AUDITORIA INFORMATICA

Vulnerabilidades

Amenazas

Riesgos

GESTION DE RIESGOS EN INFORMATICA

Vulnerabilidades Amenazas Riesgos

En los sistemas informáticos se presentan:

La INTEGRIDADLa CONFIDENCIALIDAD

La DISPONIBILIDAD

Que Atentan contra

GESTION DE RIESGOS

QUE ES UNA VULNERABILI

DAD?Debilidades Fallas

Presentes en los sistemas informáticos

ALGUNAS VULNERABILIDADES EN INFORMÁTICA.

MALA UBICACIÓN DEL CENTRO DE COMPUTO.

SOFTWARE MAL CONFIGURADO.

ALGUNAS VULNERABILIDADES EN INFORMÁTICA.

SOFTWARE DESACTUALIZADO.

FALTA DE HARDWARE O HARDWARE OBSOLETO.

ALGUNAS VULNERABILIDADES EN INFORMÁTICA.

AUSENCIA DE COPIAS DE SEGURIDAD O COPIAS DE SEGURIDAD INCOMPLETAS.

AUSENCIA DE SEGURIDAD EN ARCHIVOS DIGITALES O ARCHIVOS FÍSICOS CONFIDENCIALES.

ALGUNAS VULNERABILIDADES EN INFORMÁTICA.

CUENTAS DE USUARIO MAL CONFIGURADAS.

DESCONOCIMIENTO Y/O FALTA DE SOCIALIZACIÓN DE NORMAS O POLÍTICAS A LOS USUARIOS POR LOS RESPONSABLES DE INFORMÁTICA.

ALGUNAS VULNERABILIDADES EN INFORMÁTICA.

DEPENDENCIA EXCLUSIVA DE UN PROVEEDOR DE SERVICIO TÉCNICO EXTERNO.

AUSENCIA DE DOCUMENTACIÓN DE LA OPERACIÓN DE LAS APLICACIONES.

PANTALLA EN UN SISTEMA DE INFORMACIÓN SIN BLOQUEO POR EL USUARIO O SIN PROTECTOR DE PANTALLA.

CENTRO DE COMPUTO SIN UPS

GESTION DE RIESGOS

QUE SON LAS

AMENAZAS?

Accionesdañinas

Acciones conconsecuenciasnegativas

A los sistemas informáticos

ALGUNAS AMENAZAS EN INFORMÁTICA

SE PUEDE CONTRAER VIRUS.SE PUEDEN DAÑAR EQUIPOS DE COMPUTOSE PUEDE ACCEDER SIN AUTORIZACIÓN A LOS SISTEMAS DE

INFORMACIÓN.SE PUEDEN PRESENTAR INUNDACIONES.SE PUEDEN PRESENTAR INTERRUPCIONES EN EL SERVICIO.PUEDEN FALLAR LOS EQUIPOS DE COMPUTO.SE PUEDEN PRESENTAR DESASTRES NATURALES.SE PUEDE PARAR LA EMPRESA

RIESGOS

RIESGO

Probabilidad de queUna amenaza se

materialice utilizando una vulnerabilidad,

generando un impacto con perdidas o daños.

RIESGOS

ALGUNOS EJEMPLOS DE RIESGOS.PERDIDA DE DATOSINFORMACIÓN ERRÓNEADAÑOS EN HARDWAREPERDIDAS ECONÓMICASPERDIDA DE CREDIBILIDAD. CAÍDA DE LA RED. SERVIDOR FUERA DE SERVICIO

RIESGOS

DESTRUCCIÓN DE INFORMACIÓN CONFIDENCIAL. FUGA DE INFORMACIÓN. FALTA DE DISPONIBILIDAD DE APLICACIONES CRITICAS. INCENDIOS EN EL CENTRO DE COMPUTO. PERDIDA DE INTEGRIDAD DE LOS DATOS.

PROBABILIDAD

PROBABILIDAD: DE OCURRENCIA DE LA AMENAZA, PUEDE SER CUALITATIVA O

CUANTITATIVA

IMPACTO

IMPACTO: CONSECUENCIAS DE LA OCURRENCIA DE LA AMENAZA, PUEDEN SER

ECONÓMICAS, NO ECONÓMICAS

VALORACIÓN DEL RIESGOPROCESO MEDIANTE EL CUAL SE ESTABLECE LA PROBABILIDAD DE QUE OCURRAN DAÑOS O PÉRDIDAS MATERIALES Y LA CUANTIFICACIÓN DE LOS MISMOS.LA VALORACIÓN DEL RIESGO, ES EL PRODUCTO DE LA PROBABILIDAD DE AMENAZA POR EL IMPACTO DEL DAÑO, ESTÁ AGRUPADO EN TRES RANGOS.

BAJO RIESGO = 1 – 6 (VERDE)MEDIO RIESGO = 8 – 9 (AMARILLO)ALTO RIESGO = 12 – 16 (ROJO)

MATRIZ VALORACIÓN DEL RIESGOS (AMENAZA VS IMPACTO)

GESTION DE RIESGOS

LOS OBJETIVOS DE LA GESTIÓN DE RIESGOS SON:

IDENTIFICARCONTROLARREDUCIR O ELIMINAR LAS FUENTES DE RIESGO

ANTES DE QUE EMPIECEN A AFECTAR AL CUMPLIMIENTO DE LOS OBJETIVOS. (CONTRAMEDIDAS)

ADMINISTRACIÓN DE RIESGOS

NO EXISTE UNA PRACTICA PARA REDUCIR EL RIESGO A CERO (0), SOLO LA ADMINISTRACIÓN DEBE DETERMINAR MINIMIZAR LA OCURRENCIA DEL RIESGO, UTILIZANDO PARA ELLO EL CONTROL INTERNO.

MEDIDAS ANTE LA PRESENCIA DE RIESGOS

SON LOS MEDIOS UTILIZADOS PARA ELIMINAR O REDUCIR UN RIESGO. SE CLASIFICAN EN:

MEDIDAS DE SEGURIDAD ACTIVA. MEDIDAS DE SEGURIDAD PASIVA

LAS MEDIDAS DE SEGURIDAD ACTIVA SON UTILIZADAS PARA REDUCIR O MINIMIZAR LA OCURRENCIA DEL RIESGO Y SE CLASIFICAN EN:MEDIDAS PREVENTIVAS (ANTES DEL INCIDENTE)MEDIDAS DETECTIVAS (DURANTE EL INCIDENTE)

MEDIDAS ANTE LA PRESENCIA DE RIESGOS

MEDIDAS PREVENTIVAS:LA AUTENTICACIÓN DE USUARIOS

(CONTRASEÑAS)EL CONTROL DE ACCESO A LOS DATOS

(PERMISOS O PRIVILEGIOS)LA ENCRIPTACIÓN DE DATOS SENSIBLES O

CONFIDENCIALES. LA INSTALACIÓN Y CORRECTA

CONFIGURACIÓN DE UN BUEN ANTIVIRUS. LA SOCIALIZACIÓN A LOS USUARIOS DE

NORMAS Y POLITICAS EN INFORMATICA.

MEDIDAS ANTE LA PRESENCIA DE RIESGOS

LA ACTUALIZACIÓN DEL SOFTWARE (SISTEMAS OPERATIVOS, APLICACIONES, PROGRAMAS)

LA INSTALACIÓN DE HARDWARE REDUNDANTE EN LOS SERVIDORES (DISCOS ESPEJOS, FUENTES DE ENERGÍA, TARJETAS DE RED.

LA INSTALACIÓN DE UNA UPS.LA VALIDACIÓN DE LOS DATOS.LA IMPLEMENTACIÓN DE SISTEMAS DE ACCESO

AL CPD.

MEDIDAS ANTE LA PRESENCIA DE RIESGOS

MEDIDAS DETECTIVAS:SISTEMAS DE DETECCIÓN DE INTRUSOSPROCEDIMIENTOS PARA ANÁLISIS DE LOS

LOG ANTIVIRUS ANTISPYWARE. FIREWALLS O CORTAFUEGOS

MEDIDAS ANTE LA PRESENCIA DE RIESGOS

MEDIDAS DE SEGURIDAD PASIVAS.SON MEDIDAS UTILIZADAS PARA MINIMIZAR EL IMPACTO CAUSADO CUANDO SE PRESENTA EL INCIDENTE. TAMBIÉN SE CONOCEN COMO MEDIDAS CORRECTIVAS. (SE APLICAN DESPUÉS DE OCURRIDO EL INCIDENTE).LA RECUPERACIÓN DE DATOS USANDO

UNA COPIA DE SEGURIDAD.EJECUCIÓN DE UN PLAN DE

CONTINGENCIAS.

CICLO ADMINISTRACIÓN DE RIESGOS

LA ADMINISTRACIÓN DE RIESGOS EMPRESARIALES REQUIERE:

IDENTIFICAR VAR

PONDERAR CADA

RIESGO

EVALUAR EFECTIVIDA CONTROLES

TOMAR DECISION RIESGO

RESIDUAL

PROBABILIDADE

OCURRENCIA

DEFINIRIMPACTO1 2

2a

2b

34

RIESGO RESIDUAL

ES UN SUCESO O CIRCUNSTANCIA INDETERMINADA QUE PERMANECE DESPUÉS DE HABER EJECUTADO TODOS LOS CONTROLES A LOS RIESGOS

ADMINISTRACIÓN DEL RIESGO

Riesgo Total = Probabilidad de ocurrencia * Impacto promedio

AMENAZA Servidores Terminales Datos Instalaciones PersonalIncendio 1% 20 10 16 124 82 2,52 100% - Inundacion 0,50% 20 20 16 44 2 0,51 90% 0,05 Accesos no autorizados 20% 2 0 24 0 0 5,20 50% 2,60 Fallas 25% 1 1 4 0 0 1,50 50% 0,75 Virus 30% 4 6 2 0 0 3,60 80% 0,72

Riesgo Total y Riesgo Residual

Grado de Impacto (millones$) Riesgo total Efectividad del control

Riesgo residual

Probabilidad

DECISIÓN DEL RIESGO RESIDUAL

• • T ERMINAR• • R EDUCIR• • A CEPTAR• • P ASAR

DECISIÓN DEL RIESGO RESIDUAL

• TERMINAR: ABANDONAR LA ACTIVIDAD POR EXCESIVAMENTE RIESGOSA

• REDUCIR: FORTALECER CONTROLES O IMPLEMENTAR NUEVOS CONTROLES

• ACEPTAR: TOMAR EL RIESGO• PASAR: CONTRATAR, POR EJEMPLO, UNA

PÓLIZA DE SEGURO (EJEMPLO PÓLIZA DE SEGUROS PARA AMPARAR ATAQUES CIBERNÉTICOS)

SEGURIDAD FISICA

EN QUE CONSISTE….

LA SEGURIDAD FÍSICA CONSISTE EN LA PROTECCIÓN DEL ENTORNO INFORMÁTICO (HARDWARE Y EDIFICIOS DE COMPUTO) MEDIANTE LA APLICACIÓN DE BARRERAS FÍSICAS Y PROCEDIMIENTOS DE CONTROL, ANTE POSIBLES AMENAZAS FÍSICAS

VULNERABILIDADES FISICAS

• ES LA SITUACIÓN CREADA POR CONTROLES MAL DISEÑADOS O POR LA FALTA DE UNO O VARIOS CONTROLES Y QUE PUEDEN CREAR UNA AMENAZA QUE PUEDEN AFECTAR AL ENTORNO INFORMÁTICO. EJEMPLOS: FALTA DE CONTROLES DE ACCESO LÓGICO, FALTA DE CONTROLES ELECTRICOS, INEXISTENCIA DE UN CONTROL DE SOPORTES MAGNÉTICOS, FALTA DE CIFRADO EN LAS COMUNICACIONES, ETC

AMENAZAS PARA LA SEG FISICA

• AMENAZA:PERSONAS O ELEMENTOS VISTOS COMO POSIBLE FUENTE DE PELIGRO O CATÁSTROFE. LOS MECANISMOS DE SEGURIDAD FÍSICA DEBEN RESGUARDAR DE AMENAZAS PRODUCIDAS TANTO POR EL HOMBRE COMO POR LA NATURALEZA LOS RECURSOS INFORMÁTICOS DE LA EMPRESA.

AMENAZAS FÍSICAS

EJEMPLO DE AMENAZAS FÍSICAS• INUNDACIONES• INCENDIOS• TERREMOTOS• FUGAS DE AGUA

AMENAZAS POR PERSONAS

• SABOTAJE INTERNOS O EXTERNOS (CONDUCTAS DIRIGIDAS A CAUSAR DAÑOS AL HARDWARE O SOFTWARE: ACCESOS NO AUTORIZADOS, DAÑO O MODIFICACION SIN AUTORIZACION AL SOFTWARE, NEGLIGENCIA EN APLICACIÓN DE POLÍTICAS DE SEGURIDAD

• ERRORES INVOLUNTARIOS O VOLUNTARIOS EN EL USO DE LA TECNOLOGÍA INFORMÁTICA.

• INGENIERÍA SOCIAL

RIESGO

• RIESGO: LA PROBABILIDAD DE QUE UNA AMENAZA LLEGUE A SUCEDER DEBIDO A UNA VULNERABILIDAD CON CONSECUENCIAS NEGATIVAS.

CONTROLES PARA SEG FISICA• INSTALACIÓN DE ALARMAS. • EXTINTORES MANUALES DE INCENDIOS. • SENSORES DE TEMPERATURA. • DETECTORES DE HUMO.• UBICACIÓN ESTRATÉGICA DEL CENTRO DE CÓMPUTOS. • PAREDES, PISOS Y CIELORRASOS A PRUEBA DE

INCENDIOS• PROTECTORES DE VOLTAJE• INTERRUPTOR DE ENERGÍA DE EMERGENCIA• NO COMER, BEBER, FUMAR DENTRO DEL CENTRO DE

CÓMPUTOS• HUMEDAD Y TEMPERATURAS ADECUADAS• PLANES DOCUMENTADOS Y PROBADOS DE EVACUACIÓN

DE EMERGENCIA. • ADQUISICIÓN DE UPS.

CONTROLES DE ACCESO FÍSICO

• CERRADURAS CON COMBINACIÓN. • CERRADURAS ELECTRÓNICAS: UTILIZA LLAVE,

FICHA O TARJETA MAGNÉTICA. • CERRADURAS BIOMÉTRICAS. • BITÁCORA O REGISTRO MANUAL: LIBRO DE

VISITANTES QUE INCLUYA NOMBRE, MOTIVO DE LA VISITA, FECHA, HORA Y FIRMA

• CÁMARA DE VIDEO. • GUARDIAS DE SEGURIDAD• ACCESO CONTROLADO DE VISITANTES: EJ.

ACOMPAÑADOS SIEMPRE DE UN EMPLEADO RESPONSABLE.

• SISTEMA DE ALARMA. • 2 PUERTAS DE ACCESO UBICADAS EN SENTIDOS

CONTRARIOS

SEGURIDAD LÓGICA

EN QUE CONSISTE

LA SEGURIDAD LÓGICA, SE REFIERE A LA PROTECCIÓN DEL USO DEL SOFTWARE (DATOS, PROGRAMAS Y APLICACIONES), CON EL FIN DE MANTENER LA INTEGRIDAD, LA CONFIDENCIALIDAD Y LA DISPONIBILIDAD DE LA INFORMACIÓN.

OBJETIVOS

PRESERVAR LOS ACTIVOS DE INFORMACIÓN DE LA EMPRESA PARA QUE SEAN SIEMPRE UTILIZADOS DE FORMA AUTORIZADA.EVITAR ACCIONES QUE PUEDAN PROVOCAR SU ALTERACIÓN, DENEGACIÓN, BORRADO O DIVULGACIÓN NO AUTORIZADOS, DE FORMA ACCIDENTAL O INTENCIONADA

SEGURIDAD LÓGICA

LA SEGURIDAD LÓGICA ABARCA LAS SIGUIENTES ÁREAS:

• APLICACIONES INFORMÁTICAS.• CLAVES DE ACCESO.• SOFTWARE DE CONTROL DE ACCESO.• ENCRIPTAMIENTO.

AUTENTICACIÓN DE USUARIOS

OBJETIVO ASEGURAR QUE UN USUARIO ES QUIEN DICE SER, CUANDO ACCEDE AL SISTEMA. EN GENERAL, EL PROCESO DE AUTENTICACIÓN DE UN USUARIO ESTÁ BASADO EN:

• ALGO QUE SABE (CONTRASEÑA); • ALGO QUE TIENE (TARJETA, DISPOSITIVO, ETC.); • ALGO QUE ES (CARACTERÍSTICAS BIOMÉTRICAS).

LA UTILIZACIÓN DE SÓLO UNO DE LOS MÉTODOS ANTERIORES SE DENOMINA AUTENTICACIÓN SIMPLE.

CARACTERÍSTICAS DE LAS CONTRASEÑAS

PARA LA PROTECCIÓN DE LOS ACTIVOS DE INFORMACIÓN DE LA EMPRESA Y LA PROTECCIÓN DEL PROPIO USUARIO, LA CONTRASEÑA:

• TIENE QUE SER SECRETA Y NO COMPARTIDA CON NADIE,

• NO PUEDE SER VISUALIZADA EN PANTALLA MIENTRAS SE TECLEA,

• NO PUEDE SER ALMACENADA EN CLARO (SIN CIFRAR).

CARACTERÍSTICAS DE LAS CONTRASEÑAS

• TENER UNA LONGITUD MÍNIMA DE 6 CARACTERES; O TENER AL MENOS UN CARÁCTER NUMÉRICO Y UNO ALFABÉTICO;

• NO EMPEZAR NI TERMINAR CON UN NÚMERO;• NO TENER MAS DE DOS CARACTERES IGUALES

CONSECUTIVOS.• SER CAMBIADA, AL MENOS, CADA 60 DÍAS PARA

USUARIOS GENERALES Y CADA 30 DÍAS PARA USUARIOS QUE TENGAN ALGÚN TIPO DE PRIVILEGIO O AUTORIDAD. TIENE QUE HABER INSTALADO UN CONTROL QUE INFORME A LOS USUARIOS CUANDO SU CONTRASEÑA TIENE QUE SER CAMBIADA;

CARACTERÍSTICAS DE LAS CONTRASEÑAS

• NO DEBE SER REUTILIZADA HASTA DESPUÉS DE, AL MENOS, 12 CAMBIOS;

• NO CONTENER EL IDENTIFICADOR DE USUARIO, COMO PARTE DE LA CONTRASEÑA.