Introducción empresarial

TABLA DE CONTENIDO Acerca de Nosotros…………………………………….…….3 Estándares………………………………………………….…….4 Estrategia de Expansión……………………….…………..5 Ventaja Competitiva…………….…………………….....6,7 Ejemplos de Pruebas de Penetración……………………………… …8,9 2

Acerca de Nosotros 3 Somos una empresa de seguridad de la información basado en Miami, FL con una base de clientes establecidos nacionalmente y actualmente expandiendo internacionalmente. En el área de seguridad de la información, nos especializamos en evaluaciones de seguridad manuales, reportando a nuestros clientes vulnerabilidades existentes en sus infraestructuras de TI y proporcionando recomendaciones para eliminar efectivamente todas las amenazas actuales. Nuestra empresa se rige por los valores centrales de crear soluciones que proporcionan un valor duradero y superan las expectativas de nuestros clientes. Cada miembro de nuestro personal tiene que pasar una serie de pruebas avanzadas para demostrar dominio en sus áreas de conocimiento. Después de pasar esa fase, aprenden y siguen nuestros estrictos estándares empresariales.

Nos regimos por los estándares más respetados de la industria, incluyendo: -The National Institute of Standards and Technology (NIST) -Open Source Security Testing Methodology Manual (OSSTMM) -Penetration Testing Execution Standard (PTES) Aún más importante que el seguimiento de estándares es la experiencia y las habilidades técnicas que nos permiten llevar a cabo simulaciones de ataques avanzados que nuestros clientes pueden enfrentar en el mundo real, asi encontrando y eliminando vulnerabilidades y proporcionando una arquitectura de seguridad efectiva. 4 Estándares

Estrategia de Expansión 5 La empresa comenzó con la idea de crecer en el mercado norteamericano y usar nuestro punto estratégico en Miami, FL para expandir a Latinoamérica. Nuestro enfoque con esta expansión es obtener clientes en el sector de seguridad de la información y establecernos como un proveedor de soluciones de seguridad cibernética en la región. Con estas metas en mente, hemos buscado a un socio establecido en la región que estuviera idealmente posicionado para aprovechar de una nueva fuente de ingresos de su cartera de clientes actuales y de los que consiguen en el futuro a través de un acuerdo de referencia de clientes. Buscamos una empresa con interés en una alianza estratégica y que estuviera en una circunstancia óptima para una relación de beneficio mutuo.

Ventaja Competitiva 6 Aunque herramientas automatizadas tienen su uso, no son un sustituto para las pruebas manuales hechos por expertos en seguridad. Muchas empresas dicen que ofrecen pruebas de penetración cuando realmente lo que están ofreciendo son escaneos de vulnerabilidades. Estos son escaneos automatizados que no eliminan falsos positivos y son un mundo aparte de un ataque real. Una prueba de penetración verdadero explota vulnerabilidades encontradas y termina en un reporte explicando cada problema en detalle y dando recomendaciones de como eliminarlas basados en mejores prácticas. Usamos herramientas junto con análisis manual no solo en pruebas de penetración pero también en evaluaciones de vulnerabilidad. Nuestros equipos simulan ataques avanzados que se pueden esperar en el mundo real para proveer soluciones que verdaderamente aseguren los sistemas de nuestros clientes. También verificamos que todas nuestras recomendaciones han sido implementadas correctamente cuando nuestro cliente requiere una ‘validación.’

. 7 Ventaja Competitiva Simplemente dependiendo en software de seguridad para proteger los datos y operaciones de una empresa no es suficiente para una arquitectura de seguridad adecuada hoy en día. Debilidades existen por varias razones, como los siguientes: Soluciones de software registran una cantidad muy alta de falsos positivos, creando una situación en la cual alertas son ignoradas ya que empresas grandes pueden recibir alertas diarias. Por ejemplo, tenemos a Target que perdió información de tarjetas de crédito de 40 millones de consumidores debido a un ataque. Habían recibido una alerta de un intruso, pero llegaron al punto donde no revisaban las alertas porque la gran mayoría resultaban no ser problemas. No tienen la capacidad para defender efectivamente contra atacantes con experiencia y habilidad. Hemos visto casos donde el software del cliente no reconoce nueve ataques pero registra el décimo ataque, por ejemplo. Esta defensa proporciona poca utilidad al momento de proteger los datos de una organización. El nivel de seguridad de una organización solo se puede averiguar probando esa seguridad- allí es donde todas las vulnerabilidades que encontraría un atacante son identificados y corregidos con una póliza de seguridad comprensiva.

Perfil de Cliente- Médico 8 Prueba de penetración de caja negra (black box) simulando un ataque desde el punto de vista de un atacante en el mundo real, sin tener información privada de la empresa. Esta prueba resultó en un reporte de 114 páginas, y los vulnerabilidades principales incluyeron: Fallas de configuración que permitirían que un atacante accede a la red de la empresa Vulnerabilidades que permitirían a un atacante instalar software malicioso en la red Configuración errónea que hizo posible conectarse de forma remota a las máquinas internas y transferir datos desde la red interna hacia el exterior Configuración errónea de las computadoras y servidores que permitirían control total sobre todas las computadoras y servidores El equipo de IT recibió un análisis comprensivo de todos los riesgos y pudieron implementar los cambios necesarios de una manera eficaz y rápida. Ahorarron meses de tiempo que hubieran gastado tratando de solucionar estos problemas solos.

9 Perfil de Cliente- Servicios Financieros Una prueba de penetración de caja negra fue realizada para este cliente, de nuevo simulando un ataque desde afuera de un atacante o un grupo de atacantes que no poseen información de la empresa. La empresa sufría de varios problemas comunes, las vulnerabilidades incluyeron: Configuración errónea del firewall/servidor de base de datos: Identificamos una configuración errónea que expuso lo que debió ser un servidor de base de datos interna directamente al Internet. Además, era vulnerable a ejecución remota de código y corrupción de memoria. La combinación de estas vulnerabilidades habría permitido tomar el control total del servidor de base de datos de forma remota. Vulnerabilidad de acceso remoto: Configuración errónea de acceso remoto en varios servidores permitió la comunicación insegura y acceso remoto a los sistemas de la organización. Al recibir el reporte, el equipo de IT del cliente pudo implementar los cambios requeridos inmediatamente para modificar sus sistemas y asegurar sus datos confidenciales. Luego, llevamos a cabo una validación para que el cliente estuviera seguro que los cambios se implementaron efectivamente. Las consecuencia de un ataque exitoso con los problemas presentes hubiera causado graves daños financieros y de reputación.