SEGURIDAD DE LA INFORMACIÓN CAPREDENA. Seguridad de la información – conceptos No es un nivel. No es una etapa. La seguridad es un proceso de mejoramiento.

Presentación del tema: "SEGURIDAD DE LA INFORMACIÓN CAPREDENA. Seguridad de la información – conceptos No es un nivel. No es una etapa. La seguridad es un proceso de mejoramiento."— Transcripción de la presentación:

1 SEGURIDAD DE LA INFORMACIÓN CAPREDENA

2 Seguridad de la información – conceptos No es un nivel. No es una etapa. La seguridad es un proceso de mejoramiento continuo en el tiempo. La otra cara de la moneda: el riesgo “La cadena se corta siempre por el eslabón más débil”. Identificar riesgo = identificar puntos débiles y amenazas. Riesgo tiene una Probabilidad de ocurrencia y un cierto Impacto. Se puede medir Severidad del riesgo = Probabilidad x Impacto Foco del análisis de Riesgo, bajo la norma ISO 27001, está puesto sobre los Activos de Información institucional. ¿Qué es la seguridad? ¿Riesgo?

3 ¿Qué son los Activos de Información? Todos aquellos elementos relevantes en la producción, emisión, almacenamiento, comunicación, visualización y recuperación de información de valor para la institución. Podemos distinguir 3 tipos de activos:  La Información propiamente tal, en sus múltiples formatos (papel o digital, texto, imagen, audio, video, etc.)  Los Equipos/Sistemas que la soportan  Las Personas que la utilizan Los activos poseen valor para la organización, y necesitan por tanto ser protegidos adecuadamente, para que el “negocio” no se vea perjudicado (implica detectar vulnerabilidades y establecer controles). Seguridad de la información – conceptos

4 “ Proteger activos = mantenerlos a salvo de amenazas que puedan afectarlos en algún grado” O sea, se deben preservar los 3 objetivos fundamentales: asegurando que sólo quienes estén autorizados pueden acceder a la información. asegurando que la información y sus métodos de proceso son exactos y completos. asegurando que los usuarios autorizados tienen acceso a la información y a sus activos asociados cuando lo requieran Seguridad de la información – conceptos

5 Caso datos de 6.000.000 de Chilenos: (Mayo 2008). Un comentario anónimo deja 3 links para descargar los datos de chilenos en formatos CSV en varios blogs del mundo. Datos fueron extraídos del Servicio Electoral, de la Dirección General de Movilización Nacional, del Ministerio de Educación, de los inscritos en la PSU el año 2005 y de una guía telefónica comercial de Santiago con 2 millones de nombres, direcciones y teléfonos. Porqué es importante la Seguridad? ¿Cuál fue la Gestión Comunicacional del Gobierno? “Yo de computación no entiendo nada, apenas sé que hay algo que se llama hacker. Soy un analfabeto tecnológico. [...] Al señor hacker hay que pillarlo.” De acuerdo al Diario “El Mercurio”: El Servicio Electoral vende normalmente su base de datos actualizada incluyendo nombre, RUT y domicilio, separada por ciudades, en CLP$14 millones (US$29.500)

6 Caso farmacias: (Marzo 2009), El caso de las farmacias causó indignación en muchos chilenos. Eso fue expresado por hackers locales, quienes modificaron los sitios web de las cuestionadas cadenas farmacéuticas, luego de conocerse su colusión para fijar precios. Caso Transbank: (Septiembre 2007), Ingeniero acusado de clonar tarjetas de crédito de clientes, fraudes por $76 millones Error Administrativo de Carácter Informático:(Enero 2006) asignaciones de créditos universitarios con aval del Estado de Chile. 40.000 postulantes afectados. Caso Banco Security:(Julio 2005), administrador del sistema informático plataforma comercio exterior, estafa por $ 350 millones. Caso Banco Central:(Enero 2004), fuga de información confidencial. Catástrofe inverlink, pérdidas por US$ 100 millones (Caso Ministro-Secretaria-Correo Elec.) Caso Falabella:(Enero 1995), robo de base de datos de clientes y vendida a la competencia. La realidad de hoy… en el sector privado

7 Qué nos puede ocurrir??

8 “Hemos tenido que interrumpir nuestras operaciones. Tardamos demasiado en dimensionar el daño sufrido. No tuvimos nunca claridad sobre qué hacer y por dónde empezar y lo que pensábamos que habíamos previsto no funcionó” “No la pasamos bien pero estamos saliendo a flote. Tuvimos que desplegar esfuerzos importantes y ocuparnos de cosas que ni siquiera sospechábamos que había que hacer. Pudimos entregar un nivel de operación mínimo, lo que nos ha permitido trabajar hasta ahora. No sabemos cuándo podremos volver a la normalidad y cuánto más nos va a significar.” “Pudimos recuperarnos rápidamente pues disponíamos de medidas y planes formales. Pudimos mantener los niveles de calidad de nuestros servicios. Sabíamos claramente qué hacer y cuales eran los procesos críticos que debíamos recuperar prioritariamente.” Reacciones frente a una catástrofe

9 Donde están las principales amenazas? Amenazas Internas: –Fuga de información: –Pendrives –Correo Electrónico –Acceso no perfilado a sistemas de información –Impresoras descuidadas –Escritorios y pantallas limpias Amenazas Externas: –Acceso no autorizado: –Hacking a sistemas perimetrales –Phishing –Ingeniería social –Sistemas configurados débilmente –Información no clasificada expuesta en sitios WEB

10 Dominios de Seguridad e Impacto en Procesos Críticos de CAPREDENA BONIFICACIONES POR PAGO CONTADO (FMC/FS) INFORMACIÓN ACTIVOS DE INFORMACIÓN Información en múltiples formatos Equipos/sistemas Personas ACTIVOS DE INFORMACIÓN Información en múltiples formatos Equipos/sistemas Personas SISTEMA DE SEGURIDAD DE LA INFORMACIÓN Dom. 1: Política de SI Dom. 2: Seguridad organizacional Dom. 3: Clasificación, control y etiquetado de bienes Dom. 4: Seguridad del personal Dom. 5: Seguridad física y del ambiente Dom. 6: Gestión de las operaciones y comunicaciones Dom. 7: Control de acceso Dom. 8: Desarrollo y mantención de sistemas de información Dom. 9: Gestión de un incidente de seguridad Dom 10: Gestión de la continuidad del negocio Dom 11: Cumplimiento OTORGAMIENTO Y PAGO DE PRÉSTAMOS HABITACIONALES BONIFICACIONES DE SALUD CRÉDITO INFORMACIÓN TÉRMINO DE LA RELACIÓN COTIZANTE EN SERVICIO ACTIVO

11 Marco normativo de Seguridad de en CAPREDENA

12 Comité de Seguridad Encargado de Seguridad Asesor Legal Planificación y Control de Gestión Tecnologías de Información Encargado de Procesos Encargado de Recursos Humanos Políticas de Seguridad

13 En resumen…. Ser responsable por la Seguridad de la Información institucional es una tarea de todos. Cuidar nuestra información tanto laboral, como personal es una labor diaria. Existe un equipo multidisciplinario en CAPREDENA, a cargo de velar por la Seguridad de la Información. Nuestro deber como funcionarios, es velar por el cumplimiento de nuestras políticas y procedimientos de seguridad de la información.

14 Gracias.