Advanced Persistent Threats: sirve ISO 27001 para protegernos? Presentación para SEGURINFO 2011 en Bogotá (Agosto 2011)

1. “Seguridad, un servicio que genera valor para su empresa” Advancedpersistentthreats: sirve Iso 27001 para protegernos? 1

2. Presentada por: “Seguridad, un servicio que genera valor para su empresa” Gabriel Marcos Marketing Specialist Global Crossing Colombia LOGO de la EMPRESA 2

3. Aclaración: ©Todos los derechos reservados. No está permitida la reproducción parcial o total del material de esta sesión, ni su tratamiento informático, ni la transmisión de ninguna forma o por cualquier medio, ya sea electrónico, mecánico, por fotocopia, por registro u otros métodos, sin el permiso previo y por escrito de los titulares de los derechos. Si bien este Congreso ha sido concebido para difusión y promoción en el ámbito de la profesión a nivel internacional, previamente deberá solicitarse una autorización por escrito y mediar la debida aprobación para su uso. 3

4. Parte I: AdvancedPersistentThreats: Por qué son importantes? Mitos y realidades Definición 4

5. AdvancedPersistentThreatsPor qué son importantes? 5

6. AdvancedPersistentThreatsMitos y realidades Mito Nro. 1: 6 “Este tipo de ataque solamente le ocurre a personas públicas, no afecta a empresas privadas y corporaciones”

7. AdvancedPersistentThreatsAfectan a empresas y corporaciones http://bits.blogs.nytimes.com/2011/04/02/the-rsa-hack-how-they-did-it/Texto 2 http://www.nytimes.com/2011/03/18/technology/18secure.html http://www.computerweekly.com/Articles/2011/03/18/245974/RSA-hit-by-advanced-persistent-threat-attacks.htm 7

8. AdvancedPersistentThreatsAfectan a empresas y corporaciones AdvancedPersistentThreats: A Decade in Review CommandFivePtyLtd - June 2011 COPYRIGHT © COMMAND FIVE PTY LTD. ALL RIGHTS RESERVED. 8

9. AdvancedPersistentThreatsMitos y realidades Mito Nro. 2: 9 “Si bien afectan a empresas, no tienen impacto real en el negocio.”

10. AdvancedPersistentThreatsTienen impacto en el negocio http://www.techcrunch.com/2010/01/12/google-china-attacks/ 10

11. AdvancedPersistentThreatsTienen impacto en el negocio http://www.fayerwayer.com/2010/09/virus-stuxnet-muta-y-arrasa-en-iran/ 11

12. AdvancedPersistentThreatsMitos y realidades Mito Nro. 3: 12 “Son lo mismo de siempre… qué otra cosa podría pasar?”

13. AdvancedPersistentThreatsMás agresivos que los ataques tradicionales http://www.securitynewsdaily.com/hackers-european-commission-cyberattack-0632/ 13

14. AdvancedPersistentThreatsMitos y realidades Mito Nro. 4: 14 “Con lo que tenemos nos alcanza para protegernos”

15. AdvancedPersistentThreatsSeguridad perimetral es ineficiente contra estos ataques http://searchsecurity.techtarget.com/news/1516014/Perimeter-defenses-deemed-ineffective-against-modern-cybersecurity-threats 15

17. Variedad de técnicas para cumplir el objetivo.

18. Se realizan en grupo.

19. Se enfocan en un objetivo en particular.

20. Sin limitación de tiempo.

21. La dificultad no es desmotivante.

22. Método específico de realizar un ataque.

24. Parte II: Mecanismos de defensa en ISO 27001 18

25. Mecanismos de defensa en ISO 27001 Plan de acción para no dar papaya: Gestión del riesgo Capacitación / concientización Seguridad interna Nuevas tecnologías de control Proteger la información 19 Referencia: IRAM-ISO/IEC 27001 – Primera edición: 2007-12-28

26. Mecanismos de defensa ISO 27001Gestión del riesgo Dónde: 4.2.1., 4.2.2., A.14. Metodología (para la organización) Análisis de Riesgo (cuantitativo) Business ImpactAnalysis 20

27. Mecanismos de defensa ISO 27001Capacitación / concientización 21 Dónde: 4.2.1., 5.2.2., A.8.2. Capacitación Concientización Defensa contra Ingeniería Social Proceso + Plan = Continuidad Formación

28. Mecanismos de defensa ISO 27001Seguridad interna 22 Dónde: 4.2.1., 4.2.2., 4.2.3., 5.2.1., A.9., A.10., A.11., A.12., A.13. Análisis internos + externos regulares Zonas de seguridad internas

29. Mecanismos de defensa ISO 27001Nuevas tecnologías 23 Dónde: ídem anterior. SIEM (Security & InformationEvent Management) IDP (IntrusionDetection & Prevention) Seguridad para smartphones Análisis a nivel de aplicación: Security Testing Externo, Análisis de Vulnerabilidades Externo, Análisis de Vulnerabilidades Interno, Security Testing Interno, Web Application Security Testing, SAP Security Testing.

30. Mecanismos de defensa ISO 27001Proteger la información 24 Dónde: 4.2.1., A.6., A.7., A.14. Lowhangingfruit(objetivos más fáciles) Procesos, procesos, procesos… Último recurso: encripción? BCP (plan de continuidad)

31. Actitud mental para ser exitosos contra las AdvancedPersistentThreats: Asuma que ya fue infectado, y trabaje desde ahí… 25

32. Gracias por asistir a esta sesión… 26 Preguntas y Respuestas…

33. Para mayor información: Gabriel Marcos gabriel.marcos@globalcrossing.com Twitter: @jarvel Para descargar esta presentación visite www.segurinfo.org 27 Los invitamos a sumarse al grupo “Segurinfo” en