ISSA Argentina WhyFLOSS BsAs 2007 - SOMAP – Completa

SOMAP.org Security Officers Management & Analysis Project

Agenda
Presentación
¿Qué es y qué hace ISSA?
¿Qué es y qué hace ISSAArBA?
Introducción – Gestión de Riesgo
Conceptos de Gestión de Riesgo
¿Qué es Gestión de Riesgo?
¿Por qué Gestión de Riesgo?
De nuevo, ¿Por qué Gestión de Riesgo?
SOMAP.org
¿Qué es SOMAP.org?
El Manual de Gestión de Riesgo
La Guía de Valoración de Riesgo
El Repositorio de Modelos de Riesgo - ORIMOR
Reportes
La Herramienta de Gestión de Riesgo

Presentación
¿Qué es ISSA?
ISSA (Information Systems Security Association) es una organización internacional sin fines de lucro, que agrupa a profesionales y practicantes de seguridad de la información.
¿Qué es ISSAArBA?
ISSAArBA (ISSA Argentina – Buenos Aires) es el capítulo local de ISSA, formada por miembros de ISSA, alineada con ésta y adhiriendo al mismo código de ética.

Presentación
Presencia de ISSA en el mundo
24 países
100+ capítulos
13.000+ miembros
Presencia de ISSA en la región
Argentina (ISSAArBA)
Brasil
Chile
Venezuela

Presentación
Objetivos de ISSA
“ El objetivo principal de ISSA es promover las buenas prácticas de gestión que garanticen la confidencialidad, integridad, y disponibilidad de los recursos de información. La organización promueve la interacción y la educación a los fines de crear un mejor ambiente para la seguridad global de los sistemas de información y los profesionales dedicados a éstos.”
Actividades de ISSA
Conferencias internacionales, reuniones y seminarios locales de los capítulos.
Sitio Web, Newsletter Online y publicación mensual.
Apoyo para certificación profesional, y oportunidades de desarrollo.
Facilita la discusión y retroalimentación de aspectos claves de la seguridad.
Foros de educación.

Presentación
Misión de ISSA Argentina
“ Promover y mejorar el dominio, conocimiento y aplicación de las mejores practicas que aseguran confidencialidad, integridad y disponibilidad de la información, apoyado en la colaboración e interacción entre los miembros, y en beneficio de la comunidad.”
Visión de ISSA Argentina
“ Ser un referente independiente de importancia y una fuente seria de desarrollo profesional en todos los aspectos relacionados con la seguridad de la información.”

Presentación
Actividades de ISSA Argentina
Grupos de Estudio
Soporte de Miembros Senior a candidatos para CISSP
Grupos de Investigación
e.g.: Concientización en Seguridad (Awareness)
Estudios y Relevamientos
e.g.: Roles y Perfiles Profesionales en Seguridad
Foro y Sitio Web
http :// ar.groups.yahoo.com / group /ISSAArBA/
http:// www.isssaarba.org

Introducción
Conceptos de Gestión de Riesgo
Definiciones (en Democrático Orden Alfabético)
Activo (Asset)
Agente Hostil (Threat Agent)
Amenaza (Threat)
Control o Contramedida (Countermeasure)
Exposición (Exposure)
Impacto (Impact)
Riesgo (Risk)
Vulnerabilidad (Vulnerability)

Introducción
Conceptos de Gestión de Riesgo - Articulación
Activo Control o Contramedida Impacto Exposición Vulnerabilidad Agente Hostil Amenaza Implica Constituye Riesgo Compromete Genera Incertidumbre Explota Resultante Mitiga Elimina Protege Anula Disminuye

Introducción
¿Qué es Gestión de Riesgo?
El Proceso de …
Identificar
Analizar
Valorizar
Tratar
… el riesgo que afecta a los activos

Introducción
El proceso general de Gestión de Riesgo
Identificación y Clasificación de los Activos
Análisis de Amenazas y Vulnerabilidades
Cuantificación de la exposición y el impacto
Elaboración del Plan de Contramedidas
Evaluación del Riesgo Residual
GOTO 1

Introducción
El proceso de Gestión de Riesgo en detalle
Colección de Información
Identificación de Activos
Inventario
Valoración del Riesgo (Risk Assessment)
Análisis de Riesgo (Risk Analysis)
Identificación y Análisis de Amenazas
Identificación y Análisis de Vulnerabilidades
Evaluación de Riesgo (Risk Evaluation)
Retención de Riesgo
Tratamiento de Riesgo (Risk Treatment)

Introducción
El proceso de Gestión de Riesgo en detalle
Análisis de Riesgo Evaluación de Riesgo Tratamiento de Riesgo Identificación de Activos Valoración de Riesgo Inventario Identificación y Análisis de: - Amenazas - Vulnerabilidades Retención del Riesgo (Plan de Tratamiento) - Aceptar - Mitigar - Transferir Implementación de Controles - Documentación - Análisis de Costo/Beneficio - Valoración de Efectividad

Introducción
Responder a las Preguntas…
¿Qué puede pasar?
(amenaza)
Si pasa, ¿qué tan malo puede ser?
(impacto de la amenaza)
¿Qué tan seguido puede pasar?
(frecuencia de la amenaza)
¿Qué tan seguro estoy de las respuestas?
(reconocimiento de inseguridad)

Introducción
Las respuestas habilitan otras preguntas…
¿Qué puedo hacer?
¿Cuánto me va a costar?
Lo que voy a hacer, ¿es efectivo? Y ¿Es costo efectivo?
Que finalmente habilitan a
Tratar adecuadamente el riesgo
Mitigarlo
Aceptarlo
Transferirlo
Cuantificar (monetariamente) el impacto
Justificar económicamente la implementación de controles
(costo/ beneficio)

Introducción
De nuevo… ¿Por qué Gestión de Riesgo?
Factor crítico para llevar adelante el negocio
¡Asombrosamente algo recientemente aceptado!
Requerimiento Regulatorio
Banca y entes de crédito (BCRA “A”4609)
Cumplimiento con estándares
Otras Organizaciones (ISO 27000)
Posibilidad de implicaciones legales
Ley de Delito Informático
¿Hace falta decir más?

Introducción
De nuevo…
De primera mano…
“ Cada año muere más gente como resultado de ataques de cerdos que por los de tiburones, lo que nos muestra cuán buenos somos a la hora de evaluar los riesgos”
Bruce Schneier

SOMAP.org
¿Qué es SOMAP.org?
Security Officers Management & Analysis Project
(Proyecto para Análisis y Gestión para Oficiales
de Seguridad)
Herramientas de Código Abierto para Gestión de Riesgo en Seguridad de la Información
“ La Seguridad de la Información no es un asunto competitivo y solamente a través de herramientas y utilitarios de gestión de riesgo disponibles libremente y desarrolladas cooperativamente se puede llevar a una mejor gestión de seguridad y desarrollar más profundamente el campo de gestión de riesgo”

SOMAP.org
¿Por qué SOMAP.org?
Comunidad
Todos son bienvenidos a colaborar
Independencia
No se “rinden cuentas”
Mejores - Mejores Prácticas
Solamente permanece lo que beneficia al proyecto
Confianza
Código Abierto
Competencia
Revisión permanente

SOMAP.org
El Proyecto SOMAP.org
Manual de Gestión de Riesgo Guía de Valoración de Riesgo Repositorio Reportes Herramienta de Gestión de Riesgo

SOMAP.org
El Proyecto SOMAP.org
Risk Management Handbook
Risk Assessment Guide
El Repositorio de Modelos de Riesgo – ORIMOR
Open Risk Model Repository (ORIMOR)
Reportes
Eehhh… Reports..
Security Officers Best Friend (SOBF Tool)

SOMAP.org
Roadmap del Proyecto SOMAP.org
Versión 1.0
Versión 1.0
El Repositorio de Modelos de Riesgo – ORIMOR
Beta – En Desarrollo
Reportes
Sin versión liberada aún – En Desarrollo
Beta – Versión 1.0b1

SOMAP.org
El Proyecto SOMAP.org en la Web
Sitio Oficial del Proyecto
http://www.somap.org
Sitio en SourceForge.net
http://sourceforge.net/projects/somap/

SOMAP.org
The SOMAP.org Open Information Security
Risk Management Handbook
Introducción a Gestión de Riesgo
Responde las preguntas básicas
Plantea como armar un SGSI (a la ISO 27001)
Orientado a Gerencia o como vistazo de conceptos
Liberado: Septiembre de 2006
Licencia: GNU Free Documentation License
Version 1.2

SOMAP.org
The SOMAP.org Open Information Security
Risk Assessment Guide
Información detallada de Gestión de Riesgo
Establece el curso (workflow) de tratamiento
Análisis Cuantitativo y Cualitativo
Base Teórica para la herramienta SOBF
Liberado: Febrero de 2007
Licencia: GNU Free Documentation License
Version 1.2

SOMAP.org
El Repositorio de Modelos de Riesgo
Plantillas de Entidades
Tipos de Activos, Amenazas, Vulnerabilidades …
Distribuido como “Snapshots” de base de datos
Concepto de Diferentes bases para diferentes usos
Liberado: La última versión (snapshot) se encuentra embebida con la herramienta
Licencia: ORIMOR (Licencia propia)
Version 1.0

SOMAP.org
El Repositorio de Modelos de Riesgo
Tecnologías
UUID - Universally Unique Identifier
Según DCE 1.1 e ISO/IEC 11578:1996
Internacionalizacion (i18n)
Capacidad para múltiples idiomas
Seguridad en ambientes cambiantes
Activos en su interacción con otros activos
Open Source Vulnerability DataBase (OSVDB)
Fuente para factores de riesgo y vulnerabilidades

SOMAP.org
Reportes
Reports
Reportes Proyectados
Reporte de Declaración de Estado de Seguridad
Statement of Sensitivity Report
Reporte de Descripción del Sistema
System Description
Reporte de Análisis de Amenazas
Threat Analysis Report
Reporte de Análisis de Vulnerabilidades
Vulnerability Analysis Report
Reporte de Análisis de Riesgo
Risk Analysis Report
Reporte Final de Valoración de Riesgo
Final Risk Assessment Report
Liberado: Aún no liberado
Licencia: N/A

SOMAP.org
Reportes
Reports
¡Esto NO Implica que no haya reportes!
La herramienta SOBF implementa Jasper Reports
Permite extraer reportes en XML
Permite visualizar algunos reportes (mas adelante)

SOMAP.org
Security Officers Best Friend Tool
- Information Security Risk Management
Herramienta de Análisis y Gestión de Riesgo
Implementación de Referencia de la Guía SOMAP.org
Arquitectura multiplataforma (JAVA)
Abstracción de Datos / Personalización (Cayenne)
Base de Datos (Apache Derby Database)
Liberado: Junio de 2006
Licencia: GNU General Public License
Version 2

SOMAP.org
¿Por qué Usar SOBF?
Independiente del Modelo de Riesgo
Libertad de Uso y Modificación
Además de gratuidad!
JAVA (Proximamente WebBased UI)
Proyecto en crecimiento y expansión

SOMAP.org
Demostración de uso de la herramienta
Escenario
1 Edificio (Oficina)
Red de Datos y Telefonía (Cableado y Equipamiento)
1 Servidor Principal (Servidor de Correo y Aplicaciones)
4 Estaciones de Trabajo (Notebooks)

SOMAP.org
Panel de Control de la herramienta
Establecimiento de Contexto
Tratamiento de Riesgo

SOMAP.org

SOMAP.org
Repositorio (ORIMOR)
Definición de Tipos de Activos
Definición de Tipos de Amenazas, Agentes Hostiles…
Definición de Vulnerabilidades, Contramedidas
Definición de Norma y Objetivos

SOMAP.org

SOMAP.org
Generación de Inventario

SOMAP.org

SOMAP.org
Análisis de Amenazas
Análisis de Vulnerabilidades

SOMAP.org

SOMAP.org
Identificación de Riesgo
Análisis de Vulnerabilidades
Evaluación de Riesgo y Estimación de Impacto

SOMAP.org

Preguntas…

¡Gracias! Leonardo F. Rosso [email_address]

Licencia de Uso
Creative Commons: Atribución – No Comercial – Compartir Obras Derivadas Igual 2.5 Argentina
http://creativecommons.org/licenses/by-nc-sa/2.5/ar
Usted es libre de:
copiar, distribuir, exhibir, y ejecutar la obra
hacer obras derivadas
Bajo las siguientes condiciones:
Atribución . Usted debe atribuir la obra en la forma especificada por el autor o el licenciante
No Comercial . Usted no puede usar esta obra con fines comerciales.
Compartir Obras Derivadas Igual . Si usted altera, transforma, o crea sobre esta obra, sólo podrá distribuir la obra derivada resultante bajo una licencia idéntica a ésta.
Ante cualquier reutilización o distribución, usted debe dejar claro a los otros los términos de la licencia de esta obra.
Cualquiera de estas condiciones puede dispensarse si usted obtiene permiso del titular de los derechos de autor.
Nada en esta licencia menoscaba o restringe los derechos morales del autor.

http://seguridad-informacion.blogspot.com	75
http://www.slideshare.net	2
http://64.233.169.104	1

ISSA Argentina WhyFLOSS BsAs 2007 - SOMAP – Completa

by Santiago Cavanna on Dec 10, 2007

Accessibility

Categories

Tags

Upload Details

Usage Rights

3 Embeds 78

Statistics

ISSA Argentina WhyFLOSS BsAs 2007 - SOMAP – Completa — Presentation Transcript