Origen de los problemas de Seguridad Informática

SEGURIDAD INFORMÁTICA “LA SEGURIDAD INFORMATICA ES UN CAMINO, NO UN DESTINO” Objetivo: mantener los sistemas generando resultados. Si los sistemas no se encuentran funcionando entonces su costo se convierte en perdidas financieras (en el menos grave de los casos). El resultado generado por un sistema es la INFORMACION que ALMACENA O PRODUCE.

SEGURIDAD INFORMÁTICA La seguridad informática NO es un problema exclusivamente de las computadoras. Las computadoras y las redes son el principal campo de batalla. Se debe de proteger aquello que tenga un valor para alguien.

SEGURIDAD INFORMÁTICA ¿Qué la seguridad informática? Políticas, procedimientos y técnicas para asegurar la integridad, disponibilidad y confiabilidad de datos y sistemas. Prevenir y detectar amenazas. Responder de una forma adecuada y con prontitud ante un incidente. Proteger y Mantener los sistemas funcionando.

SEGURIDAD INFORMÁTICA ¿Por qué la seguridad informática? Por $$$, el dueño de los sistemas tiene dinero INVERTIDO en algo que le trae un beneficio o ventaja. El Cracking a otros sistemas desde cualquier punto de vista es ilegal. Estamos defendiéndonos ante el crimen. (aunque no haya leyes). Por CALIDAD, hay que acostumbrarnos a hacer las cosas bien, aunque cueste más esfuerzo.

SEGURIDAD INFORMÁTICA ¿De donde surge la seguridad? “Tecnológicamente, la seguridad es GRATIS” YA HAS PAGADO POR ELLA: Los sistemas operativos modernos contienen muchas características de seguridad.

SEGURIDAD INFORMÁTICA La Seguridad Informática es Fácil: “Con el 20% de esfuerzo se puede lograr el 80% de resultados” Actividades sencillas pero constantes son las que evitan la mayoría de los problemas. Se debe de trabajar en crear MECANISMOS de seguridad que usan las TECNICAS de seguridad adecuadas según lo que se quiera proteger.

ROLES INVOLUCRADOS EN SEGURIDAD

SEGURIDAD USUARIOS

SEGURIDAD INFORMÁTICA Usuarios comunes: Los usuarios se acostumbran a usar la tecnología sin saber como funciona o de los riesgos que pueden correr. Son el punto de entrada de muchos de los problemas crónicos. Son “El eslabón más débil” en la cadena de seguridad.

SEGURIDAD INFORMÁTICA 2 enfoques para controlarlos: Principio del MENOR PRIVILEGIO POSIBLE: Reducir la capacidad de acción del usuario sobre los sistemas. Objetivo: Lograr el menor daño posible en caso de incidentes. EDUCAR AL USUARIO: Generar una cultura de seguridad. El usuario ayuda a reforzar y aplicar los mecanismos de seguridad. Objetivo: Reducir el número de incidentes

CREADORES DE SISTEMAS SEGURIDAD USUARIOS

SEGURIDAD INFORMÁTICA Creando Software: El software moderno es muy complejo y tiene una alta probabilidad de contener vulnerabilidades de seguridad. Un mal proceso de desarrollo genera software de mala calidad. “Prefieren que salga mal a que salga tarde”. Usualmente no se enseña a incorporar requisitos ni protocolos de seguridad en los productos de SW.

SEGURIDAD INFORMÁTICA Propiedades de la Información en un “Trusted System” Confidencialidad: Asegurarse que la información en un sistema de cómputo y la transmitida por un medio de comunicación, pueda ser leída SOLO por las personas autorizadas. Autenticación: Asegurarse que el origen de un mensaje o documento electrónico esta correctamente identificado, con la seguridad que la entidad emisora o receptora no esta suplantada.

SEGURIDAD INFORMÁTICA Integridad: Asegurarse que solo el personal autorizado sea capaz de modificar la información o recursos de cómputo. No repudiación: Asegurarse que ni el emisor o receptor de un mensaje o acción sea capaz de negar lo hecho. Disponibilidad: Requiere que los recursos de un sistema de cómputo estén disponibles en el momento que se necesiten.

SEGURIDAD INFORMÁTICA Ataques contra el flujo de la información FLUJO NORMAL Los mensajes en una red se envían a partir de un emisor a uno o varios receptores El atacante es un tercer elemento; en la realidad existen millones de elementos atacantes, intencionales o accidentales. Emisor Receptor Atacante

SEGURIDAD INFORMÁTICA INTERRUPCION El mensaje no puede llegar a su destino, un recurso del sistema es destruido o temporalmente inutilizado. Este es un ataque contra la Disponibilidad Ejemplos: Destrucción de una pieza de hardware, cortar los medios de comunicación o deshabilitar los sistemas de administración de archivos. Emisor Receptor Atacante

SEGURIDAD INFORMÁTICA INTERCEPCION Una persona, computadora o programa sin autorización logra el acceso a un recurso controlado. Es un ataque contra la Confidencialidad. Ejemplos: Escuchas electrónicos, copias ilícitas de programas o datos, escalamiento de privilegios. Emisor Receptor Atacante

SEGURIDAD INFORMÁTICA MODIFICACION La persona sin autorización, además de lograr el acceso, modifica el mensaje. Este es un ataque contra la Integridad. Ejemplos: Alterar la información que se transmite desde una base de datos, modificar los mensajes entre programas para que se comporten diferente. Emisor Receptor Atacante

SEGURIDAD INFORMÁTICA FABRICACION Una persona sin autorización inserta objetos falsos en el sistema. Es un ataque contra la Autenticidad. Ejemplos: Suplantación de identidades, robo de sesiones, robo de contraseñas, robo de direcciones IP, etc... Es muy difícil estar seguro de quién esta al otro lado de la línea. Emisor Receptor Atacante

GERENTES CREADORES DE SISTEMAS SEGURIDAD USUARIOS

SEGURIDAD INFORMÁTICA Para que esperar… “Si gastas más dinero en café que en Seguridad Informática, entonces vas a ser hackeado, es más, mereces ser hackeado” La mayoría de las empresas incorporan medidas de seguridad hasta que han tenido graves problemas. ¿para que esperarse?

SEGURIDAD INFORMÁTICA Siempre tenemos algo de valor para alguien Razones para atacar la red de una empresa: $$$, ventaja económica, ventaja competitiva, espionaje político, espionaje industrial, sabotaje,… Empleados descontentos, fraudes, extorsiones, (insiders). Espacio de almacenamiento, ancho de banda, servidores de correo (SPAM), poder de cómputo, etc… Objetivo de oportunidad.

SEGURIDAD INFORMÁTICA Siempre hay algo que perder: ¿Cuánto te cuesta tener un sistema de cómputo detenido por causa de un incidente de seguridad? Costos económicos (perder oportunidades de negocio). Costos de recuperación. Costos de reparación. Costos de tiempo. Costos legales y judiciales. Costos de imagen. Costos de confianza de clientes. Perdidas humanas (cuando sea el caso).

SEGURIDAD INFORMÁTICA ¿Qué hacer? Los altos niveles de la empresa tienen que apoyar y patrocinar las iniciativas de seguridad. Las políticas y mecanismos de seguridad deben de exigirse para toda la empresa. Con su apoyo se puede pasar fácilmente a enfrentar los problemas de manera proactiva (en lugar de reactiva como se hace normalmente)

GERENTES CREADORES DE SISTEMAS SEGURIDAD HACKER CRACKER USUARIOS

SEGURIDAD INFORMÁTICA Cracking: Los ataques son cada vez mas complejos. Cada vez se requieren menos conocimientos para iniciar un ataque. México es un paraíso para el cracking. ¿Por qué alguien querría introducirse en mis sistemas? ¿Por qué no? Si es tan fácil: Descuidos Desconocimiento Negligencias (factores humanos).

SEGURIDAD INFORMÁTICA ¿Quienes atacan los sistemas? Gobiernos Extranjeros. Espías industriales o políticos. Criminales. Empleados descontentos y abusos internos. Adolescentes sin nada que hacer

SEGURIDAD INFORMÁTICA Niveles de Hackers: Nivel 3: (ELITE) Expertos en varias áreas de la informática, son los que usualmente descubren los puntos débiles en los sistemas y pueden crear herramientas para explotarlos. Nivel 2: Tienen un conocimiento avanzado de la informática y pueden obtener las herramientas creadas por los de nivel 3, pero pueden darle usos más preciso de acuerdo a los intereses propios o de un grupo. Nivel 1 o Script Kiddies: Obtienen las herramientas creadas por los de nivel 3, pero las ejecutan contra una víctima muchas veces sin saber lo que están haciendo.Son los que con más frecuencia realizan ataques serios. Cualquiera conectado a la red es una víctima potencial, sin importar a que se dedique, debido a que muchos atacantes sólo quieren probar que pueden hacer un hack por diversión.

SEGURIDAD ADMINISTRADORES DE T.I. GERENTES CREADORES DE SISTEMAS HACKER CRACKER ADMINISTRADORES DE T.I. USUARIOS

SEGURIDAD INFORMÁTICA ADMINISTRADORES DE TI: Son los que tienen directamente la responsabilidad de vigilar a los otros roles. (aparte de sus sistemas). Hay actividades de seguridad que deben de realizar de manera rutinaria. Obligados a capacitarse, investigar, y proponer soluciones e implementarlas. También tiene que ser hackers: Conocer al enemigo, proponer soluciones inteligentes y creativas para problemas complejos.

Puntos Débiles en los Sistemas SEGURIDAD INFORMÁTICA Puntos Débiles en los Sistemas Comunicaciones Aplicación Servicios Internos Servicios Públicos Sistema Operativo Usuarios Almacenamiento de datos

SEGURIDAD INFORMÁTICA Qué se debe asegurar ? Siendo que la información debe considerarse como un recurso con el que cuentan las Organizaciones y por lo tanto tiene valor para éstas, al igual que el resto de los activos, debe estar debidamente protegida. ¿Contra qué se debe proteger la Información ? La Seguridad de la Información, protege a ésta de una amplia gama de amenazas, tanto de orden fortuito como destrucción, incendio o inundaciones, como de orden deliberado, tal como fraude, espionaje, sabotaje, vandalismo, etc.

SEGURIDAD INFORMÁTICA ¿Qué se debe garantizar? Confidencialidad: Se garantiza que la información es accesible sólo a aquellas personas autorizadas a tener acceso a la misma. Integridad: Se salvaguarda la exactitud y totalidad de la información y los métodos de procesamiento. Disponibilidad: Se garantiza que los usuarios autorizados tienen acceso a la información y a los recursos relacionados con la misma toda vez que se requiera.

SEGURIDAD INFORMÁTICA ¿Porqué aumentan las amenazas? Las Organizaciones son cada vez mas dependientes de sus Sistemas y Servicios de Información, por lo tanto podemos afirmar que son cada vez mas vulnerables a las amenazas concernientes a su seguridad. Algunas causas son: Crecimiento exponencial de las Redes y Usuarios Interconectados Profusión de las BD On-Line Inmadurez de las Nuevas Tecnologías Alta disponibilidad de Herramientas Automatizadas de Ataques Nuevas Técnicas de Ataque Distribuido (Ej:DDoS) Técnicas de Ingeniería Social

SEGURIDAD INFORMÁTICA ¿Cuáles son las amenazas? Accidentes: Averías, Catástrofes, Interrupciones. Errores: de Uso, Diseño, Control. Intencionales Presenciales: Atentado con acceso físico no autorizado. Intencionales Remotas: Requieren acceso al canal de comunicación. Interceptación pasiva de la información (amenaza a la CONFIDENCIALIDAD). Corrupción o destrucción de la información (amenaza a la INTEGRIDAD). Suplantación de origen (amenaza a la AUTENTICACIÓN)

SEGURIDAD INFORMÁTICA ¿Cómo resolver el desafío de la seguridad informática? Las tres primeras tecnologías de protección más utilizadas son el control de acceso/passwords (100%), software anti-virus (97%) y firewalls (86%) Los ataques más comunes durante el último año fueron los virus informáticos (27%) y el spammimg de correo electrónico (17%) seguido de cerca (con un 10%) por los ataques de denegación de servicio y el robo de notebook: El problema de la Seguridad Informática está en su Gerenciamiento y no en las tecnologías disponibles

SEGURIDAD INFORMÁTICA Gerenciar Seguridad Informática Por ahora .... Protección de la Información Amenazas Internas Externas Confidencialidad Integridad Disponibilidad Gerenciar Seguridad Informática

SEGURIDAD INFORMÁTICA Aspectos Legales

Contamos con Seguridad Informática ....

SEGURIDAD INFORMÁTICA Requerimiento básico Apoyo de la Alta Gerencia RRHH con conocimientos y experiencia RRHH capacitados para el día a día Recursos Económicos Tiempo

SEGURIDAD INFORMÁTICA Análisis de Riesgos Se considera Riesgo Informático, a todo factor que pueda generar una disminución en: Confidencialidad – Disponibilidad - Integridad Determina la probabilidad de ocurrencia Determina el impacto potencial

SEGURIDAD INFORMÁTICA Modelo de Gestión Activos Amenazas Impactos Vulnerabilidades Reduce Reduce Riesgos Función Correctiva Función Preventiva

Política de Seguridad: “Conjunto de Normas y Procedimientos documentados y comunicados, que tienen por objetivo minimizar los riesgos informáticos mas probables” Uso de herramientas Involucra Cumplimiento de Tareas por parte de personas

Cumplimiento de Tareas por parte de personas Plan de Contingencias “Conjunto de Normas y Procedimientos documentados y comunicados, cuyo objetivo es recuperar operatividad mínima en un lapso adecuado a la misión del sistema afectado, ante emergencias generadas por los riesgos informáticos” Uso de herramientas Involucra Cumplimiento de Tareas por parte de personas

Control por Oposición Auditoría Informática Interna capacitada Equipo de Control por Oposición Formalizado Outsourcing de Auditoría

Herramientas: Copias de Resguardo Control de Acceso Encriptación Antivirus Barreras de Protección Sistemas de Detección de Intrusiones

Uso de Estándares NORMA ISO/IRAM 17799

Estándares Internacionales Norma ISO/IRAM 17.799 Estándares Internacionales - Norma basada en la BS 7799 - Homologada por el IRAM

ORGANIZACION DE LA SEGURIDAD Norma ISO/IRAM 17.799 ORGANIZACION DE LA SEGURIDAD Infraestructura de la Seguridad de la Información Seguridad del Acceso de terceros Servicios provistos por otras Organizaciones CLASIFICACION Y CONTROL DE BIENES Responsabilidad de los Bienes Clasificación de la Información

SEGURIDAD DEL PERSONAL Norma ISO/IRAM 17.799 SEGURIDAD DEL PERSONAL Seguridad en la definición y la dotación de tareas Capacitación del usuario Respuesta a incidentes y mal funcionamiento de la Seguridad SEGURIDAD FISICA Y AMBIENTAL Áreas Seguras Seguridad de los Equipos Controles generales

GESTION DE LAS COMUNICACIONES Y LAS OPERACIONES Norma ISO/IRAM 17.799 GESTION DE LAS COMUNICACIONES Y LAS OPERACIONES Procedimientos operativos y responsabilidades Planificación y aceptación del Sistema Protección contra el software maligno Tares de acondicionamiento Administración de la red Intercambio de información y software

Norma ISO/IRAM 17.799 CONTROL DE ACCESO Requisitos de la Organización para el control de acceso Administración del acceso de usuarios Responsabilidades de los usuarios Control de acceso de la Red Control de acceso al Sistema Operativo Control de acceso de las Aplicaciones Acceso y uso del Sistema de Monitoreo Computadoras móviles y trabajo a distancia

DESARROLLO Y MANTENIMIENTO DE LOS SISTEMAS Norma ISO/IRAM 17.799 DESARROLLO Y MANTENIMIENTO DE LOS SISTEMAS Requisitos de Seguridad de los Sistemas Seguridad de los Sistemas de Aplicación Controles Criptográficos Seguridad de los archivos del Sistema Seguridad de los procesos de desarrollo y soporte

Norma ISO/IRAM 17.799 DIRECCION DE LA CONTINUIDAD DE LA ORGANIZACION Aspectos de la dirección de continuidad de la Organización CUMPLIMIENTO Cumplimiento con los requisitos legales Revisión de la Política de seguridad y del Cumplimiento Técnico Consideración de las Auditorías del Sistema