0 ][ ] [ 2006 2007 2008 PDSI 3.0 ][ 2011 2011 Actualidad 36
  • Plan Director de Seguridad & Plan Estrategico de Seguridad ASPECTO Objetivos Diferencias Ventajas Plan Director de Seguridad Plan Estratégico de Seguridad Definir un Modelo de Seguridad Corporativo (Referencias: ISO/IEC 17799:2005, ISO/IEC 27001:2005, ITIL) Identificar el nivel de seguridad existente Definir y planificar el conjunto de acciones Conocer y cuantificar las inversiones y costes Definición de un Plan Estratégico de seguridad (metodología Balanced ScoreCard y Mapas Estratégicos) La formulación estratégica y posicionamiento estratégico La definición del Mapa Estratégico de seguridad La definición y priorización de iniciativas estratégicas Establecer los niveles y objetivos de seguridad. Definir la Política de Seguridad aprobada por la Dirección de la compañía. Definir la Arquitectura funcional de seguridad. Definir la estructura organizacional de seguridad. Definir los procesos de seguridad. Desarrollar los proyectos asumibles por la entidad. Plan Director + Cuadro de Mando de seguimiento. Define la cadena de Valor del área de seguridad. Análisis DAFO del área de seguridad Define el posicionamiento estratégico y líneas de actuación. Define objetivos de seguridad estratégicos. Define Mapa estratégico de Seguridad alineado con el negocio Modelo organizativo de seguridad definido. Plan Director Integrar dentro de todo el proceso de seguridad de la entidad mediante métricas Definir la estructura de seguridad. Definir la organización de seguridad. Cuantificar los gastos e inversiones para lograr metas en seguridad. Concienciar al personal de la entidad en seguridad. Avanzar en seguridad Herramienta de Benchmarking Resultados de la Encuesta Global Análisis DAFO (situación actual) Mapa Estratégico Objetivos de seguridad Definición de la organización de seguridad 37 37
  • 3.1 Práctica: Casandra 38 38
  • Objetivo Plan Director V.1 Operativa/proceso Verticales Operativa/procesos horizontales Actividad de Negocio Organización Controles Análisis GAP Análisis de Riesgos Casandra Nivel de Aversion Escenarios Plan de Proyectos PDSI v 2.0 39
  • Enfoque Metodológico ESTRATEGÍA DE SEGURIDAD DISEÑO PDSI CASANDRA PILOTO PROCESO DE NEGOCIO PILOTO PROCESO DE SISTEMAS EJECUCIÓN PROCESOS DE NEGOCIO EJECUCIÓN PROCESOS DE SISTEMAS PLAN DIRECTOR CONSOLIDADO 40
  • Enfoque Metodológico ESTRATEGÍA DE SEGURIDAD DISEÑO PDSI CASANDRA PILOTO PROCESO DE NEGOCIO PILOTO PROCESO DE SISTEMAS EJECUCIÓN PROCESOS DE NEGOCIO EJECUCIÓN PROCESOS DE SISTEMAS PLAN DIRECTOR CONSOLIDADO 41
  • Enfoque Metodológico ESTRATEGÍA DE SEGURIDAD DISEÑO PDSI CASANDRA CONOCIMIENTO DEL ENTORNO PILOTO PROCESO DE NEGOCIO PILOTO PROCESO DE SISTEMAS SITUACIÓN ACTUAL EJECUCIÓN PROCESOS DE NEGOCIO EJECUCIÓN PROCESOS DE SISTEMAS AARR CASANDRA PLAN DIRECTOR CONSOLIDADO PLAN DIRECTOR 42
  • CONOCIMIENTO DEL ENTORNO SITUACIÓN ACTUAL AARR CASANDRA PLAN DIRECTOR Realización de entrevistas: Entendimiento del funcionamiento de las operativas en alcance Áreas Funcionales Áreas Transversales Seguridad Informática (12) Telecomunicaciones (2) Arquitectura de Hardware (2) Logística y Comercial (19) Económico Financiero (2) Recursos Humanos (7) Arquitectura de Software (2) Expansión (2) BBDD (2) Operaciones (5) Número de reuniones mantenidas E-Commerce (2) Identificación de interlocutores Tiendas (2) Planificación de Entrevistas 43
  • CONOCIMIENTO DEL ENTORNO SITUACIÓN ACTUAL AARR CASANDRA PLAN DIRECTOR Identificación de medidas de seguridad implantadas en la operativa (cruce con controles ISO) Política de Seguridad 5 Cumplimiento Gestión de Continuidad de Negocio 4 Aspectos Organizativos 3 2 Gestión de Activos 1 Gestión de Incidentes en la SI Adquisición, Desarrollo y Mantenimiento de SI Control de Acceso 0 Seguridad ligada a los RRHH Seguridad Física y del Entorno Gestión de Comunicaciones y Operaciones 44
  • CONOCIMIENTO DEL ENTORNO IIS1 Uso o divulgación de la información confidencial con ánimo de lucro o crear daño reputacional AARR CASANDRA PLAN DIRECTOR RAR Incidentes Intencionados de Seguridad tipo ID SITUACIÓN ACTUAL ID Descripción ME 1 Acceso y divulgación de información confidencial (información de clientes, información de cuentas personales e información de medios de pago) con el objetivo de obtener algún tipo de beneficio, especialmente económico. La divulgación puede realizarse por diversos medios y/o de forma masiva al tratarse de datos estructurados El beneficio puede ser potencialmente alto. ID EH 1 Métodos de ejecución Credenciales de ME 1– Captura masiva de datos en administración BBDD en entorno de Producción Captura masiva de datos en entornos productivos Riesgo para la organización Incidentes tipo IIS1 – Divulgación de la información confidencial • Histórico ID Método de preparación Riesgo para la organización EH + MP 1 Elementos habilitadores del incidente Método de ejecución Uso de troyanos EH1 – Credenciales de administrador EH2 – Credenciales de desarrollador EH3 – Credenciales de usuario • 45
  • CONOCIMIENTO DEL ENTORNO SITUACIÓN ACTUAL AARR CASANDRA PLAN DIRECTOR Credenciales de Administrador ID Métodos de preparación Histórico • MP1 Troyanos • MP2 Uso indebido de la capacidad funcional • MP3 Compromiso de credenciales • • MP7 Exploits del sistema operativo MP9 Exploits vulnerabilidades web ID Métodos de ejecución ME1 Acceso a recuperación de Backups ME6 Acceso a logs • Acceso a BBDD Producción ME4 Histórico ME14 Manipulación de parámetros • • • 46
  • CONOCIMIENTO DEL ENTORNO SITUACIÓN ACTUAL AARR CASANDRA PLAN DIRECTOR Entorno Web ID Métodos de preparación Histórico • MP1 Troyanos MP9 Exploits de Vulnerabilidades Web • • MP10 Denegación de Servicio ID Métodos de ejecución Histórico • ME1 Acceso a BBDD Producción ME2 Acceso a BBDD no productivas • 47
  • CONOCIMIENTO DEL ENTORNO SITUACIÓN ACTUAL AARR CASANDRA PLAN DIRECTOR Identificación y selección de acciones para alcanzar los objetivos establecidos ID Nombre ANÁLISIS (R: Riesgo Mitigado; C:Coste; €: Euros) R C2 Definición de Controles de Seguridad Automáticos e inicio de su implantación en el Ciclo de Vida de Desarrollo Seguro (SCVD) € C R C5 Estudio de ampliación e implantación en servicios críticos de la monitorización de Base de Datos a través del DAM XXXXX € C R L6 Implantación de una metodología de gestión de incidentes de seguridad C € 48 48
  • CONOCIMIENTO DEL ENTORNO SITUACIÓN ACTUAL AARR CASANDRA PLAN DIRECTOR Materialización de las iniciativas en proyectos QUICKWINS Q1- Desarrollo de políticas para el intercambio de información entre sistemas de negocio . Q2- Desarrollo del proceso de gestión de Certificados. Q3- Definición, segregación y asignación de Roles en la Dirección de Sistemas. CORTO PLAZO C5- Estudio de Ampliación e Implantación en servicios críticos de la Monitorización de BBDD a través de Imperva C8- Securización de red interna, C1- Finalización Perimetral, redes Wifi Cuerpo Normativo C9- Estudio e implantación de solución de repudio LARGO PLAZO MEDIO PLAZO M1- Procedimientos M9- Plan de para la L1- Implantación del Continuidad de securización Sistema de Gestión de la Negocio y SGCN Seguridad de la del entorno para Servicios de usuario M6- Formalizacr Información (SGSI) y Centrales el proceso de del estándar ISO 27001. supervisión de la legislación L4- Plan de Continuidad aplicable en Filiales para Filiales L3- Certificación Continuidad de Negocio BSS 25999 (ISO 22301) Q4- Procedimiento de bienvenida y salida del personal desde el punto de vista de Seguridad. 12 MESES Q5- Optimización de procesos de backup. Q6- Ampliación del robustecimiento de los Sistemas de autenticación para Usuarios remotos especiales. C2- SDLC (Fase 1) C14- Implantación del proceso de gestión de riesgos C13- Divulgación y Concienciación en materia de Seguridad 1 AÑO 24 MESES M5- Implantación de la solución de Fuga de Información M3- Implantación de un cuadro de mando de la Seguridad de Información M4- Formalización del proceso de revisiones de seguridad 2 AÑOS 36 MESES L2- Securización del entorno de Usuario. Fase II L5- Implantación del proceso de gestión de vulnerabilidades y gestión de parches L6- Desarrollo e Implantación de una metodología de gestión de Incidentes de Seguridad 49 49
  • CONOCIMIENTO DEL ENTORNO SITUACIÓN ACTUAL AARR CASANDRA PLAN DIRECTOR Agrupación de los proyectos en los dominios de seguridad Programa Proyecto C4 Optimización de procesos de backup C9 Estudio e implantación de solución de repudio de operaciones y trazabilidad Plan de Contingencias para Sedes y Filiales M9 P9 – Gestión y Respuesta a Incidentes Formalización del Proceso de Supervisión de la legislación aplicable en Filiales C11 P8 – Centro de Operaciones M6 Q5 Plan de Continuidad de Negocio y SGCN para Servicios Centrales. M10 P7 – Control Legal Revisión de legislación aplicable y cumplimiento legal Estudio de una solución para la Gestión de Crisis. C2- SDLC L3 (Fase 1) Certificación Continuidad del Negocio BS 25999 para Sede Central L4 Plan de Continuidad para Filiales L6 Implantación de una metodología de gestión de incidentes de seguridad 50
  • CONOCIMIENTO DEL ENTORNO SITUACIÓN ACTUAL AARR CASANDRA PLAN DIRECTOR Agrupación de los proyectos en los dominios de seguridad Programa Proyecto C4 Optimización de procesos de backup C9 Estudio e implantación de solución de repudio de operaciones y trazabilidad Plan de Contingencias para Sedes y Filiales M9 P9 – Gestión y Respuesta a Incidentes Formalización del Proceso de Supervisión de la legislación aplicable en Filiales C11 P8 – Centro de Operaciones M6 Q5 Plan de Continuidad de Negocio y SGCN para Servicios Centrales. M10 P7 – Control Legal Revisión de legislación aplicable y cumplimiento legal Estudio de una solución para la Gestión de Crisis. C2- SDLC L3 (Fase 1) Certificación Continuidad del Negocio BS 25999 para Sede Central L4 Plan de Continuidad para Filiales L6 Implantación de una metodología de gestión de incidentes de seguridad 51
  • CONOCIMIENTO DEL ENTORNO SITUACIÓN ACTUAL AARR CASANDRA PLAN DIRECTOR Implantación de una Metodología de Gestión de Incidentes de Seguridad INTRODUCCIÓN Y ANTECEDENTES AREAS IMPLICADAS En la actualidad se realiza de forma periódica revisiones de seguridad, pero no se cuenta con una metodología para la gestión de los incidentes ocurridos dentro de la organización y posterior aprendizaje de los mismos para evitar su recurrencia en la medida de lo posible. TIPO DE PROYECTO Seguridad Informática Interno / Externo DEPENDENCIAS CON OTROS PROYECTOS El registro y posterior evaluación de dichos incidentes, junto con la revisión de los mismos con la finalidad de conocer las resoluciones anteriores a incidentes ya ocurridos, proporcionan una madurez y control de seguridad que permitan reducir los incidentes en cuanto a su número e impacto. OBJETIVOS Y ESTRATEGIA DE EJECUCIÓN N/A PRESUPUESTO Desarrollo de una metodología de gestión de incidentes que contemple: • Establecer la definición y clasificación de un incidente de seguridad. • Habilitar mecanismos para reportar/escalar los incidentes de seguridad. • Definir las acciones a realizar para tratar las incidencias de seguridad. • Implantar la metodología en la Organización a través de la concienciación de usuarios. • Establecer revisiones periódicas del sistema de gestión de incidentes • Definir los mecanismos de interactuación con las iniciativas existentes en cuanto a continuidad de negocio y contingencias tecnológicas. • Definir los procedimientos para asignar las responsabilidades a las personas necesarias para que la metodología se ponga en práctica en la Organización. Plazos (Laborables) 50 días Gasto Total Servicios 16.000,00 € Inversión (Hardware + Software) N/A ALCANCE – ÁMBITO DE APLICACIÓN Mantenimiento N/A El ámbito de aplicación del proyecto es global al Grupo ya que los incidentes de seguridad pueden afectar a la totalidad de los sistemas del Grupo. Presupuesto Total del Proyecto 16.000,00 € ANÁLISIS CUALITATIVO PLANIFICACIÓN R Q1 C € Q2 Q3 Q4 T2 52
  • CONOCIMIENTO DEL ENTORNO SITUACIÓN ACTUAL AARR CASANDRA PLAN DIRECTOR Cuadro de Mando Provisionado Ejecución C2- SDLC (Fase 1) 53
  • CONOCIMIENTO DEL ENTORNO SITUACIÓN ACTUAL AARR CASANDRA PLAN DIRECTOR Skyline: Representación gráfica del nivel de riesgo cubierto por los controles implantados Riesgo 0 C2- SDLC (Fase 1) Política Aspectos Gestión Seguridad Seguridad Gestión Control Adquisición Gestión Gestión Cumplimiende Organizatide de de to RRHH Física De Continuidad Desarrollo Seguridad Activos vos Comunicación Acceso Incidentes de Negocio 54
  • 4. SCVD 55 55
  • Antecedentes Para la securización del desarrollo de un nuevo producto o servicio, no es suficiente con tener en cuenta la construcción del código y los resultados esperados, ya que este desarrollo está enmarcado en un entorno tecnológico concreto, y su comportamiento depende del mismo Marco Desarrollos Fabricado (Necesidad de hacerlo seguro) Procesos Organizativos y Funcionales Aplicaciones Arquitectura de Seguridad SW Base Adquirido (Necesidad de robustecerlo) Sistema Operativo Principios Básicos de Seguridad Confidencialidad Integridad Disponibilidad Hardware Redes 56
  • SCVD 1. Definición del Servicio 1.1 Análisis Preliminar 1.1 Informe de Seguridad 2. Despliegue del Servicio 2.1 Diseño e Implantación de Seguridad 2.2 Valoración de Seguridad La gestión de la seguridad durante el Ciclo de Vida de Desarrollo (SCVD) permite la inclusión de medidas de control que mitiguen los riesgos tecnológicos asociados al diseño, desarrollo y/o despliegue de cualquier aplicativo, producto y/o servicio: Proceso de Definición del Servicio: conjunto de actividades y tareas orientadas a la obtención de los requisitos de seguridad del servicio, derivados de los requisitos funcionales iniciales de los usuarios. También permite obtener el nivel de riesgo y el nivel de impacto asociado a la nueva aplicación, producto y/o servicio. Proceso de Ejecución del Servicio: conjunto de actividades y tareas correspondientes a la revisión y validación de los requisitos de seguridad detallados, que se definieron previamente en el proceso de “Definición del servicio”, así como de las medidas de control que permiten satisfacer dichos requisitos 57 57
  • SCVD. Definición del Servicio 58 58
  • SCVD. Despliegue del Servicio 59 59
  • 4.1 Práctica: Seguridad en Proyectos 60 60
  • Seguridad en el Ciclo de Vida del Producto Iniciativas Análisis y Diseño Construcción y Pruebas F1 F2 F3 F4 F5 Gestión del Fraude Certificaciones específicas de seguridad Informes de adecuación de IT RF&S. Informes de control técnico de RF & S. F3 HW F4 HW F5 HW CISO + Diseño Func. RF&S • Informe de Riesgo Tecnológico y Fraude Diseño Func. RF&S + CISO • Documento de entendimiento • Modelos / Arquitecturas de Seguridad • Dictamen de Riesgo Tecnológico Ingeniería • Homologaciones HW de seguridad F3 SW (DyD Seguridad) • Desarrollo de piezas de seguridad Implantación Diseño Func. RF&S • Cumplimiento dictamen RT. F4 SW Gestión del Fraude • Revisión de código • Hacking ético Producción VTS • Cumplimiento dictamen RT. F5 SW Gestión del Fraude • Hacking ético 61 61
  • Seguridad en Proyectos Iniciativas Análisis y Diseño Construcción y Pruebas F1 F2 F3 F4 F5 Gestión del Fraude Certificaciones específicas de seguridad Informes de adecuación de IT RF&S. Informes de control técnico de RF & S. F3 HW F4 HW F5 HW CISO + Diseño Func. RF&S • Informe de Riesgo Tecnológico y Fraude Diseño Func. RF&S + CISO • Documento de entendimiento • Modelos / Arquitecturas de Seguridad • Dictamen de Riesgo Tecnológico Ingeniería • Homologaciones HW de seguridad F3 SW (DyD Seguridad) • Desarrollo de piezas de seguridad Implantación Diseño Func. RF&S • Cumplimiento dictamen RT. F4 SW Gestión del Fraude • Revisión de código • Hacking ético Producción VTS • Cumplimiento dictamen RT. F5 SW Gestión del Fraude • Hacking ético 62 62
  • Fases Seguridad en Proyectos Seguridad en Proyectos Cadena de Valor del Incidente Fase I Iniciativas Patrones de Ataque Fase II Análisis y Diseño Patrones de Defensa (Enterprise Security Patterns) 63 63
  • Patrones de defensa Para representar los Patrones de defensa se muestra por dónde y cómo circula la información, indicando: los usuarios, los dispositivos, los canales y los programas según una simbología definida Técnica utilizada: MODEL DRIVEN ARQUITECTURE (MDA) NET 64 64
  • Puntos clave 65 65
  • Puntos clave Necesidad de basarnos en lo real Incidentes Reales Compartir Información 66 66
  • Puntos clave Necesidad de basarnos en lo real Necesidad de disponer de patrones Incidentes Reales Compartir Información Ataque Cómo nos atacan Defensa Cómo nos defendemos 67 67
  • Puntos clave Necesidad de basarnos en lo real Necesidad de disponer de patrones Incidentes Reales Compartir Información Ataque Cómo nos atacan Defensa Cómo nos defendemos Estado del arte de las tecnologías de seguridad y controles implantados 68 68
  • Ante un panorama oscuro… 69 69
  • CASANDRA en la práctica: La elaboración de un Plan Director de Seguridad MUCHAS GRACIAS