Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... ·...
Transcript of Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... ·...
![Page 1: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/1.jpg)
Banca Electrónica Móvil
Alejandro Rodríguez Moreno
Subdirector de Auditoría Interna Grupo Financiero Multiva
![Page 2: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/2.jpg)
ALEJANDRO RODRÍGUEZ MORENO
– Responsable de la función de auditoría a los Sistemas de Seguridad y de la Información de las empresas del Grupo Financiero
– Vicepresidente de Isaca Capítulo Cd. De México.
2
![Page 3: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/3.jpg)
AGENDA
– ENTENDIMIENTO DE LA BANCA ELECTRÓNICA MÓVIL
– ASPECTOS DE SEGURIDAD
– ENFOQUE DEL AUDITOR DE TI
– FORENSIA DIGITAL
3
![Page 4: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/4.jpg)
ALGUNAS TENDENCIAS ¿FUTURISTAS?
– Dinero virtual
– Apps para consumo cotidiano..
Pago de taxis, estéticas, etc.
– Bancarizar “changarros”
– Sucursales “online”
– Mobile Banking (Banca móvil) – Mobile POS – Mobile Bill
– Mobile Token – Mobile Marketing
– Mobile survey
– Mobile shopping
– Mobile geoposition
– Mobile cash
– Mobile loyalti
– …
![Page 5: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/5.jpg)
ALGUNAS TENDENCIAS ¿FUTURISTAS?...
• La nueva Starbucks App, permitirá a los usuarios pagar utilizando su teléfono móvil y la tarjeta de lealtad Starbucks Rewards.. La nueva aplicación permite también recargar la tarjeta Starbucks Rewards con una tarjeta de crédito, consultar el saldo, ubicar las unidades más cercanas hasta con realidad aumentada y diseñar bebidas, por lo que al llegar al mostrador no sólo se puede pagar sino ordenar la bebida.
![Page 6: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/6.jpg)
FUNCIONAMIENTO TÍPICO DE BANCA
ELECTRÓNICA
Devices Feature Phones &
Smart Phones
Apps for Mobile Banking
Bank
Authorizator
![Page 7: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/7.jpg)
ADMINISTRACIÓN DE LA APLICACIÓN
Apps
Security
Storage Token Data
Transactions Response
Authorizations
![Page 8: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/8.jpg)
QUE NOS DEBE DE INTERESAR DE LOS
COMPONENTES DE BANCA ELECTRÓNICA?
– Comunication Server
– SMS Chanel
– Core Server
– User Applicaction
– Application Deployer
– Bases de Datos
– Herramientas y utilidades
![Page 9: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/9.jpg)
OTROS COMPONENTES
– Bases de datos
SQL, Oracle, etc.
– Herramientas y Utilidades
Audit Viewer
CMD Audit Viewer
Log Viewer
![Page 10: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/10.jpg)
CARACTERÍSTICAS DE SEGURIDAD
– Sesion Management
Sign On de usuario
Time Out de sesión
– Seguridad Local (dispositivo)
Password local
Application forward lock (Digital Rights
Management)
Almacenamiento seguro (cifrado)
– Seguridad integral
Dispositivo firmado por el Banco (ej.IMEI)
![Page 11: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/11.jpg)
PARTICIPANTES EN UN PROYECTO DE BANCA
ELECTRÓNICA Y CUMPLIMIENTO NORMATIVO
– Instituciones Bancarias
Definen el modelo de negocio
– Entidades regulatorias
Definen el marco normativo e incluso de seguridad
– Marcas (Visa, Mastercard, etc.)
Definen parámetros operativos y de seguridad –
Certificaciones
– Integradores
AKII Pagos, Paypal, Sr. Pago,etc. o
![Page 12: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/12.jpg)
ROL DEL AUDITOR EN BANCA ELECTRÓNICA
– Que enfoque le damos??
![Page 13: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/13.jpg)
PRIMER PASO.. PEDIR LA ARQUITECTURA DE BE ?
![Page 14: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/14.jpg)
PRIMER PASO…
![Page 15: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/15.jpg)
ANTES DE ESO…
– Adicional a las auditorías típicas.. (CGTI,
Cumplimiento)
– Conocer “concerns” de la alta dirección
(robo de datos) y,
Enfocarse en temas como:
![Page 16: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/16.jpg)
BACKDOOR EN VALIDACIÓN DE TOKENS -SEMILLAS
– IF .. Else..
![Page 17: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/17.jpg)
DISPOSITIVOS SENSIBLES, EJ. TPV´S
– Fuente Verizon
![Page 18: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/18.jpg)
DISCOS DUROS
– De quien?
– Que se encuentra?
– Tengo herramientas para revisar?
– Existe algún DLP?
![Page 19: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/19.jpg)
IMPRESORAS
– Que guardan?
![Page 20: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/20.jpg)
ERRORES OPERATIVOS?
– Quien los corrige?
– Queda una bitácora?
![Page 21: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/21.jpg)
USO DE OTROS ESTÁNDARES
– Si pero, bajarlas al nivel de la operación de la
empresa!
![Page 22: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/22.jpg)
MAPA DE LOS 20 CONTROLES CRÍTICOS
– 1: Inventory of Authorized and Unauthorized Devices
(Laptops)
– 2: Inventory of Authorized and Unauthorized Software (Back
doors) – 3: Secure Configurations for Hardware and Software on Mobile Devices, Laptops, Workstations, and Servers
– 4: Continuous Vulnerability Assessment and Remediation
– 5: Malware Defenses
– 6: Application Software Security
– 7: Wireless Access Control
– 8: Data Recovery Capability
– 9: Security Skills Assessment and Appropriate Training to Fill Gaps
– 10: Secure Configurations for Network Devices such as Firewalls, Routers, and Switches
– 11: Limitation and Control of Network Ports, Protocols, and Services
– 12: Controlled Use of Administrative Privileges
– 13: Boundary Defense
– 14: Maintenance, Monitoring, and Analysis of Audit Logs – 15: Controlled Access Based on the Need to Know
– 16: Account Monitoring and Control
– 17: Data Protection – 18: Incident Response and Management
– 19: Secure Network Engineering
– 20: Penetration Tests and Red Team Exercises
Fuente : SANS
![Page 23: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/23.jpg)
FORENSIA DIGITAL
– Aún y con todo ello, se siguen
presentando fraudes! SI..
– Por lo que es importante conocer:
– Técnicas de revisión
– Herramientas de análisis
– Crear Comité Especial
![Page 24: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/24.jpg)
FTK IMAGER
![Page 25: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/25.jpg)
ARCHIVOS BORRADOS
![Page 26: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/26.jpg)
KERNEL OST/PST
![Page 27: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/27.jpg)
CAINE
![Page 28: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/28.jpg)
OTRAS HERRAMIENTAS PARA MÓVILES
– Cellebrite
– Katana
– ISO 27037:2012
![Page 29: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/29.jpg)
ENCUESTA
– Estamos listos para las nuevas tecnologías
Móviles?
– Si, por que..
– Estoy capacitándome constantemente
– Conozco el entorno tecnológico puesto que
Sistemas me invita a sus Comités de Sistemas
![Page 30: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/30.jpg)
ENCUESTA…
– Participo en el momento de ver la
seguridad y riesgos de un proyecto
tecnológico.
– Tenemos instalado algún sistema de
Monitoreo? Sin ser responsables, claro ej.
WebSense
![Page 31: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/31.jpg)
CONCLUSIONES FINALES
– Entender siempre el entorno de Negocio,
operativo y Tecnológico
– Revisiones integrales Diversifiquen el
conocimiento (forensia, etc.)
– Uso de normas/ estándares locales
– No guardar información sensible ya
utilizada
![Page 32: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/32.jpg)
CONTACTO
Alejandro Rodríguez M.
@alexrdz41
![Page 33: Alejandro Rodríguez Moreno - FELABANfelaban.s3-website-us-west-2.amazonaws.com/memorias/... · 2018. 11. 28. · Alejandro Rodríguez M. @alexrdz41 alejandro.rodriguez@multiva.com.mx](https://reader034.fdocuments.ec/reader034/viewer/2022051604/5ff7a904ba57a531467d1c0f/html5/thumbnails/33.jpg)
¡Muchas Gracias por su atención!
33