Este documento trata sobre estándares de auditoría informática. Explica los conceptos básicos de auditoría informática y reconoce sus características. También describe los principales estándares de auditoría informática y analiza el panorama cambiante de las amenazas cibernéticas, incluyendo factores como la desaparición del perímetro, la inteligencia artificial y el internet de las cosas. Finalmente, discute elementos clave para una estrategia sólida de ciberseguridad como la gestión de riesgos, defensas técnicas y conciencia

1. Auditoría Informática
Tema: 2 Estándares de la Auditoría
Informática
Docente: Mg. Luis Fernando Aguas B

2. No hay nada que un hombre no sea capaz de hacer
cuando una mujer le mira
(Casanova)

3. Objetivo
1. Adquirir los conceptos
básicos relacionados con
la Auditoría Informática
2. Reconocer las
características de la
Auditoría Informática
● 2.1 Estándares Principales
Contenido

4. 2.1 Estándares Principales

5. Estándares Principales

6. Estándares Principales

7. Estándares Principales

8. Costo de un Dato Robado

9. Origen de las filtraciones

10. Cyberamenazas más frecuentes

11. SecureTest

12. ■ En el informe Global Risk 2017 del Foro Económico Mundial, el ciberriesgo es
reconocido como uno de los principales riesgos globales.
El panorama cambiante del ciberriesgo

13. ■ Según una encuesta reciente de Nasdaq y Tanium, más del 90 por ciento
de los ejecutivos corporativos dicen que sus organizaciones no están
preparadas para manejar un ciberataque importante.
El panorama cambiante del ciberriesgo
72%
de los ataques
necesitan solo
minutos para
comprometer sistemas
46%
de las fugas de datos
ocurren en minutos
72%
de los ataques no son
descubiertos
por semanas o más
59%
De los ataques son
contenidos (post-
descubrimiento) dentro
de semanas o más
La velocidad de ataque se
está acelerando...
...mientras que los tiempos de
respuesta se retrasan

14. ■ Hay varios factores clave que están reconfigurando el panorama:
El panorama cambiante del ciberriesgo
Desaparición del perímetro La naturaleza cambiante de los negocios
Tecnologías Exponenciales Inteligencia Artificial
Redes Móviles Plataformas Colaborativas
Internet de las cosas
• Principales efectos en materia de ciberriesgo:
− Nuevos vectores de ataque
− Aumento de la superficie de ataque

15. El panorama cambiante del ciberriesgo
Una
economía
clandestina
Servicio de
Distribución
de Malware
Explotación y
Enriquecimien
to de Datos
Servicio de
Adquisición
de Datos
Phishing
Venta de
Datos
Cobro
Robo de datos
Keyloggers
Gateways
de Pago
Minoristas
Banco
Foros de
Carding
Mensajería
instantánea
Servicio de
Validación
de Datos
eMoney
Spamme
r
Dueño
Botnet
Ciber
Criminale
s
Drop
Service
Transfe-
rencia
Sitios de
eCommerce
Servicio
Botnet
Autores de
Malware
Cobradores
Código
Malicioso
Roles
Criminales
Servicios
criminales
clandestinos
Comunicaciones y
foros criminales
Terceros y
habilitadores
Comprometer Adquirir
Enriquecer y
validar
Vender Monetizar
Apuestas
On-line
Colectores
de Identidades

16. El panorama cambiante del ciberriesgo
Productos y servicios altamente especializados
Economía
clandestina
Herramientas y
técnicas
Cibercriminales
Vectores de
ataque
Entidad
corporativa
Consecuencias
Socios de negocio
de infraestructura
Acceso
Remoto
Clientes Socios de negocio
de procesamiento
Crimen
organizado
Terceros
habilitador
es
Habilitador
corporativo
Comand
o y
control
Infiltrados
Spam
Phishing
Ingeniería
social
Red Ciber Criminal
Sitios Web
Comprometidos
Código
Malicioso
Sistemas
no cifrados
Dispositivo no
autorizado
Protocolos
inseguros
Controles
basados
en firmas
Dispositivos
USB no
autorizados
Aplicaciones
vulnerables
Autores de
Malware
Intruso
Malicioso
Usuario
descuidado
Vendedor/
contratista
Invitado o
visitante
Acceso no
autorizado
Pérdida
de datos
Robo de
identidad
Acceso no
autorizado
Sistema no
disponible
Destrucción
de datos
Daño a
la imagen
Violación
de derechos
de autor
Red ilegal de
transferencia
de dinero
Controles no
efectivos

17. ■ Las organizaciones deben:
● asegurarse de que han establecido capacidades de ciberseguridad básicas que pueden
protegerlo de las amenazas actuales
● invertir en capacidades que pueden protegerlo de cualquier amenaza que pueda surgir en el
futuro.
Moviéndose al siguiente nivel de ciberseguridad
Seguro
Defensas reales contra un
ataque, que incluyen desde
ciberestrategias a políticas
y procedimientos para
sistemas y controles
Resiliente
Capacidad para responder a
los ataques y para
recuperarse rápidamente con
un impacto mínimo en la
organización, su reputación y
marca
Vigilante
Sistemas de alerta temprana,
que permiten identificar
amenazas potenciales antes de
que golpeen y detectar
rápidamente ataques y
violaciones de seguridad a
medida que ocurren

18. Ahora:
■ Integre la ciberestrategia
con la estrategia
empresarial
■ Identifique y proteja sus
joyas de la corona
■ Desarrolle un marco de
seguridad fuerte
Moviéndose al siguiente nivel de ciberseguridadSeguro
Siguiente nivel:
• Incorpore la ciberestrategia en
todo desde el inicio
• Desarrolle mejores formas de
administrar los datos
Seguro

19. Ahora:
■ Sea consciente de
la situación
■ Preste atención a
todo su
ecosistema
Moviéndose al siguiente nivel de ciberseguridadVigilante
Siguiente nivel:
• Utilice tecnologías avanzadas
para identificar y cazar
amenazas de manera
proactiva
• Comprenda y aborde las
amenazas exponenciales
Vigilante

20. Ahora:
■ Comience con un plan
de resiliencia
■ Póngase a prueba
(wargaming, equipo
rojo, evaluación de
compromiso)
Moviéndose al siguiente nivel de ciberseguridadResiliente
Siguiente nivel:
• Desarrolle playbooks de
amenazas y situaciones
especificas
• Desarrolle un enfoque de
respuesta
Resiliente

21. La gestión de los ciberataques requiere de una estrategia sólida
Elementos clave de una ciberestrategia
Estrategia, gestión y riesgo
Políticas y procedimientos
Defensas técnicas
Monitoreo y conciencia
situacional
Seguridad del proveedor
Conciencia del empleado

22. Un marco de referencia completo y personalizado permite tener en cuenta todos los
aspectos para gestionar la ciberseguridad
Defina o seleccione un marco de referencia que incluya prácticas líderes y
requerimientos legales, regulatorios y de negocio.
Dominios de Ciberseguridad
Seguro
Vigila
nte
Resilie
nte
Gestión de crisis
Monitoreo
Seguridad de la nube
Seguridad del software
Seguridad de la Infraestructura
Protección de datos
Gestión de acceso e identidades
Gestión de amenazas y vulnerabilidades
Resiliencia de la empresa
Gestión del programa
Gobierno
Gestión de empleados
Gestión de terceros

23. Secure
Vigilant Resilient
Cybersecurity Governance
• Program governance • Organizational model • Steering committee structure • Tone at the top • Regulatory and legal landscape • Cybersecurity strategy
• Threat modeling and intelligence
• Penetration testing
• Vulnerability management
• Emerging threats (e.g., mobile
devices)
Threat and vulnerability management
Software security
• Secure build and testing
• Secure coding guidelines
• Application role design/access
• Development lifecycle
• Patch Management
• Policies, standards, baselines, guidelines,
and procedures
• Talent and Budget management
• Asset management
• Change management
• Program reporting
• Risk and compliance management
Program management
• Evaluation and selection
• Contract and service initiation
• Ongoing monitoring
• Service termination
Third-party management
• Account provisioning
• Privileged user management
• Access certification
• Access management and
governance
• Generic account management
Identity and access management
• Response planning
• Tabletop exercises
• War game exercises
• Incident response and forensics
• Crisis communication plan
• Third-party responsibilities
Crisis management
• Business Impact Analysis (BIA)
• Business Continuity Planning
(BCP)
• Disaster Recovery Planning
(DRP)
Enterprise resiliency
• Hardening standards
• Security design/architecture
• Configuration management
• Network defense
• Security operations management
Infrastructure security
• Physical security
• Phishing exercises
• Security training and awareness
Workforce management
• Security Log Management (SLM)
• Security Information and Event
Management (SIEM)
• Cyber risk analytics
• Metrics and reporting
Monitoring
• Data classification
• Data security strategy
• Information records management
• Enterprise content management
• Data quality management
• Data loss prevention
Data protection
Cloud security
• Cloud strategy
• Cloud risk identification
• Cloud provider inventory
• Minimum controls baseline
• Cloud controls compliance
Un marco de referencia completo y personalizado permite tener en cuenta todos los
aspectos para gestionar la ciberseguridad
Defina o seleccione un marco de referencia que incluya prácticas líderes y
requerimientos legales, regulatorios y de negocio.

24. Junta Directiva Comités de gerencia Grupos de trabajo
La medición y reporte claro en todos los niveles permiten evaluar la gestión actual de
la ciberseguridad y las áreas a fortalecer
Establezca un marco de reporte claro y personalizado para que las partes interesada
puedan comunicarse efectivamente

25. La inteligencia artificial (IA) puede ayuda a resolver algunos de los retos…
Explore alternativas que permitan hacer más eficiente y efectivo el uso de los recursos
asignados a la gestión del ciberriesgo
IA puede solucionar algunos de los
retos de la ciberseguridad.
Actualmente las aplicaciones de IA
son utilizadas para detectar
ciberataques y fraudes potenciales
en transacciones por internet. La
mejora del aprendizaje de las
aplicaciones de IA para atacar o
defender determinará si los sistemas
en línea llegarán a ser más seguros
o propensos a ciberataques
exitosos.
The Global Risks Report 2017.
World Economic Forum
SIN TECNOLOGÍAS COGNITIVAS CON TECNOLOGÍAS COGNITIVAS
Los profesionales gastan demasiado
tiempo en actividades rutinarias y
repetitivas, desperdiciando tiempo
valioso y talento ya escaso
El tiempo y talento se enfocan en las tareas
que requieren el ingenio humano
Gestión de
contraseñas
Bloque de
cuentas
Alertas del
firewall
Alertas de
incidentes
El típico día de
trabajo está lleno de
tareas ordinarias,
mientras que las
ideas y eventos clave
eluden el talento
sobrecargado.
Se identifican nuevas tendencias
que permiten una seguridad
proactiva
Las tareas
rutinarias se
automatizan
El aprendizaje de
máquina incrementa el
talento humano
ejecutando más rápido
las tareas

26. Casos Notorios

27. Construyendo un Virus

28. Gracias
Responsabilidad con pensamiento positivo