Este documento trata sobre la ciberseguridad en las organizaciones. Explica que los ciberataques son uno de los principales riesgos a nivel global y que las amenazas están cambiando la forma en que operan los negocios. Recomienda que las organizaciones realicen un análisis de riesgos integral, desarrollen una estrategia de ciberseguridad y gestión del riesgo cibernético, y que la ciberseguridad se convierta en un proceso continuo e intrínseco a los procesos de negocio.

1. LA CIBERSEGURIDAD
EN LAS
ORGANIZACIONES
Jorge Garibay Orozco | PMI Capítulo México
j.garibay@pinkelephant.com
30 10 2019

2. AGENDA
• Antecedentes
• Situación Actual
• Marcos de referencia y buenas
prácticas
• Gestión de la Ciberseguridad
• Recomendaciones

3. ANTECEDENTES
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 3

4. Introducción
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 4
Los objetos en el espejo
están más cerca de lo que
parecen.
¡¡¡Los riesgos siempre
están más cerca de lo que
creemos!!!!

7. 7

8. 30 OCTOBER 2019La Ciberseguridad en las Organizaciones 8
The Global Risk Report

9. Ciberataques 4º
Riesgo a Nivel
Global 2018
(Probabilidad)
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 9
Robo o fraude de
Datos 5º Riesgo a
Nivel Global 2018
(Probabilidad)
Desastres Naturales
3er Riesgo a Nivel
Global
(Probabilidad)

10. Los cambios disruptivos y las amenazas
están cambiando la forma de operar los negocios
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 10

11. 30 OCTOBER 2019La Ciberseguridad en las Organizaciones 11
La velocidad de los
Cambios Tecnológicos
actualmente es la más
lenta que viviremos de
aquí en adelante

12. Algunos datos importantes para los próximos años:
• Impacto económico del IoT y la Telemática $ 4 - $ 11 Trillones de Dólares para
el 2025
• Machine Learning/Inteligencia Artificial $ 3 - $ 6 Trillones USD para el 2024
• Movilidad de $ 5 a $ 7 Trillones de USD para 2024
• Blockchain $ 9 a $ 11 Billones de USD para 2021
• Transformación digital
• Big Data, Analítica
• Ciber amenazas
• Autoservicios de TI
• DevOps en tiempo real y micro arquitecturas empresariales
• Tecnología reducida de carbono
• Telemedicina
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 12

13. Empleos nuevos sólo en seguridad:

14. SITUACIÓN
ACTUAL
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 14

15. 15
Cifras de We Are Social y estadísticas de Internet

16. 16

17. 17

20. Ataques solo en 2017
Fuente: Reporte de Seguridad 2018 – Checkpoint

21. • Población: 127 Millones de personas
• Usuarios de Internet: 65.5 Millones de usuarios
• Usuarios de teléfonos celulares: 85 Millones de usuarios
Algunos datos en México …..……..
Fuente: INEGI e IFETEL
36% de los usuarios son niños entre
6 a 17 años, de acuerdo a cifras de
la Asociación de Internet de México
del 2017 y otro 36% entre 18 a 34
años.

22. Tendencias en 2018……..
Fuente: Estudio de hábitos de uso de Internet México
Asociación de Internet de México

23. Principales accesos a Internet …..……..
Fuente: Asociación de Internet de México, 2017
95%
93%
72%
66%
59%
58%
56%
En México la gran mayoría de usuarios de
Internet se conectan a las redes sociales,
mismas que de acuerdo al estudio de la
Asociación de Internet de México, tienen
preferencia por las descritas en esta página.

24. • Crecimiento de Ramsonware: 2015 – 3.5M, 2016 – 638M (Trustwave Global Security Report
2017)
• 72% de negocios afectados pierden acceso a sus datos al menos por 2 días o más
(Intermedia)
Algunas cifras preocupantes
• Daños por ramsonware crecieron a 5 BUSD
en 2017 (Cybersecurity Ventures)
• Cada 40 segundos una compañía es
golpeada con un ataque de Ramsonware
(Kaspersky labs)

25. Incidentes de seguridad
Fuente: Estudio de Ciberseguridad y privacidad PWC México 2017

26. Antes la pregunta era si nos iban a hackear
y qué tipo de organizaciones eran víctimas
de ataques ……. hoy la pregunta es:
¿Cuándo nos van a atacar y qué tan bien
preparados vamos a estar para responder?
¡¡¡TODOS ESTAMOS EXPUESTOS!!!

27. ¿Soluciones?

28. ¿Por dónde empezamos?

30. MARCOS DE
REFERENCIA Y
MEJORES PRÁCTICAS
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 30

31. Dentro de los marcos de Ciberseguridad más importantes se encuentran:
• NIST Cybersecurity Framework (USA)
• ISACA CSX (Internacional)
• ISO 27032 (Internacional)
• ENISA Framework (Unión Europea)
• Iniciativas del bloque Asia-Pacífico
• Marco australiano de Ciberseguridad
Cada país ha tenido acciones y actividades diferentes en lo que respecta
a la Ciberseguridad, obteniendo un nivel de preparación distinto en cada
caso.

32. Motivaciones atacantes
Cibercriminales
• Enfocados a gran
escala
• Motivados
financieramente
• Cada vez más
sofisticados
Hactivistas
• Enfocados y
destructivos
• Motivaciones no
predecibles
• Generalmente
menos
sofisticados
Estados - Nación
• Enfocados y con
operaciones en
varias etapas
• Motivados por
colección de
datos
• Altamente
sofisticados con
acceso a recursos
casi ilimitados
Insiders
• Enfocados y
destructivos
• Motivaciones poco
predecibles
• Especializados y
sofisticados

34. Hacer análisis de riesgos continuos, identificar amenazas y
vulnerabilidades……………..corregir, mitigar, transferir
Enfocarse en las fortalezas………….atender lo esencial, cerrando
brechas
Documentar acciones, intercambiar información con otras áreas, no
esperar a los fabricantes………proactividad y predicción
Lecciones aprendidas……………cerrar cada evento y hacer casos de
estudio
Alertar e invertir donde sea necesario
Procesos recurrentes

35. Tecnología
¿Qué marcas, qué productos, qué versiones?
Identificación y respuesta
Automatización e integración
Orquestación
Investigación y seguimiento (Inteligencia, SIEM)

36. Capacitar, hacer conciencia (Awareness)
Formar recursos internamente
Campañas y ejercicios (Ejemplo Phishing)
Seleccionar un marco de referencia
Certicaciones, ¿Cuáles?
Repetir!!!!!
Gente

37. Gestión del Ciber Riesgo
“La Ciber Resiliencia es la habilidad de una organización para
resistir, responder y recuperarse de incidentes que impactan la
información que requiere el negocio para operar de manera
efectiva”

38. GESTIÓN DE LA
CIBERSEGURIDAD
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 38

39. • La atención a la Ciberseguridad debe ser un tema prioritario en las organizaciones
• Entre los temas principales se deben realizar las siguientes actividades:
• Revisar el estado actual de la seguridad (Análisis de Madurez)
• Verificar existencia de controles
• Capacidades y perfiles del personal
• Evaluar periódicamente el nivel del preparación
• Adoptar un marco de referencia o una mejor práctica
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 39

40. • ¿Qué debemos verificar permanentemente en la Administración de la
Ciberseguridad?
• La arquitectura tecnológica que operamos
• Las redes de comunicaciones y los accesos a los sistemas o la información
• Los aplicativos y Bases de Datos
• Accesos u operaciones vía WEB
• Continuidad de Negocio
• Capacidades del personal (Certificaciones del personal especializado en TI y
en Seguridad)
• Capacitación de usuarios NO tecnológicos
• Concienciación a los empleados
30 OCTOBER 2019Presentation Title 40

42. Principales marcos de Gestión de Ciberseguridad
• NIST Cibersecurity Framework (2014)
• ISO 27032:2012
• ISACA CXS 2013
• ENISA Cibersecurity Framework (Unión Europea)
• Marco Australiano de Ciberseguridad
¿Cuál es el mejor?
Contexto y realidad de cada organización
Cultura y estrategia de negocio………
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 42

44. Fases de una
Estrategia de
Ciberseguridad
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 44
Prevención
Identificación
Recuperación
y respuesta
Contención
Monitoreo
permanente de
posibles ataques

45. Prevención
• Inducción a empleados nuevos
• Capacitación y certificación de empleados de seguridad de la información y de TI
• Campañas permanentes de concienciación y sensibilización
• Preparación de equipos de TI (Hardening)
• Servicios de seguridad perimetral (FW, control de contenidos, accesos, etc.)
• Pruebas de penetración y análisis de vulnerabilidad
• Procedimientos de respuesta a incidentes
• Auditorías periódicas
• Mejora continua
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 45

47. Identificación
• Reconocimiento del tipo de ataque
• Estimación del impacto
• Identificación de medidas de mitigación
• Revisión por parte del equipo de atención
• Evaluación de posibles respuestas
• Puesta en marcha de solución
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 47

49. Contención
• Identificación de la magnitud y naturaleza del ataque
• Contención y aislamiento del incidente de seguridad
• Delimitación del daño o impacto
• Evaluación del modo de operación contingente
• Estrategia de mitigación
• Delimitación de actividades de respuesta
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 49

51. Recuperación y respuesta
• Respuesta y mitigación del ataque
• Seguimiento al incidente
• Operaciones en modo continuidad de negocio o recuperación en caso de desastre
• Restauración de operaciones
• Retorno a operaciones normales
• Cierre del incidente
• Lecciones aprendidas para el Negocio
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 51

54. Monitoreo permanente
• Seguridad perimetral
• Conducción de ejercicios de pen test y análisis de vulnerabilidad
• Capacitación permanente
• Servicios de SOC (Security Operations Center)
• Métricas de actuación
• Evaluación de operaciones
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 54

56. RECOMENDACIONES
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 56

57. Realizar un análisis de riesgos de seguridad integral requiere:
• Involucrar a la alta dirección y a los mandos medios
• Tener una visión amplia de la organización
• En consecuencia, elevar el tema a nivel estrategia de negocio
Desarrollar una estrategia de administración, análisis y tratamiento de los riesgos de
ciberseguridad que considere:
• Ampliar el enfoque no sólo de TI y seguridad de la información , sino considerar riesgos
empresariales y si se puede riesgos financieros
• Entrenar y educar al personal sobre los riesgos de seguridad = capacitación + concientización.
• Aprovechar iniciativas y convergencias con los BCP/DRP
• Seleccionar una metodología y comprometerse con ella….ir creando historia.
30 OCTOBER 2019La Ciberseguridad en las Organizaciones 57
Hacer de la gestión de la Ciberseguridad un proceso continuo e
intrínseco a los procesos de negocio.

58. DUDAS Y
PREGUNTAS
JORGE GARIBAY OROZCO
J.GARIBAY@PINKELEPHANT.COM
30 10 2019