“Seguridad Informática Mitos y Realidades”

Presentación del tema: "“Seguridad Informática Mitos y Realidades”"— Transcripción de la presentación:

1 “Seguridad Informática Mitos y Realidades”
VII Reunión de Responsables de Sistemas de Información San Pedro Sula, Honduras Adrián Palma,CISSP,CISA,CISM. Presidente ALAPSI INTERNACIONAL

2 Introducción La actualidad y la información.
Grandes volúmenes de información y procesos. Alta dependencia tecnológica. Bajo control en la protección de información. Internet, una nueva forma de vida o un problema para pensar. Necesitamos seguridad.

3 Introducción Pero... ¿qué vamos a proteger? ¿cómo lo vamos a proteger?
¿qué tan costosa es la seguridad? ¿quién va a responder estas preguntas? Sin embargo, antes de que se respondan, sabemos que necesitamos seguridad, eso es un hecho!!!.

4 Introducción Veamos los 6 errores mas comunes:
Ya compramos un Firewall, ya tenemos seguridad ¿no?. Manejar el oscurantismo de lo inesperado. Nunca ha pasado nada, o al menos no nos hemos dado cuenta. No estoy en Internet, no necesito seguridad. Mis empleados son gente de confianza!!! Ver el problema de la seguridad como un problema tecnológico.

5 Estadísticas de Ataques
¿quién invierte mas en seguridad? ¿de dónde vienen los ataques? ¿ qué tecnologías son las mas usadas? ¿cuánto cuestan las intrusiones? ¿y los sitios web?, etc.

6 Estadísticas Clasificación por puesto del participante
Fuente: Encuesta Global de Seguridad de la Información 2004

7 Estadísticas Clasificación por volumen de ingresos de la organización participante Fuente: Encuesta Global de Seguridad de la Información 2004

8 Estadísticas Participación por sector industrial
Fuente: Encuesta Global de Seguridad de la Información 2004

9 Estadísticas ¿Qué tan importante es la seguridad de la información para alcanzar los objetivos del negocio? Fuente: Encuesta Global de Seguridad de la Información 2004

10 Estadísticas ¿Cuánta importancia le dan los ejecutivos al tema?
Fuente: Encuesta Global de Seguridad de la Información 2004

11 Estadísticas ¿Existen o se planea que existan las siguientes posiciones en su organización? Fuente: Encuesta Global de Seguridad de la Información 2004

12 Estadísticas ¿Existen o se planea que existan las siguientes posiciones en su organización? Fuente: Encuesta Global de Seguridad de la Información 2004

13 Estadísticas ¿A quién le reporta su departamento de seguridad de la información? Fuente: Encuesta Global de Seguridad de la Información 2004

14 Estadísticas ¿Qué tan efectivo es su departamento de seguridad de la información para satisfacer sus necesidades de la organización? Fuente: Encuesta Global de Seguridad de la Información 2004

15 Estadísticas ¿Con qué frecuencia se reporta a su consejo de dirección o equivalente sobre temas relacionados con seguridad de la información? Fuente: Encuesta Global de Seguridad de la Información 2004

16 Estadísticas ¿Qué tan seguido se reúne el responsable de la seguridad de la información con los líderes de las unidades de negocio? Fuente: Encuesta Global de Seguridad de la Información 2004

17 Estadísticas De la Preocupación a la Conciencia
Fuente: Encuesta Global de Seguridad de la Información 2004

18 Estadísticas Prácticas de Control
Fuente: Encuesta Global de Seguridad de la Información 2004

19 Estadísticas Prácticas de Control
Fuente: Encuesta Global de Seguridad de la Información 2004

20 Estadísticas Prácticas de Monitoreo
Fuente: Encuesta Global de Seguridad de la Información 2004

21 Estadísticas Prácticas de Análisis de Riesgos
Fuente: Encuesta Global de Seguridad de la Información 2004

22 Estadísticas ¿Qué le preocupa?
Fuente: Encuesta Global de Seguridad de la Información 2004

23 Estadísticas ¿En qué va a concentrarse?
Fuente: Encuesta Global de Seguridad de la Información 2004

24 Estadísticas ¿Qué le quitó el sueño?
Fuente: Encuesta Global de Seguridad de la Información 2004

25 Estadísticas ¿Qué le quitó el sueño?
Fuente: Encuesta Global de Seguridad de la Información 2004

26 Estadísticas ¿Cuanto se lo quitó?
Fuente: Encuesta Global de Seguridad de la Información 2004

27 Estadísticas ¿Cuál fue el que más daño causó?
Fuente: Encuesta Global de Seguridad de la Información 2004

28 Estadísticas ¿Ejecuta pruebas de penetración recurrentes o planea ejecutarlas en el 2004? Fuente: Encuesta Global de Seguridad de la Información 2004

29 Estadísticas ¿Qué tan preparados están para hacer frente a sus vulnerabilidades? Fuente: Encuesta Global de Seguridad de la Información 2004

30 Estadísticas ¿Quién cree que enfrenta mayores riesgos?
Fuente: Encuesta Global de Seguridad de la Información 2004

31 Estadísticas Preparándose para lo inesperado
Fuente: Encuesta Global de Seguridad de la Información 2004

32 Estadísticas En relación con los ingresos por ventas ¿Qué porcentaje representa su presupuesto para seguridad? Fuente: Encuesta Global de Seguridad de la Información 2004

33 Estadísticas ¿Cómo es su presupuesto de seguridad de la información de 2004 en comparación con 2003? Fuente: Encuesta Global de Seguridad de la Información 2004

34 Estadísticas ¿Cómo cree que será su presupuesto de seguridad de la información de 2005 en comparación con 2004? Fuente: Encuesta Global de Seguridad de la Información 2004

35 Estadísticas ¿Espera que el tiempo que su organización dedique al tema de seguridad de la información en 2004 se incremente o decremento? Fuente: Encuesta Global de Seguridad de la Información 2004

36 Estadísticas ¿Qué tan efectiva cree que está siendo la inversión en seguridad de la información en relación con los objetivos de negocio y las amenazas? Fuente: Encuesta Global de Seguridad de la Información 2004

37 Estadísticas ¿Qué lo detiene?
Fuente: Encuesta Global de Seguridad de la Información 2004

38 Estadísticas ¿Qué tan efectivas son sus herramientas?
Fuente: Encuesta Global de Seguridad de la Información 2004

39 Estadísticas ¿Qué tan efectiva es la tercerización para su programa de seguridad? Fuente: Encuesta Global de Seguridad de la Información 2004

40 Estadísticas ¿Qué tan efectivos son sus servicios?
Fuente: Encuesta Global de Seguridad de la Información 2004

41 Estadísticas Si algo le sucediera ¿A quién le avisaría?
Fuente: Encuesta Global de Seguridad de la Información 2004

42 La seguridad Informática, sus problemas y limitaciones
¿los conocemos?... ¿todos?

43 La seguridad de la información
¿De quién es el problema de la seguridad? Áreas Tecnológicas Gente De herramientas de Seguridad Infraestructura de TI Negocio Organizacional  

44 La seguridad y sus problemas
La seguridad “corre” en sentido completamente opuesto a la operación... Seguridad Operación Entonces, ¿¿¿mucha o poca seguridad???

45 La seguridad y sus problemas
La operación vs. el Nivel de Seguridad Estado de EQUILIBRIO Seguridad en proporción del posible impacto y costo de implantación Esto es logrado mediante la construcción de una arquitectura de seguridad basada en análisis de riesgos

46 La seguridad y sus problemas
Internet es: Cada vez más peligrosa, mas necesaria y más compleja Cada vez hay mas proveedores, socios de negocio, clientes, pero tambien, competidores, enemigos y amenazas Productos de seguridad orientados a la detección Rechazan el ataque, o Fallan!!!

47 La seguridad y sus limitaciones
Demasiados proveedores Demasiados productos Demasiados servicios Poca información sólida Problemas en el escalamiento y/o comprensión de las necesidades de seguridad Ya tenemos un firewall!!! o ¿no? Cuando vendes martillos, a todos los problemas les ves cabeza de clavo, ¿o no?

48 La seguridad y sus limitaciones
El administrador de seguridad debe estar prevenido de todos y cada uno de los ataques y vulnerabilidades, conocidos y desconocidos Los atacantes SÓLO necesitan explotar UNA vulnerabilidad Poca gente disponible y especializada

49 La seguridad y sus limitaciones
Pocos proveedores enfocados a la seguridad de la información Muy pocos con verdadera provisión de Soluciones Integrales, o son productos o servicios Demasiada improvisación Orientados a un área de experiencia La seguridad es relativa y dinámica Lo que hoy puede ser seguro, mañana “seguramente” no lo será No existe seguridad a prueba de todo

50 Algunas recomendaciones
Administre el riesgo Todas las compañías lo hacen en sus procesos de negocio El de la tecnología de información es uno más Se presentarán fallas El negocio las puede resistir Debe incluirse en el costo de hacer negocio Hay que equilibrar riesgo .vs. costo La evaluación de esta fórmula debe ser continua Cambia con el tiempo, las condiciones de negocio, la gente, los cambios organizacionales, las fusiones, las alianzas, la tecnología, etc.

51 Algunas recomendaciones
Proteja, Detecte y Responda Todos los productos presentan fallas durante su vida útil Todos los proveedores de servicios cometen errores durante la duración del contrato Sus usuarios se equivocan o deciden actuar en contra de las recomendaciones Hay que monitorear Los monitores deben estar capacitados para tomar acciones que vayan más de allá de hacer sonar una alarma

52 Algunas recomendaciones
Contrate uno o más Proveedores de Cabecera. Ellos se dedican a la seguridad, su empresa o institución no! Tienen mas experiencia por el número de clientes con los que trabajan. Un buen proveedor puede entender, apreciar y actuar de manera efectiva observando la seguridad y sus efectos así como los requerimientos de negocio.

53 ¡M u c h a s g r a c i a s! Adrián Palma,CISSP,CISA,CISM