Seg Inf Sem01

1,695 views

Published on

0 Comments
3 Likes
Statistics
Notes
  • Be the first to comment

No Downloads
Views
Total views
1,695
On SlideShare
0
From Embeds
0
Number of Embeds
12
Actions
Shares
0
Downloads
92
Comments
0
Likes
3
Embeds 0
No embeds

No notes for slide
  • Seg Inf Sem01

    1. 1. Seguridad Informática Seguridad Informática
    2. 2. a g e n d a <ul><li>Introducción </li></ul><ul><li>Seguridad Informática </li></ul><ul><li>Los pilares de la seguridad Informática </li></ul><ul><li>Algunos conceptos básicos </li></ul><ul><li>Gestión del riesgo </li></ul>
    3. 3. Las Organizaciones y las Tecnología de Información Un elemento crítico para el éxito y la supervivencia de las organizaciones, es la administración efectiva de la información y de la Tecnología de Información (TI) que la soporta.
    4. 4. De dónde emerge la criticidad... <ul><li>La creciente dependencia en la información y en los sistemas que proporcionan dicha información </li></ul><ul><li>La creciente vulnerabilidad y un amplio espectro de amenazas </li></ul><ul><li>La escala de las inversiones en Tecnología </li></ul><ul><li>El potencial que tienen las tecnologías para cambiar radicalmente las organizaciones. </li></ul>
    5. 5. Nivel de dependencia Nivel de utilización de TI A mayor utilización mayor dependencia en TI y mayores riesgos….. Vivimos en una relación de dependencia RIESGOS
    6. 6. Encuesta de crímenes informáticos y de seguridad
    7. 7. Seguridad Informática <ul><li>“ Sólo protegemos aquello que creemos tiene un valor importante para nosotros” </li></ul>Elementos básicos a proteger en cualquier sistema informático son: <ul><li>Hardware : Facilidades de procesamiento </li></ul><ul><li>Software : Sistemas operativos aplicaciones </li></ul><ul><li>Datos : El bien más importante. </li></ul>
    8. 8. Seguridad : “cualidad de seguro”. Seguro : “libre y exento de todo peligro, daño o riesgo”. ¿Cómo definir la seguridad informática? Seguridad Informática : “ Cualidad” de un Sistema Informático que esta “libre y exento de todo peligro, daño o riesgo”.
    9. 9. ¿Cómo definir la seguridad informática? En conjunto constituido por diversas metodologías, documentos, software, hardware, que determinan que los accesos a los recursos de un sistema informático sean realizados exclusivamente por los elementos autorizados a hacerlos Seguridad de la Información: Preservación de la confidencialidad, integridad y disponibilidad de la información.
    10. 10. <ul><li>Confidencialidad </li></ul>Pilares de la SSII Seguridad de la Información Integridad Disponibilidad
    11. 11. <ul><li>Confidencialidad </li></ul><ul><ul><li>Aseguramiento de que la información es accesible solo para aquellos autorizados a tener acceso. </li></ul></ul><ul><li>Integridad </li></ul><ul><ul><li>Garantía de la exactitud y el contenido completo de la información y los métodos de su procesamiento. </li></ul></ul><ul><li>Disponibilidad </li></ul><ul><ul><li>Aseguramiento de que los usuarios autorizados tienen acceso cuando lo requieran a la información y sus activos asociados. </li></ul></ul>Pilares de SSII
    12. 12. <ul><li>Está asociado a la aceptación de un protocolo de comunicación entre emisor y receptor (cliente y servidor) normalmente a través del intercambio de certificados digitales de autenticación. </li></ul>No repudio
    13. 13. <ul><li>Confidencialidad </li></ul>Resumen Seguridad de la Información Integridad Disponibilidad Datos Hardware Software ¿Maximizar los 3 pilares? Elementos a proteger
    14. 14. Ataques a la seguridad <ul><li>Interrupción Interceptación Modificación Fabricación </li></ul><ul><li>(pérdida) (acceso) (cambio) (alteración) </li></ul>Confidencialidad Seguridad de la Información Integridad Disponibilidad
    15. 15. Alguno conceptos... <ul><li>Activo </li></ul><ul><li>Amenaza </li></ul><ul><li>Riesgo </li></ul><ul><li>Vulnerabilidad </li></ul><ul><li>Contramedida </li></ul>
    16. 16. Activo <ul><li>Todo recurso del sistema de información o relacionado con este, necesario para que la organización funcione correctamente y alcance los objetivos propuestos. </li></ul>
    17. 17. Amenaza Evento que puede desencadenar un incidente en la organización, produciendo daños o perdidas materiales o inmateriales en sus activos
    18. 18. Principales amenazas Ingeniería Social, Repetición de Transacción, Phishing, Backdoors, Escaneo de Puertos, DHCP Starvation Wardialers, Trashing, Código Malicioso, Exploits, DoS, DoS Distribuido, Ataques de Contraseña, Control Remoto de Equipos, Fraude Informático, Eavesdropping, Acceso a Información Confidencial Impresa, Man-in-the-Middle, Daños Físicos al Equipamiento, Robo de Equipamiento, IP - MAC Address Spoofing, Defacement , Pérdida de Copias de Resguardo, Software Ilegal, entre otras. Tema de Preguntas - Próxima clase
    19. 19. Ejemplos...
    20. 20. Ejemplos...
    21. 21. Ejemplos...
    22. 22. Ejemplos...
    23. 23. Vulnerabilidad <ul><li>Es una falla en el diseño, implementación o configuración de un software, sistema operacional o hardware que, cuando explotada por un atacante, resulta en una violación de la seguridad de un computador. Ejemplos: </li></ul><ul><li>Falla en la administración de contraseñas </li></ul><ul><li>Puertos innecesarios abiertos en el Firewall </li></ul><ul><li>Procedimientos de backup errados o inexistentes </li></ul><ul><li>Sistemas de log errados o inexistentes </li></ul><ul><li>Análisis de logs equivocados o errados </li></ul>
    24. 24. Riesgo <ul><li>Probabilidad de que un activo este sujeto a factores e incidentes que puedan devenir en perdidas o daños, comprometiendo la continuidad de las actividades de una organización. Probabilidad de que una amenaza se materialice. </li></ul>Riesgo Amenazas Vulnerabilidades = x
    25. 25. Impacto <ul><li>Consecuencia de la materialización de una amenaza sobre un activo de la organización. </li></ul>
    26. 26. Contramedidas <ul><li>La contramedida o control es una practica, procedimiento o mecanismo que reduce el nivel de riesgo. Preventivas, detección y recuperación. </li></ul><ul><li>Un firewall </li></ul><ul><li>Una política de contraseñas </li></ul><ul><li>Política de Backups </li></ul><ul><li>Dispositivos biométricos como control de acceso. </li></ul><ul><li>Etc. </li></ul>
    27. 27. <ul><li>Es el proceso de identificación y evaluación del riesgo a sufrir un ataque y perder datos, tiempo y horas de trabajo, comparándolo con el costo que significaría la prevención de este suceso. </li></ul><ul><li>Su análisis no sólo nos lleva a establecer un nivel adecuado de seguridad, sino que permite conocer mejor el sistema que vamos a proteger. Además, permite determinar cuanto podemos invertir en seguridad. </li></ul>Análisis de riesgo
    28. 28. Análisis de riesgo <ul><li>El Análisis de Riesgos implica: </li></ul><ul><li>Determinar qué se necesita proteger. </li></ul><ul><li>De qué hay que protegerlo. </li></ul><ul><li>Cómo hacerlo. </li></ul>
    29. 29. Análisis de riesgos 1. Identificación de activos y el costo ante posibles pérdidas (L) Identificar amenazas 2. Determinar susceptibilidad. La probabilidad de pérdida (P) 3. Identificar posibles acciones (gasto) y sus implicaciones (G). Seleccionar acciones a implementar. ¿ G  P  L ?
    30. 30. NTP - ISO/IEC 17799:2004 Se trata de un código de buenas prácticas para la Gestión de la Seguridad de la Información. <ul><li>Antecedentes </li></ul><ul><li>Introducción </li></ul><ul><li>Objeto y campo de la aplicación </li></ul><ul><li>Términos y definiciones </li></ul><ul><li>Política de seguridad </li></ul><ul><li>Aspectos organizativos para la seguridad </li></ul><ul><li>Clasificación y control de los archivos </li></ul><ul><li>Seguridad ligada al personal </li></ul><ul><li>Seguridad física y del entorno </li></ul><ul><li>Gestión de comunicaciones y operaciones </li></ul><ul><li>Control de accesos </li></ul><ul><li>Desarrollo y mantenimiento de sistemas </li></ul><ul><li>Gestión de continuidad del negocio </li></ul><ul><li>Conformidad </li></ul>
    31. 31. Sistemas de Gestión de la Seguridad de la Información -SGSI <ul><li>Conjunto de elementos que permiten establecer las bases para la administración efectiva de la seguridad de la información </li></ul><ul><li>La política de seguridad </li></ul><ul><li>Estructura organizativa </li></ul><ul><li>Los procedimientos </li></ul><ul><li>Los procesos </li></ul><ul><li>Recursos necesarios </li></ul>SGSI El Objetivo del SGSI es salvaguardar la información
    32. 32. Ideas finales La seguridad no es un producto, sino un proceso “ ...Si usted piensa que la tecnología puede resolver sus problemas de seguridad, entonces usted no entiende los problemas y no entiende de tecnología”. --- Bruce Schneier
    33. 33. ?

    ×