Control Interno y Riesgos en TIs Paul Leger http://pleger.cl pleger@ucn.cl

SIA por dentro… Tú Contiene varios módulos ¿Cuántos? ¡Depende de cuanto pagues! Una interfaz particular para cada modulo Una genérica interfaz para todos los módulos (ej. Web) Tú Computines que los mantienen Tu empleado

Imágenes de Dynamics AX Interfaz amigable— outlook integración con Office

Versión de SAP antiguo Interfaz implementada con JAVA (no común para Windows) NO integración con Office Hoy, SAP usa una interfaz Web para

Controles Internos de Sistemas TI Los controles generales se aplican en general al SIA Los controles de aplicación son utilizados para controlar las entradas, procesamiento y salidas

Controles Generales de Sistemas TI (1/9) Cinco categorías de controles generales: La autenticación de usuarios y limitar el acceso no autorizado Hacking de red Entorno físico y seguridad física del sistema Continuidad del negocio SO 2 controles generales de los sistemas TI

Controles Generales de Sistemas TI (2/9) Autenticación de usuarios y limitar a los usuarios no autorizados Autenticación de usuarios Tarjeta electrónica Dos factores de autenticación Dispositivos biométricos Log de computador Perfil de usuario SO 2 controles generales de los sistemas TI

Controles Generales de Sistemas TI (3/9) Hacking de Red y otros robos Firewall Public key encryption (WEP) Wired equivalency privacy (WAP) Wireless protected access (VPN) Virtual private network Intrusion detection Penetration testing VPN es implementacion de una extranet SO 2 controles generales de los sistemas TI

Controles Generales de Sistemas (4/9) Hacking a WEP red ESPERAR VIDEO

Controles Generales de Sistemas TI (5/9) Estructura Organizacional (1/3) Principalmente se encarga de contratar a personas con el perfil adecuado. Por ejemplo: ¿Cumple el Administrador de Base de Datos (DBA) que tenemos con el real perfil que necesitamos? ¿Nuestros ingenieros en TI son capaces de desarrollar un sistema de información? Solución: HeadHunters… o panel de expertos

Controles Generales de Sistemas TI (6/9) Estructura Organizacional (2/3) Los deberes que deben estar segregadas: Programadores Administrador de Base de datos Operadores SO 2 controles generales de los sistemas TI

Estructura Organizacional (3/3) Controles Generales de Sistemas TI (7/9) Hacking a Website con Code Injection Estructura Organizacional (3/3) ESPERAR VIDEO

Controles Generales de Sistemas TI (8/9) Medio Físico y Seguridad Controles de acceso físico: Limitación de acceso a las salas de ordenadores a través de tarjetas de identificación de empleados o claves de tarjetas Equipos de vídeo vigilancia Registros de las personas que entran y salen de las aulas de informática Almacenamiento cerrado de datos de backup y copia de datos de seguridad fuera de instalaciones Programdores trabajen con copias de los sistemas (versión en desarrollo) y no con la versión en producción (versión de los usuarios finales)

Controles Generales de Sistemas TI (9/9) Continuidad del Negocio Planificación de continuidad Continuidad del negocio relacionado con los sistemas TI: Una estrategia de copia de seguridad y restauración de los sistemas TI, incluyendo servidores redundantes, almacenamiento redundante de datos, copias de seguridad incrementales diarias, copias de seguridad de los cambios semanales, almacenamiento de copias de seguridad diarias y semanales fuera de las instalaciones. Un plan de recuperación de desastres. La mayoría de las nubes tienen backup …

Exposiciones Generales del software

Diagrama de un sistema grande (o SIA): Ejemplo del hacker al sitio Web usó 7 -> 3 -> 1 Usado para teletrabajo 7 4 2 1 3 Aplicación Web 9 5 6 8

Exposición del Software

Exposiciones en una aplicación Generalmente en formularios se pueden violar un sistema computacional

Software de aplicación y controles de aplicación Controles de validación de entrada programados Controles de validación de entrada son: 1. Chequeo de Campo 2. Comprobar limite (de texto) 3. Control de Rango 4. Chequo de Razonabilidad 7. Chequeo de Firma 8. Chequeo de Secuencia 9. Autocontrol de dígitos SO 5 Aplicación de software y controles de aplicación

Ejemplo: Hacking WII Usando Limite de rango ESPERAR VIDEO

Otras exposiciones del software: (de acuerdo a mi humilde experiencia) Si tu sabes que programas se uso para construir un software A, entonces tú sabes que elementos tiene expuestos el software A Ejemplo. Si un software se implementó usando el lenguaje de programación C, tú sabes que puede tener el problema overbuffering (ejemplo: Wii) Exploit. Son programas que fueron construidos para explotar las debilidades de exposiciones de otros programas