1 Academia Latinoamericana de Seguridad Informática Módulo 2Christian Linacre Arquitecto IT Microsoft Cono Sur

2 Agenda Introducción Concepto de análisis de riesgoMomento y ámbitos del análisis de riesgos Actividades del análisis de riesgos Relevancia de los procesos de negocios y activos Definición del equipo involucrado y entrevistas a los usuarios Análisis técnico Relevancia de los activos Resultados del análisis de riesgos

3 Introducción Enemigo hoy es más rápido, más difícil de detectar y mucho más atrevido Conocer las organizaciones Composición Criticidad Procesos clave de negocios Descubrir las amenazas potenciales Determinar las vulnerabilidades PROTEGER

4 Concepto de análisis de riesgoAmenazas se pueden convertir en realidad a través de fallas de seguridad Fallas de seguridad = vulnerabilidades Eliminarlas para proteger el ambiente Lograr un ambiente libre de riesgos de incidentes de seguridad Análisis de riesgo busca priorizar las acciones de seguridad amenaza-incidente-impacto

5 Concepto de análisis de riesgoAmenaza Agentes que aprovechan vulnerabilidades Incidente Hechos a ser evitados porque generan problemas en la organización Impactos Efectos que producen los incidentes Tienen amplitud y gravedad Ejemplos: pérdida de un documento confidencial, eventos de la naturaleza

6 Definición de análisis de riesgosActividad centrada en la identificación de fallas de seguridad que evidencien vulnerabilidades que puedan ser explotadas por amenazas, provocando impactos en los negocios de la organización Identifica los riesgos a los que está expuesta una organización Determina la recomendaciones de seguridad

7 Definición de análisis de riesgo¿Debemos eliminar TODOS los riesgos? Realizar un análisis de COSTO – BENEFICIO Crear conciencia que la reducción de riesgos beneficia a Las personas La organización Holísticamente

8 Qué hemos revisado Conceptos de análisis de riesgos Amenaza IncidenteImpacto Relación Costo – Beneficio

9 Momento y ámbitos del análisis de riesgosTecnológico Humano Procesos Físico ¿Cuándo? antes o después de la definición de una política de seguridad (para ISO puede ser después)

10 Política de seguridad y análisisPolítica de seguridad es una medida que busca establecer los estándares de seguridad a ser seguidos por todos los involucrados con el uso y mantenimiento de los activos La política afecta el análisis porque: La política de seguridad delimita el alcance del análisis Permite ser selectivo en la verificación de activos que la política establece como vulnerables El análisis toma en cuenta la lista de amenazas potenciales que la misma política contempla

11 ¿Cuando realizar el análisis?Después de la política A mayor daño potencial menor debe ser el tiempo tomado para realizar el análisis de riesgos

12 Ámbitos del análisis de riesgosTecnológico Obtener el conocimiento de las configuraciones y de la disposición topológica Aplicaciones y equipos usados por las personas Humano Entender las maneras en que las personas se relacionan con los activos Identificar vulnerabilidades en los activos de tipo usuario y organización Ojo: nivel de capacitación de las personas

13 Ámbitos del análisis de riesgosProcesos Identificar los eslabones entre las actividades y los insumos necesarios para su realización Enfoque principal es del tipo usuario e información Físico Activos del tipo organización que proveen el soporte físico al entorno en que está siendo manipulada la información Accesos indebidos e impacto de desastres

14 Qué hemos revisado Ámbitos de análisis de riesgoPolíticas de seguridad Factores que afectan el análisis de riesgo

15 Actividades del análisis de riesgosUn análisis de riesgos se forma por medio de un conjunto de actividades preestablecidas que tiene como objetivo identificar el proceso a considerar , saber cuáles son sus elementos o partes constituyentes, cuáles los equipos necesarios en para efectuarlo Para definir que hacer debemos conocer las vulnerabilidades más comunes Para comprender mejor vamos a utilizar una empresa hipotética de ejemplo

16 Actividades del análisis de riesgosEmpresa Internet Banking Identificar los procesos de negocios de la organización en que se desea implementar o analizar el nivel de seguridad de la información Definición del ámbito del proyecto de análisis de riesgos Realización de análisis donde sea realmente necesario, en base a la relevancia del proceso de negocio y sus activos para alcanzar los objetivos de la organización Por la necesidad de delimitar el universo de activos para ser analizados y sobre los cuales se ofrecerán las recomendaciones.

17 Actividades del análisis de riesgosHumanos: personas que hacen uso del Internet Banking; soporte a los usuarios Administradores de los activos en la organización responsables de la planeación y coordinación del trabajo equipos que actúan en la definición de las políticas y procedimientos para la realización del proceso de negocio Tecnológicos: servidores de archivos, en los que se encuentran la información sobre el producto, servidor de base de datos que almacena la información de las cuentas de los clientes del Internet Banking; un servidor de correo electrónico (para envío de estado de cuenta por correo electrónico); un servidor Web, que permite que se hagan consultas al producto por Internet elementos de una red de comunicación para el envío y recepción de la información (firewall, router, parámetro, conexión)

18 Actividades del análisis de riesgosProcesos: estructura organizacional humana que ha sido establecida para la realización del proceso de negocio definición de los equipos para la mantención y garantía de la continuidad de los activos de tecnología del proceso personas y el flujo de actividades relacionadas a la atención a los clientes flujo de información para la realización de una transacción por el banco virtual Físicos: ambiente operativo lugar de trabajo de los equipos involucrados lugar almacenamiento de la información crítica puestos de atención al cliente

19 Qué hemos revisado Dónde y cómo aplicar el análisis de riesgo HumanoTecnológico Procesos Físicos

20 Relevancia de los procesos de negocio y sus activosObtener beneficios del análisis de riesgo: prioridades a lo largo de cada uno de sus procesos de negocio Crear un plan estratégico basado en la importancia e impacto Distinguiendo activos y PROTEGERLOS a través de las acciones de seguridad Empezando por: Áreas más estratégicas que tengan impacto mayor si ocurre un incidente

21 Identificación de la relevancia de los procesos

22 Identificación de la relevancia¿Sabe usted que procesos son de mayor relevancia para los negocios de la empresa? ¿Esta conciente de qué actividades dentro de la empresa son las más afectadas actualmente por ataques internos y externos?

23 Identificación de la relevancia de los activosCada activo que constituye el proceso de negocio, debe ser considerado en una escala de valor crítico ¿Por qué? Para evitar invertir en seguridad donde no sea verdaderamente necesario o donde no sea prioritario La relevancia de los activos en los negocios de la empresa, marcará el rumbo definitivo de las acciones de seguridad en la empresa

24 Identificación de la relevancia de los activosIdentificar los puntos débiles para que sean corregidos disminuir las vulnerabilidades Conocer los elementos constituyentes de la infraestructura de comunicación, procesamiento y almacenamiento de la información dimensionar dónde serán hechos los análisis y cuáles elementos serán considerados Conocer el contenido de la información manipulada por los activos, con base en los principios de la confidencialidad, integridad y disponibilidad Dirigir acciones para incrementar los factores tecnológicos y humanos en las áreas críticas y desprotegidas Permitir una gestión periódica de seguridad identificar nuevas amenazas y vulnerabilidades verificación de la eficacia de las recomendaciones provistas.

25 Qué hemos revisado Relevancia de Metodo STRIDE Procesos de negociosActivos Metodo STRIDE

26 Definición del equipo involucrado y entrevistas a los usuariosDimensionar el recurso humano para la elaboración del análisis de riesgos Fuerza de trabajo necesaria Entrevista a los usuarios que permite conocer cada uno de los procesos de la empresa a través de los actores que los llevan a cabo

27 Definición del equipo involucrado

28 Entrevista a los usuariosGuía de los análisis técnicos Rastrean a los involucrados con la administración de los activos Detectar vulnerabilidades y amenazas al proceso de negocio Detectar nuevos elementos humanos o tecnológicos que hacen parte del proceso de negocio

29 Entrevista a los usuariosPermite sobre los procesos de negocio: Obtener detalles sobre cómo son gestionados, implementados y utilizados Hacer un mapeo de la criticidad de estos procesos frente a las circunstancias organizacionales a que está sometido Definir el nivel de capacitación necesaria del equipo involucrado en su sustentación Conocer la forma con que se da el flujo de información dentro del proceso Conocer la forma de uso y tratamiento de sus productos derivados

30 Qué hemos revisado Definición del equipo involucrado para realizar analisis de riesgos Metodología de entrevistas a los usuarios de procesos de negocios

31 Análisis técnico de seguridadEs recolectar información de los activos: Configuración Estructura en la red de comunicación Forma de administración de sus responsables Para identificar la utilización y manipulación Encontrar vulnerabilidades de seguridad Potenciales Presentes

32 Análisis técnico de seguridadEstaciones de trabajo configuraciones para evitar que los usuarios permiten la acción de amenazas Servidores archivos de configuración y de definición de usuarios que tienen derechos de administración Equipos de conectividad detección de configuraciones que ponen en riesgo las conexiones realizadas por la red de comunicación que respalda un proceso de negocio

33 Análisis técnico de seguridadConexiones Análisis topológico y la representación topológica de la red Bases de datos privilegios de los usuarios con relación a los permisos de uso Aplicaciones deben garantizar un acceso restrictivo, con base en los privilegios de cada usuario

34 Qué hemos revisado Análisis técnico de seguridad Estaciones de trabajoServidores Comunicaciones y conectividad Bases de datos Aplicaciones

35 Análisis de seguridad físicaVulnerabilidades del entorno físico que puedan poner en riesgo los activos del ambiente en que se encuentren ¿Por qué? Para garantizar la continuidad y buen funcionamiento de las actividades individuales La organización del espacio físico permite tener un área de trabajo segura Se inicia con una visita técnica en los entornos

36 Análisis de seguridad físicaDisposición organizativa Donde y como se organizan los activos Sistemas de combate contra incendios Detectores de humo, sistemas de extinción Controles de acceso Cámaras de vídeo, biometría Exposición a clima y medio ambiente Ubicación de puertas y ventanas Topografía Ubicación geográfica del datacenter

37 Qué hemos revisado Análisis de seguridad físicaÁreas a analizar Vulnerabilidades posibles Importancia

38 Relevancia de los activos para el análisis de riesgosEl análisis de riesgo sugiere la valoración de la relevancia del proceso de negocio A mayor relevancia tenga un proceso para el negocio, mayor es la importancia crítica de los activos que hacen parte de éste …y mayor será el riesgo a que está expuesta la organización en el caso de que ocurra un incidente de seguridad en dicho proceso La relevancia permite PRIORIZAR

39 Resultados del análisis de riesgosAnálisis de Riesgos: herramienta para el tratamiento de las vulnerabilidades Permite establecer políticas para la corrección de los problemas ya detectados Permite corregir el entorno Permite implementar el tratamiento de las vulnerabilidades Gestión de seguridad de ellos a lo largo del tiempo

40 Resultados del análisis de riesgos¿El resultado? informes de recomendaciones de seguridad Para evaluar los riesgos Conocer los activos de los procesos de negocio Matriz de valor crítico Entrega la situación de seguridad de los activos Datos cualitativos y cuantitativos Lista vulnerabilidades, amenazas potenciales y respectivas recomendaciones de seguridad

41 Resultados del análisis de riesgosAumenta la seguridad en la organización Pero es sólo el DIAGNÓSTICO A partir del análisis se pueden implementar medidas Correctivas Preventivas Perceptivas ¿Después? La política de seguridad que es el establecimiento de normas de seguridad

42 Qué hemos revisado Conceptos de análisis de riesgosImportancia de analizar adecuadamente los resultados del análisis de riesgos

43 Preguntas © 2005 Microsoft Corporation. Todos los derechos reservados.Este documento es sólo para fines informativos. MICROSOFT NO OFRECE GARANTÍA ALGUNA, EXPRESA O IMPLÍCITA, EN ESTE RESUMEN.

44 Gracias © 2005 Microsoft Corporation. Todos los derechos reservados.Este documento es sólo para fines informativos. MICROSOFT NO OFRECE GARANTÍA ALGUNA, EXPRESA O IMPLÍCITA, EN ESTE RESUMEN.