SlideShare una empresa de Scribd logo
1 de 51
Descargar para leer sin conexión
Seguridad de la Información
Seguridad
InformaciónDe la
Ing. Max Lazaro
Oficina Nacional de Gobierno
Electrónico e Informática
Seguridad de la Información
Nuevos Escenarios
Seguridad de la Información
“LA INFORMACION es un ACTIVO”
La información debe considerarse como un
recurso con el que cuentan las Organizaciones
y por lo tanto tiene valor para éstas, al igual
que el resto de los activos, debe estar
debidamente protegida.
Qué se debe asegurar ?
Seguridad de la Información
Contra qué se debe proteger la
Información ?
Seguridad de la Información
Password cracking
Man in the middle
Exploits
Denegación de servicio
Escalamiento de privilegios
Hacking de Centrales Telefónicas
Keylogging Port scanning
Instalaciones default
Puertos vulnerables abiertos
Servicios de log inexistentes o que no son chequeados
Desactualización
Backups inexistentes
Últimos parches no instalados
Amenazas
Violación de la privacidad de los empleados
Fraudes informáticos
Destrucción de equipamiento
Seguridad de la Información
Captura de PC desde el exterior
Violación de contraseñas
Interrupción de los servicios
Intercepción y modificación y violación de e-mails
Virus
Mails anónimos con agresiones
Incumplimiento de leyes y regulaciones
Robo o extravío de notebooks, palms
empleados deshonestos
Robo de información
Destrucción de soportes documentales
Acceso clandestino a redes
Intercepción de comunicaciones voz y
wireless
Programas “bomba, troyanos”
Acceso indebido a documentos impresos
Propiedad de la información
Agujeros de seguridad de redes conectadas
Falsificación de información
para terceros
Indisponibilidad de información clave
Spamming
Ingeniería social
Más Amenazas!!
Seguridad de la Información
BOTNETS – Facilitando Ataques DDoS
CE
Instalación del cliente:
Servidor/FW/Switch/Ruteador
Zombies
Extorsionador
Conexión de la
Última Milla
Ruteador del
Borde del ISP
 ¡BOTNETs para Rentar!
 Un BOTNET está compuesto de computadoras
que han sido violadas y contaminadas con
programas (zombies) que pueden ser
instruidos para lanzar ataques desde una
computadora de control central
 Los BOTNETs permiten todos los tipos de
ataques DDOS: Ataques ICMP, Ataques TCP,
Ataques UDP y sobrecarga de http
 Las opciones para desplegar BOTNETs son
extensas y se crean nuevas herramientas para
aprovechar las vulnerabilidades más recientes
de los sistemas
 Un BOTNET relativamente pequeño con
únicamente 1000 zombies puede causar una
gran cantidad de daños.
 Por ejemplo: 1000 PCs caseras con un ancho
de banda upstream promedio de 128KBit/s
pueden ofrecer más de 100MBit/s
 ¡El tamaño de los ataques está aumentando
constantemente!
Seguridad de la Información
Seguridad de la Información
Por qué aumentan las amenazas ?
Crecimiento exponencial de las Redes y
Usuarios Interconectados – Dependencia.
Profusión de las BD On-Line
Inmadurez de las Nuevas Tecnologías
Alta disponibilidad de Herramientas
Automatizadas de Ataques
Nuevas Técnicas de Ataque Distribuido
(Ej:DDoS)
Técnicas de Ingeniería Social
Algunas
Causas
Seguridad de la Información
Vulnerabilidades
 Inadecuado compromiso de la dirección.
 Personal inadecuadamente capacitado y concientizado.
 Inadecuada asignación de responsabilidades.
 Ausencia de políticas/ procedimientos.
 Ausencia de controles
 (físicos/lógicos)
 (disuasivos/preventivos/detectivos/correctivos)
 Ausencia de reportes de incidentes y vulnerabilidades.
 Inadecuado seguimiento y monitoreo de los controles.
Seguridad de la Información
Qué se debe garantizar ?
Seguridad de la InformaciónDimensiones críticas de la información
C
I D
Información
(dimensiones)
Prevenir
Divulgación no autorizada de
Activos de Información
Prevenir
Cambios no autorizados en
Activos de Información
Prevenir
Destrucción no autorizada de
Activos de Información
• Secreto impuesto de acuerdo
con políticas de seguridad
• SINO: Fugas y filtraciones de
información; accesos no
autorizados; pérdida de
confianza de los demás
(incumplimiento de leyes y
compromisos)
• Validez y Precisión de información y
sistemas.
•SINO: Información manipulada, incompleta,
corrupta y por lo tanto mal desempeño de
funciones
• Acceso en tiempo correcto y confiable a
datos y recursos.
• SINO: Interrupción de Servicios o Baja
Productividad
Información
E
D
T
6
+ 5
=
7x24x365
Autenticidad de
quien hace uso de datos o
servicios
Trazabilidad del uso
de servicios (quién, cuándo)
o datos (quien y que hace)
E-commerce
No repudio
(Compromisos)
Confiabilidad
Seguridad de la Información
Acciones de la ONGEI
Seguridad de la Información
 Actualmente la ONGEI apoya a las entidades
públicas en los siguientes principales servicios:
Análisis de vulnerabilidades de los servidores
Web de las Entidades Publicas.
Boletines de Seguridad de la información
Boletines de Alertas de Antivirus.
Presentaciones técnicas sobre seguridad.
Consultorías y apoyo en recomendaciones
técnicas.
Seguridad de la Información
Política de Seguridad de la
Información para el Sector Público
Seguridad de la Información
Las políticas de seguridad son las reglas y
procedimientos que regulan la forma en que una
organización previene, protege y maneja los riesgos de
diferentes daños.
Que se entiende por Politica de Seguridad ?
Si se quiere que las políticas de seguridad sean aceptadas, deben
integrarse a las estrategias del negocio, a su misión y visión,
con el propósito de que los que toman las decisiones reconozcan
su importancia e incidencias en las proyecciones y utilidades de la
organización.
Como tiene éxito una Politica ?
Seguridad de la Información
 Con fecha 23 de julio del 2004 la PCM a través
de la ONGEI, dispone el uso obligatorio de la
Norma Técnica Peruana “NTP – ISO/IEC
17799:2004 EDI. Tecnología de la Información:
Código de Buenas Prácticas para la Gestión de
la Seguridad de la Información” en entidades del
Sistema Nacional de Informática.
 Se Actualizó el 25 de Agosto del 2007 con la
Norma Técnica Peruana “NTP – ISO/IEC
17799:2007 EDI.
Seguridad de la Información
Cuales son los temas o dominios a
considerar dentro de un plan de
Seguridad?
Seguridad de la Información
Los 11 dominios de control de ISO 17799 (27002)
1. Política de seguridad:
Se necesita una política que refleje las expectativas de
la organización en materia de seguridad, a fin de
suministrar administración con dirección y soporte. La
política también se puede utilizar como base para el
estudio y evaluación en curso.
2. Aspectos organizativos para la seguridad:
Sugiere diseñar una estructura de administración
dentro la organización, que establezca la
responsabilidad de los grupos en ciertas áreas de la
seguridad y un proceso para el manejo de respuesta a
incidentes.
Seguridad de la Información
3. Clasificación y Control de Activos:
Inventario de los recursos de información de la
organización y con base en este conocimiento, debe
asegurar que se brinde un nivel adecuado de
protección.
4. Seguridad de Recursos Humanos:
Necesidad de educar e informar a los empleados
actuales y potenciales sobre lo que se espera de ellos
en materia de seguridad y asuntos de
confidencialidad. Implementa un plan para reportar
los incidentes.
5. Seguridad física y del Entorno:
Responde a la necesidad de proteger las áreas, el
equipo y los controles generales.
Seguridad de la Información
6. Gestión de Comunicaciones y Operaciones: Los
objetivos de esta sección son:
 Asegurar el funcionamiento correcto y seguro de las
instalaciones de procesamiento de la información.
 Minimizar el riesgo de falla de los sistemas.
 Proteger la integridad del software y la información.
 Conservar la integridad y disponibilidad del procesamiento y la
comunicación de la información.
 Garantizar la protección de la información en las redes y de la
infraestructura de soporte.
 Evitar daños a los recursos de información e interrupciones en
las actividades de la institución.
 Evitar la pérdida, modificación o uso indebido de la
información que intercambian las organizaciones.
Seguridad de la Información
7. Control de accesos:
Establece la importancia de monitorear y
controlar el acceso a la red y los recursos de
aplicación como protección contra los abusos
internos e intrusos externos.
8. Adquisición, Desarrollo y Mantenimiento de los
sistemas:
Recuerda que en toda labor de la tecnología de la
información, se debe implementar y mantener la
seguridad mediante el uso de controles de
seguridad en todas las etapas del proceso.
Seguridad de la Información
9. Gestión de Incidentes de la Seguridad de la
información
Asegurar que los eventos y debilidades en la
seguridad de la información sean comunicados de
manera que permitan una acción correctiva a tiempo.
10. Gestión de Continuidad del Negocio
Aconseja estar preparado para contrarrestar las
interrupciones en las actividades de la organización y
para proteger los procesos importantes de la
organización en caso de una falla grave o desastre.
11. Cumplimiento:
Evitar brechas de cualquier ley civil o criminal,
estatutos, obligaciones regulatorias o contractuales y
de cualquier requerimiento de seguridad.
Seguridad de la Información
Los 11 Dominios de la NTP ISO 17799 - 2007
Control de accesos
Gestiòn de
Activos
Política de
seguridad Organización de
la Seguridad
Seguridad
del personal
Seguridad física
y medioambiental
Gestión de
comunicaciones
y operaciones
Desarrollo y
mantenimiento
Gestión de
la continuidad
Cumplimiento
Información
Confidencialidad
disponibilidad
integridad
Gestión de
incidentes
Seguridad de la Información
Seguridad de la Información
SGSI
Modelo P-H-V-A
Metodología de la ISO/IEC
27001
Seguridad de la Información
 El sistema de gestión de la seguridad de la información
(SGSI) es la parte del sistema de gestión de la empresa,
basado en un enfoque de riesgos del negocio, para:
 establecer,
 implementar,
 operar,
 monitorear,
 mantener y mejorar la seguridad de la información.
 Incluye.
 Estructura, políticas, actividades, responsabilidades, prácticas,
procedimientos, procesos y recursos.
SGSI
Seguridad de la Información(Planificar /Hacer /Verificar /Actuar)
El SGSI adopta el siguiente modelo:
PHVA
Planificar
Verificar
Hacer
Actuar
Definir la política de
seguridad
Establecer el alcance del SGSI
Realizar los análisis de riesgos
Seleccionar los controles
Implantar el plan de gestión de
riesgos
Implantar el SGSI
Implantar los controles.
Implantar indicadores.
Revisiones del SGSI por parte de
la Dirección.
Realizar auditorías internas del SGSI
Adoptar acciones correctivas
Adoptar acciones preventivas
Seguridad de la InformaciónEstablecer el SGSI (Plan)
 Establecer la política de seguridad, objetivos, metas, procesos y
procedimientos relevantes para manejar riesgos y mejorar la
seguridad de la información para generar resultados de acuerdo con
una política y objetivos marco de la organización.
 Definir el alcance del SGSI a la luz de la organización.
 Definir la Política de Seguridad.
 Aplicar un enfoque sistémico para evaluar el riesgo.
Seguridad de la InformaciónEstablecer el SGSI (Plan)
 Identificar y evaluar opciones para tratar el riesgo
 Mitigar, eliminar, transferir, aceptar
 Seleccionar objetivos de control y controles a
implementar.
 A partir de los controles definidos por la ISO/IEC 17799
 Establecer enunciado de aplicabilidad
Seguridad de la Información
Implementar y operar (Do)
 Implementar y operar la política de seguridad, controles, procesos y
procedimientos.
 Implementar plan de tratamiento de riesgos.
 Transferir, eliminar, aceptar
 Implementar los controles seleccionados.
 Mitigar
 Aceptar riesgo residual.
 Firma de la alta dirección para riesgos que superan el nivel
definido.
Seguridad de la Información
Implementar y operar (Do)
 Implementar medidas para evaluar la eficacia de los controles
 Gestionar operaciones y recursos.
 Implementar programas de Capacitación y concientización.
 Implementar procedimientos y controles de detección y respuesta a
incidentes.
Seguridad de la Información
Monitoreo y Revisión (Check)
 Evaluar y medir la performance de los procesos contra la política de
seguridad, los objetivos y experiencia practica y reportar los
resultados a la dirección para su revisión.
 Revisar el nivel de riesgo residual aceptable, considerando:
 Cambios en la organización.
 Cambios en la tecnologías.
 Cambios en los objetivos del negocio.
 Cambios en las amenazas.
 Cambios en las condiciones externas (ej. Regulaciones,
leyes).
 Realizar auditorias internas.
 Realizar revisiones por parte de la dirección del SGSI.
Seguridad de la Información
Monitoreo y Revisión (Check)
 Se debe establecer y ejecutar procedimientos de monitoreo para:
 Detectar errores.
 Identificar ataques a la seguridad fallidos y exitosos.
 Brindar a la gerencia indicadores para determinar la
adecuación de los controles y el logro de los objetivos de
seguridad.
 Determinar las acciones realizadas para resolver brechas a
la seguridad.
 Mantener registros de las acciones y eventos que pueden impactar
al SGSI.
 Realizar revisiones regulares a la eficiencia del SGSI.
Seguridad de la Información
Mantenimiento y mejora del SGSI (Act)
 Tomar acciones correctivas y preventivas, basadas en los
resultados de la revisión de la dirección, para lograr la mejora
continua del SGSI.
 Medir el desempeño del SGSI.
 Identificar mejoras en el SGSI a fin de implementarlas.
 Tomar las acciones apropiadas a implementar en el ciclo en
cuestión (preventivas y correctivas).
 Comunicar los resultados y las acciones a emprender, y
consultar con todas las partes involucradas.
 Revisar el SGSI donde sea necesario implementando las
acciones seleccionadas.
Seguridad de la Información
PECERT
Seguridad de la Información
 Con fecha 22 de Agosto del 2009, en el diario
oficial el Peruano la Resolución Ministerial
360-2009-PCM, que crea el Grupo de Trabajo
denominado Coordinadora de Respuestas a
Emergencias en Redes Teleinformáticas de la
Administración Pública del Perú – PECERT
 La cual permitirá generar un marco de trabajo
de cooperación entre los ministerios del sector
público para mejorar los niveles de seguridad de
la información en las entidades públicas.
Seguridad de la Información
La norma permitirá que:
ONGEI será un CSIRT de coordinación
Cada Ministerio creara un CSIRT
operativo.
Seguridad de la Información
Portal de Coordinación de Emergencias en Redes Teleinformáticas
http://www.pecert.gob.pe
Seguridad de la Información
Establecimiento e Implementación PeCERT
Entrenamiento al Personal PeCERT (Ministerios,
ODP’s)
Asistentes Ponentes
Taller de Seguridad de la Información en el Gobierno (Julio 2009) 80 E & Y, OSINERMING, IRIARTE
& ASOCIADOS, ONP,
DIVINDAT, RENIEC, CONASEV,
TELEFONICA.
Taller de Seguridad de la Información (Febrero 2010) 50 BI ARGENTINA
Reunión de Coordinación PeCERT (Marzo 2010) 30 TELEFONICA
Taller de Asistencia Técnica en Materia de Seguridad Cibernética (Mayo 2010) 40 OEA, ARCERT, VENCERT,
CTIRGov BRASIL, CERTuy,
ESPAÑA
Taller de Gestión de Riesgos (Junio 2010) 30 SIDIF Latinoamérica
Reunión de Grupo de Trabajo PeCERT (Setiembre 2010) 22 Enhacke
Equipo Formal PeCERT Cantidad
Ministerios del Perú 17
Seguridad de la Información
 451 informes de vulnerabilidad de Páginas Web a Nivel Nacional
con vulnerabilidades (2008 a la fecha). 30% páginas altamente
criticas.
 Avisos de seguridad para usuarios técnicos avanzados,
publicados en el portal Web.
 Campaña de difusión del Proyecto PeCERT en las Redes
Sociales de ONGEI (Facebook: Gobierno Electrónico Perú-
Ongei, Twitter: @Peru_e_Gobierno).
 37 Plantillas de Políticas de Seguridad según los 11 dominios de
la NTP-ISO/ IEC 17799:2007 EDI, publicados en el portal Web.
 Elaboración de un formato estándar para reportar incidentes de
seguridad a las diversas entidades.
Actividades del PeCERT
Seguridad de la Información
Incidentes - Seguridad de la Información
Estadísticas
 138 Incidentes de Seguridad en Portales Web de la
Administración Pública (Octubre 2009 a la Actualidad)
 54 Entidades de provincia, y 55 Lima metropolitana.
 52 notificaciones de Incidentes a las Entidades públicas
(Octubre 2010 a la actualidad)
 Fuente: http://www.zone-h.org ,
http://bohemioshackersteam.blogspot.com/
Foros de google, etc etc.
Seguridad de la Información
Encuesta de Seguridad 2010
 Según la Resolución Ministerial 187-2010-PCM
autoriza la ejecución de la Encuesta de Seguridad
2010, publicado en el Diario “El Peruano” el 15 de
Junio 2010, la cuál abarca preguntas de los 11
dominios de la NTP-ISO/ IEC 17799:2007 EDI.
Segunda Edición.
i) Se ha recepcionado 150 reportes.
ii) 150 entidades de las 271, lo cuál corresponde al
56% del total.
Seguridad de la Información
Clasificación de la Encuesta de Seguridad
2010:
Documento de Brecha
53%39%
8%
No
iniciado
En
proceso
Concluido
Política de Seguridad
de la Información
30%
31%
39%
No iniciado
Elaborada y en
revision
emitida
mediante
normativa
Elaboración de Análisis
de Riesgos
39%
47%
14%
No
iniciado
En
proceso
Concluido
Personal para la
implementacion
83%
17% Personal propio
de la entidad
consultoria
contratada
Poder Legislativo (1)
Poder Judicial (1)
Poder Ejecutivo (86)
Organismos Autónomos (20)
Gobiernos Regionales (8)
Gobiernos Provinciales (4)
Municipalidades (30)
Seguridad de la Información
1. Politicas de Seguridad
75 75
71
40
62
25 25
29
60
38
A B C D E
Si %
No %
Preguntas
Seguridad de la Información
2. Organización para la seguridad de la
información
34
14
25 23
9
25
54
66
86
75 77
91
75
46
A B C D E F G
Si %
No %
Preguntas
Seguridad de la Información
Este material podrá obtenerlo en
http://www.pecert.gob.pe
en la Sección “Documentos”
También encontrará allí plantillas para la
implementación de políticas especificas
Seguridad de la Información
 Las organizaciones requieren de un enfoque de varias capas para asegurar
y proteger sus activos críticos y las infraestructuras.
 Como defensa ante las amenazas y los riesgos de la internet, las
organizaciones deben:
 Identificar los principales activos, su ubicación, los propietarios de los
procesos de negocio, y la criticidad.
 Realizar evaluaciones de riesgos.
 Mantenerse al día con los últimos parches de sistema operativo y
actualizaciones de productos.
 Instalar defensas interna en el perímetro de la red tales como routers,
firewalls, scanners, y monitorización de red y sistemas de análisis.
 Actualizar y ampliar las políticas de seguridad de la tecnología de
información y los procedimientos.
 Proporcionar capacitación de seguridad de sensibilización para los
empleados, clientes y mandantes.
 Formalizar un proceso de gestión de incidentes.
Seguridad de la Información
 La mejor Infraestructura de Seguridad de la
Información no puede garantizar que las intrusiones
u otros actos dolosos no sucedan.
 Cuando se producen incidentes de información o de
tecnología, siempre se critica la falta de una
organización, por no tener un medio eficaz para
responder.
Seguridad de la Información
La rapidez con que una organización
puede Reconocer, Analizar y
Responder a un incidente limitará el
daño y reducir el costo de la
recuperación.
Seguridad de la Información
www.ongei.gob.pe
mlazaro@pcm.gob.pe
Muchas gracias……..

Más contenido relacionado

La actualidad más candente

Sistema de gestión de la seguridad de la informacion
Sistema de gestión de la seguridad de la informacionSistema de gestión de la seguridad de la informacion
Sistema de gestión de la seguridad de la informacionCinthia Yessenia Grandos
 
Proyectos de seguridad informática
Proyectos de seguridad informáticaProyectos de seguridad informática
Proyectos de seguridad informáticaRaúl Díaz
 
Presentacion ingeniería social
Presentacion ingeniería socialPresentacion ingeniería social
Presentacion ingeniería socialLily Diéguez
 
Politicas de Seguridad Informática
Politicas de Seguridad InformáticaPoliticas de Seguridad Informática
Politicas de Seguridad InformáticaJose Manuel Acosta
 
Curso taller: Sistemas de Gestión de Seguridad de la Información
Curso taller: Sistemas de Gestión de Seguridad de la InformaciónCurso taller: Sistemas de Gestión de Seguridad de la Información
Curso taller: Sistemas de Gestión de Seguridad de la InformaciónHoracio Veramendi
 
Raising information security awareness
Raising information security awarenessRaising information security awareness
Raising information security awarenessTerranovatraining
 
introduccion Hacking etico
introduccion Hacking eticointroduccion Hacking etico
introduccion Hacking eticoYulder Bermeo
 
Seguridad informatica mecanismo de seguridad informática
Seguridad informatica   mecanismo de seguridad informáticaSeguridad informatica   mecanismo de seguridad informática
Seguridad informatica mecanismo de seguridad informáticaJose Quiroz
 
Power Point de la seguridad informática
Power Point de la seguridad informáticaPower Point de la seguridad informática
Power Point de la seguridad informáticavektormrtnz
 
Gestión de Vulnerabilidades
Gestión de VulnerabilidadesGestión de Vulnerabilidades
Gestión de VulnerabilidadesPablo Palacios
 
Introdução à Segurança da Informação
Introdução à Segurança da InformaçãoIntrodução à Segurança da Informação
Introdução à Segurança da InformaçãoDaniel de Sousa Luz
 
Ingenieria social.pptx
Ingenieria social.pptxIngenieria social.pptx
Ingenieria social.pptxLuis Flores
 
Introduction to Cybersecurity
Introduction to CybersecurityIntroduction to Cybersecurity
Introduction to CybersecurityKrutarth Vasavada
 

La actualidad más candente (20)

Sistema de gestión de la seguridad de la informacion
Sistema de gestión de la seguridad de la informacionSistema de gestión de la seguridad de la informacion
Sistema de gestión de la seguridad de la informacion
 
Proyectos de seguridad informática
Proyectos de seguridad informáticaProyectos de seguridad informática
Proyectos de seguridad informática
 
Presentacion ingeniería social
Presentacion ingeniería socialPresentacion ingeniería social
Presentacion ingeniería social
 
Politicas de Seguridad Informática
Politicas de Seguridad InformáticaPoliticas de Seguridad Informática
Politicas de Seguridad Informática
 
Curso taller: Sistemas de Gestión de Seguridad de la Información
Curso taller: Sistemas de Gestión de Seguridad de la InformaciónCurso taller: Sistemas de Gestión de Seguridad de la Información
Curso taller: Sistemas de Gestión de Seguridad de la Información
 
Raising information security awareness
Raising information security awarenessRaising information security awareness
Raising information security awareness
 
Hacking ético
Hacking éticoHacking ético
Hacking ético
 
Seguridad de la información
Seguridad de la informaciónSeguridad de la información
Seguridad de la información
 
introduccion Hacking etico
introduccion Hacking eticointroduccion Hacking etico
introduccion Hacking etico
 
Ciberseguridad
CiberseguridadCiberseguridad
Ciberseguridad
 
Ciberseguridad
Ciberseguridad Ciberseguridad
Ciberseguridad
 
Introduccion iso 17799
Introduccion iso 17799Introduccion iso 17799
Introduccion iso 17799
 
Seguridad informatica mecanismo de seguridad informática
Seguridad informatica   mecanismo de seguridad informáticaSeguridad informatica   mecanismo de seguridad informática
Seguridad informatica mecanismo de seguridad informática
 
Power Point de la seguridad informática
Power Point de la seguridad informáticaPower Point de la seguridad informática
Power Point de la seguridad informática
 
INGENIERIA SOCIAL
INGENIERIA SOCIALINGENIERIA SOCIAL
INGENIERIA SOCIAL
 
Gestión de Vulnerabilidades
Gestión de VulnerabilidadesGestión de Vulnerabilidades
Gestión de Vulnerabilidades
 
Introdução à Segurança da Informação
Introdução à Segurança da InformaçãoIntrodução à Segurança da Informação
Introdução à Segurança da Informação
 
Presentacion SGSI
Presentacion SGSIPresentacion SGSI
Presentacion SGSI
 
Ingenieria social.pptx
Ingenieria social.pptxIngenieria social.pptx
Ingenieria social.pptx
 
Introduction to Cybersecurity
Introduction to CybersecurityIntroduction to Cybersecurity
Introduction to Cybersecurity
 

Destacado

Ingenieria de requerimientos-05
Ingenieria de requerimientos-05Ingenieria de requerimientos-05
Ingenieria de requerimientos-05Juana Rodríguez
 
Dr. Diego Navarro Bonilla - Gestión de Información para la Seguridad y Defens...
Dr. Diego Navarro Bonilla - Gestión de Información para la Seguridad y Defens...Dr. Diego Navarro Bonilla - Gestión de Información para la Seguridad y Defens...
Dr. Diego Navarro Bonilla - Gestión de Información para la Seguridad y Defens...ARGENACO
 
La importancia de los procesos de seguridad de la información: ventajas y efi...
La importancia de los procesos de seguridad de la información: ventajas y efi...La importancia de los procesos de seguridad de la información: ventajas y efi...
La importancia de los procesos de seguridad de la información: ventajas y efi...Foro Global Crossing
 
Seguridad de la informacion
Seguridad de la informacionSeguridad de la informacion
Seguridad de la informacionseguinfo2012
 
Sist Criticos Finalizado
Sist Criticos FinalizadoSist Criticos Finalizado
Sist Criticos Finalizadosergio
 
Caso: Implementando CGSI en Instituciones Estatales, por Roberto Puyó
Caso: Implementando CGSI en Instituciones Estatales, por Roberto PuyóCaso: Implementando CGSI en Instituciones Estatales, por Roberto Puyó
Caso: Implementando CGSI en Instituciones Estatales, por Roberto PuyóForo Global Crossing
 
Street Marketing con notas postits
Street Marketing con notas postitsStreet Marketing con notas postits
Street Marketing con notas postitsGrupo Formatos
 
Gestión de Incidentes de Seguridad de la Información - CERT / CSIRT
Gestión de Incidentes de Seguridad de la Información - CERT / CSIRTGestión de Incidentes de Seguridad de la Información - CERT / CSIRT
Gestión de Incidentes de Seguridad de la Información - CERT / CSIRTDaniel Sasia
 
27001:2013 Seguridad orientada al negocio
27001:2013 Seguridad orientada al negocio27001:2013 Seguridad orientada al negocio
27001:2013 Seguridad orientada al negocioFabián Descalzo
 
Iso 27001 interpretación introducción
Iso 27001   interpretación introducciónIso 27001   interpretación introducción
Iso 27001 interpretación introducciónMaria Jose Buigues
 
Sistemas críticos - Ingeniería de Sistemas
Sistemas críticos - Ingeniería de SistemasSistemas críticos - Ingeniería de Sistemas
Sistemas críticos - Ingeniería de SistemasUniminuto - San Francisco
 
Arquitectura de seguridad de la información (Tecnocom)
Arquitectura de seguridad de la información (Tecnocom)Arquitectura de seguridad de la información (Tecnocom)
Arquitectura de seguridad de la información (Tecnocom)Fluidsignal Group S.A.
 

Destacado (20)

Ingenieria de requerimientos-05
Ingenieria de requerimientos-05Ingenieria de requerimientos-05
Ingenieria de requerimientos-05
 
Guia iso 27001
Guia iso 27001Guia iso 27001
Guia iso 27001
 
Certificacion iso17799 iso 27001 1
Certificacion iso17799 iso 27001 1Certificacion iso17799 iso 27001 1
Certificacion iso17799 iso 27001 1
 
Dr. Diego Navarro Bonilla - Gestión de Información para la Seguridad y Defens...
Dr. Diego Navarro Bonilla - Gestión de Información para la Seguridad y Defens...Dr. Diego Navarro Bonilla - Gestión de Información para la Seguridad y Defens...
Dr. Diego Navarro Bonilla - Gestión de Información para la Seguridad y Defens...
 
La importancia de los procesos de seguridad de la información: ventajas y efi...
La importancia de los procesos de seguridad de la información: ventajas y efi...La importancia de los procesos de seguridad de la información: ventajas y efi...
La importancia de los procesos de seguridad de la información: ventajas y efi...
 
Seguridad de la informacion
Seguridad de la informacionSeguridad de la informacion
Seguridad de la informacion
 
Iso 27001
Iso 27001Iso 27001
Iso 27001
 
Sist Criticos Finalizado
Sist Criticos FinalizadoSist Criticos Finalizado
Sist Criticos Finalizado
 
Caso: Implementando CGSI en Instituciones Estatales, por Roberto Puyó
Caso: Implementando CGSI en Instituciones Estatales, por Roberto PuyóCaso: Implementando CGSI en Instituciones Estatales, por Roberto Puyó
Caso: Implementando CGSI en Instituciones Estatales, por Roberto Puyó
 
Introduccion ISO 27001 SGSI
Introduccion ISO 27001 SGSIIntroduccion ISO 27001 SGSI
Introduccion ISO 27001 SGSI
 
Street Marketing con notas postits
Street Marketing con notas postitsStreet Marketing con notas postits
Street Marketing con notas postits
 
Gestión de Incidentes de Seguridad de la Información - CERT / CSIRT
Gestión de Incidentes de Seguridad de la Información - CERT / CSIRTGestión de Incidentes de Seguridad de la Información - CERT / CSIRT
Gestión de Incidentes de Seguridad de la Información - CERT / CSIRT
 
Curso SGSI
Curso SGSICurso SGSI
Curso SGSI
 
27001:2013 Seguridad orientada al negocio
27001:2013 Seguridad orientada al negocio27001:2013 Seguridad orientada al negocio
27001:2013 Seguridad orientada al negocio
 
Iso 27001 interpretación introducción
Iso 27001   interpretación introducciónIso 27001   interpretación introducción
Iso 27001 interpretación introducción
 
Iso 27001 2013
Iso 27001 2013Iso 27001 2013
Iso 27001 2013
 
Virus informático
Virus informáticoVirus informático
Virus informático
 
Sistemas críticos - Ingeniería de Sistemas
Sistemas críticos - Ingeniería de SistemasSistemas críticos - Ingeniería de Sistemas
Sistemas críticos - Ingeniería de Sistemas
 
Arquitectura de seguridad de la información (Tecnocom)
Arquitectura de seguridad de la información (Tecnocom)Arquitectura de seguridad de la información (Tecnocom)
Arquitectura de seguridad de la información (Tecnocom)
 
12 amenazas a la seguridad de la información
12 amenazas a la seguridad de la información12 amenazas a la seguridad de la información
12 amenazas a la seguridad de la información
 

Similar a Seguridad de la Informacion

Arquitectura de seguridad de redes
Arquitectura de seguridad de redesArquitectura de seguridad de redes
Arquitectura de seguridad de redesJuan MmnVvr Aguila
 
Arquitectura de seguridad de redes
Arquitectura de seguridad de redesArquitectura de seguridad de redes
Arquitectura de seguridad de redesJuan MmnVvr Aguila
 
6 2 8_lucio_molina_focazzio
6 2 8_lucio_molina_focazzio6 2 8_lucio_molina_focazzio
6 2 8_lucio_molina_focazziotaxesuio
 
6 2 8_lucio_molina_focazzio
6 2 8_lucio_molina_focazzio6 2 8_lucio_molina_focazzio
6 2 8_lucio_molina_focazziotaxesuio
 
cobaxinvanessa@gmail.com
cobaxinvanessa@gmail.comcobaxinvanessa@gmail.com
cobaxinvanessa@gmail.comVanessaCobaxin
 
politicas de seguridad
politicas de seguridadpoliticas de seguridad
politicas de seguridadmayuteamo
 
POLITICAS Y SEGURIDAD DE LA INFORMACION SEMANA 7.pdf
POLITICAS Y SEGURIDAD DE LA INFORMACION SEMANA 7.pdfPOLITICAS Y SEGURIDAD DE LA INFORMACION SEMANA 7.pdf
POLITICAS Y SEGURIDAD DE LA INFORMACION SEMANA 7.pdfROOSVELTENRIQUEZGAME1
 
SEGURIDAD INFORMÁTICA Y POLICIA INFORMÁTICA
SEGURIDAD INFORMÁTICA Y POLICIA INFORMÁTICASEGURIDAD INFORMÁTICA Y POLICIA INFORMÁTICA
SEGURIDAD INFORMÁTICA Y POLICIA INFORMÁTICAcontiforense
 
Seguridad informática (Gestión de la seguridad Informatica)
Seguridad informática (Gestión de la seguridad Informatica)Seguridad informática (Gestión de la seguridad Informatica)
Seguridad informática (Gestión de la seguridad Informatica)Ana Pino
 
Laseguridadinformtica ivan
Laseguridadinformtica ivanLaseguridadinformtica ivan
Laseguridadinformtica ivanIvanEuan
 
Power point informatica
Power point informaticaPower point informatica
Power point informaticafabioescobar17
 
La seguridad informática en power point
La seguridad informática en power pointLa seguridad informática en power point
La seguridad informática en power pointmarlenis carrion
 

Similar a Seguridad de la Informacion (20)

Arquitectura de seguridad de redes
Arquitectura de seguridad de redesArquitectura de seguridad de redes
Arquitectura de seguridad de redes
 
Arquitectura de seguridad de redes
Arquitectura de seguridad de redesArquitectura de seguridad de redes
Arquitectura de seguridad de redes
 
6 2 8_lucio_molina_focazzio
6 2 8_lucio_molina_focazzio6 2 8_lucio_molina_focazzio
6 2 8_lucio_molina_focazzio
 
6 2 8_lucio_molina_focazzio
6 2 8_lucio_molina_focazzio6 2 8_lucio_molina_focazzio
6 2 8_lucio_molina_focazzio
 
Seguridad informatica
Seguridad informaticaSeguridad informatica
Seguridad informatica
 
cobaxinvanessa@gmail.com
cobaxinvanessa@gmail.comcobaxinvanessa@gmail.com
cobaxinvanessa@gmail.com
 
politicas de seguridad
politicas de seguridadpoliticas de seguridad
politicas de seguridad
 
SEGURIDAD INFORMATICA
SEGURIDAD INFORMATICASEGURIDAD INFORMATICA
SEGURIDAD INFORMATICA
 
Informe agregado
Informe agregadoInforme agregado
Informe agregado
 
POLITICAS Y SEGURIDAD DE LA INFORMACION SEMANA 7.pdf
POLITICAS Y SEGURIDAD DE LA INFORMACION SEMANA 7.pdfPOLITICAS Y SEGURIDAD DE LA INFORMACION SEMANA 7.pdf
POLITICAS Y SEGURIDAD DE LA INFORMACION SEMANA 7.pdf
 
SEGURIDAD INFORMÁTICA Y POLICIA INFORMÁTICA
SEGURIDAD INFORMÁTICA Y POLICIA INFORMÁTICASEGURIDAD INFORMÁTICA Y POLICIA INFORMÁTICA
SEGURIDAD INFORMÁTICA Y POLICIA INFORMÁTICA
 
Seguridad informática (Gestión de la seguridad Informatica)
Seguridad informática (Gestión de la seguridad Informatica)Seguridad informática (Gestión de la seguridad Informatica)
Seguridad informática (Gestión de la seguridad Informatica)
 
Seguridad Informática - UTS
Seguridad Informática - UTSSeguridad Informática - UTS
Seguridad Informática - UTS
 
Seguridad Informática
Seguridad InformáticaSeguridad Informática
Seguridad Informática
 
Laseguridadinformtica ivan
Laseguridadinformtica ivanLaseguridadinformtica ivan
Laseguridadinformtica ivan
 
Power point informatica
Power point informaticaPower point informatica
Power point informatica
 
La seguridad informática en power point
La seguridad informática en power pointLa seguridad informática en power point
La seguridad informática en power point
 
Power blogger
Power bloggerPower blogger
Power blogger
 
Seguridad informacion
Seguridad informacionSeguridad informacion
Seguridad informacion
 
Evaluacion de la seguridad
Evaluacion de la seguridadEvaluacion de la seguridad
Evaluacion de la seguridad
 

Último

NUEVO PLAN Y PROGRAMAS DE ESTUDIO 2022.pdf
NUEVO PLAN Y PROGRAMAS DE ESTUDIO  2022.pdfNUEVO PLAN Y PROGRAMAS DE ESTUDIO  2022.pdf
NUEVO PLAN Y PROGRAMAS DE ESTUDIO 2022.pdfEDNAMONICARUIZNIETO
 
historieta materia de ecologías producto
historieta materia de ecologías productohistorieta materia de ecologías producto
historieta materia de ecologías productommartinezmarquez30
 
CUADERNILLO DE EJERCICIOS PARA EL TERCER TRIMESTRE, SEXTO GRADO
CUADERNILLO DE EJERCICIOS PARA EL TERCER TRIMESTRE, SEXTO GRADOCUADERNILLO DE EJERCICIOS PARA EL TERCER TRIMESTRE, SEXTO GRADO
CUADERNILLO DE EJERCICIOS PARA EL TERCER TRIMESTRE, SEXTO GRADOEveliaHernandez8
 
PROGRAMACIÓN CURRICULAR - DPCC- 5°-2024.pdf
PROGRAMACIÓN CURRICULAR - DPCC- 5°-2024.pdfPROGRAMACIÓN CURRICULAR - DPCC- 5°-2024.pdf
PROGRAMACIÓN CURRICULAR - DPCC- 5°-2024.pdfMaritza438836
 
4° UNIDAD 2 SALUD,ALIMENTACIÓN Y DÍA DE LA MADRE 933623393 PROF YESSENIA CN.docx
4° UNIDAD 2 SALUD,ALIMENTACIÓN Y DÍA DE LA MADRE 933623393 PROF YESSENIA CN.docx4° UNIDAD 2 SALUD,ALIMENTACIÓN Y DÍA DE LA MADRE 933623393 PROF YESSENIA CN.docx
4° UNIDAD 2 SALUD,ALIMENTACIÓN Y DÍA DE LA MADRE 933623393 PROF YESSENIA CN.docxMagalyDacostaPea
 
5° Proyecto 13 Cuadernillo para proyectos
5° Proyecto 13 Cuadernillo para proyectos5° Proyecto 13 Cuadernillo para proyectos
5° Proyecto 13 Cuadernillo para proyectosTrishGutirrez
 
EJEMPLO MODELO DE PLAN DE REFUERZO ESCOLAR.docx
EJEMPLO MODELO DE PLAN DE REFUERZO ESCOLAR.docxEJEMPLO MODELO DE PLAN DE REFUERZO ESCOLAR.docx
EJEMPLO MODELO DE PLAN DE REFUERZO ESCOLAR.docxFabianValenciaJabo
 
SESIÓN DE APRENDIZAJE Leemos un texto para identificar los sinónimos y los an...
SESIÓN DE APRENDIZAJE Leemos un texto para identificar los sinónimos y los an...SESIÓN DE APRENDIZAJE Leemos un texto para identificar los sinónimos y los an...
SESIÓN DE APRENDIZAJE Leemos un texto para identificar los sinónimos y los an...GIANCARLOORDINOLAORD
 
Desarrollo de habilidades del siglo XXI - Práctica Educativa en una Unidad-Ca...
Desarrollo de habilidades del siglo XXI - Práctica Educativa en una Unidad-Ca...Desarrollo de habilidades del siglo XXI - Práctica Educativa en una Unidad-Ca...
Desarrollo de habilidades del siglo XXI - Práctica Educativa en una Unidad-Ca...Carol Andrea Eraso Guerrero
 
Fichas de matemática DE PRIMERO DE SECUNDARIA.pdf
Fichas de matemática DE PRIMERO DE SECUNDARIA.pdfFichas de matemática DE PRIMERO DE SECUNDARIA.pdf
Fichas de matemática DE PRIMERO DE SECUNDARIA.pdfssuser50d1252
 
Abregú, Podestá. Directores.Líderes en Acción.
Abregú, Podestá. Directores.Líderes en Acción.Abregú, Podestá. Directores.Líderes en Acción.
Abregú, Podestá. Directores.Líderes en Acción.profandrearivero
 
Contextualización y aproximación al objeto de estudio de investigación cualit...
Contextualización y aproximación al objeto de estudio de investigación cualit...Contextualización y aproximación al objeto de estudio de investigación cualit...
Contextualización y aproximación al objeto de estudio de investigación cualit...Angélica Soledad Vega Ramírez
 
TEMA 13. LOS GOBIERNOS DEMOCRÁTICOS (1982-2018)
TEMA 13. LOS GOBIERNOS DEMOCRÁTICOS (1982-2018)TEMA 13. LOS GOBIERNOS DEMOCRÁTICOS (1982-2018)
TEMA 13. LOS GOBIERNOS DEMOCRÁTICOS (1982-2018)jlorentemartos
 
SISTEMA INMUNE FISIOLOGIA MEDICA UNSL 2024
SISTEMA INMUNE FISIOLOGIA MEDICA UNSL 2024SISTEMA INMUNE FISIOLOGIA MEDICA UNSL 2024
SISTEMA INMUNE FISIOLOGIA MEDICA UNSL 2024gharce
 
4° SES COM MAR 09 Leemos una noticia del dengue e identificamos sus partes (1...
4° SES COM MAR 09 Leemos una noticia del dengue e identificamos sus partes (1...4° SES COM MAR 09 Leemos una noticia del dengue e identificamos sus partes (1...
4° SES COM MAR 09 Leemos una noticia del dengue e identificamos sus partes (1...MagalyDacostaPea
 
Fichas de Matemática DE SEGUNDO DE SECUNDARIA.pdf
Fichas de Matemática DE SEGUNDO DE SECUNDARIA.pdfFichas de Matemática DE SEGUNDO DE SECUNDARIA.pdf
Fichas de Matemática DE SEGUNDO DE SECUNDARIA.pdfssuser50d1252
 
Actividad transversal 2-bloque 2. Actualización 2024
Actividad transversal 2-bloque 2. Actualización 2024Actividad transversal 2-bloque 2. Actualización 2024
Actividad transversal 2-bloque 2. Actualización 2024Rosabel UA
 

Último (20)

NUEVO PLAN Y PROGRAMAS DE ESTUDIO 2022.pdf
NUEVO PLAN Y PROGRAMAS DE ESTUDIO  2022.pdfNUEVO PLAN Y PROGRAMAS DE ESTUDIO  2022.pdf
NUEVO PLAN Y PROGRAMAS DE ESTUDIO 2022.pdf
 
historieta materia de ecologías producto
historieta materia de ecologías productohistorieta materia de ecologías producto
historieta materia de ecologías producto
 
CUADERNILLO DE EJERCICIOS PARA EL TERCER TRIMESTRE, SEXTO GRADO
CUADERNILLO DE EJERCICIOS PARA EL TERCER TRIMESTRE, SEXTO GRADOCUADERNILLO DE EJERCICIOS PARA EL TERCER TRIMESTRE, SEXTO GRADO
CUADERNILLO DE EJERCICIOS PARA EL TERCER TRIMESTRE, SEXTO GRADO
 
PROGRAMACIÓN CURRICULAR - DPCC- 5°-2024.pdf
PROGRAMACIÓN CURRICULAR - DPCC- 5°-2024.pdfPROGRAMACIÓN CURRICULAR - DPCC- 5°-2024.pdf
PROGRAMACIÓN CURRICULAR - DPCC- 5°-2024.pdf
 
4° UNIDAD 2 SALUD,ALIMENTACIÓN Y DÍA DE LA MADRE 933623393 PROF YESSENIA CN.docx
4° UNIDAD 2 SALUD,ALIMENTACIÓN Y DÍA DE LA MADRE 933623393 PROF YESSENIA CN.docx4° UNIDAD 2 SALUD,ALIMENTACIÓN Y DÍA DE LA MADRE 933623393 PROF YESSENIA CN.docx
4° UNIDAD 2 SALUD,ALIMENTACIÓN Y DÍA DE LA MADRE 933623393 PROF YESSENIA CN.docx
 
Sesión ¿Amor o egoísmo? Esa es la cuestión
Sesión  ¿Amor o egoísmo? Esa es la cuestiónSesión  ¿Amor o egoísmo? Esa es la cuestión
Sesión ¿Amor o egoísmo? Esa es la cuestión
 
5° Proyecto 13 Cuadernillo para proyectos
5° Proyecto 13 Cuadernillo para proyectos5° Proyecto 13 Cuadernillo para proyectos
5° Proyecto 13 Cuadernillo para proyectos
 
EJEMPLO MODELO DE PLAN DE REFUERZO ESCOLAR.docx
EJEMPLO MODELO DE PLAN DE REFUERZO ESCOLAR.docxEJEMPLO MODELO DE PLAN DE REFUERZO ESCOLAR.docx
EJEMPLO MODELO DE PLAN DE REFUERZO ESCOLAR.docx
 
SESIÓN DE APRENDIZAJE Leemos un texto para identificar los sinónimos y los an...
SESIÓN DE APRENDIZAJE Leemos un texto para identificar los sinónimos y los an...SESIÓN DE APRENDIZAJE Leemos un texto para identificar los sinónimos y los an...
SESIÓN DE APRENDIZAJE Leemos un texto para identificar los sinónimos y los an...
 
Desarrollo de habilidades del siglo XXI - Práctica Educativa en una Unidad-Ca...
Desarrollo de habilidades del siglo XXI - Práctica Educativa en una Unidad-Ca...Desarrollo de habilidades del siglo XXI - Práctica Educativa en una Unidad-Ca...
Desarrollo de habilidades del siglo XXI - Práctica Educativa en una Unidad-Ca...
 
Unidad 2 | Teorías de la Comunicación | MCDIU
Unidad 2 | Teorías de la Comunicación | MCDIUUnidad 2 | Teorías de la Comunicación | MCDIU
Unidad 2 | Teorías de la Comunicación | MCDIU
 
Fichas de matemática DE PRIMERO DE SECUNDARIA.pdf
Fichas de matemática DE PRIMERO DE SECUNDARIA.pdfFichas de matemática DE PRIMERO DE SECUNDARIA.pdf
Fichas de matemática DE PRIMERO DE SECUNDARIA.pdf
 
Abregú, Podestá. Directores.Líderes en Acción.
Abregú, Podestá. Directores.Líderes en Acción.Abregú, Podestá. Directores.Líderes en Acción.
Abregú, Podestá. Directores.Líderes en Acción.
 
Contextualización y aproximación al objeto de estudio de investigación cualit...
Contextualización y aproximación al objeto de estudio de investigación cualit...Contextualización y aproximación al objeto de estudio de investigación cualit...
Contextualización y aproximación al objeto de estudio de investigación cualit...
 
TEMA 13. LOS GOBIERNOS DEMOCRÁTICOS (1982-2018)
TEMA 13. LOS GOBIERNOS DEMOCRÁTICOS (1982-2018)TEMA 13. LOS GOBIERNOS DEMOCRÁTICOS (1982-2018)
TEMA 13. LOS GOBIERNOS DEMOCRÁTICOS (1982-2018)
 
SISTEMA INMUNE FISIOLOGIA MEDICA UNSL 2024
SISTEMA INMUNE FISIOLOGIA MEDICA UNSL 2024SISTEMA INMUNE FISIOLOGIA MEDICA UNSL 2024
SISTEMA INMUNE FISIOLOGIA MEDICA UNSL 2024
 
Aedes aegypti + Intro to Coquies EE.pptx
Aedes aegypti + Intro to Coquies EE.pptxAedes aegypti + Intro to Coquies EE.pptx
Aedes aegypti + Intro to Coquies EE.pptx
 
4° SES COM MAR 09 Leemos una noticia del dengue e identificamos sus partes (1...
4° SES COM MAR 09 Leemos una noticia del dengue e identificamos sus partes (1...4° SES COM MAR 09 Leemos una noticia del dengue e identificamos sus partes (1...
4° SES COM MAR 09 Leemos una noticia del dengue e identificamos sus partes (1...
 
Fichas de Matemática DE SEGUNDO DE SECUNDARIA.pdf
Fichas de Matemática DE SEGUNDO DE SECUNDARIA.pdfFichas de Matemática DE SEGUNDO DE SECUNDARIA.pdf
Fichas de Matemática DE SEGUNDO DE SECUNDARIA.pdf
 
Actividad transversal 2-bloque 2. Actualización 2024
Actividad transversal 2-bloque 2. Actualización 2024Actividad transversal 2-bloque 2. Actualización 2024
Actividad transversal 2-bloque 2. Actualización 2024
 

Seguridad de la Informacion

  • 1. Seguridad de la Información Seguridad InformaciónDe la Ing. Max Lazaro Oficina Nacional de Gobierno Electrónico e Informática
  • 2. Seguridad de la Información Nuevos Escenarios
  • 3. Seguridad de la Información “LA INFORMACION es un ACTIVO” La información debe considerarse como un recurso con el que cuentan las Organizaciones y por lo tanto tiene valor para éstas, al igual que el resto de los activos, debe estar debidamente protegida. Qué se debe asegurar ?
  • 4. Seguridad de la Información Contra qué se debe proteger la Información ?
  • 5. Seguridad de la Información Password cracking Man in the middle Exploits Denegación de servicio Escalamiento de privilegios Hacking de Centrales Telefónicas Keylogging Port scanning Instalaciones default Puertos vulnerables abiertos Servicios de log inexistentes o que no son chequeados Desactualización Backups inexistentes Últimos parches no instalados Amenazas Violación de la privacidad de los empleados Fraudes informáticos Destrucción de equipamiento
  • 6. Seguridad de la Información Captura de PC desde el exterior Violación de contraseñas Interrupción de los servicios Intercepción y modificación y violación de e-mails Virus Mails anónimos con agresiones Incumplimiento de leyes y regulaciones Robo o extravío de notebooks, palms empleados deshonestos Robo de información Destrucción de soportes documentales Acceso clandestino a redes Intercepción de comunicaciones voz y wireless Programas “bomba, troyanos” Acceso indebido a documentos impresos Propiedad de la información Agujeros de seguridad de redes conectadas Falsificación de información para terceros Indisponibilidad de información clave Spamming Ingeniería social Más Amenazas!!
  • 7. Seguridad de la Información BOTNETS – Facilitando Ataques DDoS CE Instalación del cliente: Servidor/FW/Switch/Ruteador Zombies Extorsionador Conexión de la Última Milla Ruteador del Borde del ISP  ¡BOTNETs para Rentar!  Un BOTNET está compuesto de computadoras que han sido violadas y contaminadas con programas (zombies) que pueden ser instruidos para lanzar ataques desde una computadora de control central  Los BOTNETs permiten todos los tipos de ataques DDOS: Ataques ICMP, Ataques TCP, Ataques UDP y sobrecarga de http  Las opciones para desplegar BOTNETs son extensas y se crean nuevas herramientas para aprovechar las vulnerabilidades más recientes de los sistemas  Un BOTNET relativamente pequeño con únicamente 1000 zombies puede causar una gran cantidad de daños.  Por ejemplo: 1000 PCs caseras con un ancho de banda upstream promedio de 128KBit/s pueden ofrecer más de 100MBit/s  ¡El tamaño de los ataques está aumentando constantemente!
  • 8. Seguridad de la Información
  • 9. Seguridad de la Información Por qué aumentan las amenazas ? Crecimiento exponencial de las Redes y Usuarios Interconectados – Dependencia. Profusión de las BD On-Line Inmadurez de las Nuevas Tecnologías Alta disponibilidad de Herramientas Automatizadas de Ataques Nuevas Técnicas de Ataque Distribuido (Ej:DDoS) Técnicas de Ingeniería Social Algunas Causas
  • 10. Seguridad de la Información Vulnerabilidades  Inadecuado compromiso de la dirección.  Personal inadecuadamente capacitado y concientizado.  Inadecuada asignación de responsabilidades.  Ausencia de políticas/ procedimientos.  Ausencia de controles  (físicos/lógicos)  (disuasivos/preventivos/detectivos/correctivos)  Ausencia de reportes de incidentes y vulnerabilidades.  Inadecuado seguimiento y monitoreo de los controles.
  • 11. Seguridad de la Información Qué se debe garantizar ?
  • 12. Seguridad de la InformaciónDimensiones críticas de la información C I D Información (dimensiones) Prevenir Divulgación no autorizada de Activos de Información Prevenir Cambios no autorizados en Activos de Información Prevenir Destrucción no autorizada de Activos de Información • Secreto impuesto de acuerdo con políticas de seguridad • SINO: Fugas y filtraciones de información; accesos no autorizados; pérdida de confianza de los demás (incumplimiento de leyes y compromisos) • Validez y Precisión de información y sistemas. •SINO: Información manipulada, incompleta, corrupta y por lo tanto mal desempeño de funciones • Acceso en tiempo correcto y confiable a datos y recursos. • SINO: Interrupción de Servicios o Baja Productividad Información E D T 6 + 5 = 7x24x365 Autenticidad de quien hace uso de datos o servicios Trazabilidad del uso de servicios (quién, cuándo) o datos (quien y que hace) E-commerce No repudio (Compromisos) Confiabilidad
  • 13. Seguridad de la Información Acciones de la ONGEI
  • 14. Seguridad de la Información  Actualmente la ONGEI apoya a las entidades públicas en los siguientes principales servicios: Análisis de vulnerabilidades de los servidores Web de las Entidades Publicas. Boletines de Seguridad de la información Boletines de Alertas de Antivirus. Presentaciones técnicas sobre seguridad. Consultorías y apoyo en recomendaciones técnicas.
  • 15. Seguridad de la Información Política de Seguridad de la Información para el Sector Público
  • 16. Seguridad de la Información Las políticas de seguridad son las reglas y procedimientos que regulan la forma en que una organización previene, protege y maneja los riesgos de diferentes daños. Que se entiende por Politica de Seguridad ? Si se quiere que las políticas de seguridad sean aceptadas, deben integrarse a las estrategias del negocio, a su misión y visión, con el propósito de que los que toman las decisiones reconozcan su importancia e incidencias en las proyecciones y utilidades de la organización. Como tiene éxito una Politica ?
  • 17. Seguridad de la Información  Con fecha 23 de julio del 2004 la PCM a través de la ONGEI, dispone el uso obligatorio de la Norma Técnica Peruana “NTP – ISO/IEC 17799:2004 EDI. Tecnología de la Información: Código de Buenas Prácticas para la Gestión de la Seguridad de la Información” en entidades del Sistema Nacional de Informática.  Se Actualizó el 25 de Agosto del 2007 con la Norma Técnica Peruana “NTP – ISO/IEC 17799:2007 EDI.
  • 18. Seguridad de la Información Cuales son los temas o dominios a considerar dentro de un plan de Seguridad?
  • 19. Seguridad de la Información Los 11 dominios de control de ISO 17799 (27002) 1. Política de seguridad: Se necesita una política que refleje las expectativas de la organización en materia de seguridad, a fin de suministrar administración con dirección y soporte. La política también se puede utilizar como base para el estudio y evaluación en curso. 2. Aspectos organizativos para la seguridad: Sugiere diseñar una estructura de administración dentro la organización, que establezca la responsabilidad de los grupos en ciertas áreas de la seguridad y un proceso para el manejo de respuesta a incidentes.
  • 20. Seguridad de la Información 3. Clasificación y Control de Activos: Inventario de los recursos de información de la organización y con base en este conocimiento, debe asegurar que se brinde un nivel adecuado de protección. 4. Seguridad de Recursos Humanos: Necesidad de educar e informar a los empleados actuales y potenciales sobre lo que se espera de ellos en materia de seguridad y asuntos de confidencialidad. Implementa un plan para reportar los incidentes. 5. Seguridad física y del Entorno: Responde a la necesidad de proteger las áreas, el equipo y los controles generales.
  • 21. Seguridad de la Información 6. Gestión de Comunicaciones y Operaciones: Los objetivos de esta sección son:  Asegurar el funcionamiento correcto y seguro de las instalaciones de procesamiento de la información.  Minimizar el riesgo de falla de los sistemas.  Proteger la integridad del software y la información.  Conservar la integridad y disponibilidad del procesamiento y la comunicación de la información.  Garantizar la protección de la información en las redes y de la infraestructura de soporte.  Evitar daños a los recursos de información e interrupciones en las actividades de la institución.  Evitar la pérdida, modificación o uso indebido de la información que intercambian las organizaciones.
  • 22. Seguridad de la Información 7. Control de accesos: Establece la importancia de monitorear y controlar el acceso a la red y los recursos de aplicación como protección contra los abusos internos e intrusos externos. 8. Adquisición, Desarrollo y Mantenimiento de los sistemas: Recuerda que en toda labor de la tecnología de la información, se debe implementar y mantener la seguridad mediante el uso de controles de seguridad en todas las etapas del proceso.
  • 23. Seguridad de la Información 9. Gestión de Incidentes de la Seguridad de la información Asegurar que los eventos y debilidades en la seguridad de la información sean comunicados de manera que permitan una acción correctiva a tiempo. 10. Gestión de Continuidad del Negocio Aconseja estar preparado para contrarrestar las interrupciones en las actividades de la organización y para proteger los procesos importantes de la organización en caso de una falla grave o desastre. 11. Cumplimiento: Evitar brechas de cualquier ley civil o criminal, estatutos, obligaciones regulatorias o contractuales y de cualquier requerimiento de seguridad.
  • 24. Seguridad de la Información Los 11 Dominios de la NTP ISO 17799 - 2007 Control de accesos Gestiòn de Activos Política de seguridad Organización de la Seguridad Seguridad del personal Seguridad física y medioambiental Gestión de comunicaciones y operaciones Desarrollo y mantenimiento Gestión de la continuidad Cumplimiento Información Confidencialidad disponibilidad integridad Gestión de incidentes
  • 25. Seguridad de la Información
  • 26. Seguridad de la Información SGSI Modelo P-H-V-A Metodología de la ISO/IEC 27001
  • 27. Seguridad de la Información  El sistema de gestión de la seguridad de la información (SGSI) es la parte del sistema de gestión de la empresa, basado en un enfoque de riesgos del negocio, para:  establecer,  implementar,  operar,  monitorear,  mantener y mejorar la seguridad de la información.  Incluye.  Estructura, políticas, actividades, responsabilidades, prácticas, procedimientos, procesos y recursos. SGSI
  • 28. Seguridad de la Información(Planificar /Hacer /Verificar /Actuar) El SGSI adopta el siguiente modelo: PHVA Planificar Verificar Hacer Actuar Definir la política de seguridad Establecer el alcance del SGSI Realizar los análisis de riesgos Seleccionar los controles Implantar el plan de gestión de riesgos Implantar el SGSI Implantar los controles. Implantar indicadores. Revisiones del SGSI por parte de la Dirección. Realizar auditorías internas del SGSI Adoptar acciones correctivas Adoptar acciones preventivas
  • 29. Seguridad de la InformaciónEstablecer el SGSI (Plan)  Establecer la política de seguridad, objetivos, metas, procesos y procedimientos relevantes para manejar riesgos y mejorar la seguridad de la información para generar resultados de acuerdo con una política y objetivos marco de la organización.  Definir el alcance del SGSI a la luz de la organización.  Definir la Política de Seguridad.  Aplicar un enfoque sistémico para evaluar el riesgo.
  • 30. Seguridad de la InformaciónEstablecer el SGSI (Plan)  Identificar y evaluar opciones para tratar el riesgo  Mitigar, eliminar, transferir, aceptar  Seleccionar objetivos de control y controles a implementar.  A partir de los controles definidos por la ISO/IEC 17799  Establecer enunciado de aplicabilidad
  • 31. Seguridad de la Información Implementar y operar (Do)  Implementar y operar la política de seguridad, controles, procesos y procedimientos.  Implementar plan de tratamiento de riesgos.  Transferir, eliminar, aceptar  Implementar los controles seleccionados.  Mitigar  Aceptar riesgo residual.  Firma de la alta dirección para riesgos que superan el nivel definido.
  • 32. Seguridad de la Información Implementar y operar (Do)  Implementar medidas para evaluar la eficacia de los controles  Gestionar operaciones y recursos.  Implementar programas de Capacitación y concientización.  Implementar procedimientos y controles de detección y respuesta a incidentes.
  • 33. Seguridad de la Información Monitoreo y Revisión (Check)  Evaluar y medir la performance de los procesos contra la política de seguridad, los objetivos y experiencia practica y reportar los resultados a la dirección para su revisión.  Revisar el nivel de riesgo residual aceptable, considerando:  Cambios en la organización.  Cambios en la tecnologías.  Cambios en los objetivos del negocio.  Cambios en las amenazas.  Cambios en las condiciones externas (ej. Regulaciones, leyes).  Realizar auditorias internas.  Realizar revisiones por parte de la dirección del SGSI.
  • 34. Seguridad de la Información Monitoreo y Revisión (Check)  Se debe establecer y ejecutar procedimientos de monitoreo para:  Detectar errores.  Identificar ataques a la seguridad fallidos y exitosos.  Brindar a la gerencia indicadores para determinar la adecuación de los controles y el logro de los objetivos de seguridad.  Determinar las acciones realizadas para resolver brechas a la seguridad.  Mantener registros de las acciones y eventos que pueden impactar al SGSI.  Realizar revisiones regulares a la eficiencia del SGSI.
  • 35. Seguridad de la Información Mantenimiento y mejora del SGSI (Act)  Tomar acciones correctivas y preventivas, basadas en los resultados de la revisión de la dirección, para lograr la mejora continua del SGSI.  Medir el desempeño del SGSI.  Identificar mejoras en el SGSI a fin de implementarlas.  Tomar las acciones apropiadas a implementar en el ciclo en cuestión (preventivas y correctivas).  Comunicar los resultados y las acciones a emprender, y consultar con todas las partes involucradas.  Revisar el SGSI donde sea necesario implementando las acciones seleccionadas.
  • 36. Seguridad de la Información PECERT
  • 37. Seguridad de la Información  Con fecha 22 de Agosto del 2009, en el diario oficial el Peruano la Resolución Ministerial 360-2009-PCM, que crea el Grupo de Trabajo denominado Coordinadora de Respuestas a Emergencias en Redes Teleinformáticas de la Administración Pública del Perú – PECERT  La cual permitirá generar un marco de trabajo de cooperación entre los ministerios del sector público para mejorar los niveles de seguridad de la información en las entidades públicas.
  • 38. Seguridad de la Información La norma permitirá que: ONGEI será un CSIRT de coordinación Cada Ministerio creara un CSIRT operativo.
  • 39. Seguridad de la Información Portal de Coordinación de Emergencias en Redes Teleinformáticas http://www.pecert.gob.pe
  • 40. Seguridad de la Información Establecimiento e Implementación PeCERT Entrenamiento al Personal PeCERT (Ministerios, ODP’s) Asistentes Ponentes Taller de Seguridad de la Información en el Gobierno (Julio 2009) 80 E & Y, OSINERMING, IRIARTE & ASOCIADOS, ONP, DIVINDAT, RENIEC, CONASEV, TELEFONICA. Taller de Seguridad de la Información (Febrero 2010) 50 BI ARGENTINA Reunión de Coordinación PeCERT (Marzo 2010) 30 TELEFONICA Taller de Asistencia Técnica en Materia de Seguridad Cibernética (Mayo 2010) 40 OEA, ARCERT, VENCERT, CTIRGov BRASIL, CERTuy, ESPAÑA Taller de Gestión de Riesgos (Junio 2010) 30 SIDIF Latinoamérica Reunión de Grupo de Trabajo PeCERT (Setiembre 2010) 22 Enhacke Equipo Formal PeCERT Cantidad Ministerios del Perú 17
  • 41. Seguridad de la Información  451 informes de vulnerabilidad de Páginas Web a Nivel Nacional con vulnerabilidades (2008 a la fecha). 30% páginas altamente criticas.  Avisos de seguridad para usuarios técnicos avanzados, publicados en el portal Web.  Campaña de difusión del Proyecto PeCERT en las Redes Sociales de ONGEI (Facebook: Gobierno Electrónico Perú- Ongei, Twitter: @Peru_e_Gobierno).  37 Plantillas de Políticas de Seguridad según los 11 dominios de la NTP-ISO/ IEC 17799:2007 EDI, publicados en el portal Web.  Elaboración de un formato estándar para reportar incidentes de seguridad a las diversas entidades. Actividades del PeCERT
  • 42. Seguridad de la Información Incidentes - Seguridad de la Información Estadísticas  138 Incidentes de Seguridad en Portales Web de la Administración Pública (Octubre 2009 a la Actualidad)  54 Entidades de provincia, y 55 Lima metropolitana.  52 notificaciones de Incidentes a las Entidades públicas (Octubre 2010 a la actualidad)  Fuente: http://www.zone-h.org , http://bohemioshackersteam.blogspot.com/ Foros de google, etc etc.
  • 43. Seguridad de la Información Encuesta de Seguridad 2010  Según la Resolución Ministerial 187-2010-PCM autoriza la ejecución de la Encuesta de Seguridad 2010, publicado en el Diario “El Peruano” el 15 de Junio 2010, la cuál abarca preguntas de los 11 dominios de la NTP-ISO/ IEC 17799:2007 EDI. Segunda Edición. i) Se ha recepcionado 150 reportes. ii) 150 entidades de las 271, lo cuál corresponde al 56% del total.
  • 44. Seguridad de la Información Clasificación de la Encuesta de Seguridad 2010: Documento de Brecha 53%39% 8% No iniciado En proceso Concluido Política de Seguridad de la Información 30% 31% 39% No iniciado Elaborada y en revision emitida mediante normativa Elaboración de Análisis de Riesgos 39% 47% 14% No iniciado En proceso Concluido Personal para la implementacion 83% 17% Personal propio de la entidad consultoria contratada Poder Legislativo (1) Poder Judicial (1) Poder Ejecutivo (86) Organismos Autónomos (20) Gobiernos Regionales (8) Gobiernos Provinciales (4) Municipalidades (30)
  • 45. Seguridad de la Información 1. Politicas de Seguridad 75 75 71 40 62 25 25 29 60 38 A B C D E Si % No % Preguntas
  • 46. Seguridad de la Información 2. Organización para la seguridad de la información 34 14 25 23 9 25 54 66 86 75 77 91 75 46 A B C D E F G Si % No % Preguntas
  • 47. Seguridad de la Información Este material podrá obtenerlo en http://www.pecert.gob.pe en la Sección “Documentos” También encontrará allí plantillas para la implementación de políticas especificas
  • 48. Seguridad de la Información  Las organizaciones requieren de un enfoque de varias capas para asegurar y proteger sus activos críticos y las infraestructuras.  Como defensa ante las amenazas y los riesgos de la internet, las organizaciones deben:  Identificar los principales activos, su ubicación, los propietarios de los procesos de negocio, y la criticidad.  Realizar evaluaciones de riesgos.  Mantenerse al día con los últimos parches de sistema operativo y actualizaciones de productos.  Instalar defensas interna en el perímetro de la red tales como routers, firewalls, scanners, y monitorización de red y sistemas de análisis.  Actualizar y ampliar las políticas de seguridad de la tecnología de información y los procedimientos.  Proporcionar capacitación de seguridad de sensibilización para los empleados, clientes y mandantes.  Formalizar un proceso de gestión de incidentes.
  • 49. Seguridad de la Información  La mejor Infraestructura de Seguridad de la Información no puede garantizar que las intrusiones u otros actos dolosos no sucedan.  Cuando se producen incidentes de información o de tecnología, siempre se critica la falta de una organización, por no tener un medio eficaz para responder.
  • 50. Seguridad de la Información La rapidez con que una organización puede Reconocer, Analizar y Responder a un incidente limitará el daño y reducir el costo de la recuperación.
  • 51. Seguridad de la Información www.ongei.gob.pe mlazaro@pcm.gob.pe Muchas gracias……..