Seguridad de la Información
NORMA ISO 17799 / ISO 27001
Implementación Práctica
TRACK I :
APERTURA
Recepción
Presentación General
• Objetivos• Director• Sugerencias• Participantes• Roadmap
• Identificación de los requerimientos específicos de la norma ISO 17799 en sus 11 dominios.
• Comprender el proceso de adecuar la compañía para lograr la Certificación ISO 27001.
• Talleres prácticos de implementaciones: soluciones y problemas ocurridos.
• Al final del Entrenamiento se entregará a cada participante un Manual de Gestión de Seguridad de la Información basado en la Norma ISO 17799 / ISO 27001.
Objetivos
Adquirir conocimientos y metodologías de implementación de medidas de seguridad de acuerdo con los requerimientos de la Norma ISO 17799 / ISO 27001 :
Instructor: Martín Vila
Business Director I -Sec Information Security (2001 - 2006)Gerente experimentado de la práctica de Business Risk Management de Pistrelli, Díaz y Asociados, miembro de Arthur Andersen (abril 1992 -abril 2001)Ha liderado numerosos proyectos de Auditoría e Implementación de Programas de Seguridad Informática en Entidads de primer nivel en el ámbito local e internacional, basados en distintas Normativas (ISO 17799, BS7799, COBIT, NIST, Sarbanes Oxley).Ha desarrollado y participado como instructor en Information Security Courses en USA, Centroamérica y Latinoamérica (Arthur Andersen, ISACA, Guarded Networks, Ernst & Young, Microsoft, IT College, ISEC, IDEA, ERC-Computer, ATS, IT Services, Global Solution, INFOSECURITY, Universidad CAECE). Ha sido invitado como Especialista en diversos medios de comunicación masivo como ser CNN, Diario Clarín, El Cronista Comercial, InfoBAE, entre otros.
Instructor: Sixto Flores R.
Country Manager I -Sec Information Security EcuadorGerente IT Services S.A.Gerente Producto Symantec Nexsys del EcuadorGerente Administrativo-Financiero Inacom-EcuadorGerente Dinformatica Grupo Diners-Banco Pichincha
Especialista en Dirección Internacional de Empresas (POST GRADO)Ing. De EmpresasAnalista de SistemasTecnólogo Programador
Identificar objetivos.Anotar respuestas.Intercambiar experiencias.Generar un plan de acción propio.Participar activamente.Aclarar las dudas.Ser positivo y entusiasta.Comunicar los inconvenientes o disconformidades.
Sugerencias
TRACK I : APERTURATRACK II : QUE ES SEGURIDAD?TRACK III : NORMAS APLICABLESTRACK IV : Cómo se implementa un Programa de Gestión de Seguridad de la Información (ISMS)?TRACK V : Cómo es un Proceso de Certificación ISO 27001 de una Organización?TRACK VI : Principales controles definidos en cada uno de los Dominios de la ISO17799:2005TRACK VII : Taller Práctico FINAL: Elaboración de un Programa General de Seguridad para preparar a la Compañía para CertificarTRACK VIII : MODELO ANUAL DE GESTION CONTINUA
Roadmap
TRACK II :
QUE ES SEGURIDAD?
Por que?
Reconocer los riesgos y su impacto en los negocios
INTERNET
Nadie logra controlar la epidemia: el “correo basura” invade las casillas de todo el mundoApenas 150 “spammers” norteamericanos son los responsables del 90 por ciento de los mensajes no deseados que atestan las computadoras de todo el mundo. Todavía no hay leyes para limitar su impacto económico.
Algunos datos
11:22 | EL GUSANO
Un nuevo virus se esconde en tarjetas navideñas
Un virus informático, que se esconde en una tarjeta electrónica de felicitación, comenzó a circular por la red, informóPanda Software. La compañía advirtió a los usuarios que extremen las medidas de seguridad durante estas fiestas.
ESTAFAS EN INTERNET El “phishing” ya pesca en todo AmericaDetectaron casos que afectaron a numerosas empresas y a los clientes de bancos estadounidenses y del resto de America.
Algunos hechos
12:50 | A TRAVES DE MAILUtilizan las siglas del FBI para propagar un virus
La famosa policía federal estadounidense advirtió sobre la difusión de falsos correos electrónicos que llevan su nombre.
La pregunta secreta del caso "Paris Hilton"-------------------------------------------
Hace apenas unos días saltó la noticia de que los contenidos delteléfono móvil de Paris Hilton habían sido publicados en Internet. Enun principio se barajó la posibilidad de que hubieran accedido ala tarjeta SIM, o de que se tratara de una intrusión a los servidoresde T-Mobile aprovechando inyecciones SQL. Al final parece ser que elmétodo empleado fue mucho más sencillo, bastaba con contestar a lapregunta "¿cuál es el nombre de su mascota favorita?".
Legales | Infracciones Graves El delito informático En forma amplia, es "toda acción reputada como delito para cuya consumación se utilizan o afectan medios informáticos". Vulneran tanto los equipos como los programas, e incluyen virus, sustracción de información o piratería.En un terreno más restringido, son sólo aquellas acciones que vulneran los equipos fijos de computación.
Libertad, control y responsabilidad en Internet
Diariojudicial.com publica hoy un polémico fallo por el que se condena a los responsables de un sitio de internet por un mensaje injurioso anónimo ingresado en un libro de visitas, de
libre acceso por los navegantes. La resolución preocupa a los sitios web y puede sentar un duro precedente para aquellos que contengan foros y libros de visitas abiertos al público.
Algunos hechos
Algunos datos
La seguridad de redes, una prioridad para las empresasCisco publicó los resultados de un estudio de seguridad realizado a directivos latinoamericanos de IT. De acuerdo a los resultados, el 79 % de los Directivos de IT de Latinoamérica opina que la seguridad de redes es un tema "de extrema prioridad" o "muy prioritario" para los directivos de sus compañías.
NEGOCIOSUna nueva fiebre “enferma” a las empresas de todo el mundo: la seguridad de la informaciónLa gestión de las políticas de seguridad de la información obsesiona a miles de empresas de todoel mundo. Ahora, ya no se conforman con controlarlos datos circulantes; también quieren ahorrarmillones.
Algunos datos
No existe la “verdad absoluta” en SeguridadInformática.No es posible eliminar todos los riesgos.La Dirección está convencida de que la SeguridadInformática no hace al negocio de la compañía.Cada vez los riesgos y el impacto en los negocios son mayores.
Algunas premisas
En mi compañía ya tenemos seguridad porque ...
... implementamos un firewall.
... contratamos una persona para el área.
... en la última auditoría de sistemas no me sacaron observaciones importantes.
... ya escribí las políticas.
... hice un penetration testing y ya arreglamos todo.
Algunas realidades
En general todos coinciden en:
El 80% de los incidentes/fraudes/ataques son efectuados por personal interno
Fuentes:The Computer Security InstituteCooperative Association for Internet Data Analysis (CAIDA)CERTSANS
Algunos datos
Según una encuesta del Departamento de Defensa de USA:
Sobre aproximadamente 9000 computadores atacados,7,900 fueron dañados.400 detectaron el ataque.Sólo 19 informaron el ataque.
Algunos datos
• en formato electrónico / magnético / óptico
• en formato impreso
• en el conocimiento de las personas
Qué Información proteger
Principales riesgos y su impacto en los negocios
Captura de PC desde el exterior
Violación de e-mailsViolación de contraseñas
Interrupción de los servicios
Intercepción y modificación de e-mails
VirusFraudes informáticos
Incumplimiento de leyes y regulaciones
Robo o extravío de notebooks
empleados deshonestos
Robo de información
Destrucción de soportes documentales
Acceso clandestino a redes
Intercepción de comunicaciones
Destrucción de equipamiento
Programas “bomba”
Acceso indebido a documentos impresos Software ilegal
Agujeros de seguridad de redes conectadas
Falsificación de información para terceros
Indisponibilidad de información clave
Spamming
Violación de la privacidad de los empleados
Ingeniería social
Principales riesgos
Propiedad de la Información
Mails “anónimos” con información crítica o con agresiones
Password cracking
Man in the middle Exploits
Denegación de servicio
Escalamiento de privilegios
Replay attackKeylogging
Port scanning
Instalaciones default
Puertos vulnerables abiertos
Servicios de log inexistentes o que no son chequeados
Desactualización
Backups inexistentesÚltimos parches no instalados
Principales riesgos
En estos tipos de problemas es difícil:
• Darse cuenta que pasan, hasta que pasan.
• Poder cuantificarlos económicamente, por ejemplo¿cuánto le cuesta a la compañía 4 horas sin sistemas?
• Poder vincular directamente sus efectos sobre losresultados de la compañía.
Principales riesgos y el impacto en los negocios
Se puede estar preparado para que ocurran lo menos posible:
• sin grandes inversiones en software • sin mucha estructura de personal
Tan solo:
• ordenando la Gestión de Seguridad• parametrizando la seguridad propia de los sistemas• utilizando herramientas licenciadas y libres en la web
Principales riesgos y el impacto en los negocios
TRACK III :
NORMAS APLICABLES
Si igual voy a hacer algo, porque no lo hago teniendo en cuenta las Normas
Internacionales aplicables
Information Systems and Audit Control Association - ISACA:COBITBritish Standards Institute: BSInternational Standards Organization: Normas ISODepartamento de Defensa de USA: Orange Book / Common Criteria
ITSEC – Information Technology Security Evaluation Criteria: White Book
Sans Institute, Security Focus, etcSarbanes Oxley Act, Basilea II, HIPAA Act, Leyes NACIONALESOSSTMM, ISM3, ISO17799:2005, ISO27001
Normas y Metodologías aplicables
Elegimos la más aceptada a nivel mundial
Norma ISO 17799Gestión de Seguridad
0
250
500
750
1000
1250
2002 2003 2004 2005
Empresas certificadas en el mundo
2.299 Empresas certificadas en el mundo a mar-2006
Japón 1.338, India 163, Taiwan 77, Inglaterra 74, USA 34, España 6 ,Brazil 5, Mexico 4, Argentina 3, Colombia 2, Chile 1
www.Xisec.com
China, 10
India, 81
Taiwan, 46
Qatar, 1
Saudi Arabia, 3UAE, 3
Australia, 11
Hong Kong, 17
Japan, 480Korea, 30
Macau, 1
Malaysia, 2
Singapore, 10
Austria, 5Belgium, 5
Czech Republic, 1
Denmark, 2
Finland, 13
Germany, 36
Greece, 3
Hungary, 12
Iceland, 4
Ireland, 10
Isle of Man, 2
Italy, 23
Lithuania, 1
Luxemburg, 1
Macedonia, 1
Netherlands, 18
Norway, 9
Poland, 5
Slovakia, 1
Spain, 3
Sweden, 7
Switzerland, 5
UK, 185
Empresas certificadas en el mundo
BSI (UK)
BSI-J (Japón)
JQA (Japón)
DNV (Noruega)
JACO (Japón)KPMG (Suiza)
LRQA (UK)
SGS (Suiza)
JICQA (Japón)
JUSE (Japón)
NQA (UK)
CIS (Austria)
SAI (Australia)
IMQ (Italia)
CE (Irlanda)
PSB (Singapur)
BVQI (UK)
SFS (Finlandia)
KEMA (Holanda)
TÜV (Alemania)
DQS (Alemania)
Otros
STQC (India)
Certification bodies:
• ISO9001 – Calidad• ISO14001 – Ambiental
• ISO17799-1 – Seguridad de la Información - 1 . NORMALIZACION (Mejores Prácticas)
• ISO 27001 – CERTIFICACION de Seguridad de la Información
Normas de Gestión ISO
Está organizada en capítulos en los que se tratan los distintos criterios a ser tenidos en cuenta en cada tema para llevar adelante una correcta:
GESTION DE SEGURIDAD DE LA INFORMACION
Alcance
Recomendaciones para la gestión de la seguridad de la información
Base común para el desarrollo de estándares de seguridad
Norma ISO 17799 Seguridad de la Información
1. Política de Seguridad2. Organización de Seguridad3. Administración de Activos4. Seguridad de los Recursos Humanos5. Seguridad Física y Ambiental6. Gestión de Comunicaciones y Operaciones7. Sistema de Control de Accesos8. Adquisición, Desarrollo y Mantenimiento de Sistemas de Información9. Administración de Incidentes de Seguridad de la Información10. Plan de Continuidad del Negocio11.Cumplimiento
Norma ISO17799 (versión 2005)
Qué cambió de la versión anterior
Norma ISO 17799: 2005
NUEVA SECCION
antes 10 ahora 11 Dominios
ADMINISTRACION DE INCIDENTES
3: Estructura del Estandar
• Detalle para Asistir al uso y aplicación más ameno y fácil del estándar
4: Risk Assessment & Treatment
• Highlights sobre la importancia de efectuar un risk assessment para definir los CONTROLES APLICABLES
• La necesidad de un continuo assesment y administración de los RIESGOS
• Highlights sobre la importancia de la participación del Management en el análisis de RIESGOS
Hay dos SECCIONES GENERALES nuevas
Cumplimiento15. Cumplimiento12.
Administración de la Continuidad del Negocio
14. Administración de la Continuidad del Negocio
11.
Administración de Incidentes de Seguridad de la Información
13.
Adquisición , Desarrollo y Mantenimiento de Sistemas de Información
12. Desarrollo y Mantenimiento de Sistemas
10.
Administración de Accesos11. Administración de Accesos9.
Administración de las Comunicaciones y Operaciones
10. Administración de las Comunicaciones y Operaciones
8.
Physical & Environmental Security9. Seguridad Físca y Ambiental7.
Seguridad de los Recursos Humanos8. Seguridad del Personal6.
Administración de Activos7. Clasificación y Control de Activos
5.
Organización de la Seguridad de la Información
6. Organización de la Seguridad de la Información
4.
Política de Seguridad5. Política de Seguridad3.
Evaluación y Manejo de los Riesgos4.
Estructura del Estándar3.
Términos y definiciones2. Términos y definiciones2.
Alcance1. Alcance1.
ISO17799:2005ISO17799:2000
ISO17799:2000 vs ISO17799:2005
BS7799-2
Fue revisado y se ha convertido en la nueva
ISO 27001Octubre 15, 2005
De la misma forma se espera quela ISO 17799 se convierta en ISO 27002
NACE LA FAMILIA DE LAS NORMAS ISO 27000
• ISO/IEC 27001 (BS7799-Part 2) - ‘Information Security Management System’. Due for release in November 2005. (Once ISO/IEC 27001 is released, BS7799-2:2002 will be withdrawn)
• ISO/IEC 27002 (ISO/IEC 17799 & BS7799- Part 1) - The planned ‘Code of Practice’ replacement for ISO/IEC 17799:2005 scheduled for April 2007
• ISO/IEC 27003 (BS7799-3) ‘Risk Assessment’. No announcement has yet been made regarding ISO/IEC 27003 however, the BSI expect to release BS7799-3 in November 2005
• ISO/IEC 27004 (BS7799-4) ‘Information Security Metrics and Measurement’. No launch date is available, although the BSI will publish a description in July/August 2005
Preservar la:
confidencialidad:accesible sólo a aquellas personas autorizadas a tener acceso.
integridad:exactitud y totalidad de la información y los métodos de procesamiento.
disponibilidad:acceso a la información y a los recursos relacionados con ella toda vez que se requiera.
Norma ISO 17799 Seguridad de la Información
TRACK IV :
Cómo se implementa un Programa de Gestión de
Seguridad de la Información (ISMS)?
Porqué Implementar un ISMS / SISTEMA DE GESTION ISO 17799?
Algunas consideraciones generales de porquéimplementarlo:
•Para poder tener una Metodológica dedicada a la seguridad de información reconocida internacionalmente
•Contar con un proceso definido para Evaluar, Implementar, Mantener y Administrar la seguridad de la información
•Diferenciarse en el mercado de otras organizaciones
•Satisfacer requerimientos de clientes, proveedores y Organismos de Contralor
•Potenciales disminuciones de costos e inversiones
•FORMALIZAR las responsabilidades operativas y LEGALES de los USUARIOS Internos y Externos de la Información
•Cumplir con disposiciones legales (por ej. Leyes de Protección de Datos, Privacidad, etc.)
•Tener una Metodología para poder ADMINISTRAR los RIESGOS
Planificar
Hacer
Actuar
Verificar
SGSI SISTEMA DE GESTION DE SEGURIDAD DE LA INFORMACION
Está basado en el Modelo utilizado por las NORMAS ISO en general:
• política de seguridad, objetivos y actividades que reflejen los objetivos de la empresa;
• una estrategia de implementación de seguridad que sea consecuente con la cultura organizacional;
• apoyo y compromiso manifiestos por parte de la gerencia;
• un claro entendimiento de los requerimientos de seguridad, la evaluación de riesgos y la administración de los mismos;
• comunicación eficaz de los temas de seguridad a todos los gerentes y empleados;
Factores críticos del éxito
• distribución de guías sobre políticas y estándares de seguridad de la información a todos los empleados y contratistas;
• instrucción y entrenamiento adecuados;• un sistema integral y equilibrado de medición que
se utilice para evaluar el desempeño de la gestión de la seguridad de la información y para brindar sugerencias tendientes a mejorarlo.
Factores críticos del éxito
Principales PASOS a seguir en la IMPLEMENTACION del SGSI
Implementación del SGSI en 12 PASOS:
Para un entendimiento PRACTICO del Proceso de IMPLEMENTACION del SGSI, se definen a continuación las principales TAREAS a incluir en el PLAN de ACCION son:
1)Definir el alcance del SGSI desde el punto de vista de las características de la actividad, la organización, su ubicación, sus activos y su tecnología
2)Definir una Política GENERAL del SGSI
3)Definir una METODOLOGIA para la CLASIFICACION de los RIESGOS
4)Identificar y Valorar los riesgos
5)Identificar y definir ALTERNATIVAS para el tratamiento de riesgos:
•Aplicar controles•Aceptar los riesgos•Evitar riesgos•Transferir los riesgos asociados de las actividades a otras
partes (ejemplo a Compañías de Seguros)
6)Seleccionar objetivos de control y controles específicos a IMPLEMENTAR
El detalle de los controles se incluye en la Sección Dominios de ISO 17799.
Cualquier EXCLUSION de controles que se considera como necesaria para satisfacer el criterio de aceptación de riesgo, se debe justificar y se debe proporcionar la evidencia. Cuando se realizan exclusiones, no se podráalegar conformidad con esta norma a menos que dichas exclusiones no afecten la capacidad de la organización, y/o su responsabilidad para proveer seguridad de información cumpliendo con los requisitos de seguridad determinados por la evaluación de riesgo y los requisitos regulatorios aplicables.
7)Preparar una DDA Declaración de Aplicabilidad (quéCONTROLES se van a IMPLEMENTAR)
8)Obtener la aprobación de la Dirección de:• DDA Declaración de Aplicabilidad• Riesgos Residuales no cubiertos
9) Formular un plan CONCRETO y DETALLADO para:• Tratamiento de los riesgos• Controles a Implementar• Programas de entrenamiento y concientización de
usuarios• Gestionar el SGSI• Procesos de detección y respuesta a los incidentes
de seguridad
10) Implementar los CONTROLES•Controles en los Procesos de Usuarios•Controles Automáticos en las Tecnologías•Documentación de respaldo•Registros de respaldo
11)Realizar Revisiones Periódicas (Auditoría Interna y la Dirección):
•controles implementados•nuevos riesgos•riesgos residuales
12)Implementar las mejoras identificadas en el SGSI
Requisitos FUNDAMENTALES de la Documentación SOPORTE en un SGSI
Es necesario también tener en cuenta que más allá de la implementación, es necesario el MANTENIMIENTO ACTUALIZADO Y PROTEGIDO de la Documentación de respaldo del SGSI, para lo cual hay que establecer:
•Documentación mínima de respaldo•Procedimiento de Gestión de dicha documentación
Documentación MINIMA del SGSI:
a) Declaraciones documentadas de la política de seguridad y los objetivos de control
b) El alcance, los procedimientos y controles de apoyo
c) El informe de evaluación de riesgos
d) El plan de tratamiento de riesgo
e) Los procedimientos documentados necesarios para la planificación, la operación y el control del SGSI
f)Los registros requeridos:
Los registros se deben establecer y mantener para proveer evidencia de conformidad con los requisitos, deben permanecer legibles, fácilmente identificables y recuperables. Algunos ejemplos: logs de los sistemas para auditorías, formularios firmados de accesos, etc.
g) La DDA Declaración de Aplicabilidad
Procedimiento de GESTION de la Documentación
Los documentos requeridos deben cumplir con los requerimientos FORMALES del ISMS para:
a) aprobar los documentos previos a su distribución
b) revisar y actualizar los documentos según la necesidad y aprobarlos nuevamente
c) asegurarse de que los cambios y las revisiones de los documentos estén identificados
d) asegurarse de que las versiones más recientes de los documentos pertinentes están disponibles en cualquier punto de uso
e) asegurarse de que los documentos se mantengan legibles y fácilmente identificables
f) asegurarse de que los documentos de origen externo estén identificados
g) asegurarse de que la distribución de documentos este controlada
h) prevenir el uso no intencionado de documentos obsoletos
i) realizar una adecuada identificación si se retienen por cualquier causa
NOTA: existen Software que ayudan al mantenimiento de esta Gestión Documental disponibles en el mercado.
Cómo establecer los requerimientos de Seguridad
Evaluar los riesgos: • se identifican las amenazas a los activos,• se evalúan vulnerabilidades y probabilidades de ocurrencia, y• se estima el impacto potencial.
Requisitos legales, normativos, reglamentarios y contractuales que deben cumplir:• la organización,• sus socios comerciales,• los contratistas y los prestadores de servicios.
Conjunto específico de principios, objetivos y requisitos para el procesamiento de la información, que ha desarrollado la organización para respaldar sus operaciones.
TRACK V :
Cómo es un Proceso de Certificación ISO 27001 de una
Organización?
QUÉ ES CERTIFICAR?
El proceso de Certificación es la Generación de un INFORME Firmado por parte de un TERCERO (ajeno a la organización) que define que, de acuerdo con su CRITERIO PROFESIONAL, dicha Organización CUMPLE o NO CUMPLE con los Requerimientos establecidos en la Normativa.
PORQUE CERTIFICAR?
Para poder Mostrar al Mercado que la Organización tiene un adecuado SISTEMA DE GESTION DE LA SEGURIDAD DE LA INFORMACIÓN.
Una empresa CERTIFICADA no implica que NO TIENE MAS RIESGOS DE SEGURIDAD DE LA INFORMACION, sino que tienen un adecuado Sistema de Gestión de dichos Riesgos y Proceso de MEJORA CONTINUA.
QUE ORGANIZACIONES PUEDEN CERTIFICAR?
Cualquier Organización, grande o pequeña, pública o privada, de Gobierno o sin fines de lucro, etc, estáen condiciones y habilitada para CERTIFICARSE.
QUIENES ESTAN AUTORIZADOS A EFECTUAR LA CERTIFICACION?
Cualquier Agente ajeno a la Organización (Profesional Independiente o Compañía) puede Firmar el Informe antes mencionado.Pero dado que la Certificación además de un valor Interno de Asegurarse de Cumplir con la Normativa, tiene un fin principal de poder Mostrar dicha Certificación al Mercado Externo, generalmente se recurre a Organizaciones que estén Técnicamente Aceptadas y además reconocidas INTERNACIONALMENTE para efectuar dicho trabajo. Por ello se recurre a Organizaciones que estén ACREDITADAS (este es el término técnico utilizado) en el Organismo Internacional de Acreditación. Ejemplo de este tipo de Organizaciones son el Bureau Veritas BVQI, Det Norske Veritas DNV, TÜV, etc.
LA CERTIFICACION ES SEGÚN ISO 17799 O SEGÚN ISO27001?
Las Organizaciones implementan de acuerdo a ISO17799-1 pero las Empresas Certificadoras utilizan el ISO27001 (antes BS7799-2) para hacer los Informes de Certificación.
COMO ES EL PROCESO DE CERTIFICACION?
El requerimiento previo es que la Organización cumpla con la Implementación del SGSI definido en la Sección anterior.
Luego se convoca al Tercero para efectuar la CERTIFICACION.
Los principales PASOS son:
•Preparar la Documentación Soporte a Presentar
•Efectuar la PREAUDITORIA para conocer el GAP Analisis respecto al Estándar
•Identificar conjuntamente:
•las NO CONFORMIDADES (incumplimientos de acuerdo al Estándar)•las NO CONFORMIDADES que son ACEPTADAS (sólo se documentan los argumentos de justificación)•las NO CONFORMIDADES que NO son ACEPTADAS (se definen las MEJORAS a implementar)
•Implementar las MEJORAS y Generar los Soportes Documentales correspondientes
•Efectuar la AUDITORIA DE CERTIFICACION y Generación del Informe Final de Certificación incluyendo las NO CONFORMIDADES (aceptadas o NO y sus Riesgos Residuales aceptados por la Dirección de la Organización)
•Gestionar los respaldos para la Acreditación Internacional de la Certificación lograda
•Auditorías periódicas de la Empresa Certificadora para validar el continuo cumplimiento de los Requerimientos de la Normativa
PUEDE UNA ORGANIZACION PERDER LA CERTIFICACION?
Si una Organización no cumple con los requerimientos, puede ocurrir que en la Auditoría Periódica la Empresa Certificadora solicite que se saque la Certificación Obtenida inicialmente.
TRACK VI :
Principales controles definidos en cada uno de los Dominios de
la ISO17799:2005
Dominios de Norma ISO 17799
Dominio 1 - Política de Seguridad
Política de Seguridad
AutorizaciónProtección Física
Propiedad
Eficacia
Eficiencia
ExactitudIntegridad
Legalidad
Disponibilidad
Confidencialidad
Confiabilidad
Dominio 1: POLÍTICA DE SEGURIDAD
Dominio 1: POLÍTICA DE SEGURIDAD
Procedimientos Estándares técnicos
Normas
Política General
Manual de Gestión de Seguridad
Dominio 2
Organización de la Seguridad
Sponsoreo y seguimiento• Dirección de la Compañía• Foro / Comité de Seguridad
Autorización• Dueño de datos
Definición• Área de Seguridad Informática• Área de Legales
AdministraciónAdministrador de Seguridad
Cumplimiento directoUsuarios finalesTerceros y personal contratadoÁrea de sistemas
ControlAuditoría InternaAuditoría Externa
Dominio 2: ORGANIZACION DE LA SEGURIDAD
Principales roles y funciones
Dominio 3
Administración de Activos
Dominio 3: Administración de Activos
1. Identificación de la información más crítica
Identificar información: cuál es la más crítica
Identificación de los sistemas / equipos / documentos donde se conserva la información
Dominio 3: Administración de Activos
2. Identificación de los principales riesgos
Para facilitar la identificación de los riesgos más críticos se pueden utilizar las siguientes categorías:
Fraudes informáticosAtaques externos a las redesModificaciones no autorizadas de datos por empleadosAcceso y difusión inoportuna de datos sensiblesFalta de disponibilidad de los sistemas Software ilegalFalta de control de uso de los sistemasDestrucción de información y equipos
Dominio 3: Administración de Activos
Según su origen se pueden agrupar en:
NaturalesIntencionalesNo intencionales
Estos riesgos pueden ser clasificados en los siguientes tipos:
Difusión indebidaAlteración no autorizadaFalta de disponibilidad
Dominio 3: Administración de Activos
Se debe definir quiénes son los principales agentes de riesgo para la información de cada Dueño de Datos:
Espías comerciales / CompetidoresEmpleados deshonestosDelincuentes profesionalesTerroristas informáticosEx-empleados disconformes“Hackers”, “Crackers” y similaresProveedoresClientesOperadores BursátilesCompañías asociadas
Dominio 3: Administración de Activos
3. Clasificación de la información teniendo en cuenta los riesgos identificados
1. Análisis de los principales riesgos a la que está expuesta.
2. Categorización en Confidencial, Restringida o Pública.3. Identificación para determinar si se encuentra en medios
electrónicos y/o en medios físicos.4. Aprobación de los sectores / usuarios que deben acceder a la
información crítica con permisos
5. Consolidación.
Dominio 4
Seguridad de los Recursos Humanos
Dominio 4: Seguridad de los Recursos Humanos
4.1 Seguridad en la definición de puestos de trabajo y la asignación de recursos
Objetivo:
Reducir los riesgos de error humano, robo, fraude o uso inadecuado de instalaciones.
Las responsabilidades en materia de seguridad deben ser:
expliicadas en la etapa de reclutamiento,incluidas en los contratos ymonitoreadas durante el desempeño como empleado.
Dominio 4: Seguridad de los Recursos Humanos
Acuerdos de confidencialidad
Los empleados deben firmar habitualmente un acuerdo de esta índole como parte de sus términos y condiciones iniciales de empleo.
El personal ocasional y los usuarios externos aún no contemplados en un contrato formalizado (que contenga el acuerdo de confidencialidad) deberán firmar el acuerdo mencionado antes de que se les otorgue acceso a las instalaciones de procesamiento de información.
Los acuerdos de confidencialidad deben ser revisados cuando se identifican cambios en los términos y condiciones de empleo o del contrato.
Dominio 4: Seguridad de los Recursos Humanos
4.2 Capacitación del usuario
Objetivo:
Garantizar que los usuarios están al corriente de las amenazas e incumbencias en materia de seguridad de la información, y están capacitados para respaldar la política de seguridad de la organización en el transcurso de sus tareas normales.
Dominio 4: Seguridad de los Recursos Humanos
Algunas consideraciones a tener en cuenta en el procesode concientización
Involucrar a TODO el personal de la Compañía.“Sponsorearlo” por la Dirección.
Asegurar su permanencia a lo largo del tiempo."Agregar valor” a los usuarios.Definir mecanismos de control de la participación de todo el personal.Implementar sanciones disciplinarias para los que no participen.Definir medidas en caso que algún miembro del personal deje la Compañía.
Dominio 4: Seguridad de los Recursos Humanos
Estrategias de Concientizaciòn
Usuarios finalesTercerosPersonal del Area de Sistemas
Dominio 4: Seguridad de los Recursos Humanos
Usuarios Finales
Actividades
En persona Por escritoEn los sistemas
En persona
• Presentaciones gráficas al personal de cada sector.• Inducción a recursos nuevos.• Videoconferencias a usuarios.• Trabajos en grupos para análisis de casos prácticos.• Reuniones con el personal clave de cada grupo humano.• Inventarios de software en las estaciones de trabajo.
Dominio 4: Seguridad de los Recursos Humanos
Por escrito
• Incorporación de conceptos de seguridad en evaluaciones anuales de performance.
• Compromisos firmados por el personal actual y nuevo, adjuntar en sus respectivos legajos (carpetas).
• Firma anual de actualización de la conformidad.• Distribución de material gráfico al personal.• Mensajes en cartelera.
Dominio 4: Seguridad de los Recursos Humanos
En los sistemas
• Pantalla de inicio en los sistemas.• Correos electrónicos periódicos.• Entrenamiento interactivo.• Intranet de seguridad informática.• Concursos con temarios relacionados y premios atractivos.
Dominio 4: Seguridad de los Recursos Humanos
Personal de Sistemas
• Seleccionar los temas y procedimientos más críticos• Identificar dentro de las normas de Seguridad desarrolladas,
cuáles son:– Los temas más sensibles a la operatoria de la compañía.– Los procedimientos que requieran un mayor conocimiento
de la gente.• Definir capacitación según perfil de cada sector:
– Operaciones– Analistas– Programadores– Desarrollo– Tecnología– Responsables de área
Dominio 4: Seguridad de los Recursos Humanos
Terceros: identificar los distintos “tipos”• De contacto directo
– Clientes– Proveedores– Auditores externos– Compañías asociadas
• De contacto institucional– Cámaras empresariales– Organismos de contralor– Gobierno– Accionistas– Comunidad en general
Dominio 4: Seguridad de los Recursos Humanos
Dominio 4: Seguridad de los Recursos Humanos
4.3 Proceso disciplinario
Debe existir un proceso disciplinario formal para los empleados que violen las políticas y procedimientos de seguridad de la organización.
Dominio 5
Seguridad Física y Ambiental
Dominio 5: SEGURIDAD FISICA Y AMBIENTAL
Protección de:
SedesInstalacionesDocumentos Impresos
Dominio 6
Gestión de Operaciones y Comunicaciones
Dominio 6: GESTION DE OPERACIONES Y COMUNICACIONES
6.1 Procedimientos y responsabilidades operativas
Objetivo:
Garantizar el funcionamiento correcto y seguro de las instalaciones de procesamiento de la información.
Se deben establecer las responsabilidades y procedimientos para la gestión y operación de todas las instalaciones de procesamiento de información.
Se debe implementar la separación de funciones cuando corresponda.
Dominio 7
Sistema de Control de Accesos
Dominio 7: SISTEMA DE CONTROL DE ACCESOS
7.1 Requerimientos de negocio para el control de accesos
Objetivo:
Controlar el acceso de información.
Dominio 7: SISTEMA DE CONTROL DE ACCESOS
Política de control de accesos
Requerimientos de políticas y de negocios
Las reglas y derechos del control de accesos, para cada usuario o grupo de usuarios, deben ser claramente establecidos en una declaración de política de accesos:
requerimientos de seguridad de cada una de las aplicaciones comerciales;identificación de toda información relacionada con las aplicaciones comerciales;políticas de divulgación y autorización de información;
Dominio 7: SISTEMA DE CONTROL DE ACCESOS
coherencia entre las políticas de control de acceso y de clasificación de información de los diferentes sistemas y redes;legislación aplicable y obligaciones contractuales con respecto a la protección del acceso a datos y servicios;perfiles de acceso de usuarios estándar, comunes a cada categoría de puestos de trabajo ;administración de derechos de acceso.
Dominio 7: SISTEMA DE CONTROL DE ACCESOS
Reglas de control de accesos
diferenciar entre reglas que siempre deben imponerse y reglas optativas o condicionales; establecer reglas sobre la base de la premisa “debe estar prohibido a menos que se permita expresamente”;reglas que requieren aprobación antes de entrar en vigencia.
Dominio 8
Adquisición, Desarrollo y Mantenimiento de Sistemas de
Información
Dominio 8: Adquisición, Desarrollo y Mantenimiento de Sistemas de Información
8.1 Requerimientos de seguridad de los sistemas.
Objetivo:
Asegurar que la seguridad es incorporada a los sistemas de información.
Los requerimientos de seguridad deben ser identificados y aprobados antes del desarrollo de los sistemas de información.
Dominio 8: Adquisición, Desarrollo y Mantenimiento de Sistemas de Información
Análisis y especificaciones de los requerimientos de seguridad
Se deben considerar los controles automáticos a incorporar al sistema y la necesidad de controles manuales de apoyo.
Los controles introducidos en la etapa de diseño son significativamente más baratos de implementar y mantener que aquellos incluidos durante o después de la implementación.
Dominio 9
Administración de Incidentes de Seguridad de la Información
Dominio 9: Administración de Incidentes de Seguridad de la Información
Respuesta a incidentes y anomalías en materia de seguridad
Objetivo:
Minimizar el daño producido por incidentes y anomalías en materia de seguridad, y monitorear dichos incidentes y aprender de los mismos.
Dominio 9: Administración de Incidentes de Seguridad de la Información
Los incidentes que afectan la seguridad deben ser comunicados mediante canales gerenciales.
Se debe concientizar a todos los empleados y contratistas acerca de los procedimientos de comunicación de los diferentes tipos de incidentes.
La organización debe establecer un proceso disciplinario formal para ocuparse de los empleados que perpetren violaciones de la seguridad.
Comunicación de incidentes relativos a la seguridad
Se debe establecer un procedimiento formal de:
comunicación,respuesta a incidentes, "feedback" a la persona luego de resueltos.
Estos incidentes pueden ser utilizados durante la capacitación a fin de crear conciencia de seguridad en el usuario.
Dominio 9: Administración de Incidentes de Seguridad de la Información
Dominio 10
Plan de Continuidad del Negocio
Dominio 10: Plan DE CONTINUIDAD DEL NEGOCIO
Principales etapas
• Clasificación de los distintos escenarios de desastres• Evaluación de impacto en el negocio• Desarrollo de una estrategia de recupero• Implementación de la estrategia• Documentación del plan de recupero• Testeo y mantenimiento del plan
Dominio 10: Plan DE CONTINUIDAD DEL NEGOCIO
Clasificación de los distintos escenarios de desastres
Identificar los distintos tipos de “desastres”Ponderar su ocurrencia Fijar el alcance del proyecto a los desastres de mayor probabilidad
Dominio 10: Plan DE CONTINUIDAD DEL NEGOCIO
Evaluación de impacto en el negocio
Definir los perjuicios “claves” en la evaluación del impacto en el negocio.Identificar los usuarios claves de cada sector.Relevar las funciones críticas del negocio.Definir un tiempo máximo para disponer de la información sin que impacte en el negocio.Efectuar estimaciones económicas del perjuicio para la compañía.Definir las funciones críticas que se identifican para la recuperación.
Dominio 10: Plan DE CONTINUIDAD DEL NEGOCIO
Selección de una estrategia de recupero
Analizar impacto de desastres seleccionados y funciones críticas identificadas en los equipos de procesamiento.Definir alternativas de recupero del procesamiento.Analizar los costos actuales y futuros de las solucionesElegir la/las soluciones a implementar
Dominio 10: Plan DE CONTINUIDAD DEL NEGOCIO
Implementación de la estrategiaDesarrollar las medidas a implementar en cada una de las etapas:
Identificación del desastre.“Declaración” del desastre.Actividades a desarrollar durante el desastre.Recuperación del procesamiento para volver a la “situación normal”.
Suscribir los contratos comerciales necesarios para la ejecución de los procedimientos seleccionados.Suscribir los contratos de seguros en caso de ser definido.
Dominio 10: Plan DE CONTINUIDAD DEL NEGOCIO
Implementar los mecanismos tecnológicos necesarios.Asignar las responsabilidades a cada una de laspersonas / sectores de la Compañía involucradas en el Plan.Capacitar al personal involucrado.Definir acciones complementarias:
Comunicación a clientes y proveedores.Distribución física de lugares de trabajo del personal.Estrategias de trabajo “en cada casa”.Otros recursos (teléfonos, fax, etc).Aspecto “humano” del plan.
Dominio 10: Plan DE CONTINUIDAD DEL NEGOCIO
Documentación del plan de recupero
Desarrollar los procedimientos técnicos y funcionales.Desarrollar los inventarios de personal, hardware, software, etc.
Dominio 10: Plan DE CONTINUIDAD DEL NEGOCIO
Testeo y mantenimiento del plan
Testeoo Desarrollar pruebaso Asemejar pruebas a la realidad.
Mantenimientoo Definir mecanismo para su actualización.o Efectuar pruebas periódicas del correcto
funcionamiento
Dominio 11
Cumplimiento
Dominio 11: Cumplimiento
11.1 Cumplimiento de requisitos legales
Objetivo:
Impedir infracciones y violaciones de las leyes del derecho civil y penal; de las obligaciones establecidas por leyes, estatutos, normas, reglamentos o contratos; y de los requisitos de seguridad.
Dominio 11: Cumplimiento
El diseño, operación, uso y administración de los sistemas de información pueden estar sujetos a requisitos de seguridad legal, normativa y contractual.
Se debe procurar asesoramiento sobre requisitos legales específicos por parte de los asesores jurídicos de la organización, o de abogados convenientemente calificados.
Los requisitos legales varían según el país y en relación con la información que se genera en un país y se transmite a otro.
Dominio 11: Cumplimiento
Identificación de la legislación aplicable
Se deben definir y documentar claramente todos los requisitos legales, normativos y contractuales pertinentes para cada sistema de información.
Dominio 11: Cumplimiento
11.2 Revisiones de la política de seguridad y la compatibilidad técnica
Objetivo:
Garantizar la compatibilidad de los sistemas con las políticas y estándares (normas) de seguridad de la organización.
Dominio 11: Cumplimiento
La seguridad de los sistemas de información debe revisarse periódicamente.
Dichas revisiones deben llevarse a cabo con referencia a las políticas de seguridad pertinentes y las plataformas técnicas y sistemas de información deben ser auditados para verificar su compatibilidad con los estándares (normas) de implementación de seguridad.
Dominio 11: Cumplimiento
11.3 Consideraciones de auditoria de sistemas
Objetivo:
Optimizar la eficacia del proceso de auditoria de sistemas y minimizar los problemas que pudiera ocasionar el mismo, o los obstáculos que pudieran afectarlo.
Deben existir controles que protejan los sistemas de operaciones y las herramientas de auditoria en el transcurso de las auditorias de sistemas.
Asimismo, se requiere una protección adecuada para salvaguardar la integridad y evitar el uso inadecuado de las herramientas de auditoria.
TRACK VII :
Taller Práctico FINALElaboración de un Programa General de Seguridad para
preparar a la Compañía para Certificar
R Identificación de los principales riesgosinformáticos para su compañía
P Definición por la Dirección de una políticabásica de seguridad
A Acción concreta en dos frentes:
Normativo
Implementación de un Programa de Seguridad
Ejecutivo
Identificación de riesgos en su compañía
Fraudes informáticos
Ataques externos a las redes
Modificaciones no autorizadas de datos por empleados
Acceso y difusión inoportuna de datos sensibles
Falta de disponibilidad de los sistemas
Software ilegal
Falta de control de uso de los sistemas
Destrucción de información y equipos
R
Clasificación de los más críticos
Personas y Organizacionesdentro y/o fuera
Identificación de riesgos en su compañíaR
Competidores
Empleados descontentos
Proveedores
Clientes
Hackers
Consultores “in company”
Compañías asociadas
en los sistemas centrales
en las PC´s
en las laptops
en los e mails
en contratos
en documentos impresos
en los legajos del personal
Donde hay información sensible
Identificación de riesgos en su compañíaR
Definición de una política básica de seguridad
Breve
Clara
Implementable
Puesta en marcha por la Dirección
Difundida al personal y terceros
P
Definición de una política básica de seguridad
P
Política de Seguridad
AutorizaciónProtección Física
Propiedad
Eficacia
Eficiencia
ExactitudIntegridad
Legalidad
Disponibilidad
Confidencialidad
Confiabilidad
Sponsoreo y seguimiento
• Dirección de la Compañía
• Comité de Seguridad
Autorización
• Dueños de datos
Definición
• Area de Seguridad Informática
• Area de Legales
Identificación de responsabilidades de seguridad
Acción concreta: Plano NormativoA
Cumplimiento directo
• Usuarios finales
• Terceros y personal contratado
• Area de sistemas
Administración
• Administrador de Seguridad
Control
• Auditoría Interna / Externa
Acción concreta: Plano Normativo
Normas con definiciones
Procedimientos con acción de usuarios
Estándares técnicos para los sistemas
Esquema de reportes de auditoría
De acuerdo con regulaciones y legislaciones vigentes
Desarrollo de la normativa básica y publicación
A
Definición de acciones a sancionar y medidas disciplinarias a imponer
Comunicación al personal y terceros “in company”
Utilización de convenios de confidencialidad
Definición de un sistema de “premios y castigos” en su compañía
Acción concreta: Plano NormativoA
Perfil de la función
Análisis de riesgos informáticos
Participación en proyectos especiales
Administración del día a día
Objetivos y tareas básicas
Programas de trabajo rutinarios
Automatización de tareas y reportes en los sistemas
Definición e implementación de la función de Seguridad Informática
Acción concreta: Plano EjecutivoA
Administración de Usuarios y Permisos en los SistemasSeparación de Ambientes de TrabajoLicencias legales de SoftwareCopias de RespaldoSeguridad Física de las Instalaciones y RecursosPrevención de Virus y Programas MaliciososSeguridad en las ComunicacionesAuditoría Automática y Administración de Incidentes de SeguridadUso del Correo ElectrónicoUso de Servicios de Internet
Mejoras en los procesos del área de Sistemas
Acción concreta: Plano EjecutivoA
Redes internasAccesos externosBases de datos
Sistemas aplicativosCorreo electrónico
Servidores, PC´s y laptopsSeguridad física
Integración con otras tecnologías
Parametrización de las redes y lossistemas de una forma más segura
Análisis de la posibilidad de uso de softwares de seguridad avanzada(encripción, administración centralizada, monitoreo automático)
Acción concreta: Plano EjecutivoA
Acciones preventivas de monitoreo las 24 hsImplementación de Help Desk de SeguridadCircuitos de reportes de incidenciasMonitoreos periódicosAuditorías
Implementación de monitoreos de incidentes de seguridad
Acción concreta: Plano EjecutivoA
Capacitación a los usuarios en seguridad
Usuarios finales
Usuarios del área de sistemas
Terceros “in company”
Intranet de seguridad
Correo electrónico
Mensajes en cartelera
Presentaciones grupales
Videos institucionales
Firma de compromisos
Acción concreta: Plano EjecutivoA
Utilizando la tecnología y los medios disponibles
TRACK VIII :
MODELO ANUAL DE GESTION CONTINUA
Diagnóstico Inicial:
• Efectuar Diagnóstico Inicial de la situación de la Compañía en relación a los requerimientos de la ISO 17799.
• 2 a 3 semanas
Implemente Ud. Mismo el ISMS ISO 17799
Módulos:
• Se agrupan por Módulos cada conjunto de tareas, debiendo identificarse la duración de cada uno de ellos, en general, podrávariar entre 2 a 4 semanas c/u dependiendo del Diagnóstico y del grado de involucramiento del personal.
Implemente Ud. Mismo el ISMS ISO 17799
Implemente Ud. Mismo el ISMS ISO 17799
Módulo 1:
• Relevar los planes de seguridad funcionales y técnicos en proceso en la compañía
• Iniciar proceso de Identificación de Riesgos y Clasificación de Información Sensible
• Definir el Plan de Tareas para los 2 primeros años (integrando otros proyectos de seguridad en curso)
Módulo 2:
• Definir, aprobar y difundir la Política de Seguridad de la Compañía
• Definir la estructura y alcance del Manual de Seguridad de la Información de la Compañía
• Definir y difundir las responsabilidades de Seguridad de la Información de cada sector de la Compañía
• Implementar Esquema de Propietarios de Datos
Implemente Ud. Mismo el ISMS ISO 17799
Módulo 3:
• Definir e iniciar el proceso de Concientización de Usuarios internos y Terceros
• Iniciar proceso de redacción de las Normas
Implemente Ud. Mismo el ISMS ISO 17799
Módulo 4:
• Finalizar Clasificación de Información• Relevar medidas implementadas en
las funciones del área de sistemas
Implemente Ud. Mismo el ISMS ISO 17799
Módulo 5:
• Finalizar la Redacción y Difundir las Normas de Seguridad
• Implementar las definiciones de las Normas
Implemente Ud. Mismo el ISMS ISO 17799
Módulo 6:
• Implementar las mejoras de seguridad en las Funciones y Roles del área de Sistemas
• Implementar mejoras en los sectores usuarios para información impresa
Implemente Ud. Mismo el ISMS ISO 17799
Módulo 7:
• Iniciar proceso de redacción de Procedimientos críticos
• Iniciar Programa de Continuidad del Negocio / Procesamiento Crítico de la Información
Implemente Ud. Mismo el ISMS ISO 17799
Módulo 8:
• Finalizar la redacción y difundir los Procedimientos críticos
• Relevamiento general del cumplimiento del Marco Legal y Regulatorio (leyes vigentes, etc)
Implemente Ud. Mismo el ISMS ISO 17799
Módulo 9:
• Implementar los Procedimientos de Seguridad Críticos
• Relevar e Integrar los Estándares Técnicos de Seguridad desarrollados dentro del Manual de Seguridad
Implemente Ud. Mismo el ISMS ISO 17799
Módulo 10:
• Definir junto a RRHH mecanismos de Control y Sanciones
• Efectuar la Concientización de Usuarios de toda la Compañía
Implemente Ud. Mismo el ISMS ISO 17799
Módulo 11:
• Diagnóstico General respecto Norma ISO 17799 (similar a una Preauditoríade Certificación ISO)
Implemente Ud. Mismo el ISMS ISO 17799
Módulo 12:
• Implementación de las mejoras identificadas en el Diagnóstico según ISO 17799
Implemente Ud. Mismo el ISMS ISO 17799