GESTIÓN DE RIESGOS INFORMÁTICOS EN LA EMPRESA FIDEVAL UTILIZANDO ISO 27001 Autor: Santiago Vilatuña Cárdenas.

Presentación del tema: "GESTIÓN DE RIESGOS INFORMÁTICOS EN LA EMPRESA FIDEVAL UTILIZANDO ISO 27001 Autor: Santiago Vilatuña Cárdenas."— Transcripción de la presentación:

1 GESTIÓN DE RIESGOS INFORMÁTICOS EN LA EMPRESA FIDEVAL UTILIZANDO ISO 27001 Autor: Santiago Vilatuña Cárdenas

2 AgendaAgenda Historia de Fideval Objetivos Marco Teórico Marco Práctico  Implantación de la Norma ISO 27001:2005  Gestión de Riesgos  Cálculo de Riesgo Informático  Plan de Seguridad Conclusiones Recomendaciones Historia de Fideval Objetivos Marco Teórico Marco Práctico  Implantación de la Norma ISO 27001:2005  Gestión de Riesgos  Cálculo de Riesgo Informático  Plan de Seguridad Conclusiones Recomendaciones

3 Fondos de Inversión Fideval es una administradora de Fondos y Fideicomisos con presencia en el mercado ecuatoriano desde 1998. Maneja exitosamente más de USD$ 1.700 millones en activos de terceros u Negocios Fiduciarios

4 Objetivos Realizar un análisis de riesgos informáticos para disminuir el impacto y el riesgo, mediante el uso del estándar ISO 27001. GeneralGeneral En el proyecto actual se plantea, identificar las vulnerabilidades de los diferentes activos de la empresa para minimizar las posibles amenazas, sustentados en la norma ISO 27001 Planteamiento del Problema

5 Objetivos Específicos Catalogar e identificar los activos de la empresa Fideval Identificar las vulnerabilidades y amenazas de los activos de la empresa Fideval. Utilizar las técnicas de valoración para el cálculo del impacto y riesgo. Elaborar contramedidas que permitan minimizar el impacto y el riego.

6 Marco Teórico Información vs Informática Información No es una técnica, implica la alta gerencia Riesgos en toda la organización Información en todas sus formas Normatividad global Alineación con el negocio No es una técnica, implica la alta gerencia Riesgos en toda la organización Información en todas sus formas Normatividad global Alineación con el negocio Informática Es técnica, no involucra a la alta gerencia No necesariamente involucra toda la organización Enfocada en soluciones de hardware y software Es técnica, no involucra a la alta gerencia No necesariamente involucra toda la organización Enfocada en soluciones de hardware y software La información es el activo mas esencial y mas decisivo para la viabilidad de una organización. Adopta diferentes formas, impresa, escrita en papel, digital, transmitida por correo, mostrada en videos o hablada en conversaciones.

7 Seguridad de la Información (SI) La seguridad de la información es la protección de la información contra una amplia gama de amenazas; para minimizar los daños, ampliar las oportunidades del negocio, maximizar el retorno de las inversiones y asegurar la continuidad del negocio. La seguridad de la información queda definida por tres atributos: La seguridad de la información es la protección de la información contra una amplia gama de amenazas; para minimizar los daños, ampliar las oportunidades del negocio, maximizar el retorno de las inversiones y asegurar la continuidad del negocio. La seguridad de la información queda definida por tres atributos: Seguridad de la Información Confidencialidad Integridad Disponibilidad Información disponible exclusivamente a personas autorizadas Mantenimiento de la exactitud y validez de la información, protegiéndola de modificaciones o alteraciones no autorizadas. Acceso y utilización de los servicios sólo y en el momento de ser solicitado por una persona autorizada.

8 SISTEMA DE GESTIÓN DE SEGURIDAD DE LA INFORMACIÓN (SGSI) El SGSI garantiza la Seguridad de la Información (SI) mediante una estructura de buenas prácticas, definidas por: a) Gestión de riesgos; b) Políticas; c) Procesos; d) Procedimientos; e) Controles; f) Revisiones; g) Mejoras. ISO 27001 es un Sistema de Gestión de la Seguridad de la Información (SGSI). Para ISO (International Organization for Standardization) un sistema de gestión queda definido por un proceso de 4 etapas: El SGSI garantiza la Seguridad de la Información (SI) mediante una estructura de buenas prácticas, definidas por: a) Gestión de riesgos; b) Políticas; c) Procesos; d) Procedimientos; e) Controles; f) Revisiones; g) Mejoras. ISO 27001 es un Sistema de Gestión de la Seguridad de la Información (SGSI). Para ISO (International Organization for Standardization) un sistema de gestión queda definido por un proceso de 4 etapas:

9 Metodología de Implantación de la Norma ISO 27001 La norma ISO 27001 determina cómo se gestiona la seguridad de la información en una empresa para mitigar los riesgos sobre confidencialidad, integridad y disponibilidad de la misma. Marco Práctico

10 1.Determinación del Alcance Se va a implantar la Norma ISO27001, asegurando la integridad, disponibilidad, confidencialidad y control de la información de la empresa y de sus clientes. El alcance del SGSI queda cubierto por los procesos de las siguientes áreas:  Instalaciones Espacio físico; energía eléctrica; aire acondicionado; protección contra incendios; accesos.  Administración Monitoreo; accesos lógicos; bases de datos; aplicativos.  Explotación/Respaldo Mallas de procesos; almacenamiento de información.  Comunicaciones Redes de datos; seguridad lógica; monitoreo equipos de comunicaciones; enlaces.  SAP (Sistemas, Aplicaciones y Productos) Administración de sistemas SAP. El alcance del SGSI queda cubierto por los procesos de las siguientes áreas:  Instalaciones Espacio físico; energía eléctrica; aire acondicionado; protección contra incendios; accesos.  Administración Monitoreo; accesos lógicos; bases de datos; aplicativos.  Explotación/Respaldo Mallas de procesos; almacenamiento de información.  Comunicaciones Redes de datos; seguridad lógica; monitoreo equipos de comunicaciones; enlaces.  SAP (Sistemas, Aplicaciones y Productos) Administración de sistemas SAP.

11 2. Determinación de las Políticas En la empresa Fideval se cubrirán las siguientes políticas:  Seguridad en la Organización.  Clasificación de la Información.  Seguridad en el recurso Humano.  Seguridad Física.  Administración de las operaciones de cómputo y comunicaciones. En la empresa Fideval se cubrirán las siguientes políticas:  Seguridad en la Organización.  Clasificación de la Información.  Seguridad en el recurso Humano.  Seguridad Física.  Administración de las operaciones de cómputo y comunicaciones.

12 3. Identificación de Activos, Amenazas y Vulnerabilidades Identificación de Activos Estos activos se identificaron con una magnitud de daño atendiendo a cuatro escalas: 1 = Daño insignificante 2 = Daño bajo 3 = Daño mediano 4 = Daño alto Estos activos se identificaron con una magnitud de daño atendiendo a cuatro escalas: 1 = Daño insignificante 2 = Daño bajo 3 = Daño mediano 4 = Daño alto

13 Identificación de Amenazas En el presente trabajo se tendrán en cuenta las siguientes categorías de amenazas: Actos originados por la criminalidad común y motivación política; Sucesos de origen físico y Sucesos derivados de la impericia, negligencias de usuarios y decisiones institucionales. Las mismas se encuentras distribuidas en las probabilidades de ocurrencia: 1 = Insignificante, 2 = Baja, 3 = Mediana 4 = Alta. En el presente trabajo se tendrán en cuenta las siguientes categorías de amenazas: Actos originados por la criminalidad común y motivación política; Sucesos de origen físico y Sucesos derivados de la impericia, negligencias de usuarios y decisiones institucionales. Las mismas se encuentras distribuidas en las probabilidades de ocurrencia: 1 = Insignificante, 2 = Baja, 3 = Mediana 4 = Alta.

14 Identificación de Vulnerabilidades Una vulnerabilidad en el sistema, es la incapacidad o debilidad demostrada para resistir una amenaza inminente y que al ocurrir afecta inevitablemente los activos de la empresa. Es la forma potencial de manifestación de la amenaza en el activo y su incidencia negativa. Para identificar una vulnerabilidad se debe determinar la probabilidad de ocurrencia de la amenaza en cuestión. Una vulnerabilidad en el sistema, es la incapacidad o debilidad demostrada para resistir una amenaza inminente y que al ocurrir afecta inevitablemente los activos de la empresa. Es la forma potencial de manifestación de la amenaza en el activo y su incidencia negativa. Para identificar una vulnerabilidad se debe determinar la probabilidad de ocurrencia de la amenaza en cuestión.

15 4. Identificación de impactos de los riesgos Se procede como siguiente paso a la identificación de los posibles impactos de las amenazas en cada activo los cuales estarán ponderados entre los valores de 1 a 4.

16 5. Identificar y evaluar opciones para el tratamiento de riesgos Se identificarán opciones para el tratamiento de los riesgos encontrados, la realización de un plan de seguridad que estará compuesto por un conjunto de medidas con el objetivo de mitigar todos los riesgos críticos En esta gráfica que muestra el promedio aritmético de los diferentes riesgos, en relación con los diferentes grupos de amenazas y daños. La idea de esta figura es ilustrar, en qué grupo (combinación de Probabilidad de Amenaza y Magnitud de Daño) hay mayor o menor peligro, por lo que resultó ser el integrado por sistema-infraestructura junto a negligencia institucional, el cual posee un riesgo medio de 7,9. Se identificarán opciones para el tratamiento de los riesgos encontrados, la realización de un plan de seguridad que estará compuesto por un conjunto de medidas con el objetivo de mitigar todos los riesgos críticos En esta gráfica que muestra el promedio aritmético de los diferentes riesgos, en relación con los diferentes grupos de amenazas y daños. La idea de esta figura es ilustrar, en qué grupo (combinación de Probabilidad de Amenaza y Magnitud de Daño) hay mayor o menor peligro, por lo que resultó ser el integrado por sistema-infraestructura junto a negligencia institucional, el cual posee un riesgo medio de 7,9.

17 6. Seleccionar controles para el tratamiento de riesgos. Para mitigar los riesgos de alto impacto se establecen los siguientes controles, los cuales ayudan a reducir el impacto y la probabilidad de ocurrencia de las amenazas que puedan ocasionar daños en la infraestructura de la institución. Físico Cámaras de circuito cerrado en la empresa. Guardias de seguridad las 24 horas. Identificación con fotos para la entrada de los trabajadores a la empresa Físico Cámaras de circuito cerrado en la empresa. Guardias de seguridad las 24 horas. Identificación con fotos para la entrada de los trabajadores a la empresa Técnico Encriptación Autenticación a nivel de la red Control de acceso del personal a los activos de la empresa Técnico Encriptación Autenticación a nivel de la red Control de acceso del personal a los activos de la empresa Administrativo Entrenamiento y conocimiento del personal de la empresa. Planes de recuperación. Registro y contabilidad de personal Administrativo Entrenamiento y conocimiento del personal de la empresa. Planes de recuperación. Registro y contabilidad de personal

18 7. Obtener la aprobación de la gerencia para los riesgos residuales Los riesgos residuales son aquellos que permanecen después que la dirección de la entidad le da respuesta a los riesgos inherentes encontrados desarrollando acciones para corregirlos. Los riesgos residuales son aquellos que permanecen después que la dirección de la entidad le da respuesta a los riesgos inherentes encontrados desarrollando acciones para corregirlos.

19 8. Obtener la aprobación de la gerencia para la implementación de la norma ISO 27001 Las empresas al implementar la norma de seguridad de la información ISO 27001 reciben importantes ventajas comerciales. La Gerencia de la empresa Fideval no sólo aprobó la implantación de la norma para la seguridad de su información, sino que añadió que era necesario para garantizar la continuidad y el éxito de la misma. Las empresas al implementar la norma de seguridad de la información ISO 27001 reciben importantes ventajas comerciales. La Gerencia de la empresa Fideval no sólo aprobó la implantación de la norma para la seguridad de su información, sino que añadió que era necesario para garantizar la continuidad y el éxito de la misma.

20 Gestión de Riesgos IDENTIFICACIÓN DE RIESGOS Luego de haber definido los activos y las amenazas a estos, identificado las vulnerabilidades y establecidos las magnitudes del impacto se procede entonces a la identificación de los riesgos. Para ello se propone la siguiente fórmula: Riesgo Total (RT) Magnitud de Impacto Probabilidad de Ocurrencia La Magnitud de Impacto y la Probabilidad de Ocurrencia pueden tomar los siguientes valores y condiciones respectivamente. 1 = Insignificante (incluido Ninguna) 2 = Baja 3 = Mediana 4 = Alta La Magnitud de Impacto y la Probabilidad de Ocurrencia pueden tomar los siguientes valores y condiciones respectivamente. 1 = Insignificante (incluido Ninguna) 2 = Baja 3 = Mediana 4 = Alta

21 El Riesgo esta agrupado en tres rangos, y para su mejor visualización, se aplica diferentes colores. Bajo Riesgo = 1 – 6 (verde) Medio Riesgo = 8 – 9 (amarillo) Alto Riesgo = 12 – 16 (rojo) El Riesgo esta agrupado en tres rangos, y para su mejor visualización, se aplica diferentes colores. Bajo Riesgo = 1 – 6 (verde) Medio Riesgo = 8 – 9 (amarillo) Alto Riesgo = 12 – 16 (rojo) Se puede concluir entonces que solo se considerarán activos en riesgos altos aquellos cuya probabilidad de ocurrencia de las amenazas tengan un valor de mediano o alto y los activos presenten una magnitud impacto alto y viceversa.

22 Activos determinados con Riesgo Crítico: Al realizar el análisis de riesgo en la empresa Fideval tomando como base la matriz generada, se determinaron los siguientes resultados: Documentos institucionales (Proyectos, planes, evaluaciones, informes). Finanzas. Servicios bancarios. Base de datos interno. Base de datos externo. Respaldos. Infraestructura (Planes, Documentación) Base de datos con contraseñas. Datos e información no institucional.. Documentos institucionales (Proyectos, planes, evaluaciones, informes). Finanzas. Servicios bancarios. Base de datos interno. Base de datos externo. Respaldos. Infraestructura (Planes, Documentación) Base de datos con contraseñas. Datos e información no institucional.. Cortafuegos. Servidores. Computadoras. Portátiles. Programas de administración (contabilidad, manejo de personal). Junta directiva. Dirección coordinación. Administración Personal Técnico Informática/Soporte técnico interno. Soporte técnico externo Cortafuegos. Servidores. Computadoras. Portátiles. Programas de administración (contabilidad, manejo de personal). Junta directiva. Dirección coordinación. Administración Personal Técnico Informática/Soporte técnico interno. Soporte técnico externo

23 Clasificación de Riesgo Total Riesgo de Integridad Riesgo de Acceso Riesgo de Utilidad Riesgo de Infraestructura Engloba todo lo referido al procesamiento de la información introducida a través de la interfaz de usuario Se concentra en el incorrecto acceso a los sistemas, datos e información referente a las empresas. Engloba las técnicas de recuperación/rest auración utilizadas para minimizar las rupturas del sistema Se refiere a que en las organizaciones no existe una infraestructura tecnológica adecuada

24 Riesgo Residual Los riesgos residuales son aquellos que perduran después que la empresa intenta mitigar los riesgos inherentes encontrados tomando acciones para corregirlos. Para su calculo se aplica la siguiente formula: Riesgo Residual (RR) Salvaguarda Riesgo Total (RT) Salvaguarda % Protección Riesgo Total (RT) Para calcular el porcentaje de protección y consecutivamente la salvaguarda, se tuvo en cuenta los factores que influyen sobre cada riesgo definido anteriormente (riesgo de integridad, riesgo de acceso, riesgo de utilidad y riesgo de infraestructura).

25 Riesgo Informático Los riesgos informáticos no son más que los riesgos a los cuales están sometidos los procesos y actividades que participan en el área de la informática. Para calcular este riesgo se utilizó la fórmula: Riesgo Informático (RI) Riesgo Residual (RR) Riesgo Total (RT) Riesgo Total (RT)

26 Amenazas sobre cada Activo con Riesgo Crítico en la empresa Fideval. Las principales amenazas que significaron un mayor riesgo sobre los activos de la empresa fueron las que correspondían a la ponderación con el número 16. Las mismas se nombran a continuación: Compartir contraseñas o permisos a terceros no autorizados. Transmisión de contraseñas por teléfono. Red inalámbrica expuesta al acceso no autorizado. Red inalámbrica expuesta al acceso no autorizado. Cada una de estas amenazas tienen consecuencias sobre cada activo con un riesgo critico

27 Cálculo Total del Riesgo Informático en la Empresa Fideval Riesgo Total (RT) RT Integridad RT Acceso RT Utilidad RT Infraestructura Riesgo Total (RT) 504 + 1116 + 756 + 936 Riesgo Total (RT) 3312 Riesgo Residual (RR) RR Integridad RR Acceso RR Utilidad RR Infraestructura Riesgo Residual (RR) 133.6 + 299.6 + 200.4 + 254.4 Riesgo Residual (RR) 888

28 Cálculo Total del Riesgo Informático en la empresa Fideval Riesgo Informático (RI) Riesgo Residual (RR) Riesgo Total (RT) Riesgo Informático (RI) 888 / 3312 Riesgo Informático (RI) 0.27 27% El riesgo informático calculado para la empresa Fideval es de un 27%, lo que significa que la empresa debe implementar medidas de protección basadas en los resultados de los activos identificados con riesgo críticos para mitigar los mismos, deben estar diseñadas de tal forma que no paralicen los procesos de la institución sino que ayuden a su mejor funcionamiento y a la continuidad de la misma

29 Plan de Seguridad Después de detectar las amenazas sobre los activos de la empresa se analizan y se extraen de las mismas los riesgos los cuales se clasifican en riesgo de nivel bajo, medio y alto. Seguido de esto se realiza un plan de seguridad para mitigar los mismos, los cuales solo ponen en constante peligro a la empresa. Programas de Seguridad El riesgo informático encontrado en esta investigación es de un 27% por lo que se hace imprescindible definir programas que garanticen la seguridad de la empresa Fideval

30 Softwares recomendados en función de la Seguridad de Fideval en diferentes áreas Antivirus Symantes EndPoint Protection, Malwarebytes Anti-Malware, Kaspesky Antivirus. Firewall Check Point (UTM), PC Tools Firewall Plus Anti-Spam Anti-Spam Symantec Brightmail, SPAMfighter Pro Anti- Rootkits Anti- Rootkits Kaspersky TDSSKiller, Sophos Anti-Rootkit Utilitarios Informáticos Utilitarios Informáticos Ccleaner, Super Utilities Pro Bloqueo y Restricción Bloqueo y Restricción My Lockbox, Folder Lock Copias de Seguridad Copias de Seguridad Symantec DLO (usuarios), HP Dataprotector (servidores) Navegadores Internet Explorer, Mozilla Firefox, Google Chrome

31 Plan de Seguridad Establecido Con el objetivo de mitigar el Riesgo Informático calculado en la empresa Fideval (27%) se procederá a indicar la forma de cómo se debe realizar un plan de seguridad basado en la norma ISO 27001, dicho plan garantizará el éxito de la misma en cuestión de seguridad de sus activos y con el de su información. Dentro de los principales controles que tomaremos en cuenta en este proyecto y los cuales están basados en requisitos legales esenciales o que se consideren práctica habitual de la seguridad de la información, enumeraremos los siguientes:  Protección de los datos y la privacidad de la información personal.  Documentación de la política de seguridad de la información.  Asignación de responsabilidades.  Concienciación, formación y capacitación en seguridad de la información.  Gestión de incidentes de seguridad y de continuidad del negocio.. CON ESTO SE REALIZARÁ: Medidas específicas establecidas para cada activo con riesgo crítico Dentro de los principales controles que tomaremos en cuenta en este proyecto y los cuales están basados en requisitos legales esenciales o que se consideren práctica habitual de la seguridad de la información, enumeraremos los siguientes:  Protección de los datos y la privacidad de la información personal.  Documentación de la política de seguridad de la información.  Asignación de responsabilidades.  Concienciación, formación y capacitación en seguridad de la información.  Gestión de incidentes de seguridad y de continuidad del negocio.. CON ESTO SE REALIZARÁ: Medidas específicas establecidas para cada activo con riesgo crítico

32 1- Realizar una campaña de concientización entre todos los empleados de la empresa Fideval. 2- Todo empleado, sea directo o indirecto, debe tener en su contrato individual de trabajo dos cláusulas: la de confidencialidad de la información y la de protección de datos personales. 3- Elaborar políticas en la empresa que regulen el uso de recursos informáticos, redes sociales, información confidencial y privacidad. 4- La empresa está obligada por ley a tener medidas de seguridad técnicas, físicas y administrativas para proteger sus datos contra robo, destrucción, alteración, uso o acceso no autorizado. 1- Realizar una campaña de concientización entre todos los empleados de la empresa Fideval. 2- Todo empleado, sea directo o indirecto, debe tener en su contrato individual de trabajo dos cláusulas: la de confidencialidad de la información y la de protección de datos personales. 3- Elaborar políticas en la empresa que regulen el uso de recursos informáticos, redes sociales, información confidencial y privacidad. 4- La empresa está obligada por ley a tener medidas de seguridad técnicas, físicas y administrativas para proteger sus datos contra robo, destrucción, alteración, uso o acceso no autorizado.

33 5- Si existe una vulneración de la información, se debe tener formulado un plan de reacción que incluya al menos: a) La detección de la información vulnerada. b) Establecer medidas correctivas y preventivas. c) Dar aviso a los titulares cuyos datos personales pudieran haber sido comprometidos. d) Aplicar sanciones laborales en caso de que exista responsabilidad o negligencia por parte de empleados. 6- Las contraseñas asignadas con varios fines, no deben ser transmitidas por medios no seguros. 7- Establecer medidas de seguridad para la detección de intrusos en la red inalámbrica de la empresa.

34 Se identificaron y catalogaron los activos de la empresa los cuales representaban una magnitud de daño en la escala de uno a cuatro, según la categoría a la que pertenecían. Se identificaron las vulnerabilidades del sistema, atendiendo a la ponderación de la amenaza. Se calculó el impacto y el riesgo para los activos identificados en la empresa Fideval, ya que es necesario mantener la seguridad de la empresa en sus aspectos de confidencialidad, integridad y disponibilidad para asegurar el correcto funcionamiento de la organización.. Se elaboró un plan de seguridad en la empresa Fideval, para cada uno de los activos encontrados con riesgos críticos. Conclusiones

35 Tomar en cuenta como estudio final los activos que son considerados con baja posibilidad de riesgos informáticos, ya que como prioridad se trabajarán los que son considerados como riesgo crítico. Realizar un estudio mensualmente para determinar futuros riesgos por cada área de la empresa. En el proceso de detección de amenazas y vulnerabilidades de los activos realizar una correcta ponderación de estos. Utilizar los valores obtenidos del cálculo del impacto y el riesgo con el fin de certificar la empresa Fideval. Implementar el plan de seguridad diseñado a la medida de la organización. Recomendaciones

36