Transcript
Tendencias generales Globalización La cadena de valor se amplia e integra Creciente competencia Mercados más complejos y comunicados Hay un incremento acelerado del trabajo en colaboración El negocio depende cada vez más de la TI El número de usuarios informáticos es cada vez mayor Heterogeneidad tecnológica Sistemas de información no integrados Múltiples estandares Disparidad de formación y actualización de conocimientos de los recursos humanos
Que se necesita de la empresa? Flexibilidad Disponibilidad Nivel de servicio Servicio al cliente Generar ventajas competitivas Mantener/mejorar imagen corporativa
Security is a business issue now—not just an IT issue Total Brasil Segurança
19%
Infra-estrutura TI
19%
ERP 10%
Infra-estrutura Telecom
8%
CRM
SCM
CSI/FBI, 4/02
8%
Ecommerce
Last year, US Corporations lost $59B in proprietary information and IP
7% 6%
CSO Security Sensor magazine, 1/03
Wireless 1% 0%
5%
www.cert.org
Security breaches are estimated at $2 million per breach
16%
BI/ DW
Drastic rise in security incidents over the past decade
10%
15%
20%
El 38% de las empresas que respondieron al “Computer Crime and Security Services” del 2002, han sufrido ataques a sus servidores Web, el 21% no sabe (97% tienen sitios Web). De los que respondieron afirmativamente, el 75% tuvo más de un ataque. (CSI/FBI 2002-Computer Crime and Security Services) El 47% de las empresas argentinas han manifestado haber tenido incidentes de seguridad informática en el último año. De éstas, el 52% citó como primera fuente de ataque, a Internet. Los ataques más comunes durante el último año fueron los virus informáticos y el spamming de correo electrónico. (encuesta de seguridad informática en Arg.-www.cisiar.com.uy) El 90% de los 2500+ empresas encuestadas han sido infectadas por virus, aunque el 88% de ellas tienen antivirus. (Info Security Magazine Survey,
Incidentes de seguridad en USA e impacto financiero
($ millions)
500 400
456 377
300 265
Source: April, 2002 CSI/FBI Computer Crime and Security Survey
200
100
137
124
1998
1999
100 1997
2000
2001
2002 (1H02)
Security threats are growing in numbers and sophistication Source: www.cert.org
Computer Security Incidents (CERT) 80000 70000 60000 50000 40000 30000 20000 10000 0
82,094 52658
3734
21756 9859
1990 1991 1992 1993 1994 1995 1996 1997 1998 1999 2000 2001
2002
Áreas de preocupación de los ejecutivos Seguridad CRM Web ERP o SIG Manejo de los datos (Business Intelligence)
La seguridad es cuestión de toda la organización, no solamente la compra de productos
! "
#
II) Modelos de Gestión
Qué
ne e G
d a lid a r
!
Cómo
COBIT $%& '
# $( )
* +, *+ *
Principios COBIT Requerimientos del negocio
Procesos TI
Recursos TI
Principios COBIT Para lograr los objetivos de negocio, es necesario que la información se ajuste a los criterios COBIT. 1- Criterios de la información - Calidad - Fiduciarios - Seguridad
"#
$ $
% &
Requerimientos de calidad - Calidad - Costo - Entrega Requerimientos fiduciarios (Informe COSO) - Efectividad y eficiencia de las operaciones - Confiabilidad de la Información - Cumplimiento con Leyes y Regulaciones Requerimientos de Seguridad - Confidencialidad - Integridad - Disponibilidad
"#
$
%
$ '
(
$
$
*
$
'
-)
+
(
$$
/
$
$$
/ 2 # $ $ .$ $
' #
) ' )
&
&
) $) . #
$
$
-
#
$
& $,
$$ & 1
& & $ $ '
'$ &
*$
,
& $ $ +
& $ ' $+ ,
&
$
. $'
,
+
*
$
( $ & , $
)
# $ ( $+
$
# $
*$
(
#
$
&
) $*
'$
& $,
$
$
$0 $ + 1' $
#
,
$
$) $ $ 1 $$
$
$
$
*)
Principios COBIT (cont.) 2 - Recursos de TI - Datos - Aplicaciones - Tecnología (Hw/Sw) - Instalaciones - Personal 3 - Procesos de TI a) Dominios b) Procesos c) Actividades
"
$$
&
Datos Datos en su concepto más general, internos y externos, estructurados y no estructurados, gráficas, sonidos, texto, imágenes, etc. Sistemas de aplicaciones Es la suma de procedimientos manuales y programados Tecnología Hardware, sistemas operativos, sistemas de bases de datos, redes, multimedia, etc. Instalaciones Recursos para albergar los equipos informáticos, personal y materiales Personal Personal técnico, administrativo y gerencial del area de TI Procesos de gestión de los recursos humanos
3 Dominios
Procesos
Actividades
$)!
$$ Agrupamiento natural de procesos, generalmente relacionados con un área de responsabilidad organizacional. Conjunto de actividades con un objetivo específico. Acciones necesarias para lograr un resultado cuantificable.
"
#,
$ $
'$ ! $ $ $4
&
3
$ $ $
$(
Dominios
Procesos Actividades
$$
"
%
$$ !
1
5 67$!
$
Principios COBIT Dominios: - Planificación y organización - Adquisición e implantación - Entrega y soporte - Monitoreo
Principios COBIT Procesos: - Definición de Plan estratégico TI
- Definición de arquitectura de los Sistemas de aplicación. - Definición de la organización de TI - Admin. de la inversión en TI - Admin. de los recursos humanos - Administración de Proyectos TI - Aseguramiento de continuidad del servicio, etc.
-
Según ISACA (Information System Audit and Control Association), la Auditoría de Sistemas abarca las siguientes áreas: - Revisión de la estructura organizacional, políticas y procedimientos referentes a la seguridad informática y al ambiente de control del área informática. - Verificación del control de ingresos físicos a áreas sensibles, y de accesos lógicos. - Revisión del estado del Plan de Recuperación de desastres. - Revisión del Software de base (implementación de parámetros de seguridad). - Verificación de la existencia de una metodología adecuada para el desarrollo o adquisición de aplicaciones.
ISACA Fundada en 1969. Sede Chicago-USA Más de 26.000 miembros en más de 100 paises Organización líder en auditoría, control y aseguramiento de la TI Desarrolla conferencias, promueve estandares y Auditoría de Sistemas de información
Auditoría de Sistemas Auditoría de Sistemas (CAATS): “La Auditoría de Sistemas busca emitir opinión acerca del correcto funcionamiento de la infraestructura (Hw, Sw, Instalaciones, Personal) que sustenta el procesamiento de transacciones” Auditoría con informática: “La auditoría con informática se apoya en la computadora para evaluar la razonable corrección generada por los sistemas contables, sobre los que se sustentan las decisiones de la alta gerencia”
Control Interno “Conjunto de elementos de administración, que una organización establece en forma coordinada para lograr sus objetivos institucionales y cumplir con su misión” Controles: - Generales - Sistemas de aplicación
Controles internos de TI Separación de tareas Delegación de autoridad y responsabilidad Reclutamiento de personal Sistemas de autorizaciones para procesamiento de transacciones Documentos y registros para el rastreo de auditoría Control físico de activos y registros Comparación de registros contables vs activos
. ' /
Ciclo de la Seguridad Definir Riesgos 4 Definir Controles
4
$ Implementar Controles
Tendencias en la seguridad de TI Seguridad física/seguridad lógica Seguridad Redes/Aplicaciones Sofisticación de ataques Velocidad y complejidad de los ataques Programas de seguridad cada vez más abarcativos en la organización Involucramiento de la alta gerencia
Niveles de seguridad Estrategia/Visión Organización Procesos Aplicaciones/Datos Infraestructura (hw/sw) Instalaciones
Que se necesita de la TI Sistemas integrados Sistemas abiertos – estandares Virtualización Automatización Seguridad
Seguridad en Internet Riesgos: - Vandalismo y sabotaje - Secuestros de dominio - Negación de servicio - Virus
Seguridad en Internet Seguridad física: Edificación y diseño físico Equipamiento informático Personal Muebles y útiles
Seguridad lógica: Acceso de las personas
Datos e información Desarrollo de Sistemas Internet y otros
Seguridad en Internet Acciones:
- Criptografía - Certificados digitales - SSL (Secure Socket Layer) - PKI (Public Key infraestructure) (infraestructura de claves públicas) - VPN (Virtual Private Networks) - Firewalls
10 peores errores que comete personal TI Conectar sistemas a Internet antes de probarlos Conectar sistemas de testeo a internet con información de usuarios No aplicar los parches de seguridad cuando aparecen vulnerabilidades Usar Telnet y otros protocolos no encriptados para gestionar sistemas, routers y firewalls Dar password a usuarios a través del teléfono o cambiarlas respondiendo a solicitudes personales, cuando el solicitante no está autorizado Fallar en la instalación o actualización de antivirus
10 peores errores cometidos por personal TI Fallar en la educación de los usuarios en que hacer cuando detectan un potencial problema de seguridad. No mantener ni testear los respaldos Instalar servicios innecesarios en equipos Implementar soluciones de firewalls incorrectamente
5 peores errores de usuarios finales Abrir correo y archivos adjuntos no solicitados, sin verificar la fuente previamente. No efectuar o fallar en la instalación de parches de seguridad, en las herramientas de escritorio utilizadas. Instalar protectores de pantalla o juegos sin saber de donde provienen. No efectuar ni testear los respaldos Usar un moden estando conectado a la red local
Plan de Contingencias % ' " ) * * * * 1#
0 2 34-/4
Plan de Contingencias (II) Impactos: * Pérdidas ($$) - Mayores costos - Imagen pública - Pérdida de negocios - Pérdida de información crítica - Posición competitiva - Legales - Moral de empleados
*
Seguridad y retorno de la inversión Inventario de activos de la empresa y datos Asignar valor a los activos Identificar exposiciones potenciales Determinar el impacto de una violación a la seguridad Determinar un nivel de riesgo aceptable
(%
#
' % /2 + 5 0 ) -- 6 47 6 -47- $( 0 ) --4446 6 - % 0 ) --4446 6 6 0 ) --4446 #6 % * 7* # 6 0 ) --444* 86% 6 - ' - 6 4 ' -% - 8999:9;