La Importancia de un Ambiente de Información Seguro

• Contener ataques

• Evitar fugas

• Usar eficientemente los recursos informáticos

• Promueve la productividad del negocio

• Asegurar la confianza del usuario

• Contener ataques

• Evitar fugas

• Usar eficientemente los recursos informáticos

• Promueve la productividad del negocio

• Asegurar la confianza del usuario

Fundamentalmente la Seguridad de Información es un conjunto de técnicas y prácticas de negocio diseñadas para proteger el activo informático de una organización.

Una buena estrategia de seguridad de la información debería incorporar los siguientes elementos:

Administración proactiva y continua de la seguridad en lugar de reactiva y puntual;

Iniciativas de seguridad efectivas en costos para satisfacer los requerimientos regulatorios;

Definir las fronteras de los retos operacionales; y

Atender a los riesgos derivados de las tecnologías emergentes.

ENFOQUE

Dar tranquilidad, eficiencia y alto impacto sobre los activos informáticos* de la empresa integrando soluciones de seguridad apegadas a las estrategias de negocio de nuestros Clientes.

* Datos/Applicaciones/Funciones/Procesos

“La seguridad no es un producto, sino un proceso“….. es el diseño de todo el sistema de tal manera que todas las medidas de seguridad, trabajen en conjunto.....Bruce Schneier

Marco de Referencia de la Seguridad Informática

PLANIFICAR

-Análisis de Riesgos-Pruebas de Penetración-Detección de Vulnerabilidades-Desarrollo de Políticas y Procedimientos de seguridad

-Configuración

OPERAR

-Soluciones de Seguridad-Administración y Monitoreo-Niveles de Servicio-Soporte

CUMPLIR

-Estándares

-Cumplimiento

-Automatización

DETECTAR

-Auditorias de Procesos-Auditorias de Sistemas-Auditorias de Comunicaciones y Redes-Auditorias de Seguridad-Análisis Forénsico

PLATAFORMA DE SEGURIDAD

Planificar para Reducir Riesgos

• Obtener un entendimiento de las capacidades actuales en materia de seguridad informática de la organización y definir los requerimientos necesarios para su mejoramiento.

• Determinar el Nivel Optimo de Inversión en Seguridad Informática.

• Identificar los puntos vulnerables en la plataforma empresarial

• Establecer el riesgo derivado de fallas en la plataforma de seguridad

PLANIFICAR OPERAR

CUMPLIR DETECTAR

PLATAFORMA DE SEGURIDAD

Algunos de nosotros en materia de seguridad, somos muy similares a los loscardiólogos. Nuestros pacientes saben que la falta de ejercicio, mucha grasa en la dieta y el tabaquismo son malos para su salud. Pero ellos siguen fumando y comiendo alimentos con grasa, practican en ser un costal de papas, hasta que logran su infarto. Luego quieren que una píldora mágica los mejore completamente a la vez, sin esfuerzo. Y por cierto, claman en voz alta que su condición realmente no es culpa de ellos sino que fue la genética, o las compañías de tabaco, o los McDonald's. Y nos acusan de no cuidar mejor de ellos.

¿Suena familiar?

Pero no tiene por qué ser así. Podemos hacer las cosas mejor. Tenemos que dejar de hacer negocio como de costumbre y comenzar a centrarnos en la calidad de extremo a extremo. La Seguridad debe ser construida desde el principio - no de golpe después del hecho.

- Gene Spafford, en la 23er Conferencia Nacional de Seguridad en Sistemas de Información en octubre de 2000

Soluciones de Seguridad

Productos(Diseño e Implementación)

• Seguridad en Internet• Filtrado de Correo• Prevenir Fugas de Datos (DLP)• Seguridad Perimetral

• Firewalls• IDPS / IDS• VPN

• Antivirus• Autenticación

PLANIFICAR OPERAR

CUMPLIR DETECTAR

PLATAFORMA DE SEGURIDAD

Soluciones de Seguridad

CREAR OPERAR

COMPROBAR DETECTAR

PLATAFORMA DE SEGURIDAD

Servicios de SOC (Security Operation Center)

• Administración y Soporte de la Plataforma de Seguridad

• Administración de la Información de Seguridad y los Eventos (SIEM)

• Monitoreo de Alertas

• Mesa de Ayuda

• Medición de Niveles de Servicio

CumplimientoEl análisis del estado actual de la gobernabilidad sobre los sistemas de información, es básico para el desarrollo de una estrategia de sistemas práctica, eficiente y orientada al control de riesgos.

Lo anterior permite la creación de líneas de base para el mejoramiento de las prácticas de trabajo, pudiendo medir el desempeño y emitir recomendaciones de mejora.

Marcos de gobernabilidad: ISO27001, CoBIT e ITIL

PLANIFICAR OPERAR

CUMPLIR DETECTAR

PLATAFORMA DE SEGURIDAD

Fuerza ExternasConsideraciones

Internas

Estrategia de Seguridad de

Información (SI)

Marco de Gobernabilidad

Actividades de gobernabilidad

de la SI

Incrementar Valor / Reducir Riesgo

If your personnel do not know or understand how to maintain confidentiality of information, or how to secure it appropriately, not only do you risk having one of your most valuable business assets (information) mishandled, inappropriately used, or obtained by unauthorized persons, but you also risk being in non-compliance of a growing number of laws and regulations that require certain types of information security and privacy awareness and training activities. You also risk damaging another valuable asset, corporate reputation.

— Rebecca Herold, "Managing an Information Security and Privacy Awareness and Training Program" 2005 —

Ventajas para Nuestros Clientes

• Proveemos los mas altos estándares tecnológicos, basados en mejores prácticas

• Bajo Costo de Propiedad

• Disponibilidad de información oportuna y veraz

• Optimización de la productividad de los recursos

• Disminución de errores y duplicidad de tareas

• Mejora de productos y calidad de servicio

• Incremento en el índice de satisfacción

Nuestros Clientes

• Auditoria Superior de la Federación

• Escuela Bancaria y Comercial (EBC)

• Instituto Electoral del Estado de México

• Hoteles City Express

• Afianzadora Insurgentes

• SHCP (a través de Axtel)

• Comisión Nacional Bancaria y de Valores

• UNAM

• Universidad Iberoamericana

• Industrias Ideal

Servicios de SOC

• Monitoreo para detección de vulnerabilidades y amenazas

• Manejo de Incidentes

• Administración y Monitoreo de Infraestructura

• Administración la Información de la Seguridad y de Eventos (SIEM)

• Análisis Forense

• Mesa de Ayuda

Monitoreo para Detección de Vulnerabilidades y Amenazas

El servicio consiste en el envío de información personalizada sobre nuevas vulnerabilidades de seguridad, poco después de que aparecen, mediante la emisión de un informe creado por el equipo de expertos de seguridad.

El informe, además de que contiene una descripción detallada de la vulnerabilidad y las plataformas que afecta, también incluye información sobre el impacto de la explotación de esta vulnerabilidad, que podría tener en los sistemas o aplicaciones.

El informe también indica las acciones específicas que deben adoptarse para minimizar el efecto de la vulnerabilidad.

Manejo de Incidentes

Permite el control y la gestión del nivel de seguridad de los sistemas de información. El servicio realiza periódicamente una serie de pruebas automatizadas con el fin de identificar las deficiencias del sistema que pueden estar expuestas a través de Internet, incluida la posibilidad de accesos no autorizados a los servicios administrativos, la existencia de servicios que no se han actualizado, y la detección de vulnerabilidades como tales como el phishing, etc.

Administración y Monitoreo de Infraestructura

Ayuda a determinar los elementos que operan de una manera atípica o cerca de la capacidad de la infraestructura de seguridad, detectando e identificando cuellos de botella, verificando la actividad de la organización por área / departamento / persona responsable.

Análisis Forense

El servicio comprende el análisis estructurado y detallado de un incidente con el propósito de identificar lo que ocurrió, cómo se desarrolló, quien era responsable, su impacto, etc

Mesa de Ayuda

Proporciona asistencia para cuestionamientos sobre la operación de sistemas en función.

Este servicio incluye la asistencia en la gestión y redacción de informes de fallas, problemas operativos, rutinas, así como documentación de la Operación y el Mantenimiento.

Alianzas

Seguridad Perimetral / Redes

Seguridad Perimetral

Seguridad en Internet / Filtrado de Correo / DLP

Antivirus

Autenticación

Monitoreo y Administración de Niveles de Servicio

Consultoría

Autenticación

Websense

Control Unificado

Monitoreo de la

Salud de Sistema

Monitoreo de

Alertas de

Seguridad

Administración

de Tareas

Reportes a la medida

Juniper

Proveedor

Empleado

Internet LAN

VPN IDPFIREWALL

Seguridad Perimetral

JuniperRedes

JuniperAdministración Unificada

Palo AltoFirewalls de Próxima Generación (NGFW)

Palo Alto

Copyright 2009. All Rights Reserved. 26

Kaspersky

Endpoints, Mail Servers, Internet Gateways

Administración Centralizada

Escalabilidad y Flexibilidad

Domain 1

Domain 2

Kaspersky

Autenticación Automática sin Llaves Físicas (Tokens)

SecureAuth

SecureAuth

• Autenticación mediante certificados X.509 v3• Fácil y rápido de instalar• Sencillo de mantener• Altamente escalable• Sencillo de integrar a aplicaciones, soluciones

federadas y dispositivos de redes. • Facil de usar para el usuario final y obtener

credenciales de uso. (autoregistro)• Una solución felxible y segura, basada en

autenticación de 2 factores.

SafeNet EDP

Storage/ Tape

ApplicationServers

Web Servers

Databases

File Servers

Laptop/Device

SafeNetDataSecure®

z/OS Mainframes

SafeNetHSM®

Encripción Inteligente y Gestión de Llave

Seguridad

Performance

Administración

Disponibilidad

Flexibilidad

• Basada en Hardware, Administración centralizada de Llaves y Políticas• Certificación FIPS 140 -2 Nivel 2 y Common Criteria• Fuerte Autenticación y Autorización

• Alto Rendimiento más de 100,000 EPS al vuelo• Procesamiento masivo de datos• Eficiente y rápida manera de respaldo/restauración

• Soporte para ambientes combinados (App, DB, Archivos)• Soporte para estándares abiertos y APIs• Distintas maneras de implementación

• Intuitiva, fácil de usar• Separación de responsabilidades• Políticas Centralizadas

• Esquema en cluster• Balanceo de carga, y failover• Redundancia distribuida geográficamente

SafeNet DataSecure

NIMBUS

NIMBUS

KPMGConsultoría:

Administración de Riesgos