Implementación de una Política de Seguridad Corporativa

Presentación del tema: "Implementación de una Política de Seguridad Corporativa"— Transcripción de la presentación:

1 Implementación de una Política de Seguridad Corporativa
MANAGER BUSINESS FORUM Buenos días a todos Lo primero es agradecer a Interban Network la invitación para participar en este evento de Manager Business Forum sobre TI El objetivo de la ponencia es realizar una implementación de una… en un entorno abierto a cualquier tipo de organización. Madrid, 18 y 19 de Octubre de 2005 Una solución completa para organizaciones heterogéneas Fernando Alvarez Fernández NEGYTEC

2 Marco normativo seleccionado UNE-ISO/IEC 17799: 2000 UNE 71502: 2004
Indice Introducción Marco normativo seleccionado UNE-ISO/IEC 17799: 2000 UNE 71502: 2004 Análisis y gestión de riesgos (MAGERIT) Medidas básicas de protección Certificación Problemática actual de las empresas Conclusiones Como “línea argumental de la presentación”, hablaremos de: Introducción: ¿Qué es una política de seguridad corporativa?, ¿qué cosas importantes hay que tener en cuenta para implantarla?, ¿cuál debe ser nuestro marco de referencia? Historia de la evolución de la normativa de seguridad hasta el momento actual, concretando el Marco normativo seleccionado Dentro del marco normativo seleccionado, analizaremos la norma UNE-ISO/IEC 17799: 2000 como soporte para la selección de controles y salvaguardas Dentro del marco normativo seleccionado, analizaremos la norma UNE 71502: 2004 como la que implanta un SGSI, apoyandose en la UNE-ISO/IEC 17799: 2000 Veremos conceptualmente en que consiste el AGR, una de las tareas más importantes dentro de la implantación de un SGSI Analizaremos otra alternativa más sencilla de gestionar la seguridad, con las medidas básicas de protección Comentaremos algunos aspectos de la certificación y de la problemática actual de las empresas Por último, cerraremos con una serie de conclusiones para recordar.

3 Introducción La “Política de Seguridad Corporativa” consiste en la realización de las tareas necesarias para garantizar los niveles de seguridad exigibles en una organización. están expuestos a Activos interesan por su Amenazas Valor Modelo Conceptual causan una cierta Degradación - Degradación ¿Qué es una Política de Seguridad Corporativa? Introduciendo los conceptos manejados en el gráfico y su funcionamiento. Vamos a hacerlo sin introducir definiciones formales, suponiendo que todo el mundo puede ceñirse al significado básico Impacto -Impacto con una cierta Frecuencia -Frecuencia Riesgo -Riesgo Controles/ Salvaguardas Política de seguridad (Nivel de seguridad exigible) Niveles de riesgo/ Niveles de seguridad

4 ... Es necesario gestionar la seguridad de la información
Introducción Esto conlleva algunas reflexiones sobre lo que hay que tener en cuenta para realizar la implantación de una “Política de Seguridad Corporativa”... Garantizar un nivel de seguridad de los activos es crítico para cualquier organización. Los problemas de seguridad no son únicamente de índole tecnológica. La seguridad no es un producto, es un proceso. Los riesgos aumentan con rapidez en un entorno muy competitivo: Las nuevas tecnologías introducen nuevas amenazas. La dependencia creciente de los recursos de TI aumenta los impactos. Los riesgos nunca se pueden eliminar al 100%. Los riesgos no se eliminan… se gestionan. ¿Qué cosas importantes hay que tener en cuenta para implantar una Política de seguridad Corporativa? - Garantizar un nivel de…, puesto que de no hacerlo las consecuencias son impredecibles y probablemente muy costosas. - Los problemas de seguridad no son únicamente de índole tecnológica, puesto que ni las amenazas (catástrofes, personas) ni los controles (políticas de personal) lo son. La seguridad no es un producto, es un proceso: puesto que una vez conocidos los riesgos implica análisis, toma de decisiones, planificación . Los riesgos aumentan con…Una cosa que no creo que nadie discuta es que cada vez tenemos más tecnologías y dependemos más de ellas (condición inevitable del progreso) - Esto es siempre +amenaza  + riesgo Los riesgos nunca se pueden eliminar al 100%.. (Ejemplo seguridad física de acceso a un lugar, cumplimiento normativa legal) O lo que es lo mismo: Los riesgos no se eliminan…se gestionan. Como conclusión a todo lo dicho anteriormente es necesario gestionar la seguridad de la información. ... Es necesario gestionar la seguridad de la información

5 Multitud de estándares aplicables a diferentes niveles:
Introducción Pero ¿como concretar que entendemos por seguridad y por cada uno de los conceptos incluidos en su modelo?: política de seguridad, amenaza, control… Diferentes criterios de evaluación de la seguridad: internos a una organización, sectoriales, nacionales, internacionales. Multitud de estándares aplicables a diferentes niveles: TCSEC (Trusted Computer Security, militar, US, 1985) ITSEC (Information Technology Security, europeo, 1991) Commom Criteria (internacional, ) *7799 (británico + internacional) Actualmente, tras adoptar *7799 como estándar internacional, es el más extendido y aceptado. ¿cuál debe ser nuestro marco de referencia para establecer una Política de Seguridad Corporativa? - Una vez introducidos los conceptos generales de lo que es una política de seguridad hace falta, para proceder a su implementación, concretar en que marco de referencia nos vamos a mover. Todos los conceptos genéricos que veíamos en la primera transparencia (seguridad, activo, valor, amenaza, impacto, riesgo) deben ser definidos para construir un modelo de gestión de la seguridad. A partir de aquí comentar los puntos de la transparencia. ... Es conveniente y recomendable adaptarnos a la normativa existente en nuestro país: - Auditorias Requisitos legales Certificación Homologación

6 BS7799-2: Specifications for Information Security Management Systems
Marco normativo seleccionado BS7799: Code of practice for Information Security Management (BS7799-1) BS7799: 1999 ISO/IEC 17799: 2000 ISO/IEC 17799: 2005 UNE-ISO/IEC 17799: 2002 Código de buenas prácticas para la gestión de la seguridad de la información UNE 71502: 2004 Especificaciones para los Sistemas de Gestión de la Seguridad de la Información La historia de la normativa avanza en dos líneas, una referida al código de buenas prácticas (explicaremos en ISO – básicamente controles y salvaguardas- ) y otra a la gestión de sistemas de seguridad de la información (explicaremos en UNE – básicamente SGSI- ) Explicar el avance de los gráficos con su punto de inflexión Concluir con el marco normativo seleccionado. BS7799-2: Specifications for Information Security Management Systems BS7799: 1999 BS7799-2: 2002 1995 1996 1997 1998 1999 2000 2001 2002 2003 2004 2005

7 Es la adaptación española de la ISO/IEC 17799: 2000.
UNE-ISO/IEC 17799: 2000 Una vez seleccionado nuestro marco normativo, podemos empezar a hablar de las características y contenido de cada una de ellas, empezando por la UNE-ISO 17799: 2000 Es la adaptación española de la ISO/IEC 17799: 2000. Se trata de una norma NO CERTIFICABLE, pero que recoge la relación de controles a aplicar (o al menos a evaluar) para establecer un Sistema de Gestión de la Seguridad de la Información (SGSI), según la norma UNE 71502, CERTIFICABLE. Su objetivo es proporcionar una base común para desarrollar normas de seguridad dentro de las organizaciones. Define la “Información” como un activo que posee valor para la organización y requiere por lo tanto de una protección adecuada. Define la seguridad de la información como la preservación de: Confidencialidad. Garantía de que solo quienes estén autorizados pueden acceder a la información Integridad. Garantía de que la información y sus métodos de proceso son exactos y completos Disponibilidad. Garantía de que los usuarios autorizados tienen acceso a la información y a sus activos asociados cuando lo requieran. Dentro del marco normativo seleccionado, vamos a comentar la UNE-ISO/IEC desde 2 enfoques: Características Objetivos que persigue. Para hablar de las características comentamos todos los puntos esta diapositiva

8 10 AREAS DE CONTROL Seguridad organizativa Estratégico
UNE-ISO/IEC 17799: 2000 10 AREAS DE CONTROL Seguridad organizativa Estratégico Seguridad lógica Política de seguridad Seguridad física Aspectos organizativos para la seguridad Seguridad legal Táctico Clasificación y control de activos Control de accesos Dentro del marco normativo seleccionado, vamos a comentar la UNE-ISO/IEC desde 2 enfoques: Características Objetivos que persigue. Comentar dentro de esta diapositiva: - Que la norma define 10 áreas de control Su agrupación en niveles (organizativo, lógico…) La gestión que debe hacerse de la seguridad basados en la norma (estratégica, táctica u operativa) Conformidad Seguridad ligada al personal Seguridad física y del entorno Operativo Desarrollo y mantenimiento de sistemas Gestión de comunicaciones y operaciones Gestión de continuidad del negocio Fuente: S2 Grupo

9 UNE-ISO/IEC 17799: 2000 De estas 10 áreas de control se derivan 36 objetivos de control (resultados que se esperan alcanzar mediante la implantación de controles) y 127 controles (procedimientos, políticas de personal, soluciones técnicas o seguridad física de locales y áreas de trabajo). Política de seguridad Gestión de comunicaciones y operaciones Desarrollo y mantenimiento de sistemas Política de seguridad de la información Procedimientos y responsabilidades de operación Planificación y aceptación del sistema Protección contra software malicioso Gestión interna de soportes y recuperación Gestión de redes Utilización y seguridad de los soportes de información Intercambio de información y software Requisitos de seguridad de los sistemas Seguridad en sistemas de aplicaciones Controles criptográficos Seguridad en los ficheros del sistema Seguridad en los procesos de desarrollo y soporte Aspectos organizativos de la seguridad Estructura para la seguridad de la información Seguridad en los accesos de terceras partes Externalización (outsourcing) Dentro del marco normativo seleccionado, vamos a comentar la UNE-ISO/IEC desde 2 enfoques: Características Objetivos que persigue. Comentar dentro de esta diapositiva: - El título de forma concienzuda (que de las 10 áreas de control se derivan 36 objetivos…) Que se presentan aquí los 36 objetivos para dejar entrever el nivel de detalle alcanzado en la norma Clasificación y control de activos Gestión de continuidad del negocio Responsabilidad sobre los activos Clasificación de la información Aspectos de la gestión de continuidad del negocio Control de accesos Seguridad ligada al personal Requisitos de negocio para el control de accesos Gestión de acceso de usuario Responsabilidades del usuario Control de acceso en red Control de acceso al sistema operativo Control de acceso a las aplicaciones Seguimiento de accesos y usos del sistema Informática móvil y teletrabajo Seguridad en la definición del trabajo y los recursos Formación de usuarios Respuesta ante incidencias y malos funcionamientos de la seguridad Conformidad Conformidad con los requisitos legales Revisiones de la política de seguridad y de la conformidad técnica Consideraciones sobre la auditoria de sistemas Seguridad física y del entorno Áreas seguras Seguridad de los equipos Controles generales

10 Es independiente de plataformas tecnológicas y soluciones concretas
UNE 71502: 2004 La norma UNE especifica los requisitos para establecer, implantar, documentar y evaluar un Sistema de la Seguridad de la Información (SGSI) de acuerdo con la norma UNE-ISO/IEC dentro del contexto de los riesgos identificados por la Organización. Sistema de Gestión de la Seguridad de la Información (SGSI): Sistema de gestión que comprende la política, la estructura organizativa, los procedimientos, los procesos y los recursos necesarios para implantar la gestión de la seguridad de la información. Es independiente del tipo, tamaño o área de actividad de la Organización Es independiente de plataformas tecnológicas y soluciones concretas Se trata de una norma CERTIFICABLE, equivalente a otros sistemas de gestión (ISO 9000, ISO 14000…) e integrable con ellos. Fuerte contenido documental: Acciones llevadas a cabo durante todo el proceso de selección de controles. Procedimientos. Documento de selección de controles. Control documental. Registros Dentro del marco normativo seleccionado, vamos a comentar la UNE desde 3 enfoques: Objetivo y características. Modelo de gestión planteado. Diagrama de flujos planteado. Comentar dentro de esta diapositiva: - El título de forma concienzuda (Las 2 normas establecen un SGSI) Después de (Es independiente del tipo… + Es independiente de plataformas) comentar que se debe al AGR que veremos a continuación y es el motivo de que hablemos de “una solución completa para organizaciones heterogéneas” El resto de los puntos de la diapositiva.

11 PLANIFICAR ACTUAR HACER VERIFICAR
UNE 71502: 2004 La norma UNE adopta el modelo de gestión conocido como PDCA (Plan, Do, Check, Act) “Planificar, Hacer, Verificar, Actuar”… PLANIFICAR Modelo PDCA Política de seguridad Alcance del SGSI Análisis de riesgos Selección de controles Acciones correctivas Acciones preventivas Mantenimiento Ideas / Mejoras Dentro del marco normativo seleccionado, vamos a comentar la UNE desde 3 enfoques: Objetivo y características. Modelo de gestión planteado. Diagrama de flujos planteado. Comentar dentro de esta diapositiva: - Cada uno de los apartados - Alcance del SGSI. Hay que comentar (UNE-ISO 17799) que existen tres fuentes principales para establecer los requisitos de seguridad: 1.- Valoración de riesgos de la Organización 2.- Conjunto de requisitos legales y estatutarios que debería satisfacer la organización 3.- Principios, objetivos y requisitos que la Organización ha desarrollado para apoyar sus operaciones. Todo esto se incluye dentro de la metodología MAGERIT en el apartado de “Determinación del alcance del proyecto, cuando habla de tener en cuenta restricciones: -políticas o gerenciales, estratégicas, geográficas, estructurales, legales, culturales, presupuestarias, etc. ACTUAR Documentación Control documental Registros HACER Implantación del SGSI Ejecución Plan Implantación de controles Control de controles Explotación del SGSI Operación Respuesta ante incidentes VERIFICAR Revisiones y auditorias internas Eficacia del SGSI Eficiencia del SGSI

12 Cuyo diagrama de flujos podemos ver a continuación:
UNE 71502: 2004 Cuyo diagrama de flujos podemos ver a continuación: PLANIFICAR Diagrama de flujos Modelo PDCA Ciclo de resolución HACER VERIFICAR Dentro del marco normativo seleccionado, vamos a comentar la UNE desde 3 enfoques: Objetivo y características. Modelo de gestión planteado. Diagrama de flujos planteado. Comentar dentro de esta diapositiva: Es otra forma de ver el sistema de gestión de la seguridad de la información (SGSI) que comentamos en el punto anterior. Comentar la diapositiva, destacando los ciclos (mantenimiento, mejora y resolución) Carencias o incidentes ACTUAR Acción correctiva Acción preventiva Ciclo de mejora Ciclo de mantenimiento Todo en orden ACTUAR Mantener el SGSI ACTUAR Ideas / Mejoras

13 Criterios de valoración: pautas para valorar los activos
Análisis y gestión de riesgos (MAGERIT) Vamos a introducir el análisis y la gestión de riesgos (AGR) con la metodología MAGERIT1, elaborada por el CSAE2 y recomendada por la norma UNE Para ello definimos previamente una serie de conceptos. Dimensiones: son las características o atributos que hacen valioso un activo. Disponibilidad Integridad de los datos Confidencialidad de los datos Autenticidad de los usuarios del servicio Autenticidad del origen de los datos Trazabilidad del servicio Trazabilidad de los datos Criterios de valoración: pautas para valorar los activos Degradación: cuan perjudicado resulta un activo (suele mostrarse como una fracción del activo) Frecuencia: cada cuanto se materializa la amenaza Valor Criterio 10 Muy alto Daño muy grave a la Organización 7-9 Alto Daño grave a la Organización 4-6 Medio Daño importante a la Organización 1-3 Bajo Daño menor a la Organización Despreciable Irrelevante a efectos prácticos Para tener un enfoque de lo que es el AGR vamos a hablar de: Definiciones según Magerit Dependencias entre activos. Cálculos Plan de seguridad Comentar cada uno de los puntos dentro de esta diapositiva. 100 Muy frecuente A diario 10 Frecuente Mensualmente 1 Normal Una vez al año 1/10 Poco frecuente Cada varios años 1 MAGERIT: Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información Puede ser obtenida gratuitamente desde 2 CSAE: Consejo Superior de Administración Electrónica

14 Análisis y gestión de riesgos (MAGERIT)
También introducimos el concepto de “dependencia” entre activos y una serie de definiciones y conclusiones que se derivan de ello. La gestión del “repercutido” tiene sentido para aceptar un cierto nivel de riesgo Capa 5 Otros activos: credibilidad, buena imagen… A15 Capa 4 Funciones de la Organización: objetivos y misión, bienes y servicios producidos… A13 A14 Capa 3 Acumulado Información: datos y metadatos (índices, claves de cifrado)… A10 A11 A12 Repercutido Para tener un enfoque de lo que es el AGR vamos a hablar de: Definiciones según Magerit Dependencias entre activos. Cálculos Plan de seguridad Comentar los siguientes puntos dentro de esta diapositiva: Cuando un activo depende de otro Capas existentes Conceptos de valor (propio y acumulado), impacto (acumulado y repercutido) y riesgo (acumulado y repercutido). Agrupación de acumulados y repercutidos. Gestión de acumulados y repercutidos. Capa 2 Sistema de Información: equipos, aplicaciones, comunicaciones, soportes de información… A6 A7 A8 A9 A1 A2 A3 A4 A5 Capa 1 Entorno: equipamiento y suministros, personal, edificios, mobiliario… La gestión del “acumulado” tiene sentido para determinar las salvaguardas a implantar Valor acumulado Impacto acumulado Riesgo acumulado Valor propio Impacto repercutido Riesgo repercutido

15 Controles/ Salvaguardas
Análisis y gestión de riesgos (MAGERIT) Los cálculos se realizan para cada tipo de activo, dimensión y amenaza en 2 escenarios: uno sin salvaguardas (escenario 1) y otro con las salvaguardas existentes (escenario 2). ESCENARIO 1 ESCENARIO 2 están expuestos a Activos están expuestos a Activos Amenazas interesan por su Amenazas interesan por su Valor: - Propio - Acumulado Valor: - Propio - Acumulado causan una cierta Para tener un enfoque de lo que es el AGR vamos a hablar de: Definiciones según Magerit Dependencias entre activos. Cálculos Plan de seguridad Comentar cada uno de los puntos dentro de esta diapositiva. Degradación causan una cierta Degradación residual Impacto: - Acumulado - Repercutido Impacto residual: - Acumulado - Repercutido con una cierta Frecuencia con una cierta Frecuencia residual Riesgo: - Acumulado - Repercutido Riesgo residual: - Acumulado - Repercutido Controles/ Salvaguardas Tipo de activo Dimensión Amenaza

16 Análisis y gestión de riesgos (MAGERIT)
En función de los impactos y riesgos residuales establecemos un “Plan de seguridad” con nuevos controles y salvaguardas, lo que nos proporciona un tercer escenario. Para tener un enfoque de lo que es el AGR vamos a hablar de: Definiciones según Magerit Dependencias entre activos. Cálculos Plan de seguridad Comentar cada uno de los puntos dentro de esta diapositiva, destacando que muchas veces es más importante la justificación de las medidas (informe de insuficiencias) , que las propias medidas o el número que está detrás de esas medidas y que lo más complicado de un AGR es hacerlo la primera vez. Es normal establecer un plan que establezca tres niveles de ejecución: Acciones urgentes Acciones a corto Acciones estratégicas

17 No cuesta apenas esfuerzo
Medidas básicas de protección Existe una alternativa más simple al AGR, que se conoce como medidas básicas de protección o “baseline”. Consiste en aplicar un catálogo de controles / salvaguardas de alguna de las numerosas fuentes que ya hemos citado. VENTAJAS Es muy rápido No cuesta apenas esfuerzo Se logra un nivel homogéneo con otras organizaciones parecidas Comentar cada uno de los puntos dentro de esta diapositiva, destacando: Es muy rápido y no cuesta esfuerzo: Repasar la operativa (gráfico como resultado) y comparar con AGR Se logra un nivel homogéneo con otras organizaciones parecidas: explicar. No es el caso del AGR (particularizado por activos y políticas de la organización) INCONVENIENTES El sistema puede protegerse frente a amenazas que no padece (gasto nulo) El sistema puede estar inadecuadamente protegido frente a amenazas reales No es certificable Con este tipo de “protección por catálogo” no se sabe lo que se hace y no hay medida de si sobra o falta seguridad. No obstante, puede ser un punto de partida para afinar posteriormente

18 Es una garantía de calidad de la seguridad.
Certificación La certificación es el proceso por el que una entidad independiente y competente afirma que un sistema de seguridad es correcto y compromete en ello su reputación...por escrito. Es una garantía de calidad de la seguridad. Se afronta cuando la Organización considera que cumple los requisitos de la norma Aporta beneficios a todos los implicados con la organización. La credibilidad y garantías de la certificación están sujetas a la confianza depositada en la entidad que certifica El proceso de certificación consta de dos fases: una documental, en la que se revisan los procedimientos de gestión de la seguridad, y otra de revisión de la implantación de los controles seleccionados. La certificación no debe ser un OBJETIVO de seguridad, sino un RECONOCIMIENTO al trabajo bien hecho. Comentar cada uno de los puntos dentro de esta diapositiva, destacando: Se afronta cuando la organización considera que cumple los requisitos de la norma, independientemente de los matices Aporta beneficios a todos los implicados: clientes, accionistas, empleados (común a cualquier certificación) La credibilidad y garantías de la certificación… la realidad actual de las certificaciones como experiencia personal

19 Desarrollo interno + apoyo externos
Problemática actual de las empresas La problemática de seguridad las empresas está, en general, directamente relacionada con su tamaño . TOTAL EMPRESAS Sin asalariados Con asalariados Grandes empresas (+250 empl) PYMES (De 10 a 249 empl.) Microempresas (De 1 a 10 empl.) (1) El 94% de las empresas españolas son empresarios individuales o microempresas Comentar los datos de la diapositiva, explicando las tendencias y los conceptos. GRAN EMPRESA MICROEMPRESA Implantación UNE 71502 Baseline Desarrollo interno + apoyo externos Apoyo externo Certificación No certificación (1) La microempresa española en la Sociedad de la Información. “Red.es”. Noviembre 2004

20 La seguridad consiste en gestionar un nivel de riesgo asumible.
Conclusiones Como colofón a esta presentación, deberíamos tener siempre presentes las siguientes conclusiones: Los problemas de seguridad no son necesariamente técnicos. Debemos gestionar nuestra seguridad, puesto que no es producto, sino un proceso sujeto a cambios cada vez más vertiginosos. La implantación de una política de seguridad corporativa rigurosa implica la puesta en funcionamiento de un Sistema de Gestión de la Seguridad de la Información (SGSI). Según la normativa española esto se consigue implantando el sistema de gestión de la UNE con los controles de la UNE/ISO Existe una alternativa más sencilla que puede servir como paso intermedio en el caso de las microempresas y empresas pequeñas. La certificación de seguridad es beneficiosa, pero no garantiza inmunidad ni debe ser un objetivo en si misma. Comentar las conclusiones una por una, Haciendo hincapié en que la seguridad total no existe. La seguridad consiste en gestionar un nivel de riesgo asumible.

21 "Los ordenadores han cambiado al mundo y, ciertamente, mi vida".
Karol Wojtyla. Comentario no preparado en Noviembre de 1998. Comentario sobre la evolución de las TI y sus implicaciones, reconocido en ámbitos más transcendentes que el puramente técnico. Seguramente muchos de ustedes, aficionados a la ciencia ficción hayan visto películas como Juegos de guerra, Terminator o Galáctica donde se plantea la rebelión de las máquinas contra sus creadores Probablemente en un futuro no lejano se tengan que comenzar a introducir medidas de seguridad ante inteligencia artificial, para defendernos de las propias “máquinas” NEGYTEC (Negocio y Tecnología) C/Las Campanillas, 66, 1º B 24008 LEON Tel: