Dominio5

Programa Formativo para el EXAMEN CISM

Convocatoria 2005

Dominio 5
Gestión de respuestas

© Fundación DINTEL DOMINIO 5 – Pág. 1 © Alfonso Calvo, 2005


Convocatoria 2005

Contenido
0. Alcance.
1. Perspectiva.
2. Proceso.
3. Planes.
4. Pruebas.
5. Realización.
6. Documentación.
7. Revisiones.



Convocatoria 2005

0. Alcance
Definición
Desarrollar y gestionar una capacidad para responder y
recuperarse de eventos de seguridad disruptivos y
destructivos.
Objetivo
Desarrollar políticas y procedimientos que permitan a una
organización responder y recuperarse.
Tareas
- Proceso. - Realización.
- Plan. - Documentación.
- Pruebas. - Revisiones.



Convocatoria 2005

1. Perspectiva
• Capacitar al negocio para continuar funcionando ante
disrupción y sobrevivir ante interrupción de los SI.
– Planificación de la continuidad del negocio (BCP).
• Recursos humanos y materiales para soportar las operaciones
críticas.
• CISM – definición de requisitos sobre expectativas en activos
y viabilidad de la empresa.
• BCP = plan para la recuperación ante desastres TIC +
plan para la continuidad del negocio.



Convocatoria 2005

1. Perspectiva
• Acciones para el plan:
– Análisis de impacto.
– Identificación de recursos de soporte.
– Estrategias para la recuperación de TI.
– Funcionamiento en nivel aceptable.
– Entrenamiento, prueba y mantenimiento de los planes.
– Almacenamiento de planes frente a fallos.
– Auditoría de los planes.



Convocatoria 2005

2. Proceso
• Proceso:
– Detección.
– Identificación.
– Análisis.
• CISM:
– Obtiene información de los mecanismos de detección.
– Implementa un proceso sistemático de detección.
– Ensamblaje de información para identificar el evento.
– Establece criterios de clasificación y priorización.
– Valoración del impacto. Modificación del programa de
seguridad.



Convocatoria 2005

2.1. Componentes
• CISM: comprender los componentes del sistema
de respuesta ante incidentes.
• Objetivos:
– Notificar apropiadamente para la recuperación.
– Recuperación eficiente.
– Minimización del impacto.
– Respuesta metódica.
– Disminución de reacontecimiento.
– Equilibrio entre servicio y seguridad.
– Ocuparse de las cuestiones legales.



Convocatoria 2005

2.1. Componentes
• CISM - Definir lo que es un incidente:
– Ataques de código malicioso.
– Acceso no autorizado a recursos.
– Uso no autorizado de servicios.
– Denegación/trastorno de servicio.
– Abuso.
– Vigilancia y espionaje.
– Hoaxes e ingeniería social.



Convocatoria 2005

2.2. Prácticas

• CISM:
– Comprender las actividades del programa de
emergencia.
– Coordinarse con responsables públicos.
• Actividades tras el evento.
• Acciones para recuperar el servicio.



Convocatoria 2005

3. Planes

• CISM:
– Desarrollar planes de respuesta y recuperación.
– Identificar y validar estrategias.
– Desarrollar escenarios de prueba.
– Asignar los recursos necesarios a los equipos.



Convocatoria 2005

3.1. Recuperación
• CISM: comprender el proceso de recuperación.
• Actividades:
– Evaluación de riesgos y de impacto sobre el negocio.
– Definición de la estrategia de recuperación.
– Documentación de los planes de recuperación.
– Entrenamiento en los procedimientos.
– Pruebas, actualización y auditoría de los planes.
• Selección de la estrategia de recuperación:
– Criticidad del proceso.
– Coste.
– Tiempo para recuperación.
– Seguridad.
– Fiabilidad.



Convocatoria 2005

3.1. Recuperación – facilidades
de respaldo
• En caliente.
• Cálido.
• Frío.
• Centro duplicado.



Convocatoria 2005

3.1. Recuperación – sitios
externos
• Configuraciones adecuadas. • Garantías.
• Concepto de desastre. • Auditoría.
• Velocidad de disponibilidad. • Pruebas.
• Límite de usuarios. • Fiabilidad.
• Prioridad. • Penalizaciones.
• Seguros. • Personal.
• Período de uso. • Aplicaciones facilitadas.
• Comunicaciones.



Convocatoria 2005

3.1. Recuperación – plan de
recuperación
• Preparación anterior al desastre.
• Procedimientos de evacuación.
• Cómo declarar un desastre.
• Identificación de los recursos a recuperar.
• Identificación de responsabilidades en el plan.
• Identificación de personas responsables en cada función.
• Información de contacto.
• Explicación paso a paso de las opciones de recuperación.
• Recursos necesarios para la recuperación.



Convocatoria 2005

3.1. Recuperación – equipos
• Acción ante emergencias. • Recuperación de red.
• Valoración de daños. • Comunicaciones.
• Gestión de emergencias. • Transporte.
• Almacenamiento externo. • Equipamiento de usuario.
• Software. • Preparación de datos.
• Aplicaciones. • Soporte administrativo.
• Seguridad. • Suministros.
• Operaciones de • Salvamento.
emergencia. • Mudanza.



Convocatoria 2005

3.1. Recuperación – plan de
continuidad de negocio
• Objetivos, requisitos, productos de cada fase.
• Facilidades alternativas para la operación.
• Recursos críticos a desplegar.
• Responsables de la terminación.
• Recursos para ayudar en el despliegue.
• Planificación priorizada de actividades.



Convocatoria 2005

3.1. Recuperación – directorio

• Lista ordenada de contactos.
• Teléfono/dirección principal y secundario de las personas
críticas.
• Teléfono/dirección de los proveedores base.
• Idem proveedores de equipamiento y servicios.
• Idem para instalaciones de recuperación.
• Idem para almacenamiento externo.
• Compañía de seguros.
• Subcontrataciones.



Convocatoria 2005

3.1. Recuperación – protección
de la red
• Redundancia.
• Encaminamiento alternativo.
• Encaminamiento diverso.
• Diversificación en la red de larga distancia.
• Protección del circuito de la última milla.



Convocatoria 2005

3.1. Recuperación – seguros
• Equipamiento e instalaciones.
• Reconstrucción de soportes.
• Gastos adicionales.
• Interrupción de negocio.
• Documentos valiosos.
• Errores y omisiones.
• Cobertura de fidelidad.
• Transporte de medios.



Convocatoria 2005

4. Pruebas de planes

• CISM: asegurar la realización de pruebas
periódicas:
– Desarrollar objetivos.
– Realizar las pruebas.
– Evaluar las pruebas.
– Elaborar recomendaciones de mejora.
– Implementar un proceso de seguimiento.



Convocatoria 2005

4.1. Pruebas TI
• CISM: comprobar que se incluyen
aplicaciones e infraestructuras críticas:
– Recorrido por los planes.
– Escenarios desastrosos.
– Comunicaciones.
– Aplicaciones críticas.
– Involucración de usuarios.
– Pruebas sorpresa.



Convocatoria 2005

4.1. Pruebas TI - Tareas
• Verificar la completitud y precisión del plan de
continuidad de negocio.
• Evaluar el rendimiento del personal.
• Valorar el conocimiento del equipo.
• Evaluar la coordinación con proveedores.
• Medir la capacidad del centro de respaldo.
• Valorar la capacidad para recuperar información
vital.
• Evaluar la situación del equipamiento reasignado.
• Medir el rendimiento de las actividades TI
vinculadas a la continuidad.


Convocatoria 2005

4.1. Pruebas TI – Fases y tipos
• Fases:
– Pruebas previas.
– Pruebas.
– Pruebas posteriores.
• Tipos:
– En papel.
– De preparación.
– Operacionales.
• Mediciones:
– Tiempo.
– Cantidad.
– Escrutinio.
– Precisión.


Convocatoria 2005

5. Realización
• Planificar la revisión periódica del plan.
• Solicitar revisiones ante cambios significativos.
• Actualizar el plan antes de un mes.
• Coordinar las pruebas para valorar su adecuación.
• Participar en las pruebas anuales planificadas.
• Planificar el entrenamiento del personal de
recuperación.
• Mantener registros de la actividad realizada.
• Actualizar trimestralmente el directorio.



Convocatoria 2005

5.1. Elevación
• CISM: implementar el proceso.
• Cuales son los eventos a manejar y las
acciones (responsable, tiempo) a realizar.
• Tratamiento de las situaciones de alerta.
• Acuerdos con proveedores.
• Mecanismo para comunicarse durante las
crisis.



Convocatoria 2005

5.2. Detección de intrusiones

• CISM - Comprensión de los procedimientos:
– Tolerancia a fallos.
– Funcionamiento continuo.
– Adaptable al entorno.
– Límite a la sobrecarga.
– Detección de anomalías.



Convocatoria 2005

5.2. Detección de intrusiones
• CISM – Definición de objetivos y prioridades.
Equilibrio entre subcontratación y propios.

• Identificación de la vulnerabilidad.
• Registro de sucesos y respaldo de sistemas.
• Motivo del ataque.
• Compromiso de otros sistemas.
• Restos de otros programas agresores.
• Seguimiento de actividades inusuales.
• Asignación de responsabilidades.


Convocatoria 2005

5.3. Soporte (help desk)
• CISM – ayudar a distinguir un incidente de
seguridad.
• Reconocimiento rápido de las situaciones.
• Criterios y entrenamiento.
• Evitar que sea usado como instrumento de
ingeniería social.
• Apoyo a la notificación y escalado.



Convocatoria 2005

5.4. Notificación

• CISM – Comprobar la eficiencia.
• Proteger inmediatamente frente al daño.
• Monitorización y comunicación rápida.
• Evitar la proliferación de alertas.
• Comunicar responsabilidades al personal
clave.
• Documentar tareas en la ficha de
descripción del puesto.


Convocatoria 2005

6. Documentación

• CISM – preservación de la información.
• Evitar la contaminación del escenario.
• Acciones propias:
– Recuperar información para confirmar.
– Dimensionar el entorno afectado.
– Determinar el daño.
– Identificar las vías de ataque.
– Salvar las evidencias.



Convocatoria 2005

7. Revisiones

• Identificar causas y tomar acciones
correctivas.
• Nombrar un equipo revisor.
• Localizar las causas de la situación y
recomendar medidas para que no se repita.
• Problema encontrado => plan de acción =>
implementación de la solución.


Dominio5

Recomendados

Recomendados

Más contenido relacionado

Destacado

Destacado (16)

Similar a Dominio5

Similar a Dominio5 (20)

Más de 1 2d

Más de 1 2d (20)

Último

Último (20)

Dominio5