EuskalsecuriTIConference 2011 - Ponencia Ejie

Z E ^ E^ W : : Z ^ W :

E/¿Qué? ¿ ¿¿Cuánta?¿Cómo? ¿ ¿ ¿ENS ¿ ¿

YhSeguridad. (Del lat. securĭtas, -ātis).1. f. Cualidad de seguro.……~ jurídica.1. f. Cualidad del ordenamiento jurídico, que implica la certezade sus normas y, consiguientemente, la previsibilidad de suaplicación. En España es un principio constitucional.……..2. loc. adj. Dicho de un mecanismo: Que asegura algún buenfuncionamiento, precaviendo que este falle, se frustre o seviolente.

Yhseguro, ra. (Del lat. secūrus).1. adj. Libre y exento de todo peligro, daño o riesgo.2. adj. Cierto, indubitable y en cierta manera infalible.3. adj. Firme, constante y que no está en peligro de faltar ocaerse.4. adj. No sospechoso.5. m. Seguridad, certeza, confianza.6. m. Lugar o sitio libre de todo peligro.…….8. m. Mecanismo que impide el funcionamiento indeseado deun aparato, utensilio, máquina o arma, o que aumenta la firmezade un cierre.

YhEn nuestra organización…Debemos llegar a un “consenso” con las partesimplicadasResponsabilidades: ¿CSO? ¿Ámbito financiero, seguridad y salud laboral, tecnologías de la información, seguridad física….? ¿CISO? ¿CIO? ¿hay más CxSO?Tenemos que definir la seguridad: hablemos de“dimensiones”

YhDimensiones de la seguridad: Confidencialidad…. Integridad…. Disponibilidad… Autenticidad… Trazabilidad…

h Ed¿Pertenecemos al ámbito privado? Propongamos un contrato a nuestros clientes Podemos fijar el marco de la relación¿Ofrecemos servicios de confianza a terceros?¿Somos administración? Las reglas son otras La normativa es pública, conocida y establece el marco de la relación Tenemos la premisa de ofrecer garantía jurídica Debemos ofrecer (más) confianza Debemos “vender” (más) confianza, ser capaces de “demostrar”

h Ed… así que debemos ofrecer MÁS …¿Cuánta más? ¿Sabemos dónde estamos? ¿Sabemos qué ofrecemos? ¿Sabemos a dónde tenemos que llegar?Vamos hacia el CÓMO

MDK¿Cómo podemos conseguir el nivel de seguridad… …necesario? …qué nos demandan?No podemos ser el doctor NO: “No se puede” no suele/debe/puede ser salvo en contadas ocasiones Debemos escuchar, entender el problema, buscar soluciones de compromiso, hacernos entender (Pensar), definir, documentar, publicar, difundir Las normativas “por elevación” no ofrecen resultados demostrables ni con frecuencia aceptables

MDKAsignando las responsabilidades: A los CxSO o a quién corresponda Hay que evitar el “limbo”: no habría ni cumplimiento ni control Definiendo no sólo quién, sino también cómo se van a supervisar dichas responsabilidadesOfreciendo visibilidad, no podemos trabajar aislados: Hacia arriba, al Director General, de dónde estamos, a dónde vamos, cuando tenemos previsto llegar y por qué camino Hacia y desde las áreas de negocio Hacia y desde ¿todo el personal?

MDKAsumiendo la incertidumbre: Tenemos que asumir cierto grado de incertidumbre Hay que “aprender a vivir” con ello Debemos ser “razonablemente paranoicos”Con “equilibrio”: ¿Qué amenazas y riesgos tengo? ¿Qué medidas tengo para reducirlos? ¿Qué riesgos puedo asumir? O más bien “me puedo permitir” Debemos “gestionar” el riesgo

MDKCon el apoyo de la Dirección, consejo de administración Presupuesto Decisiones Visibilidad Conocimiento de la situaciónCon “cintura”: Las amenazas cambian, el entorno es “hostil” La normativa cambia El usuario cambia Debemos adaptarnos

MDKCon inteligencia: ¿Debemos emplear grandes esfuerzos en instalar corriendo todos los parches? ¿Debemos centrarnos en el modo en el que se atacan las vulnerabilidades? ¿Y si analizamos los “exploit”? ¿Y si tenemos en cuenta la configuración de los equipos para reducir el riesgo? ¿O quitamos componentes, elementos…?Aplicando las pautas conocidas: Segregación de roles Política de permisos mínimos Etc

MDKCon muchas “P”: Personas, productos y procedimientos Preguntando… Y escuchando Persistencia… incluso siendo pesado Proactividad… incorporemos la seguridad desde el inicio del proyecto Previsión

MDKHay que concienciar, formar, difundir, entrenar, educarHay que convencer: Acercando la problemática al usuario final ¿Qué pasa con las fotos familiares si se rompe el disco del ordenador de casa? Cada vez está más difusa la frontera entre el ámbito laboral y el personal ¿Vamos a prohibir el uso de las redes sociales en la empresa? ¿Y cómo conseguimos que el usuario final no las use en su casa?

MDKAplicando el ciclo de Deming: Planificar Hacer Verificar Medir Actuar AUDITORÍAS

MDKAtacando el problema con visión global: ISO’s Normativa Contratos Plan Director Seguridad SOX, PCI, SAS70…

MDKDebemos elegir entre esto:Y esto:

^YhD E /KE > ^hZ/ Antecedentes normativos directos: LAECSP, ley 11/2007 RD 1671/2009, desarrollo parcial de LAECSP RD 3/2010, Esquema Nacional de Seguridad RD 4/2010, Esquema Nacional de InteroperabilidadA tener en cuenta: LOPD, RLOPD, LES LSSI Ley 8/2011 sobre protección de infraestructuras críticas Etc

^YhD E /KE > ^hZ/ Antecedentes: la realidad, el “estado del arte”…Por ejemplo, los “EULA” (contratos de licencia de usuariofinal) “Empaquetados” o autocontenidos, “Formales” El software se proporciona “as is”… Cláusulas leoninas… ¿Quién tiene la posición de “fuerza”?Y ojo, que también estamos en el otro lado, tambiénsomos proveedores de servicios¿Por qué no puedo contratar siempre servicios/productoscertificados en seguridad?

^YhD E /KE > ^hZ/ Ley 11/2007 establece el derecho de comunicarsecon AAPP por medios electrónicos…cuyo objeto es el establecimiento de losprincipios y requisitos de una política de seguridaden la utilización de medios electrónicos que permita laadecuada protección de la información información.Los servicios no se pueden dar “de cualquier manera” Confianza en los medios electrónicosAlcance global, para todos los servicios públicoselectrónicos

^YhD E /KE > ^hZ/ Principios básicos de seguridad que debemosseguir: Seguridad integral. Gestión de riesgos. Prevención, reacción y recuperación. Líneas de defensa. Reevaluación periódica. Seguridad como función diferenciada.

^YhD E /KE > ^hZ/ Debemos tener una política de seguridad, conestos requisitos mínimos (en proporción a losriesgos): a) Organización e implantación del proceso de seguridad. b) Análisis y gestión de los riesgos (¿cómo?) c) Gestión de personal. d) Profesionalidad. e) Autorización y control de los accesos.

^YhD E /KE > ^hZ/ y más requisitos mínimos… f) Protección de las instalaciones. g) Adquisición de productos. h) Seguridad por defecto. i) Integridad y actualización del sistema. j) Protección de la información almacenada y en tránsito.

^YhD E /KE > ^hZ/ y más requisitos mínimos… k) Prevención ante otros sistemas de información interconectados. l) Registro de actividad. m) Incidentes de seguridad. n) Continuidad de la actividad. o) Mejora continua del proceso de seguridad.

^YhD E /KE > ^hZ/ Debemos categorizar los sistemas: Teniendo en cuenta información, servicios y el esfuerzo de seguridad requerido, y en función de los riesgos a los que está expuesto, “con” proporcionalidad Valora el responsable de la información y del servicio (art. 44, guía 803) Alto: incumplimiento grave de norma, grave daño, fijado por normativa, daño grave en reputación, pérdidas económicas elevadas, si RTO (TRS) es menor de 4 horas Medio Bajo

^YhD E /KE > ^hZ/ Debemos formar, el personal debe conocer estanorma.Establece el papel dinamizador de IntecoModifica ligeramente la LOPDEstablece plazos de cumplimiento: 1 año para la definición del plan de adecuación 3 años adicionales para su implementación

^YhD E /KE > ^hZ/ Define las medidas que tenemos que aplicar: Marco organizativo [org]: acerca de la organización global de la seguridad. Marco operacional [op]: para proteger la operación “correcta” y “adecuada” del sistema Medidas de protección [mp]: para proteger activos concretos proporcionalmente a la categoría del sistema

^YhD E /KE > ^hZ/ Tabla de medidas

^YhD E /KE > ^hZ/ Muchas lógicas, evidentes y conocidasOtras de complicada aplicación: Protección de portátiles [mp.eq.3] (para equipos que abandonen las instalaciones de la organización) Básico/medio: Se llevará un inventario de equipos portátiles junto con una identificación de la persona responsable del mismo y un control regular de que está positivamente bajo su control. Alto: Se dotará al dispositivo de detectores de violación que permitan saber el equipo ha sido manipulado y activen los procedimientos previstos de gestión del incidente.

^YhD E /KE > ^hZ/ Hay que auditar nuestros sistemas: Que la política cumple requisitos definidos Procedimientos de resolución de conflictos Roles asignados Análisis de riesgos, revisado y aprobado Cumplimiento de medidas de protección Existencia de un sistema de gestiónProporcionalmente a la categoría de los sistemasTenemos que saber y demostrar el nivel decumplimiento…

^YhD E /KE > ^hZ/ Guías de implantación del ENS (CCN): Guía 800 - Glosario de Términos y Abreviaturas del ENS Guía 801 - Responsables y Funciones en el Esquema Nacional de Seguridad Guía 802 - Auditoría del Esquema Nacional de Seguridad Guía 803 - Valoración de sistemas en el Esquema Nacional de Seguridad Guía 804 - Medidas de implantación del Esquema Nacional de Seguridad Guía 805 - Politica de Seguridad de la Información

^YhD E /KE > ^hZ/ Guía 806 - Plan de Adecuación del Esquema Nacional de Seguridad Guía 807 - Criptología de empleo en el Esquema Nacional de Seguridad Guía 808 - Verificación del cumplimiento de las medidas en el Esquema Nacional de Seguridad. Guía 809 - Declaración de Conformidad del Esquema Nacional de Seguridad Proponen y proporcionan herramienta: Pilar y Micropilar Definen el contenido mínimo del plan de adecuación

^YhD E /KE > ^hZ/ En el ENS… No hay régimen sancionador No se define quién audita No existe dotación presupuestaria específica Se establece “tarifa plana” sobre la implantación No es ISO 27001, pero se le pareceSin embargo es una iniciativa necesaria queimpulsará la seguridad en las tecnologías deinformación… y también el mercado de seguridaden TI

Queda mucho camino por andar…… pero hemos empezado a movernos yvamos por el buen caminoLa normativa se acerca a la realidadtecnológicaY la tecnología debe facilitar el cumplimientode la normativa

http://mikelgarcialarragan.blogspot.com	85
http://mikelgarcialarragan.blogspot.com.es	17
url_unknown	5
http://www.blogger.com	4

EuskalsecuriTIConference 2011 - Ponencia Ejie

by mglarragan on Jun 03, 2011

Accessibility

Tags

Upload Details

Usage Rights

4 Embeds 111

Statistics

EuskalsecuriTIConference 2011 - Ponencia Ejie — Presentation Transcript