Este documento presenta las sugerencias de Rubén Vergara Cruz, Jefe de Seguridad y Continuidad Operacional, sobre cómo ingresar al mundo de la seguridad TI. Vergara recomienda participar en eventos educativos, obtener certificaciones, y establecer redes. También destaca algunos principios clave como que la seguridad es un proceso continuo y que la seguridad total no existe. Finalmente, cubre consideraciones para la seguridad de aplicaciones y factores a considerar al adquirir controles de seguridad.

1. RUBÉN VERGARA CRUZ.
JEFE DE SEGURIDAD Y CONTINUIDAD OPERACIONAL
“Tips and Tricks” en Seguridad TI

2.  ¿Quién soy?
 Sugerencias para ingresar al mundo de la seguridad TI
 Algunos postulados esenciales en Seguridad TI
 Seguridad en el ámbito de las Aplicaciones
 ¿Qué considerar al momento de adquirir un control?
Agenda

3. ¿Quién soy?
 Ingeniero Civil Electrónico de la Universidad Técnica Federico Santa María
 Con 17 años de experiencia en seguridad de la información y continuidad
de negocios, en el sector civil y militar.
 Miembro de ISACA, (ISC)², ISSA, DRII, BCI y EC-Council.
 Diplomado en Seguridad Informática de la Universidad de Chile.
 CISSP, CISM, CHFI, ABCP, AMBCI, Cobit Foundation.

4. Sugerencias para ingresar al mundo de la seguridad TI
 Participar en charlas, seminarios, webinars, etc.
 Ser miembro de instituciones profesionales
en Seguridad de la Información (ISC2, ISACA, ISSA, OWASP, DRII, etc).
 Obtener conocimiento por medio de:
 Magister, Diplomados, Cursos.
 Certificaciones Internacionales (CISSP, CISM, CEH, CISA, CHFI, etc.)
 Establecer redes de contacto.
 “Aprender haciendo”,… pero siempre en ambientes controlados ( Hacking
Dojo, Damn Vulnerable Web Application (DVWA), etc.) y personales.

5.  La Seguridad TI es parte de la Seguridad de la Información,
y tienen por objetivo la Confidencialidad, Integridad y
Disponibilidad de la Información (CIA en inglés).
Algunos postulados esenciales en Seguridad TI
 La seguridad es un proceso no un proyecto.
 La seguridad 100% no existe.
 No existen las balas de plata.

6.  Principio del 80/20 en seguridad.
Algunos postulados esenciales en Seguridad TI
 El nivel de protección depende del valor de lo que se quiere proteger.
 Toda evaluación de seguridad debe contemplar la Triada CIA.
 Los riesgos se Aceptan, Mitigan, Transfieren o Eliminan.

7.  No a la seguridad por obscuridad. No es lo mismo que
la confidencialidad.
Algunos postulados esenciales en Seguridad TI
 El mundo cambia y los ataques también.
 Cada organización es un mundo diferente, y no todos los
controles calzan perfectos.

8. Seguridad en el ámbito de las Aplicaciones
¿Qué ámbito de seguridad revisaremos?

9.  Disponer de un ciclo de vida de desarrollo de software formalizado.
Seguridad en el ámbito de las Aplicaciones.
 Capacitación formal y específica en desarrollo seguro.
 OWASP: XSS e Inyección de Código (SQL Injection).
 Establecer librerías de seguridad.
 Establecer un estándar de desarrollo seguro.

10.  QA y un checklist de seguridad, considerando el estándar.
Manual y Automático (ZAP, Acunetix, etc.).
Seguridad en el ámbito de las Aplicaciones.
 Ethical Hacking periódicos, con y sin credenciales, etc.
 Control de cambios y versiones.

11.  Ambientes iguales, separados y controlados
(Desarrollo, Pruebas y Producción).
Seguridad en el ámbito de las Aplicaciones.
 Arquitectura de alta disponibilidad en toda la cadena.
 Monitorear continuidad de servicios (in/out).

12.  Plan de Recuperación de Desastres (DRP).
Seguridad en el ámbito de las Aplicaciones.
 Seguridad en redes (segmentación, calidad de servicio, etc.)
 Auditar los controles de seguridad TI (interna/externa).

13.  Firewall de Aplicaciones Web (WAF), algunas consideraciones:
Seguridad en el ámbito de las Aplicaciones.
 Constante ajuste (“Tunning”) de los bloqueos y alarmas.
 Minimizar la cantidad de excepciones. El WAF compra tiempo.
 Control de Configuración.
 Implementar reglas en todos los ambientes.
 Bloqueo de herramientas de scan, etc.

14.  Cumplimiento con la funcionalidad requerida
¿Qué considerar al momento de adquirir un control?
 Valor (proporción calidad/precio)
 Escalabilidad
 Costos extra (hardware, software, horas-hombre)
 Facilidad de uso

15.  Nivel de soporte
¿Qué considerar al momento de adquirir un control?
 Nivel de entrenamiento
 Donde está, en Chile
 Permanencia de la empresa
 Integración con otras soluciones

16.  Dificultad de implementación
¿Qué considerar al momento de adquirir un control?
 Proyección de mejoras y productos futuros
 Qué dicen las evaluaciones externas (Gartner)

17. “El conocimiento es la mejor inversión que se puede hacer”
Abraham Lincoln

18. ¡¡ MUCHAS GRACIAS !!!