“Seguridad Informática Mitos y Realidades” VII Reunión de Responsables de Sistemas de Información San Pedro Sula, Honduras Adrián Palma,CISSP,CISA,CISM. Presidente ALAPSI INTERNACIONAL

Introducción La actualidad y la información. Grandes volúmenes de información y procesos. Alta dependencia tecnológica. Bajo control en la protección de información. Internet, una nueva forma de vida o un problema para pensar. Necesitamos seguridad.

Introducción Pero... ¿qué vamos a proteger? ¿cómo lo vamos a proteger? ¿qué tan costosa es la seguridad? ¿quién va a responder estas preguntas? Sin embargo, antes de que se respondan, sabemos que necesitamos seguridad, eso es un hecho!!!.

Introducción Veamos los 6 errores mas comunes: Ya compramos un Firewall, ya tenemos seguridad ¿no?. Manejar el oscurantismo de lo inesperado. Nunca ha pasado nada, o al menos no nos hemos dado cuenta. No estoy en Internet, no necesito seguridad. Mis empleados son gente de confianza!!! Ver el problema de la seguridad como un problema tecnológico.

Estadísticas de Ataques ¿quién invierte mas en seguridad? ¿de dónde vienen los ataques? ¿ qué tecnologías son las mas usadas? ¿cuánto cuestan las intrusiones? ¿y los sitios web?, etc.

Estadísticas Clasificación por puesto del participante Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas Clasificación por volumen de ingresos de la organización participante Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas Participación por sector industrial Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Qué tan importante es la seguridad de la información para alcanzar los objetivos del negocio? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Cuánta importancia le dan los ejecutivos al tema? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Existen o se planea que existan las siguientes posiciones en su organización? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Existen o se planea que existan las siguientes posiciones en su organización? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿A quién le reporta su departamento de seguridad de la información? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Qué tan efectivo es su departamento de seguridad de la información para satisfacer sus necesidades de la organización? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Con qué frecuencia se reporta a su consejo de dirección o equivalente sobre temas relacionados con seguridad de la información? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Qué tan seguido se reúne el responsable de la seguridad de la información con los líderes de las unidades de negocio? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas De la Preocupación a la Conciencia Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas Prácticas de Control Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas Prácticas de Control Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas Prácticas de Monitoreo Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas Prácticas de Análisis de Riesgos Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Qué le preocupa? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿En qué va a concentrarse? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Qué le quitó el sueño? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Qué le quitó el sueño? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Cuanto se lo quitó? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Cuál fue el que más daño causó? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Ejecuta pruebas de penetración recurrentes o planea ejecutarlas en el 2004? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Qué tan preparados están para hacer frente a sus vulnerabilidades? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Quién cree que enfrenta mayores riesgos? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas Preparándose para lo inesperado Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas En relación con los ingresos por ventas ¿Qué porcentaje representa su presupuesto para seguridad? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Cómo es su presupuesto de seguridad de la información de 2004 en comparación con 2003? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Cómo cree que será su presupuesto de seguridad de la información de 2005 en comparación con 2004? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Espera que el tiempo que su organización dedique al tema de seguridad de la información en 2004 se incremente o decremento? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Qué tan efectiva cree que está siendo la inversión en seguridad de la información en relación con los objetivos de negocio y las amenazas? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Qué lo detiene? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Qué tan efectivas son sus herramientas? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Qué tan efectiva es la tercerización para su programa de seguridad? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas ¿Qué tan efectivos son sus servicios? Fuente: Encuesta Global de Seguridad de la Información 2004

Estadísticas Si algo le sucediera ¿A quién le avisaría? Fuente: Encuesta Global de Seguridad de la Información 2004

La seguridad Informática, sus problemas y limitaciones ¿los conocemos?... ¿todos?

La seguridad de la información ¿De quién es el problema de la seguridad? Áreas Tecnológicas Gente De herramientas de Seguridad Infraestructura de TI Negocio Organizacional  

La seguridad y sus problemas La seguridad “corre” en sentido completamente opuesto a la operación... Seguridad Operación Entonces, ¿¿¿mucha o poca seguridad???

La seguridad y sus problemas La operación vs. el Nivel de Seguridad Estado de EQUILIBRIO Seguridad en proporción del posible impacto y costo de implantación Esto es logrado mediante la construcción de una arquitectura de seguridad basada en análisis de riesgos

La seguridad y sus problemas Internet es: Cada vez más peligrosa, mas necesaria y más compleja Cada vez hay mas proveedores, socios de negocio, clientes, pero tambien, competidores, enemigos y amenazas Productos de seguridad orientados a la detección Rechazan el ataque, o Fallan!!!

La seguridad y sus limitaciones Demasiados proveedores Demasiados productos Demasiados servicios Poca información sólida Problemas en el escalamiento y/o comprensión de las necesidades de seguridad Ya tenemos un firewall!!! o ¿no? Cuando vendes martillos, a todos los problemas les ves cabeza de clavo, ¿o no?

La seguridad y sus limitaciones El administrador de seguridad debe estar prevenido de todos y cada uno de los ataques y vulnerabilidades, conocidos y desconocidos Los atacantes SÓLO necesitan explotar UNA vulnerabilidad Poca gente disponible y especializada

La seguridad y sus limitaciones Pocos proveedores enfocados a la seguridad de la información Muy pocos con verdadera provisión de Soluciones Integrales, o son productos o servicios Demasiada improvisación Orientados a un área de experiencia La seguridad es relativa y dinámica Lo que hoy puede ser seguro, mañana “seguramente” no lo será No existe seguridad a prueba de todo

Algunas recomendaciones Administre el riesgo Todas las compañías lo hacen en sus procesos de negocio El de la tecnología de información es uno más Se presentarán fallas El negocio las puede resistir Debe incluirse en el costo de hacer negocio Hay que equilibrar riesgo .vs. costo La evaluación de esta fórmula debe ser continua Cambia con el tiempo, las condiciones de negocio, la gente, los cambios organizacionales, las fusiones, las alianzas, la tecnología, etc.

Algunas recomendaciones Proteja, Detecte y Responda Todos los productos presentan fallas durante su vida útil Todos los proveedores de servicios cometen errores durante la duración del contrato Sus usuarios se equivocan o deciden actuar en contra de las recomendaciones Hay que monitorear Los monitores deben estar capacitados para tomar acciones que vayan más de allá de hacer sonar una alarma

Algunas recomendaciones Contrate uno o más Proveedores de Cabecera. Ellos se dedican a la seguridad, su empresa o institución no! Tienen mas experiencia por el número de clientes con los que trabajan. Un buen proveedor puede entender, apreciar y actuar de manera efectiva observando la seguridad y sus efectos así como los requerimientos de negocio.

¡M u c h a s g r a c i a s! Adrián Palma,CISSP,CISA,CISM presidencia@alapsi.org www.alapsi.org