Source: https://ru.scribd.com/document/347650567/1-Gestion-de-La-Seguridad-de-La-Informacion
Timestamp: 2020-01-26 11:10:43+00:00

Document:
1 - Gestion de La Seguridad de La Informacion | Cobit | Seguridad de información
El curso busca desarrollar competencias en el estudiante que le permita gestionar de manera segura la información en las organizaciones. Brinda a los participantes los conceptos y buenas prácticas de gestión de seguridad para proteger a la organización de los diferentes aspectos que puedan alterar o dañar el sus recursos de TI por medio de la implementación de políticas y procedimientos y diversos mecanismos de seguridad siguiendo las mejores prácticas de la industria relacionadas con seguridad de la información.
сохранитьСохранить «1 - Gestion de La Seguridad de La Informacion» для последующего чтения
exposicion-cobit-2018
actualizacion.docx
Comprendiendo La Ciberseguridad a Través de Un Marco de Mejores Prácticas
Profesor: Mgtr. Gonzalo Martin Valdivia Benites
CISA, CISM, CCISO, ISMS-LA, ITIL-F, CLOUD-F, ISO 27002,CISCS, CRISC(t)
El curso busca desarrollar competencias en el estudiante que le permita gestionar de manera segura la información en las organizaciones. Brinda a los participantes los conceptos y buenas prácticas de gestión
de seguridad para proteger a la organización de los
diferentes aspectos que puedan alterar o dañar el sus
recursos de TI por medio de la implementación de
políticas y procedimientos y diversos mecanismos de
seguridad siguiendo las mejores prácticas de la industria relacionadas con seguridad de la información.
3. Programa de Seguridad
https://www.yout ube.com/watch?v
=RRy_73ivcms
La información es un activo estratégico de la empresa.
Tiene valor para una organización y por
consiguiente debe ser debidamente
• Mas importante que el valor tangible de la tecnología, es el valor de la información del
• El valor de la información se puede medir desde el punto de vista de negocio de varias
formas, por ejemplo:
– El valor de mercado de la información – El valor de oportunidad:
• que se puede medir por el costo financiero, costo oportunidad, pérdida de mercado, costos directos.
La situación ó estado de algo,
que se adquiere al estar libre de
Seg. Informática y de Información
Seg. de la
La información es accedida
sólo por las personas
Exactitud y totalidad de la información.
información cuando se
Funcionalidad vs. Protección
• Todo el tiempo aparecen vulnerabilidades • Contextos cambiantes • Presupuestos limitados • Riesgos desconocidos • Ataques sofisticados de hackers • Problemas para encontrar profesionales especializados • Dificultad en implementar Normativas
• Crackers. • Vándalos. • Usuarios del sistema. • Competencia. • Ex-empleados. • Personal insatisfecho o desleal • Delincuentes • Millones de adolescentes
¿ Sistema Seguro?
• "El único sistema seguro es aquel que está apagado y desconectado, enterrado en un
refugio de concreto, rodeado por gas
venenoso y custodiado por guardianes bien
pagados y muy bien armados. Aun así, yo no
apostaría mi vida por él".
¿Por qué tanta inseguridad ?
• Huecos de Seguridad Físicos • Huecos de Seguridad en el Software • Fallas de los equipos y servicios • Falta de Experiencia • Pobre administración de la infraestructura • Desconocimiento del valor de la información • Alta motivación e interés por atacar un sistema • Ausencia de un Esquema de Seguridad.
• El nivel de seguridad esta determinado por el punto mas débil.
• Si un activo es tratado de manera menos segura por una parte, esto implica la destrucción de la inversión en seguridad
hecha por las otras partes
• La sincronización de esfuerzos permite obtener economías de escala e incrementar la
La realidad de la seguridad
• La definición y la practica de la seguridad de la información no es homogénea ni integral en las
• Existen conocimientos técnico avanzado en controles técnicos.
• No existe personal entrenado en gerenciar la seguridad de manera integral.
Las capas tienen
de la seguridad me hace mas
Gartner indica que:
El rol del CISO se esta convirtiendo en estratégico a
medida que la seguridad
madura y las funciones de
seguridad se estandarizan y comoditizan.
La mayoría de los CISO siguen reportando a TI, pero
una minoría significativa ahora reportan en niveles
"corporativos" más altos fuera de TI.
Las competencias clave de un CISO son cada vez más la
gestión, colaboración y comunicación, en lugar de
Fuente: Gartner for IT Leaders Overview: The Chief Information Security Officer. Julio 2013
La posición de CISO ha ido ganando popularidad.
• Porcentaje de los entrevistados que dicen que sus empresas ahora cuentan con un ejecutivo de
– En 2011, > 80% – En 2006, 22%
• 23% de los CISOs reportan a los CIOs • 36% de los CISOs reportan a los CEOs • 32% de los CISOs reportan al comité de directorio
Responsabilidades del CISO
• Definir y gestionar el programa de seguridad de la información.
• Proporcionar formación y orientación al equipo ejecutivo
• Presentar opciones e información para permitir la toma de decisiones
• Actúe como un asesor de seguridad de la información.
CEH: Certified Ethical Hacker (v8)
GSEC: GIAC Security Essentials Certificate
CGEIT: Certified Governance of Enterprise IT
• Subconjunto de la disciplina de Gobierno Corporativo con foco en la tecnología de la información (TI), su desempeño y manejo de riesgo.
Tomado de: Gobierno y Control de TI Jesús Ariel Moreno Camacho
Gobierno de Seguridad de la
• Debe ser tratado por los niveles más altos de la organización
• Es parte del gobierno corporativo
• La alta dirección y el consejo de dirección son responsables y deben proporcionar:
– Liderazgo – Estructura Organizacional – Procesos
Resultados del Gobierno de SI
– Alineada con la estrategia de negocio para respaldar los objetivos
– Mitigar los riesgos y reducir el impacto a un nivel aceptable
– Optimizar las inversiones en seguridad para apoyar los objetivos del negocio.
– Utilizar el conocimiento y la infraestructura de seguridad de la información con eficiencia y eficacia
• Medición de desempeño:
– Monitorear y reportar para garantizar que se alcancen los objetivos
– Integrar todos los factores de aseguramiento
relevantes para garantizar
que los procesos operan de acuerdo con lo planeado de extremo a extremo
¿ Que desea proteger? ¿De quien desea proteger? ¿Qué vulnerabilidades tiene?
¿Qué medidas se deben implementar?
¿Lo hecho, será suficiente?
¿ Cual es el porcentaje de Presupuesto
de Seguridad IT en relación al gasto
total de IT?
GRC – Enfoque adoptado por muchas organizaciones para combinar procesos de
aseguramiento que incluyen:
• Auditoría interna • Programas de cumplimiento (SOX) • Gestión de riesgos empresariales (ERM) • Gestión de incidentes
Modelo de negocios para la
Visión General de la Estrategia de SI
– ISO 31000 – NIST SP-800 – PCI – HIPAA – SOX – ISO 27000 – CobiT 5
Gestión de riesgos - ISO 31000
• Special Publications SP 800-*
• Publicaciones especializadad en Seguridad.
• Payment Card Industry Data Security Standard • Versión 3.0 Nov. 2013
• Norma orientada a las empresas que procesan, guardan o trasmiten datos de tarjetas
• 12 requisitos de control
• Health Insurance Portability And Accountabilty Act of 1996
• Derecho a la confidencialidad de la información de salud
• Respuesta a los escándalos financieros de Enron, Tyco, WorldCom y Peregrine.
• Sarbanex-Oxley Act of 2002 • Monitorea a las empresas de la Bolsa • Estándares para los consejos de administración y dirección, así como
mecanismos contables. • Introduce responsabilidades penales
27000 Overview y Vocabulario
27001 Sistema de
27002 Código de práctica (requisitos)
27003 Guia de Implementación
27004 Metricas
27005 Gestión de
Estructura de la Norma ISO 27002 o
Anexo A de la ISO 27001
114 Controles
• COBIT, lanzado en 1996, es una herramienta
de gobierno de TI que ha cambiado la forma
en que trabajan los profesionales de TI.
Vinculando tecnología informática y prácticas
de control, COBIT consolida y armoniza
estándares de fuentes globales prominentes
en un recurso crítico para la gerencia, los
profesionales de control y los auditores.
• Capacidad para establecer objetivos
• Capacidad de usar los recursos necesarios para
Familia CobiT 5
Fuente: COBIT ® 5, © 2012 ISACA ® All rights reserved.
Areas clave de Gobierno y Gestión
– Código Civil – Código Procesal Civil – Ley General de Salud – Ley General del Sistema Financiero – Ley de Transparencia – Ley de Telecomunicaciones – Ley Antispam Ley de Delitos Informáticos
– – Ley centrales Privadas de riesgo
– Ley registros Publicos – Normas SBS
La intimidad de la vida personal y familiar no
puede ser puesta de manifiesto sin el
ascendientes o hermanos, excluyentemente y en
Código Procesal Civil – Artículo 647 – A
Secuestro conservativo sobre bienes informáticos.- En caso de que se dicte secuestro conservativo o embargo, sobre soportes magnéticos, ópticos o similares, el
afectado con la medida tendrá derecho a
retirar la información contenida en ellos.
• Artículo 15.Toda persona, usuaria de los servicios de salud, tiene derecho:
b) A exigir la reserva de la información
relacionada con el acto médico y su historia clínica, con las excepciones que la
Ley General del Sistema Financiero - 26702 – Cap II Secreto Bancario.
Art. 140° Alcance de la prohibición. Está prohibido a
las empresas del sistema financiero, así como a sus
directores y trabajadores, suministrar cualquier
información sobre las operaciones pasivas con sus clientes
Art. 141° Falta Grave de quienes violen el secreto
bancario. Sin perjuicio de la responsabilidad penal que señala el artículo 165º del Código de la materia, la infracción a las disposiciones de este capítulo se
considera falta grave para efectos laborales y, cuando
ello no fuere el caso, se sanciona con multa.
Ley 27806 de Transparencia y Acceso a
Toda información que posea el Estado se presume
pública, salvo las excepciones expresamente previstas por el Artículo 15º de la presente Ley.
Art. 15º. Excepciones al ejercicio del derecho:
Información Confidencial (militares, planes de
Ley 26096 Telecomunicaciones
• Art. 52. las empresas concesionarias deben
dar garantía para asegurar el secreto de las
• Resolución Ministerial N° 622-96-MTC-IS, aprueba procedimientos de inspección y de requerimientos de información relacionados
al secreto de las telecomunicaciones y
Artículos: 1°, 4º y 5 .1
Ley 28493 - Ley Antispam Peruana
Modificada por Ley N° 29246 y el D.S. 031-05-MTC.
Todo correo electrónico comercial no solicitado, deben contener en el asunto la palabra: "Publicidad"
y otros requisitos. Quien recibe estos correos ilegales tiene derecho a
solicitar por la vía judicial, contra el remitente y el
beneficiario o anunciante, una indemnización que será equivalente al 1% de la UIT por cada mensaje con un máximo de 2% de la UIT.
Ley 27269- Ley Firmas y Certificados
Tiene por objeto regular la utilización de la firma electrónica otorgándole la misma validez y eficacia
jurídica que el uso de una firma manuscrita u otra
análoga que conlleve manifestación de voluntad.
• Promulgada 22/10/2013. Modificada por Ley
• Objetivo: Prevenir y sancionar las conductas ilícitas que afectan los sistemas y datos informáticos
• Regula el uso de Internet • Incorpora al Código penal el “Grooming”.
Ley de Centrales Privadas de Riesgo
1º.- Objeto de la ley
• 9º.- Lineamientos generales de recolección y tratamiento de información
• 10º.- Información Excluida • 12º.- Deber de Seguridad
• 13º.- Derechos de los Titulares: acceso (14º), Modificación y Cancelación (15º) y Rectificación
(16º).
Reglamento Registros Públicos
Resolución Nº 195-2001-SUNARP/SN
Artículo 128.- Acceso a información que afecta el derecho
La persona responsable del registro no podrá mantener en reserva la información contenida en el archivo registral, con
excepción de las prohibiciones expresamente establecidas
en otras disposiciones.
Cuando la información solicitada afecte el derecho a la
intimidad, ésta solo podrá otorgarse a quienes acrediten
legítimo interés, conforme a las disposiciones que establezca la Superintendencia Nacional de los Registros
Circular SBS N° G-139-2009
• Establece criterios mínimos para la gestión de la continuidad del negocio financiero, que forma parte de una adecuada gestión del riesgo operacional que
enfrentan las empresas supervisadas por la SBS.
• La circular contiene disposiciones, que toman como referencia estándares internacionales.
Circular SBS N° G-140-2009
Establece criterios mínimos para una adecuada gestión de la seguridad de la información, tomando como referencia estándares internacionales como el ISO 17799 e ISO 27001.
El objetivo de implementar el SGSI es proteger los activos de información más importantes de las instituciones financieras
como resultado del análisis de riesgo y sobre todo cumpliendo
con las expectativas de todos los interesados del sistema, clientes, comunidad, estado, proveedores, y la misma entidad financiera, entre otros.
Ambito de la vida personal de un
individuo que se desarrolla en un espacio reservado y debe mantenerse de manera confidencial.
Art. 12: “Nadie será objeto de injerencias
tiene derecho a la protección de la ley contra tales injerencias o ataques."
https://www.youtube.com/watch?v=1c4YMd_YaRs
• Toda información sobre una persona natural
que la identifica o la hace identificable a
través de medios que pueden ser
Nombres, Apellidos, DNI, teléfonos,
dirección domicilio, correo electrónico, fecha
de nacimiento, sexo, Nro identificación
tributaria, Razon Social,nro. de cuenta
Datos personales constituidos por los datos biométricos que por sí mismos pueden identificar al
titular; datos referidos al origen racial y étnico; ingresos económicos, opiniones o convicciones políticas, religiosas, filosóficas o morales; afiliación
sindical; e información relacionada a la salud o a la
vida sexual. Ejm.: Sueldos de los trabajadores
Información personal manejada por
La ley implica
El programa es el plan a seguir en SI • Requiere diseñar, implementar, gestionar y monitorear • El programa de seguridad transforma la estrategia en realidad. • Provee las capacidades para cumplir los objetivos de seguridad. • Adaptarse a cambios en requerimientos de seguridad.
Compromiso de parte de la gerencia;
Normatividad de seguridad;
Una estrategia de implementación alineada a
la cultura organizacional;
requerimientos de seguridad, la evaluación de riesgos y la administración de los mismos;
a todos los gerentes y
• Instrucción y entrenamiento adecuados;
Gestión efectiva de incidentes;
Objetivos del programa de SI
• Ejecutar la estrategia de seguridad de la información de la manera mas costo-efectiva • Maximizar el soporte de las funciones de negocio • Minimizar las interrupciones del negocio
La gestión del programa de seguridad de la información usa una agrupación estructurada de proyectos para producir valor para el negocio claramente identificable.
Implementación del programa de SI
Se debe obtener una comprensión de:
• Objetivos Organizacionales • Apetito al riesgo y tolerancia • Principios, Políticas , Marcos de Referencia • Procesos, • Estructuras organizacionales • Cultura, ética y comportamientos • Información • Servicios, Infraestructura y aplicaciones • Personas, habilidades y competencias.
seguridad deberá incluir una serie de objetivos
de control específicos:
• Técnicos • Procedimentales • Físicos
• Son actividades continuas que deben ser completadas para garantizar el
aseguramiento de la seguridad de la
– Procedimientos de operación – Prácticas de seguridad de la operación del negocio – Mantenimiento y administración de tecnologías de seguridad (e.g., administración de identidad, administración de control de acceso, y análisis y monitoreo de eventos de seguridad)
• Se requiere coordinar con las unidades de TI, unidades de negocio y otras unidades
organizacionales la ejecución de las
actividades operativas que no son ejecutadas
por Seguridad de la Información.
• Establecer las etapas del programa de seguridad de la información
• Responsabilidad del gerente y de la Alta dirección
– Desarrollo o modificación de estándares – Revisiones de políticas – Supervisión de iniciativas o ejecución de programas
• El análisis continuo o periódico de los activos, amenazas, riesgos e impactos en la
organización debe seguir siendo la base para
modificar las políticas de seguridad y
desarrollar o modificar los estándares.
• Asegurar la administración efectiva del programa de seguridad de la información incluyendo temas relacionados con:
– Finanzas – RR.HH. – Funciones de soporte
• Las buenas relaciones de trabajo con los departamentos de Recursos Humanos y Financiero ayudará a facilitar una efectiva ejecución del programa de seguridad de la información.
• Balancear los esfuerzos del proyecto y la sobrecarga operativa continua con:
– Cantidad de Personal – Niveles de utilización – Recursos externos
• El balanceo de las cargas de trabajo y los recursos externos ayuda a abordar picos de
actividades planeadas y no planeadas.
• Asegurar que la Alta Dirección entienda los riesgos que implica comenzar una
iniciativa sin la adecuada diligencia en
Concientización, Capacitación y Formación
Es considerada una medida preventiva
Educar a los empleados sobre:
– Amenazas y riesgos – Obligaciones y Prácticas adecuadas – Repercusiones del incumplimiento
– Políticas y procedimientos organizacionales – Monitoreo de empleados
Generalmente comunicadas y administradas por el área de Recursos Humanos.
• Son necesarios conocimientos y entrenamiento para la ejecución de las tareas.
• Las clases de entrenamiento deberían ser adecuadas para aquellos con
responsabilidades de seguridad.
• Un programa de concienciación en seguridad de la información también debería incluir
entrenamiento para usuarios finales.
Los temas de un entrenamiento en concienciación incluyen:
Elegir adecuadamente las contraseñas y no exponerlas
Evitar malware propagados vía Web y correo electrónico
Reconocer ataques de ingeniería social
Reportar incidentes de seguridad
Proteger de robo y exposición a medios electrónicos y físicos
Detectar malware que podría provocar robos de identidad
y espionaje sobre puestos de trabajo
Respaldar los archivos relacionados con el trabajo
Una hoja de ruta (roadmap) ayuda a definir lo que significa para cada organización.
Analisis de Brechas – base para Plan de Acción
• Identificar donde los objetivos de control no son adecuadamente soportados por las actividades de
• Establecer procedimientos para monitorear de manera continua el logro de los objetivos de
• Diseñar un programa de seguridad de la información flexible para evolucionar y madurar.
• Un análisis de brechas (Gap analysis) identificara una serie de proyectos que mejorarán el programa de seguridad de la información
Cada proyecto debe:
Tener un tiempo definido, presupuesto y objetivos medibles.
Hacer el ambiente más seguro sin que de otro modo se ocasionen deficiencias de control en otras áreas.
• Priorización del portafolio de proyectos de modo que:
La interdependencia de los proyectos no retrasa unos a otros.
Los recursos son colocados de la forma mas óptima.
Los resultados son integrados suavemente dentro de la operación existente.
Empleo de técnicas de gestión de proyectos
generalmente aceptadas, como:
• Infraestructura—la base o sistema inicial sobre el cual se despliegan los sistemas de información.
• Infraestructura de seguridad—el cimiento que permite hacer funcionar a los recursos de
Cuando la infraestructura está diseñada e implementada para soportar las políticas y
estándares, se dice que la infraestructura es segura.
• La arquitectura incluye una serie de capas, que van de
lo contextual a lo físico.
• El diseño está fuertemente alineado con el propósito – una buena arquitectura es una articulación de la
Se ha desarrollado un número de marcos arquitectónicos para atender la necesidad de
disponer de un modelo global exhaustivo para
•Estandares / Normas
•Instructivos
Algunas de las documentaciones necesarias generalmente incluyen:
• Objetivos del programa • Planes de acción • Casos de negocio • Recursos necesarios • Documentación • Controles • Presupuestos • Diseños/arquitecturas de sistemas • Políticas, estándares, procedimientos, directrices
• Hitos de planes de proyectos y cronogramas
• KGIs, KPIs, factores críticos de éxito, otras métricas
• Requerimientos de capacitación y concientización
• Análisis de riesgo e impacto del negocio
• Acuerdos de niveles de servicio (SLA)
• Criterios de gravedad • Criterios de declaración
• Virtualmente todos los aspectos del programa para administración de la seguridad de
información apunta a reducir los riesgos a un
• Un aspecto de la administración de riesgos es un programa de administración de incidentes
Conocimiento y habilidades para administrar riesgos como parte
del programa podría incluir:
riesgos del ciclo de vida
Amenazas especificas de la administración de la seguridad de información en las organizaciones
Enfoque de análisis de riesgos
evaluar el impacto posible si
Opciones de respuesta a
riesgos Capacidad para comprender y
se materializan los riesgos Monitoreo y reporte de
riesgos Análisis de amenazas
El propósito de un caso de negocio
Obtener soporte las personas que toman decisiones y los
que influencian
Requiere que los proyectos propuestos suministren una
Comparación entre diferentes proyectos y propuestas
Objetivos para la toma de decisiones
Medición del éxito del proyecto frente a lo proyectado
Contratista y consultores
Contingencias por costes
Otras Actividades del Programa de SI
• Requerimientos legales y regulatorios • Factores físicos y ambientales • Ética • Diferencias culturales/regionales • Logística
Cualquier cosa que minimiza el riesgo. Las categorías de control incluyen:
• Controles preventivos • Controles detectivos • Controles correctivos • Controles compensatorios • Controles disuasivos
Métrica y Monitoreo del Programa de SI
Las siguientes son utilizadas para rastrear y guiar un programa :
Medición del desempeño de la gerencia de seguridad de la información
Medición del riesgo y la pérdida relacionados con la seguridad de la
información Medición del apoyo de los objetivos organizacionales
Medición del cumplimiento
Medición de la productividad operativa
Medición de la rentabilidad de la seguridad
Medición de la conciencia organizacional
Medición de la efectividad de la arquitectura de seguridad técnica
Medición de la efectividad del marco y los recursos de gestión
Документы, похожие на «1 - Gestion de La Seguridad de La Informacion»
02 Referencias de Celdas
Actividad 1.2 - Reporte Delitos Informaticos
Trabajo de Periodo Delitos cos en Colombia 2(2)
yore19927095
Другое от пользователя: Daniel Ricardo Sánchez Jaramillo
Restore Pagina Web
rele 350

References: Artículo 647
 Artículo 15
 artículo 165
 Artículo 15
 Resolución 

Resolución 

Artículo 128