Embed Size (px)
Citation preview
Los tres pilares de la seguridad de la
informaciónHoracio Bruera
Carranza Torres & Asociados
Jornada Estrategia y Negocios17/09/2010
Encuesta Symantec
Encuesta de Symantec
Información
Datos personales
Secretos comerciale
s
Obras e invencione
s
Pilares de la seguridad de la
información
Legal(leyes, contratos,
reglamentos, códigos de
conducta, etc.)
Técnico(hardware, software,
seguridad física)
Organizacional(capacitación,
auditorías, aplicación práctica,
definición de perfiles, etc.)
Pilares Información
Datos personales
Secretos comerciales
Obras e invenciones
Legal
Técnico
Organizacional
Datos personales
LPDP
Medidas técnicas
Medidas organizativa
s
Secretos comerciale
s
LCI
Medidas razonables
Obras
LPI
Medidas de protección tecnológica
Gestión de activos de PI
El usuario de mala fe
Datos
• Software original licenciado a un cliente.
• El cliente copió y vendió la copia sin autorización.
• El registro se hizo con posterioridad al hecho.
Pilares
• La falta de registro suspende los derechos (organizacional).
• La falta de registro no beneficia al usuario de mala fe (lo legal).
El “pirata” informático
Datos
• Había “Código de conducta”, “Principios de ética”, y “Política de seguridad informática”
• Había claves personales
• El personal de informática tenía una clave genérica
Pilares
• No se pudo acreditar la autoría (organizacional)
• No se probó la notificación de los reglamentos (organizacional)
El duplicador de datosDatos
• Servicio oneroso brindado a través de Internet
• Base de datos registrada
• Acceso legítimo• Copia ilegítima
de los datos para comercializarlos como información exclusiva en Internet
Pilares
• Una copia parcial de la información suministrada es suficiente para configurar el delito (legal)La base de datos estaba registrada (organizacional)
• Se acreditó el origen de la información (organizacional)
Un funcionario poco funcionalDatos
• Base de datos almacenada en CDs
• El funcionario la obtuvo por pedido
• No se violaron sistemas de confidencialidad y seguridad
• El funcionario pidió que lo capacitaran y reenvió instrucciones por mail
Pilares
• La entrega o traspaso de una base de datos respecto de la cual pesa el deber de confidencialidad viola la LPDP (legal)
• El acceso a datos de registros públicos no autorizado por ley o funcionario viola la LPDP (legal)
La empleada infielDatos
• Documento titulado “Cumplimiento de Seguridad Informática” (incluía NDA)
• Se auditaron sólo los mails vinculados con la empresa competidora.
• Se auditó en presencia de un escribano.
Pilares
• El envío de información confidencial no es compatible con la prosecución de la relación laboral (legal).
• El proceder de la empresa dejó salvaguardada la intimidad (organizacional).
El e-mail particular
Datos
• Envío de información al e-mail personal
• Información sobre clientes y ventas
• Se hizo un seguimiento a través del pc anywhere
• Había clave personal y convenio de confidencialidad
Pilares
• No se probó el carácter confidencial de la información (legal)
• No se probó la autoría del envío (organizacional)
El telemarketer curioso
Datos
• Ingreso mediante una clave
• Reemplazo de claves
• Acuerdo de confidencialidad y seguridad de clave
• Capacitación sobre seguridad
• Compromiso de respetar la política de privacidad
Pilares
• El acceso por mera curiosidad no es ilegal (legal)
• El sistema se caía frecuentemente (técnico)
• Falta de aplicación práctica (organizacional)
Los phishers
Datos
• Hay sitio web oficial del Banco.
• En una página paralela se solicita el número de cuenta y el código de transferencia.
• Las cuentas eran del mismo Banco.
Pilares
• La víctima proporcionó los datos en una página paralela (organizacional)
• Hay fraude aun cuando no se verifiquen todos los pasos del procedimiento de phishing (legal)
Desafíos
Redes sociales
Cloud computing
Dispositivo
s móviles
¡Muchas gracias!Horacio Bruera
