Esta charla la preparé para el Segurinfo 2011 que se realizó en Perú, esta charla trata de identificar aquellos temas que deben estar dentro de las prioridades de un oficial de seguridad de la información, de tal manera que la organización trabaje de manera segura, pero sin perder la capacidad de hacer negocios, y dentro de ese día a día, surgen una serie de consideraciones, que hacen que esta labor, no sea nada facil...

1. “Seguridad de la Información, una prioridad nacional
para la defensa y crecimiento del Perú”
1

2. “Seguridad de la Información, una prioridad nacional
para la defensa y crecimiento del Perú”
Presentada por:
Juan Pablo Quiñe
Information Security Expert
2

3. Aclaración:
© Todos los derechos reservados. No está permitida la
reproducción parcial o total del material de esta
sesión, ni su tratamiento informático, ni la
transmisión de ninguna forma o por cualquier
medio, ya sea electrónico, mecánico, por
fotocopia, por registro u otros métodos, sin el
permiso previo y por escrito de los titulares de los
derechos. Si bien este Congreso ha sido concebido
para difusión y promoción en el ámbito de la
profesión a nivel internacional, previamente
deberá solicitarse una autorización por escrito y
mediar la debida aprobación para su uso.
3

4. Agenda
¿Quien soy?
El contexto de un CISO
Como fluye la información en nuestras
organizaciones
Contra que nos enfrentamos
Algunos Tips
 Principios de la Seguridad
 Algunos Riesgos y/o Amenazas
4

5. ¿Quien Soy?
Ing. Juan Quiñe
1998 2001 2002 2003-2006 2006-2008 2008-2010 2010-2011 Hoy
Security Consultant IT Security Officer Security Officer
•ISO 17799 •NTP 17799 Petroperú Security Officer
•Cobit Infosec Consultant Sr. •ISO 27001 •ISO27001
Security Specialist Information
•ITIL •ISO 17799/NTP 17799 •ITIL
•Log Collection •ITIL Security
•Ethical Hacking •Ethical Hacking •ITIL •GRC •Pentesting Management
•ITIL •IT Audit •Pentesting •Awareness
2001
•SOX 404 •Hardening
•Securing Business Process

6. ¿Que temas rondan la
cabeza de un CISO?
Gestión de la Seguridad de la
Información
Vivir bajo los principios de C.I.A.
Privacidad (opcional en ciertos casos)
Requerimientos del Negocio
Requerimientos Normativos/Legales
Requerimientos de Auditoría
Y un muy largo otros…
6

7. ¿Cuáles son los limitantes?
 Falta de Recursos
 Falta de Presupuesto
 Incredulidad, “A nosotros nunca nos va a
pasar”
 Poca Actividad Reactiva, “¿para que? si
estamos seguros…”
 Temor al Cambio, “Pero así lo hemos hecho
siempre…”
 Incomodidad de la organización por los
“nuevos controles”
7

8. ¿Pero por que tanta preocupación?
"La preocupación con respecto a temas de
seguridad es directamente proporcional al grado
de percepción de riesgo que se tenga".
8

9. Cual es nuestro alcance de
seguridad relacionado a una
ORGANIZACIÓN
Dispositivos Móviles
Proveedores
Oficinas Clientes
Remotas
Conexiones Seguridad Física
Alianzas
Telefónicas Estratégicas Outsoucing

10. Algunos Estándares Internacionales / Marcos de
Trabajo / Guías / Requerimientos Regulatorios
 ISO:27001  IT Act and applicable Criminal /
 PCI-DSS Civil legislation
 CobiT - ValIT  HIPAA
 BS:25999  GLBA
 ISO 2000  Sarbanes Oxley Act
 ITIL  Basel II
 Clause 49 (SEBI Guideline,  PCAOB
Government of India)  SAS 70
 CTCL  Privacy Laws (e.g.PIPEDA)
 NERC-CIP  Y muchos mas
 Data Protection Act
(No olvidar, NTP’s, Normas SBS, Leyes locales,
Resoluciones, por mencionar algunos
requerimientos locales)

11. Recordemos que…
No siempre significan lo mismo…
11

12. Tips en la Gestión de la
Seguridad de la Información
 Conseguir apoyo de la Alta Gerencia
 Evitar
decir: “No se puede”, cambiarlo por, “si
se puede, pero…”
 Llevarlos controles de seguridad a los tres
principios básicos
 Identificar
los “Riesgos y/o amenazas” antes
que estas se materialicen.
 Especializarse
(o recurrir a alguien
especializado).
12

13. Principios de la Seguridad de la
Información (CIA)
Confidencialidad
Integridad
Disponibilidad

14. ¿Como nos afecta la
pérdida de la C.I.A.?
Confidencialidad
Integridad
¿Que secede si
¿Que pasa si tu tos datus son
información se ve altirados?
expuesta?
Disponibilidad
¿Q e pasa si desapa
ecen t s d tos?

15. ¿Contra que riesgos debemos
estar protegidos?
15

16. Riesgos: Naturales
16

17. Riesgos: Ambientales
(Environment)
17

18. Riesgos: Humanos - Accidentales
18

19. Riesgos Humanos - Intencionales
19

20. Riesgos Técnicos
20

21. Ahora: Cual es nuestro alcance de
seguridad relacionado a una
ORGANIZACIÓN
Dispositivos Móviles
Proveedores
Oficinas Clientes
Remotas
Conexiones Seguridad Física
Alianzas
Telefónicas Estratégicas Outsoucing

22. ¿Dónde debería estar
enfocado el CISO?
Procesos de Procesos a
Negocio nivel de TI
22

23. ¿Ahora, quién podrá defendernos?
“El mayor enemigo de
la seguridad es ignorar
cuan vulnerable se es”
23

24. ¿Qué certificaciones de seguridad
puedo encontrar en el mercado?
24

25. Recuerden siempre…
25

26. Algunos verbos que deberán tener a la mano…
 Prevenir  Comprender  Detectar
 Prever  Entender  Corregir
 Estar preparados  Capacidad de  Definir
Analizar
 Informarse  Determinar
 Proteger
 Conocer  Establecer
 Resolver
 Identificar
Pero lo mas importante…
Si bien no es un rubro fácil, disfruten y
diviértanse, que cada día es una experiencia
nueva que nos pone en el otro nivel y nos da las
capacidades para afrontar lo que sigue…!!!
26

27. Gracias por asistir a esta sesión…
27

28. Para mayor información:
Juan Pablo Quiñe Paz
Juan.quine-paz@hp.com
Para descargar esta presentación visite
www.segurinfo.org
Los invitamos a sumarse al grupo “Segurinfo” en
28