Seguridad foncodes

1,464 views

Published on

Seguridad Informatica

Published in: Technology, News & Politics
0 Comments
0 Likes
Statistics
Notes
  • Be the first to comment

  • Be the first to like this

No Downloads
Views
Total views
1,464
On SlideShare
0
From Embeds
0
Number of Embeds
2
Actions
Shares
0
Downloads
55
Comments
0
Likes
0
Embeds 0
No embeds

No notes for slide

Seguridad foncodes

  1. 1. SEGURIDAD INFORMATICA EQUIPO DE TRABAJO DE SISTEMAS (ETS) MA Juan Carlos Reátegui Foncodes
  2. 2. SGSI Foncodes generando competencias... Desafios en la sociedad digital Marco Legal Propiedad Intelectual Fiscalización Infrastructura Privacidad Comercio Electrónico Seguridad Protección al Consumidor
  3. 3. SGSI Foncodes generando competencias... TICs nuevas dimensiones I - Instrumentos para todo tipo de proceso de datos. Los sistemas informáticos, integrados por ordenadores, periféricos y programas, nos permiten realizar cualquier tipo de proceso de datos de manera rápida y fiable: escritura y copia de textos, cálculos, creación de bases de datos, tratamiento de imágenes... - Almacenamiento de grandes cantidades de información en pequeños soportes de fácil transporte USB (Ejemplo : USB de 15 GB).  - Canales de comunicación inmediata para difundir información y contactar con cualquier persona del mundo mediante la edición y difusión de información en formato web, redes sociales, el correo electrónico, los servicios de mensajería inmediata, los fórums telemáticos, las videoconferencias, los blogs y las wiki... 
  4. 4. SGSI Foncodes generando competencias... TICs nuevas dimensiones II - Automatización de tareas , programación de las actividades que queremos que realicen las computadoras.  - Interactividad. Las computadoras nos permiten “dialogar” con programas de gestión, videojuegos, materiales formativos multimedia, sistemas expertos específicos... - Instrumento cognitivo que potencia nuestras capacidades mentales y permite el desarrollo de nuevas maneras de pensar. - Homogeneización de los códigos empleados para el registro de la información mediante la digitalización de todo tipo de información: textual, sonora, icónica y audiovisual.
  5. 5. SGSI Foncodes generando competencias... LA ERA INTERNET Internet nos proporciona un mundo en el que podemos hacer casi todo lo que hacemos en el mundo real y además nos permite desarrollar nuevas actividades Actividades enriquecedoras para nuestra personalidad y forma de vida (contactar con foros telemáticos y personas de todo el mundo, localización inmediata de cualquier tipo de información, teletrabajo, teleformación, teleocio...). Podemos repartir el tiempo de nuestra vida interactuando en tres mundos: el mundo presencial, de naturaleza física, regido por las leyes del espacio, en el que hay distancias entre las cosas y las personas; el mundo intrapersonal de la imaginación y el ciberespacio, de naturaleza  virtual, constituido por bits, sin distancias.
  6. 6. SGSI Foncodes generando competencias... La información es un activo que, como otros activos importantes del negocio, tiene valor para la organización y requiere en consecuencia una protección adecuada. Como resultado de esta creciente ínter conectividad, la información esta expuesta a un mayor rango de amenazas y vulnerabilidades. En General hay que proteger los activos informáticos ( Activo Informático: Conjunto de bienes de una organización que se encuentran relacionados directa o indirectamente con la actividad informática). SEGURIDAD DE LA INFORMACION
  7. 7. SGSI Foncodes generando competencias... La información adopta diversas formas: Puede estar impresa o escrita en papel, almacenada electrónicamente, transmitida por correo o por medios electrónicos, mostrada en video o hablada en conversación. Debe protegerse adecuadamente cualquiera que sea la forma que tome o los medios por los que se comparta o almacene. SEGURIDAD DE LA INFORMACION
  8. 8. SGSI Foncodes generando competencias... POR QUE ES IMPORTANTE Cumplir con Normas Legales Vigentes Como reaccionar ante las Contingencias (Siniestros, peligros, delitos, etc.) Uso indebido de activos informáticos y no saberlo, Normatividad. Hacia donde vamos en materia informática. Saber identificar peligros. Ser concientes que la seguridad es responsabilidad de todos.
  9. 9. SGSI Foncodes generando competencias... Integridad Confidencialidad Disponibilidad No alteración de la información en su contenido. Acceso a la información por la persona autorizada. Información disponible cuando sea requerida. Principios Básicos :
  10. 10. Objetivos de Seguridad : <ul><li>Tener un Sistema de Gestión de Seguridad Informática (SGSI). </li></ul><ul><li>Para que: </li></ul><ul><li>Para garantizar la seguridad de la información. </li></ul><ul><li>Para cumplir la Normatividad Vigente. </li></ul><ul><ul><ul><li>RESOLUCIÓN MINISTERIAL Nº 246-2007-PCM Norma Técnica Peruana “NTP-ISO/ IEC 17799:2007 EDI. Tecnología de la Información. Código de buenas prácticas para la gestión de la seguridad de la información. </li></ul></ul></ul><ul><li>Preservar la seguridad de la información cuando la responsabilidad para el procesamiento de la información ha sido contratado a otra organización (tercerización u outsourcing ). </li></ul>SGSI Foncodes generando competencias...
  11. 11. SGSI Foncodes generando competencias... SGSI <ul><li>El sistema de gestión de la seguridad de la información (SGSI) es la parte del sistema de gestión de la empresa, basado en un enfoque de riesgos del negocio, para: </li></ul><ul><ul><li>Establecer – implementar – operar - monitorear - mantener y mejorar la seguridad de la información. </li></ul></ul><ul><li>Incluye. </li></ul><ul><ul><li>Estructura, políticas, actividades, responsabilidades, prácticas, procedimientos, procesos. </li></ul></ul>
  12. 12. SGSI Foncodes generando competencias... <ul><li>Modelo utilizado para establecer, implementar, monitorear y mejorar el SGSI. </li></ul>Planificar Verificar Hacer Actuar Partes Interesadas Partes Interesadas Requisitos y expectativas Seguridad Gestionada Filosofía del SGSI Implementar y operar el SGSI Monitorear el SGSI Mantener y Mejorar el SGSI Establecer el SGSI
  13. 13. SGSI Foncodes generando competencias... <ul><li>El SGSI adopta el siguiente modelo: </li></ul>PHVA Planificar Verificar Hacer Actuar Definir la política de seguridad Establecer el alcance del SGSI Realizar los análisis de riesgos Seleccionar los controles Implantar el plan de gestión de riesgos Implantar el SGSI Implantar los controles. Implantar indicadores. Revisiones del SGSI por parte de la Dirección. Realizar auditorías internas del SGSI Adoptar acciones correctivas Adoptar acciones preventivas Filosofía del SGSI
  14. 14. Pasos a seguir <ul><li>Definir el alcanse de SGSI </li></ul><ul><ul><li>Fondodes, incluyendo las zonales a nivel nacional. </li></ul></ul><ul><li>Definir la politica de seguridad. </li></ul><ul><ul><li>Directiva de Politicas Informaticas de Foncodes.doc </li></ul></ul><ul><li>Efectuar una analisis de riesgos. </li></ul><ul><ul><li>Análisis de Riesgos </li></ul></ul><ul><li>Plan de Continuidad del Negocio. </li></ul><ul><li>Plan de Contingencias </li></ul><ul><ul><li>Plan de Contingencias </li></ul></ul><ul><li>Procedimientos estandarizados de Seguridad. </li></ul><ul><ul><li>Procedimientos Estandarizados </li></ul></ul><ul><ul><li>Capacitación en seguridad al personal </li></ul></ul><ul><li>Monitoreo. </li></ul>SGSI Foncodes generando competencias...
  15. 15. Definición de una política de seguridad <ul><li>Guiada por los riesgos </li></ul><ul><li>Objetivos de una política de seguridad: </li></ul><ul><ul><li>Informar al mayor nivel de detalle a los usuarios, empleados y gerentes de las normas, procedimientos y mecanismos que deben cumplir y utilizar para proteger los componentes de los sistemas de la organización. </li></ul></ul><ul><ul><li>Proporcionar los criterios para identificar, adquirir, configurar y auditar los sistemas de computación y redes para que estén en concordancia con la política de seguridad. </li></ul></ul>SGSI Foncodes generando competencias...
  16. 16. Arquitectura de seguridad <ul><li>Una política de seguridad especifica las bases sobre las cuales se construirá la arquitectura de seguridad de la organización. </li></ul><ul><li>Una arquitectura de seguridad es la forma como se organizan todos los elementos necesarios para satisfacer los objetivos de seguridad definidos en una organización. </li></ul>SGSI Foncodes generando competencias...
  17. 17. Arquitectura de seguridad (II) <ul><li>Protección a varios niveles y contra amenazas accidentales e intencionales: </li></ul><ul><ul><li>Protección del recurso humano </li></ul></ul><ul><ul><ul><li>Ante amenazas físicas </li></ul></ul></ul><ul><ul><li>Protección de la infraestructura física </li></ul></ul><ul><ul><ul><li>Ante amenazas físicas </li></ul></ul></ul><ul><ul><li>Protección de la de red </li></ul></ul><ul><ul><ul><li>Ante ataques pasivos y activos </li></ul></ul></ul><ul><ul><li>Protección de los servicios </li></ul></ul><ul><ul><ul><li>Ante ataques internos a la organización </li></ul></ul></ul><ul><ul><ul><li>Ante ataques externos a la organización </li></ul></ul></ul>SGSI Foncodes generando competencias...
  18. 18. Tópicos cubre ISO/IEC 17799:2000 <ul><li>Recomienda prácticas dentro de una organización para establecer y controlar las áreas de: </li></ul><ul><ul><li>Política de Seguridad de la Información </li></ul></ul><ul><ul><li>Estructuración del Proceso de Seguridad </li></ul></ul><ul><ul><li>Clasificación y Control de Activos de la Organización </li></ul></ul><ul><ul><li>Seguridad y Personal </li></ul></ul><ul><ul><li>Seguridad Física y Ambiental </li></ul></ul><ul><ul><li>Gestión de las Comunicaciones y de las Operaciones </li></ul></ul><ul><ul><li>Control de Acceso </li></ul></ul><ul><ul><li>Desarrollo y Mantenimiento de Sistemas </li></ul></ul><ul><ul><li>Gestión de la Continuidad del Negocio </li></ul></ul><ul><ul><li>Cumplimiento con el Marco Jurídico </li></ul></ul>SGSI Foncodes generando competencias...
  19. 19. Manejo de incidentes de seguridad <ul><li>Un incidente de seguridad es un evento que involucra la violación de la política de seguridad de la organización </li></ul><ul><li>¿Cómo identificar un incidente? </li></ul><ul><ul><li>Prestar atención a “sintomas” que pueden estar asociados a incidentes de seguridad </li></ul></ul><ul><ul><ul><li>Estrellado del sistema ( Crash system ) </li></ul></ul></ul><ul><ul><ul><li>Cuentas nuevas </li></ul></ul></ul><ul><ul><ul><li>Archivos nuevos, modificados o eliminados </li></ul></ul></ul><ul><ul><ul><li>Negación de servicios </li></ul></ul></ul><ul><ul><ul><li>Rendimiento irregular del sistema </li></ul></ul></ul><ul><ul><ul><li>Uso del sistema fuera de los patrones o registros habituales </li></ul></ul></ul><ul><ul><ul><li>Líneas que indican un patrón de ataque en los registros </li></ul></ul></ul><ul><ul><ul><li>del sistema </li></ul></ul></ul><ul><ul><li>Ayudarse con herramientas de detección de anomalias </li></ul></ul><ul><ul><li>( profilers , network monitoring tools , log analyzers , network intusion detection systems ) </li></ul></ul>SGSI Foncodes generando competencias...
  20. 20. Manejo de incidentes de seguridad (II) <ul><li>Debe definirse un plan y una política de manejo de incidentes de seguridad (antes, durante, después) </li></ul><ul><li>Objetivos del plan: </li></ul><ul><ul><li>Averiguar cómo ocurrió el incidente </li></ul></ul><ul><ul><li>Averiguar cómo evitar la generación nuevamente del incidente </li></ul></ul><ul><ul><li>Determinar el impacto y daño del incidente (limitarlo) </li></ul></ul><ul><ul><li>Recuperar el sistema del incidente (retomar el control) </li></ul></ul><ul><ul><li>Actualizar la política de seguridad, sus procedimientos, servicios, mecanismos y tecnologías empleadas </li></ul></ul><ul><ul><li>Averiguar quién provocó el incidente y ejecutar las sanciones respectivas </li></ul></ul>SGSI Foncodes generando competencias...
  21. 21. SGSI Foncodes generando competencias... Plan de Continuidad del Negocio • 72% de todos los negocios tienen alguna de estas condiciones: – No tienen Plan de Continuidad del Negocio. – Si lo tienen, nunca lo han probado. – Su Plan falló cuándo lo probaron. • Solamente 18% de los datos de usuario final están protegidos. * * VERITAS Disaster Recovery Survey 2004. Plan de continuidad del negocio (BCP-Business Continuity Plan) : Un plan documentado y probado con el fin de responder ante una emergencia de manera adecuada, logrando así el mínimo impacto a la operación del negocio de Foncodes.
  22. 22. SGSI Foncodes generando competencias... Plan de Contingencias Plan de Contingencia : Es un subconjunto de un plan de continuidad de negocio, que contempla como reaccionar ante una contingencia que pueda afectar la disponibilidad o los servicios ofrecidos por los sistemas informáticos. Una contingencia puede ser un problema de corrupción de datos, suministro eléctrico, un problema de software o hardware, errores humanos, intrusión etc.
  23. 23. SGSI Foncodes generando competencias... Procedimientos Estandarizados Atención al Usuario (Help Desk) Atención de Requerimiento de Sistemas Informáticos Apertura de Cuentas de Usuario en la Red Inhabilitación de Cuentas de Usuarios en la Red. Gestión de Incidentes. Pase a producción de Aplicativos Informáticos.
  24. 24. SGSI Foncodes generando competencias... Capacitación Importancia de la Seguridad para Foncodes. Políticas de Seguridad de Foncodes. Análisis de riesgos. Procedimientos de Seguridad de Foncodes.
  25. 25. SGSI Foncodes generando competencias... Mensaje: La integridad y oportunidad en la entrega de la información es fundamental para la función que realiza FONCODES y permite brindar confianza y seguridad en la toma de decisiones. La Seguridad depende de todos nosotros... Muchas gracias...!!! FONCODES
  26. 26. SGSI Foncodes generando competencias... Monitoreo de la seguridad <ul><li>Ambiente de redes y sistemas basados en tecnologías de la información constantemente susceptibles a nuevas amenazas y/o vulnerabilidades </li></ul><ul><li>¿ Cómo estar al día con el proceso de seguridad?: </li></ul><ul><ul><li>Suscribirse a boletines de seguridad con las últimas noticias de amenazas </li></ul></ul><ul><ul><ul><li>http://www.cert.org </li></ul></ul></ul><ul><ul><ul><li>http://www.alw.nih.gov/Security/security-advisories.html </li></ul></ul></ul><ul><ul><ul><li>http://www.securityfocus.com </li></ul></ul></ul><ul><ul><li>Suscribirse a las listas de distribución de correctivos ( patches ) de las compañías o instituciones que proveen y mantienen el software y las tecnologías utilizadas en los sistemas e infraestructura de la organización </li></ul></ul><ul><ul><ul><li>Aplicar los correctivos de seguridad </li></ul></ul></ul><ul><ul><li>Monitorear las configuraciones de los sistemas para identificar cambios y averiguar su origen </li></ul></ul><ul><ul><li> Vigilar y proteger el sistema contra conductas y configuraciones no acordes con los objetivos del plan de seguridad de la organización y con su política de seguridad </li></ul></ul><ul><ul><li> Detectar cambios, revertirlos e investigarlos </li></ul></ul><ul><ul><li>Actualizar la política de seguridad </li></ul></ul><ul><ul><ul><li>Ante cualquier incidente </li></ul></ul></ul><ul><ul><ul><li>En ausencia de incidentes, por lo menos una vez al año </li></ul></ul></ul><ul><ul><li>Auditar regularmente la política de seguridad </li></ul></ul>
  27. 27. SGSI Foncodes generando competencias...

×