Este documento presenta las buenas prácticas en seguridad de la información, incluyendo buenas prácticas en gobernanza, recursos humanos y tecnología. Describe los componentes clave de un programa de gestión de seguridad y un sistema de gestión de seguridad basado en ISO 27001. También identifica algunas malas prácticas y proporciona referencias útiles para obtener más información sobre este tema.

1. Buenas prácticas en Seguridad de la Información(…y algunas no tan buenas también!) Gabriel Marcos Datacenter, Security & OutsourcingProduct Manager Latin America & Caribbean gabriel.marcos@globalcrossing.com

3. Programa de Gestión de la Seguridad

4. Sistema de Gestión de la Seguridad (SGSI)

5. Buenas prácticas:

6. Governance

7. Recursos humanos

8. Tecnologías

11. Se forman a través de consensos

12. Se aplican dentro de un marco de referencia (“framework”):

13. Políticas, objetivos y métricas

14. Hay muchas categorías para organizar buenas prácticas:

15. Por tecnología

16. Por área de aplicación

17. Por servicio

19. © 2009 – Global Crossing Programa de Gestión de la Seguridad

21. Definido y controlado por el “Board of Directors”

22. Lineamientos organizacionales:

23. Governance

24. Recursos Humanos

25. Técnicas

26. Definir los principios

27. Definir métricas

28. Debe estar documentado¡CLAVE!

30. Protección contra malware

31. Changemanagement + patchmanagement

32. Identitymanagement

33. Firewalls en perímetro, workstations, servers, redes y sub-redes

35. Seguridad comosoporte de la misión de la empresa

36. Buenasprácticas de management incluyenseguridad

37. Análisis de retorno de la inversión en seguridad (ROSI)

38. Responsabilidadpor la seguridadmásallá de la organización

39. Las responsabilidadesdebenexplicitarse

40. Enfoque integral de la seguridad

41. Revisiónperiódica de lasmedidas de seguridad

43. Estrategias vs. activos

44. Estrategias por perfil

45. Objetivos vs. requerimientos (internos / externos)

46. Políticas vs. principios

47. Reuniones con agenda de seguridad

48. Pérdidas vs. incidentes de seguridad

49. Unidades vs. plan de continuidad

51. © 2009 – Global Crossing Sistema de Gestión de la Seguridad

53. Conjunto de políticas para diseñar, implementar, mantener y mejorar procesos y procedimientos que gestionen la confidencialidad, integridad y disponibilidad de la información, minimizando el riesgo.

54. Ciclo PDCA:

55. Plan, evaluación de riesgos y selección de controles.

56. Do, implementación y operación de los controles.

57. Check, evaluar la eficacia y la eficiencia de lo implementado.

59. Políticas de seguridad

60. Organización de la información

61. Administración de activos

62. Recursos humanos

63. Seguridad física y ambiental

64. Gestión de operaciones y comunicaciones

65. Control de accesos

66. Adquisición, desarrollo y mantenimiento de sistemas

67. Gestión de incidentes

68. Continuidad del negocio

71. “governanceiswhat a governmentdoes”

72. Implica la toma de decisiones.

73. Tres principios:

74. Definir objetivos

75. Asignar responsabilidades

77. Alineamiento estratégico

78. Entrega de valor al negocio

79. Gestión del riesgo

80. Gestión de recursos

82. Caso de negocio

83. Revisión de resultados

84. Plan de implementación

85. Comunicación

86. Gestión de recursos

87. Gestión del riesgo

88. Gestión de proveedores

89. Alineamiento de auditoriasinternas y externas

90. Cumplimiento legal y regulatorio

92. La alta dirección no comprende la importancia de la seguridad de la información

93. Seguimiento de la seguridad solamente ante incidentes

94. No existe un plan de auditoria

95. Las políticas de seguridad se implementan solamente por cumplir, incluso sin “customizar” para la organización

96. El departamento de IT no participa de la gestión de la seguridad (“no es nuestra responsabilidad”)

99. Probablemente, el eslabón más débil en el ciclo de la gestión de la seguridad de la información!

100. Distintos tipos de roles:

101. Invasores: los que deliberadamente realizan actos para aprovechar vulnerabilidades y explotarlas.

102. Facilitadores: los que crean las condiciones para la explotación de vulnerabilidades (intencionalmente o no).

105. Passwords diferentes para cada cuenta!

108. Cuando se habla de tecnologías, necesariamente se incorpora el factor humano:

109. Recomendaciones de infraestructura / topología

116. http://www.isc2.org/cissp/default.aspx

117. http://www.isaca.org/Certification/CISM-Certified-Information-Security-Manager/Pages/default.aspx

118. https://www.eccouncil.org/certification/certified_ethical_hacker.aspx

119. http://www.bsigroup.co.in/en-in/Training/Course-areas/Information-Security/ISO27001-LA-Five-day-course/…entre muchas otras…

122. Seguridad lógica… sin seguridad física!

123. Manejo de contraseñas

124. Usar mecanismos de encripción débiles

125. Agregar medidas que (de antemano) se saben ineficaces, solo “por cumplir”

126. Falta de actualizaciones

129. © 2009 – Global Crossing ¡Muchas GRACIAS! ¿Quién TIENE LA PRIMERA PREGUNTA? gabriel.marcos@globalcrossing.com Datos de contacto: