Seguridad Informática “Una mirada diferente desde el HACER y desde el ASEGURAMIENTO” Banco de la Nación Argentina.

Presentación del tema: "Seguridad Informática “Una mirada diferente desde el HACER y desde el ASEGURAMIENTO” Banco de la Nación Argentina."— Transcripción de la presentación:

1 Seguridad Informática “Una mirada diferente desde el HACER y desde el ASEGURAMIENTO”
Banco de la Nación Argentina

2 Seguridad Informática
“No es solamente implementar usuarios y contraseñas” La seguridad es… Servicio Control de Accesos Plan de Continuidad de Negocio Gestión de Incidentes Análisis de Vulnerabilidades Concientización de usuarios Encripción Análisis de Eventos Evaluación de Software Análisis de Riesgo Análisis Forense ABM de Usuarios Desarrollo de Políticas Normas y Estándares Debe implementarse utilizando… Criterio de Negocio Test de Penetración AntiSpam AntiVirus Firewalls Doble Factor de Autenticación PKI Controles Sistemas de detección de Intrusos AntiPhishing Herramientas Forenses Marcos Normativos Permisos mínimos necesarios Correlación de eventos

3 Banco de la Nación Argentina
Líder, Regulador y Testigo del Sistema Financiero Argentino 624 Sucursales 14 Sucursales en el Exterior 55 Anexos Operativos 4 Agencias Móviles Empleados

4 Banco de la Nación Argentina
Equipamiento Informático: Equipamiento Central Mainframe Equipamiento Disribuído Estaciones de Trabajo Servidores +900 Switches +700 Routers Centro de Procesamiento Paralelo Activo-Activo

5 Banco de la Nación Argentina
Usuarios de los distintos Sistemas: usuarios en el Computador Central usuarios en Redes de PC’s usuarios en Correo usuarios en Aplicativos externos usuarios de Aplicativos internos TOTAL: De los cuales corresponden a usuarios críticos, resguardados para ser utilizados en caso de emergencia.

6 Marco Normativo ISO 27001 / 27002 1. Política de Seguridad
2. Organización de Seguridad 3. Clasificación y Control de Activos 4. Aspectos humanos de la seguridad 5. Seguridad Física y Ambiental 6. Gestión de Comunicaciones y Operaciones 7. Sistema de Control de Accesos 8. Desarrollo y Mantenimiento de Sistemas 9. Gestión de Incidentes de Seguridad Plan de Continuidad del Negocio Cumplimiento

7 Normativa Políticas Normas Procedimientos Estándares Técnicos

8 Modelo Conceptual Negocio

9 Negocio Cómo hacerlo? De qué protegernos?
“La Estrategia de Seguridad debe estar alineada con los objetivos del negocio” Fuga de Información Sensible Pérdidas Financieras Daños de Imagen / Reputación Caída de Sistema / Pérdida de Clientes Problemas Legales De qué protegernos? Cómo hacerlo? Planificación y Análisis de Riesgo Cumplimiento Normativo (ISO / / BCRA “A” 4609, 5374…) Manual de Políticas (Aprobado por el Directorio) Manual de Normas (Alineado con el Manual de Políticas) Estándares y procedimientos

10 Modelo Conceptual Información Negocio

11 Información “La Información es uno de los activos más importantes del Banco” La Exactitud, totalidad de la información y los métodos de acceso Qué proteger ? Integridad Confidencialidad Disponibilidad Auditabilidad Que sea accedida solo por los autorizados Que esté disponible toda vez que se requiera Que todos los eventos sean correctamente registrados Cómo hacerlo? Clasificar la Información Analizar los riesgos (Amenazas / Probabilidad de Ocurrencia / Impacto) Establecer los métodos necesarios para garantizar la Integridad, Confidencialidad, Disponibilidad y Auditabilidad de la Información

12 Modelo Conceptual Software y Aplicaciones Información Negocio

13 Software y Aplicaciones
“Diariamente se descubren cientos de vulnerabilidades de software” Software ilegal Agujeros de Seguridad en el Desarrollo Acceso a datos por fuera de la aplicación Registros de eventos incompletos Virus, Troyanos, Spam, Phishing, Spy… De qué protegernos? Cómo hacerlo? Inventario de Software Análisis de Vulnerabilidades Eliminación o Mitigaciòn de Riesgos Herramientas de Alertas / Control / Registración / Seguimiento … Aplicación de Parches

14 Modelo Conceptual Software y Aplicaciones Hardware Información Negocio

15 Hardware “La tecnología avanza y las amenazas son cada vez mas complejas” Acceso Físico al Centro de Cómputos Robo de Computadoras / Notebook Robo de Medios magnéticos Catástrofes / Incendios Fallas de energía De qué protegernos? Cómo hacerlo? Inventario de Hardware Control de Acceso Backups Borrado seguro de medios magnéticos Plan de Continuidad de Negocio

16 Modelo Conceptual Hardware Información Software Canales y Aplicaciones
Negocio

17 Canales “Los datos deben viajar por canales seguros” Cómo hacerlo?
Comunicaciones dentro de la red Comunicaciones con entidades externas HomeBanking Cableado / Routers / Switches / Hubs … Firewall / IPS / IDS Qué proteger? Cómo hacerlo? Control de Acceso Segmentación de la Red Autenticación Encripción

18 Modelo Conceptual Hardware Información Software Usuarios Canales y
Aplicaciones Hardware Información Negocio

19 Usuarios “El factor humano es el eslabón mas débil de la seguridad”
El 40% de los ataques es interno Los usuarios no conocen sobre seguridad Usuarios mal informados revelan información confidencial (Fallas Humanas) Empleados deshonestos o desvinculados Porqué? Cómo hacerlo? Plan de Concientización de Usuarios Acuerdo de confidencialidad y Buen Uso Control de usuarios finales (análisis de eventos / alertas) Capacitación

20 Continuidad de Negocio
Modelo Conceptual COMITÉ DE TECNOLOGÍA Controles Continuidad de Negocio Usuarios Canales Software y Aplicaciones Hardware Información Negocio P L A N I F I C A C I Ó N ANÁLISIS DE RIESGO POLÍTICAS / NORMAS / PROCEDIMIENTOS / ESTANDARES

21 Controles “Principal componente de la estrategia de Seguridad”
Los Controles pueden ser: Administrativos ( Políticas / Estándares …) Técnicos ( Control de Acceso a la red / Monitoreo de Permisos …) Físicos (Control de Acceso Físico / Cámaras …) Los Controles Deben: Mitigar Riesgos manteniendo la relación costo – beneficio Usar Métricas para medir y monitorear la Seguridad No se puede administrar lo que no se puede medir

22 Continuidad de Negocio
“Es preferible tener un plan y no necesitarlo que necesitar un plan y no tenerlo” Porqué podría necesitar planes de continuidad? Catástrofes naturales Incendios Fallos en el suministro eléctrico Fallos en las comunicaciones Fallos en los Sistemas Errores humanos / Huelgas El plan debe ser desarrollado para cubrir el peor escenario, de forma tal que escenarios menores queden cubiertos también. Se sabe que el peor escenario sucede sin aviso ni advertencia.

23 Seguridad Informática Aspectos a tener en cuenta
Apoyo de la Alta Gerencia Independencia del Área de Sistemas Implementación de un Sistema de Gestión de Seguridad (SGSI) Presupuesto Propio para adquirir herramientas específicas Cumplimiento Legal y Normativo Planificación estratégica orientada a segurizar el negocio Plan de Concientización de usuarios Monitoreo y Controles basados en métricas preestablecidas (Tablero de Control)

24 Como concientizar ? Cursos presenciales de concientización a usuarios finales Inducción / Mandos Medios / Gerencia Cursos a distancia (elearning) Circulares Publicaciones mensuales en revista corporativa Algunos temas tratados: Navegar Protegido Prevención contra Virus Consejos sobre Redes Sociales Buenas Prácticas de Contraseñas Uso de Medios extraíbles Consejos sobre Home Banking Resguardo de Archivos Personales La importancia de Reporte de Incidentes

25 Seguridad Informática Aspectos a tener en cuenta
A I “Los gerentes de seguridad de la información eficientes entienden que las auditorías constituyen tanto un proceso esencial de aseguramiento como un aliado crítico e influyente para alcanzar un nivel adecuado de gobierno y cumplimiento de la seguridad” Los auditores “pueden ser un factor clave en la implementación de los estándares de seguridad al comunicar información de retroalimentación basada en los resultados de las auditorías a la alta dirección para influir en la posición de los ejecutivos y conseguir su apoyo para actividades relacionadas con la seguridad” “Incluir auditores en la gestión general de la seguridad puede ser una herramienta poderosa para mejorar la cultura de seguridad de una organización” (Fuente: ISACA – Manual CISM)

26 Auditoría Interna A I Normas Internacionales para el ejercicio profesional (sobre Atributos – sobre Desempeño) La actividad de auditoría interna debe proporcionar servicios independientes y objetivos de aseguramiento y consulta, concebidos para agregar valor y mejorar las operaciones de la organización (Normas sobre Atributos: 1100 – Independencia y objetividad) Estatuto – Código de Ética – Comité de Auditoría (Normas sobre Atributos: 1000 – Propósito, Autoridad y Responsabilidad) Capacitación profesional continua (Normas sobre Atributos: 1200 – Aptitud y cuidado profesional) Debe evaluar y contribuir a la mejora de los procesos de gobierno, gestión de riesgos y control, utilizando un enfoque sistemático y disciplinado (Normas sobre Desempeño: 2000, 2100, 2200, 2300, 2400, 2500, 2600) Planes – Procedimientos – Matrices de Riesgo – Herramientas de auditoría (Normas sobre Desempeño: 2000, 2100, 2200, 2300, 2400, 2500, 2600) Aseguramiento y mejora de la calidad (Normas sobre Atributos: 1300 – Programa de aseguramiento y mejora de la calidad)

27 Auditoría Interna A I Normas Internacionales para el ejercicio profesional de la AI (de implantación) Norma (D) Naturaleza del Trabajo 2110 .A2 La actividad de auditoría interna debe evaluar si el gobierno de tecnología de la información de la organización apoya las estrategias y objetivos de la organización. 2120.A1 “La actividad de auditoría interna debe evaluar las exposiciones al riesgo referidas a gobierno, operaciones y sistemas de información de la organización, con relación a lo siguiente: Logro de los objetivos estratégicos de la organización, Fiabilidad de integridad de la información financiera y operativa, Eficacia y eficiencia de las operaciones y programas, Protección de activos, y Cumplimiento de leyes, regulaciones, políticas, procedimientos y contratos” AUDITORIA DE SISTEMAS Incorpora Herramientas y Soporte en TI a la AI Herramientas adquiridas Desarrollos propios Mejores Prácticas COBIT ITIL / CMMI / PMBoK / RiskIT ISO 20000/21500/27000/31000 NIST 800 Capacitación (22 auditores / 33 certificaciones) 9 CISA / 2 CISM / 9 CRISC / 3 CGEIT (ISACA) 2 ISO 27001 2 CISSP (ISC 2) 1 CPP (ISIS) 5 QAR (IIA) 20000 ITIL Proyectos 22300 BCP 27000 SI 31000 riesgo NISR National Institute of Standards and Technology

28 Verifica el monitoreo ejercido por SI (COBIT-DS5.5)
A I Normativa SI AUDITORIA DE SISTEMAS Verifica existencia, adecuación y cumplimiento de las Políticas, Normas, Procedimientos y Estándares Técnicos (COBIT-DS5.2) Verifica el monitoreo ejercido por SI (COBIT-DS5.5) Contribuye al conocimiento de la normativa por parte de áreas auditadas, alta dirección y Comité de Auditoría, a través de sus informes de auditoría, donde expone debilidades, riesgo asociado y recomendaciones. (ISACA: COBIT – DS5 Garantizar la seguridad de los sistemas)

29 y Continuidad de Negocio
A I Modelo Conceptual SI Auditoría de Sistemas Participa Comité de TI y SI (proyectos estratégicos, tácticos, presupuesto, informes de gestión) Proceso de Gestión de Riesgo de TI Proyectos de TI y SI Pruebas de Continuidad y Recuperación Evalúa Responsabilidad sobre el Riesgo, la Seguridad y el Cumplimiento (COBIT-PO4.8) Relaciones – TI y SI (COBIT-PO4.15) Comunicación de las Aspiraciones y la Dirección de las Gerencias – Conciencia de SI (COBIT-PO6) Gestión de Riesgo de TI (COBIT-PO9) Planeación de Proyectos y Métodos de Aseguramiento - Controles (COBIT -PO ) Controles de TI (Generales/de Aplicación) Plan y Pruebas de Continuidad (COBIT –DS4) y Continuidad de Negocio Controles Normas Internacionales para el ejercicio profesional Glosario: Controles de TI: “Soportan la gestión y el gobierno del negocio, y proporcionan controles generales y técnicos sobre las infraestructuras de tecnología de la información tales como aplicaciones, información, infraestructura y personas.” Gobierno de TI: “Consiste en el liderazgo, las estructuras de la organización y los procesos que aseguran que la tecnología de la información de la empresa soporta las estrategias y objetivos de la organización.”

30 y Continuidad de Negocio
A I Negocio AUDITORIA DE SISTEMAS Elabora Plan Anual de Auditoría basado en riesgo y BIA Efectúa Auditorías por Procesos Evalúa que las actividades de TI (y SI) se encuentren alineadas al Negocio (COBIT-DS5.1) Verifica cumplimiento regulatorio Evalúa el Plan de Continuidad de Procesamiento y sus pruebas (COBIT-DS4) Contribuye, a través de sus informes, a la asignación de recursos de TI (y SI) y Continuidad de Negocio Controles (ISACA: COBIT – DS4 Garantizar la continuidad del servicio)

31 y Continuidad de Negocio
A I Información AUDITORIA DE SISTEMAS Verifica / Evalúa Esquema de Clasificación (pública, confidencial, secreta) / Propiedad de Datos (COBIT-PO2.3) Controles de Acceso “necesidad de conocer” / “mínimo privilegio” (COBIT-DS5.3/DS5.4) Procesamiento, Resguardo y Recuperación de Datos (COBIT-DS4.9/DS11.2/DS11.6) Protección de utilitarios sensitivos para manejo de datos Gestión de Incidentes de seguridad (COBIT-DS5.6) Administración de Contratos y Riesgos con Proveedores (COBIT-AI5.2/DS2.3) Monitoreo ejercido por SI (COBIT-DS5.5) y Continuidad de Negocio Controles (ISACA: COBIT – DS11 Administración de Datos)

32 y Continuidad de Negocio
A I Software y Aplicaciones AUDITORIA DE SISTEMAS Verifica / Evalúa Seguridad y Disponibilidad de las Aplicaciones y SW de base (SOs, BDs) (COBIT-AI2.4) Ciclo de vida: Adquisición, Instalación, Mantenimiento, Configuración, Cambios, Pruebas (COBIT-AI4.2/AI7.4/AI7.6) Monitoreo ejercido por TI Gestión de Requerimientos, Incidentes y Problemas (COBIT-DS8) Administración de Contratos y Riesgos con Proveedores (COBIT-AI5.2/DS2.3) Gestión de Usuarios sensitivos (COBIT-DS5.3/DS5.4) Monitoreo ejercido por SI (COBIT-DS5.5) y Continuidad de Negocio Controles (ISACA: COBIT – AI2 Adquirir y Mantener Software Aplicativo )

33 y Continuidad de Negocio
Hardware A I AUDITORIA DE SISTEMAS Verifica / Evalúa Ciclo de Vida (Adquisición, Instalación, Mantenimiento, Configuración, Cambios, Disponibilidad, Capacidad, Continuidad) (COBIT-AI3.2/AI3.3/AI3.4/DS1.3/DS3/DS4) Monitoreo ejercido por TI Gestión de Requerimientos, Incidentes y Problemas (COBIT-DS8) Administración de Contratos y Riesgos con Proveedores (COBIT-AI5.2/DS2.3) Administración de Ambiente Físico y Operaciones (COBIT-DS12.1/DS12.2/DS12.5/DS13.4 ) Gestión de Usuarios sensitivos (COBIT-DS5.3/DS5.4) Monitoreo ejercido por SI (COBIT-DS5.5) y Continuidad de Negocio Controles (ISACA: COBIT – AI3 Adquirir y Mantener Infraestructura Tecnológica)

34 y Continuidad de Negocio
Canales A I AUDITORIA DE SISTEMAS Verifica / Evalúa Redes – Topologías – Protocolos (COBIT-DS5.10) Canales ATM / TAS / BI / BT / BM Encripción (COBIT-DS5.8/5.11) Gestión de Adquisición, Instalación, Mantenimiento, Configuración, Cambios, Disponibilidad, Capacidad, Continuidad (COBIT-DS5.7/DS5.9) Monitoreo ejercido por TI Gestión de Requerimientos, Incidentes y Problemas (COBIT-DS8) Administración de Contratos y Riesgos con Proveedores (COBIT-AI5.2/DS2.3) Administración de Ambiente Físico y Operaciones (COBIT-DS12.1/DS12.2/DS12.5/DS13.4 ) Gestión de Usuarios sensitivos (COBIT-DS5.3/DS5.4) Monitoreo ejercido por SI (COBIT-DS5.5) y Continuidad de Negocio Controles

35 A I Usuarios AUDITORIA DE SISTEMAS Verifica / Evalúa
Concientización sobre temas de seguridad / Compromiso de confidencialidad(COBIT-DS7.1) Perfiles por función “necesidad de conocer” / “mínimo privilegio” (propietarios de activos de información / aplicativos / plataformas / perfiles funcionales; usuarios de información) (COBIT-P04/DS7.1) Generación/Distribución/Revocación de Usuarios (COBIT-DS5.3/DS5.4) Monitoreo ejercido por SI (COBIT-DS5.5) Monitorea Usuarios sensitivos de SI (COBIT-ME2.3) Contribuye a generar conciencia en temas de seguridad a través de sus informes de auditoría

36 3LoD para Gestión de Riesgos ¿es aplicable a Seguridad Informática?
Modelo de las tres líneas de defensa (3LoD, en inglés) ¿es aplicable a Seguridad Informática? Fuente: IAIA (Plataforma Global de Defensa y Promoción)

37 3LoD para Gestión de Riesgo y Seguridad Informática
Modelo de las tres líneas de defensa (3LoD, en inglés) Primera línea de defensa (Gerencia operativa) Tiene la propiedad, responsabilidad y obligación de evaluar, controlar y mitigar los riesgos, a la vez que mantiene controles internos eficaces. Tiene la propiedad, responsabilidad y obligación de definir la adecuada segregación de funciones, otorgar acceso a la información con los principios de “necesidad de conocer y mínimo privilegio”, cumplimiento de Políticas, Normas y Procedimientos de Seguridad. Segunda línea de defensa (Contralor, Gestión de riesgos, Seguridad Informática, otras funciones de cumplimiento) Facilitan y supervisan la implementación de prácticas de gestión de riesgos eficaces por parte de la gerencia operativa y ayudan a los responsables de riesgos a distribuir la información adecuada sobre riesgos hacia arriba y hacia abajo en la organización Facilitan y supervisan la implementación de las Políticas de Seguridad por parte de la gerencia operativa, ayudan a difundir la cultura de seguridad de la información. Administra el SGSI, informa a la alta dirección el estado de la seguridad. Fuente: IAIA (Plataforma Global de Defensa y Promoción)

38 3LoD para Gestión de Riesgo y Seguridad Informática
A I Modelo de las tres líneas de defensa (3LoD, en inglés) Tercera línea de defensa (Auditoría interna) A través de enfoque basado en el riesgo, proporcionará aseguramiento sobre la eficacia de gobierno, gestión de riesgos y control interno en el organismo de gobierno y la alta dirección de la organización, incluidas las maneras en que funcionan la primera y segunda línea de defensa. Esta responsabilidad cubre todos los elementos del enfoque de gestión de riesgos de la institución: identificación de riesgo, evaluación de riesgo y respuesta a comunicaciones de información relativa a riesgos (de toda la organización y hacia la alta dirección y el organismo de gobierno). Auditoría externa y Organismos reglamentarios externos Se ubican fuera de la estructura de la organización. Cumplen un rol en la estructura de gobierno general y de control de la organización (este es específicamente el caso en los sectores regulados como el sector de bancos). Se pueden considerar como una línea de defensa adicional que proporciona aseguramiento a los accionistas, al consejo y a la alta dirección. Fuente: IAIA (Plataforma Global de Defensa y Promoción)

39 Gestión de Riesgos de TI
Proporciona una visión singular de cómo es cada sistema, qué valor posee, a qué amenazas está expuesto y de qué salvaguardas se ha dotado AUDITORIA DE SISTEMAS Evalúa Administración de Riesgos de TI (COBIT-P09) Activos Amenazas Controles Clasificación de Activos de Información Análisis de Riesgos de Activos de Información Gestión de Riesgos de Activos de Información Gestión de Riesgo Operacional Mejores prácticas / Regulaciones ISO framework Risk Analysis and Evaluation ISO Risk Management Risk IT Framework (ISACA) NIST SP framework for Mitigation Magerit Methodology for IT Risk Analysis BCRA 4609 / 4793 / 5374

40 Seguridad Informática Auditoría de Sistemas
Riesgos de TI Seguridad Informática Auditoría de Sistemas Servidor Negocio Clasificación de Activos, Análisis y Gestión de Riesgos Seguridad Informática Modelo conceptual Auditoría por proceso Información Usuarios Aplicación Aplicación Aplicación Aplicación Software de Base Software de Base mejorar el SGSI y a Hardware Canales Usuarios Auditoría específica por aplicativo / plataforma / canal / UF (Aspecto Seguridad)

41 La Seguridad: Otra mirada
“La Buenaventura” - Michelangelo Caravaggio Al observar ésta obra, la atención del espectador se centra en las intensas miradas de los personajes, ubicadas en el área más iluminada del cuadro….

42 La Seguridad: Otra mirada
“La Buenaventura” - Michelangelo Caravaggio …Pero sin advertir lo que sucede en sus manos…

43 Gracias! Roberto Arienti rarienti@bna.com.ar Mónica Rela