Diese Präsentation wurde erfolgreich gemeldet.
Wir verwenden Ihre LinkedIn Profilangaben und Informationen zu Ihren Aktivitäten, um Anzeigen zu personalisieren und Ihnen relevantere Inhalte anzuzeigen. Sie können Ihre Anzeigeneinstellungen jederzeit ändern.
Adelantándonos al cibercrimen
Julio San Jose
Socio IT Risk Transformation & Assurance
Activar > Adaptar > Anticipar
Agenda
► Presentación - EY
► Un vistazo al cibercrimen
► Activar
► Adaptar
► Anticipar
► Preguntas – Cierre
Presentación - EY
Page 4
► EY Global tiene presencia en 140 países que operan como una organización global para prestar servicios multidisci...
Page 5
► FSO es una sub-área dentro de EMEIA que agrupa a todos los profesionales que prestan servicio a clientes del sect...
Un vistazo al cibercrimen
Page 7
Cibercrimen
Un amenaza constante
Diariamente escuchamos historias de compañías las cuales han sido atacadas y en mu...
Page 8
ciberseguridad
¿Por qué es tan complicada?
Existen 4 razones principales que dificultan la implantación de una buen...
Page 9
Camino a un entorno seguro
Las barreras que se tienen que romper
Fuente: EY’s Global Information Security Survey 20...
El cibercrimen en números
Page 11
El cibercrimen en números
Como todos los años EY realiza su acostumbrada encuesta Global Information Security Surv...
Page 12
El cibercrimen en números
Inversión monetaria
Inversión total de las organizaciones en seguridad de la información...
Page 13
El cibercrimen en números
Inversión monetaria
¿Cómo será el presupuesto para la seguridad de la información durant...
Page 14
El cibercrimen en números
Inversión monetaria
Prioridades de inversión en los próximos 12 meses
Fuente: EY’s Globa...
Page 15
El cibercrimen en números
Inversión monetaria
Porcentaje aproximado de gastos totales de las áreas funcionales de ...
Page 16
El cibercrimen en números
Inversión monetaria
Promedio de relación entre el personal de seguridad comparado con el...
Page 17
El cibercrimen en números
Gobierno
¿A quién le reporta el departamento de seguridad?
Fuente: EY’s Global Informati...
Page 18
El cibercrimen en números
Gobierno
Temas de seguridad presentados en las reuniones de comité directivo
Fuente: EY’...
Page 19
El cibercrimen en números
Gobierno
¿Cómo son las estrategias de seguridad actualmente?
Fuente: EY’s Global Informa...
Page 20
El cibercrimen en números
Efectividad de la seguridad de la información
Nivel de madurez con el que cuentan los pr...
Page 21
El cibercrimen en números
Efectividad de la seguridad de la información
¿Cómo los departamentos de seguridad se ma...
Page 22
El cibercrimen en números
Efectividad de la seguridad de la información
Tiempo promedio en iniciar un procedimient...
Page 23
El cibercrimen en números
Efectividad de la seguridad de la información
Costes estimados por incidentes de segurid...
Page 24
El cibercrimen en números
Efectividad de la seguridad de la información
Principales fuentes de ataques, amenazas y...
Page 25
El 56%de los
encuestados dicen que es
“improbable” o “altamente
improbable” que su
organización fuese capaz de
det...
Page 26
Las tres A’s
Activar > Adaptar > Anticipar
Get ahead of cybercrime — EY’s Global Information Security Survey 2014
Page 27
¿Cómo adelantarnos al cibercrimen?
Centrandonos en las tres As.
Activar Adaptar Anticipar
Page 28
Un proceso en tres pasos
Para adelantarse a la ciberdelincuencia se sugiere que las
organizaciones deben adoptar u...
Activar
Page 30
El inicio de la seguridad
Activar las medidas mínimas
Las organizaciones que no cuentan con unas medidas de seguri...
Page 31
Implementar y nada más
El riesgo de no ir más allá
Una organización que ha implementado medidas de seguridad pero ...
Page 32
El camino hacia la seguridad
Aspectos que se deben mejorar en esta etapa
Los siguientes pasos luego de implementar...
Adaptar
Page 34
Adaptar
La seguridad a los cambios del entorno
En una organización que se adapta a los
cambios, la seguridad juega...
Page 35
¿Cómo adaptarse?
Después de implementar las medidas de seguridad es posible que surjan dudas sobre como seguir con...
Page 36
Ciclo de mejora continua
Gestión eficiente y efectiva
Actualmente es necesario desarrollar una estrategia que nos ...
Anticipar
Page 38
¿Qué tan preparado estás ante posibles ataques?, ¿podrías
contestar de forma positiva a las siguientes preguntas?
...
Page 39
La Anticipación
¿Cómo la logramos?
¿Qué ganamos?
1. Integración completa de la seguridad con el negocio:
lo que no...
Nächste SlideShare
Wird geladen in …5
×

Adelantándonos al cibercrimen – Julio San José - Socio IT Risk Transformation & Assurance

1.066 Aufrufe

Veröffentlicht am

Diariamente escuchamos historias de compañías las cuales han sido atacadas y en muchos casos vulneradas por intrusos, personal interno y hasta por servicios secretos gubernamentales. En EY creemos que actualmente es indispensable contar con mecanismos que nos ayuden a gestionar esta tipo de amenazas, mecanismos que le permitan a las organizaciones detectar y responder ante cualquier tipo de ataque, y de esta forma mejorar su nivel de seguridad general.

Veröffentlicht in: Business
  • Als Erste(r) kommentieren

  • Gehören Sie zu den Ersten, denen das gefällt!

Adelantándonos al cibercrimen – Julio San José - Socio IT Risk Transformation & Assurance

  1. 1. Adelantándonos al cibercrimen Julio San Jose Socio IT Risk Transformation & Assurance Activar > Adaptar > Anticipar
  2. 2. Agenda ► Presentación - EY ► Un vistazo al cibercrimen ► Activar ► Adaptar ► Anticipar ► Preguntas – Cierre
  3. 3. Presentación - EY
  4. 4. Page 4 ► EY Global tiene presencia en 140 países que operan como una organización global para prestar servicios multidisciplinares de la máxima calidad a nuestros clientes en todo el mundo. ► Los países de EY Global se organizan en Áreas cuya agrupación se basa en los mercados, la cultura, la ubicación geográfica y el idioma. ► A través de las Áreas, EY es capaz de implantar globalmente una infraestructura común, situar recursos de manera estratégica, compartir formación y conocimiento y garantizar la máxima calidad en la ejecución de los trabajos. ► Desde el 1 de julio de 2008, EY España se encuentra integrado en la nueva Unidad Operativa denominada EMEIA, que integra 60.000 profesionales de 87 países de Europa, Oriente Medio, India y África, dirigidos por un único equipo ejecutivo. 140 países 5 Áreas: EMEIA, Oriente, América, Japón y Oceanía 144.000 profesionales EY en el mundo Una firma global América EMEIA Oceanía Japón Oriente América EMEIA Oceanía Japón Oriente
  5. 5. Page 5 ► FSO es una sub-área dentro de EMEIA que agrupa a todos los profesionales que prestan servicio a clientes del sector financiero bajo un mismo modelo. EY en Europa Financial Services Office (FSO) 12 países: Reino Unido Irlanda Islas del Canal Portugal España Francia Italia Suiza Alemania Luxemburgo Holanda Bélgica Más de 5.500 profesionales
  6. 6. Un vistazo al cibercrimen
  7. 7. Page 7 Cibercrimen Un amenaza constante Diariamente escuchamos historias de compañías las cuales han sido atacadas y en muchos casos vulneradas por intrusos, personal interno y hasta por servicios secretos gubernamentales. En EY creemos que actualmente es indispensable contar con mecanismos que nos ayuden a gestionar esta tipo de amenazas, mecanismos que le permitan a las organizaciones detectar y responder ante cualquier tipo de ataque, y de esta forma mejorar su nivel de seguridad general Retos de la ciberseguridad ► identificar y gestionar proactivamente riesgos para proteger la confidencialidad de la información. ► Debe cumplir con los requisitos regulatorios, proteger la reputación de la marca, clientes y accionistas sin interferir con el nivel de servicio que presta la organización. ► Frecuentemente las organizaciones implementan medidas de protección que no son lo suficientemente flexibles como para adaptarse a los cambios del entorno. ► Las amenazas actuales proviene de todos lados y ya no hace falta ser un experto para lanzar un ataque. ► Las nuevas tecnologías son adoptadas rápidamente, pero en muchos casos convive con antiguas plataformas que lentamente van cayendo en desusos, derivando en muchas ocasiones en fallos de seguridad. ► Las medidas de seguridad por lo general operan de forma asilada complicando su adaptabilidad a las nuevas necesidades. Threat Intelligence Countermeasure Planning Security Monitoring Incident Response Vulnerability Identification Remediation Complicate Data & Context Complicate & Detect Reactive & Proactive Actions Prioritized Risks BusinessPriorities RiskAppetite Estructura de gestión de ciberamenazas
  8. 8. Page 8 ciberseguridad ¿Por qué es tan complicada? Existen 4 razones principales que dificultan la implantación de una buena estrategia de ciberseguridad, estas razones nos ilustran la presión a la cual se ven sometidos constantemente lo mecanismos de defensa, y como la exponencial evolución de la tecnología no deja margen de error para la seguridad. Cambios constantes La adopción de la tecnología móvil ha dado lugar a nuevos modelos organizacionales, donde las TI están cada vez más cerca del usuario y más lejos de la organización. El uso de Internet, los teléfonos inteligentes y las tabletas (en combinación con BYOD) ha derivado en la información de la empresa sea accesible desde todas partes. Irrupción de la tecnología móvil Vivimos y trabajamos en un ecosistema dominado por el Internet de las cosas, donde las personas están conectadas a la tecnología durante prácticamente todo el día, lo que aumenta la exposición a las amenazas sin importar que estemos en casa, en el trabajo o un paseo por el parque. Ecosistema La plataforma tecnológica tradicional ahora puede ser dotada de direcciones IP, por lo que se abre una brecha por donde los cibercriminales pueden acceder a los sistemas informáticos básicos, y de ahí abrirse camino a través de la infraestructura hasta llegar a la información crítica de la organización. Infraestructura En una actualidad en crisis, las empresas necesitan moverse rápidamente. Nuevos lanzamientos de productos, fusiones, adquisiciones, la expansión del mercado y la introducción de nueva tecnología son factores que tienen un impacto importante en las medidas de seguridad de las organizaciones.
  9. 9. Page 9 Camino a un entorno seguro Las barreras que se tienen que romper Fuente: EY’s Global Information Security Survey 2014 43% de las empresas mantendrán el presupuesto destinado a seguridad durante el 2015 y 5% de las empresas lo disminuirán. No sólo las el número y las formas de amenazas crecen constantemente, todavía hay vulnerabilidades sin corregir en los sistemas de las organizaciones. Esto evidencia que muchas veces no se tiene ni el tiempo suficiente ni la velocidad requerida para mitigar los riesgos actuales y planificar la estrategia de seguridad a futuro. En el 2014 la racha de años consecutivos donde se veía un incremento constante en el presupuesto que destinan las organizaciones a la seguridad se cortó. Contrariamente el interés a nivel general en la seguridad no ha decaído, pero esto no necesariamente se ha traducido en in incremento del presupuesto. Así como el número de amenazas aumenta, la falta de personal capacitado también es un problema en crecimiento. Asimismo, también aumenta la necesidad de formar personal en áreas no técnicas para lograr una mejor gestión de los riesgos y amenazas. Falta de tiempo y velocidad Presupuesto Capacitación 37% de las organizaciones no tienen una visión en tiempo real de sus “ciber- riesgos” 53% de las empresas creen que no tienen personal capacitado para cubrir las actividades de seguridad
  10. 10. El cibercrimen en números
  11. 11. Page 11 El cibercrimen en números Como todos los años EY realiza su acostumbrada encuesta Global Information Security Survey, con la cual se busca tener una visión actual y real del panorama de la seguridad. Los resultados de la encuesta del 2014 siguen estando vigentes. Durante la realización de la encuesta los temas que se consultaron fueron los siguientes: ► Presupuesto en inversión. ► Gobierno. ► Efectividad de la seguridad de la información. ► Madurez de los programas de seguridad. ► Entorno de la seguridad de la información. ► Tecnologías emergentes y nuevas tendencias La encuesta refleja las respuestas de 1825 líderes de las más prestigiosas y reconocidas empresas a nivel mundial, abarcando más de 60 países y casi todo tipo de industrias. Fuente: EY’s Global Information Security Survey 2014
  12. 12. Page 12 El cibercrimen en números Inversión monetaria Inversión total de las organizaciones en seguridad de la información, incluyendo: personas, procesos y tecnología (en US$). Fuente: EY’s Global Information Security Survey 2014 1% 1% 2% 9% 17% 16% 54% Más de $250 millones Entre $100 millones y $250 millones Entre $50 millones y $100 millones Entre $10 millones y $50 millones Entre $2 millones y $10 millones Entre $1 millón y $2 millones menos de $1 millón Debido al redondeo, es posible que el total no sume 100%
  13. 13. Page 13 El cibercrimen en números Inversión monetaria ¿Cómo será el presupuesto para la seguridad de la información durante los próximos 12 meses? Fuente: EY’s Global Information Security Survey 2014 1% 1% 3% 49% 22% 11% 13% Disminuirá más de 25% Disminuirá entre 15% y 25% Disminuirá entre 5% y 15% Se mantendrá (entre +5% y -5%) Incrementará entre 5% y 15% Incrementará entre 15% y 25% Incrementará más de 25% Debido al redondeo, es posible que el total no sume 100%
  14. 14. Page 14 El cibercrimen en números Inversión monetaria Prioridades de inversión en los próximos 12 meses Fuente: EY’s Global Information Security Survey 2014 34% 19% 10% 34% 41% 33% 40% 18% 35% 34% 26% 19% 35% 24% 16% 20% 23% 38% 46% 15% 8% 52% 27% 57% 48% 45% 39% 48% 48% 43% 46% 43% 46% 45% 45% 36% 43% 51% 38% 49% 43% 46% 44% 39% 36% 36% 33% 34% 18% 36% 51% 18% 11% 24% 14% 39% 19% 21% 29% 45% 22% 25% 46% 31% 34% 16% 10% 46% 56% 12% 40% 9% Gestión de amenazas y vulnerabilidades Riesgos asociados a personal externo Redes sociales Pruebas de seguridad (e.j.: ataque y penetración) Operaciones de seguridad (antivirus, respaldo, etc.) Gestión de incidentes y eventos de seguridad Entrenamientos Duseño de arquitectura de seguridad Tecnologías emergentes Gestión de accesos privilegiados Medidas de privacidad Externalización de medidas de seguridad Tencología móvil Integración entre operaciones y TI Propiedad intelectual Riesgos inherentes Transofrmación de la seguridad de la información Capacidad de respuesta ante incidentes Gestión de accesos e identidades Soporte contra fraudes Análisis forense Proteción de información Cloud computing BCP/DRP Alta Media BajaDebido al redondeo, es posible que el total no sume 100%
  15. 15. Page 15 El cibercrimen en números Inversión monetaria Porcentaje aproximado de gastos totales de las áreas funcionales de seguridad de información en los últimos 12 meses y los próximos 12 meses? Fuente: EY’s Global Information Security Survey 2014 53% 29% 12% 50% 31% 13% Operaciones de seguridad y mantenimiento Mejoras de seguridad Innovación (tecnologías emergentes) (emerging technology) Últimos 12 meses Próximos 12 meses Debido al redondeo, es posible que el total no sume 100%
  16. 16. Page 16 El cibercrimen en números Inversión monetaria Promedio de relación entre el personal de seguridad comparado con el número total de empleados Fuente: EY’s Global Information Security Survey 2014 Número total de empleados 11,797 Número total de personal de seguridad 168
  17. 17. Page 17 El cibercrimen en números Gobierno ¿A quién le reporta el departamento de seguridad? Fuente: EY’s Global Information Security Survey 2014 Debido al redondeo, es posible que el total no sume 100% 9% 7% 8% 9% 8% 14% 9% 9% 26% 52% Otro Líder de unidad de negocio Internal Audit Department Chief Risk Officer (CRO) Departamento de cumplimientos regulatorios Chief Executive Officer (CEO) Chief Operations Officer (COO) Chief Financial Officer (CFO) Al departamento de IT pero no al CIO Chief Information Officer (CIO)
  18. 18. Page 18 El cibercrimen en números Gobierno Temas de seguridad presentados en las reuniones de comité directivo Fuente: EY’s Global Information Security Survey 2014 Debido al redondeo, es posible que el total no sume 100% 30% 18% 30% 14% 51% 32% 30% 16% 46% 43% 58% 31% 39% Panorama de amenazas Gestión de riesgos externos Pruebas de seguridad Métricas de operaciones de seguridad Rportes de evaluaciones de seguridad Gestión de programas de seguridad Gestión de accesos e identidades Gastoa en seguridad de información Protección de datos Cumplimientos regulatorios BCP/DRP Integración de negocio con la… Awareness in organization…
  19. 19. Page 19 El cibercrimen en números Gobierno ¿Cómo son las estrategias de seguridad actualmente? Fuente: EY’s Global Information Security Survey 2014 Debido al redondeo, es posible que el total no sume 100% 23% 34% 39% 40% 53% 55% 49% 56% 12% Contempla el futuro de la seguridad de la información en un período de 3 a 5 años Está alineada con la estrategia de riesgos del negocio Está alineada con la tolerancia a los riesgos del negocio Contempla el futuro de la seguridad de la información en un período de 12 meses Está aprobada por la directiva del negocio Está alineada con la estratregia de TI Está alineada con la planificación estratégica del negocio Es revisada y actualizada periódicamente No se tiene estrategia de seguridad
  20. 20. Page 20 El cibercrimen en números Efectividad de la seguridad de la información Nivel de madurez con el que cuentan los procesos de las organizaciones Fuente: EY’s Global Information Security Survey 2014 Debido al redondeo, es posible que el total no sume 100% 7% 8% 7% 5% 5% 5% 5% 2% 1% 10% 5% 3% 3% 3% 3% 4% 5% 5% 4% 6% 21% 29% 21% 23% 24% 18% 17% 12% 10% 32% 20% 19% 13% 20% 18% 17% 20% 24% 27% 20% 42% 42% 40% 43% 41% 42% 37% 45% 37% 38% 38% 43% 39% 41% 43% 42% 36% 41% 43% 43% 25% 18% 27% 25% 25% 28% 32% 35% 41% 17% 29% 29% 37% 28% 29% 30% 30% 24% 22% 26% 5% 3% 5% 4% 5% 7% 9% 6% 11% 3% 8% 6% 8% 8% 7% 7% 9% 6% 4% 5% Gestión de amenazas y vulnerabilidades Gestión de outsourcing Estrategia Software de seguridad Monitorización de seguridad Privacidad Polñiticas y marcos de referencia Operaciones Seguridad de redes Métricas y reportes Gestión de incidentes Gestión de identidades y accesos Seguridad de host Gobierno y organización Protección de datos Infraestructura de datos BCP/DRP Entrenamiento Gestión de activos Arquitectura 1 2 3 4 5Inexistente Maduro
  21. 21. Page 21 El cibercrimen en números Efectividad de la seguridad de la información ¿Cómo los departamentos de seguridad se mantienen al día en cuanto a nuevas amenazas? Fuente: EY’s Global Information Security Survey 2014 Debido al redondeo, es posible que el total no sume 100% 37% 20% 30% 33% 30% 24% Se desconoce Colabroando con otros departamentos de seguridad Colaborando con otras industrias Investigando fuentes abiertas de información Investigando en fuestas privadas de información Se tiene personal dedicado exclusivamente a labores de investigación
  22. 22. Page 22 El cibercrimen en números Efectividad de la seguridad de la información Tiempo promedio en iniciar un procedimiento de acción contra amenazas o incidentes Fuente: EY’s Global Information Security Survey 2014 Debido al redondeo, es posible que el total no sume 100% 33% 4% 13% 13% 25% 12% Se desconoce Más de 1 día 1 día 4 horas 1 hora 10 minutos
  23. 23. Page 23 El cibercrimen en números Efectividad de la seguridad de la información Costes estimados por incidentes de seguridad en 2014 Fuente: EY’s Global Information Security Survey 2014 34% 19% 2% 2% 3% 3% 7% 30% No se presentaron incidentes que hayan derivado péridas financiaras Se desconoce Más de $2.5 milliones Entre $1 million y $2.5 million Entre $500,000 y $1 million Entre $250,000 y $500,000 Entre $100,000 y $250,000 Entre $0 y $100,000
  24. 24. Page 24 El cibercrimen en números Efectividad de la seguridad de la información Principales fuentes de ataques, amenazas y vulnerabilidades en el 2014 41% 46% 27% 53% 14% 12% 10% 35% 57% Hacker Hacktivists Organizaciones gubernamentales Organizaciones criminales Socios de negocio Proveedor Cliente Personal externo Empleado Principales fuentes de ataque 16% 13% 17% 15% 15% 11% 19% 16% 20% 28% 25% 14% 7% 16% 17% 38% 35% Amenaza: ataques zero days Amenaza: spam Amenaza: phishing Amenaza: desastres naturales Amenaza: malware Amenaza: Ataques internos Amenaza: fraude Amenaza: espionaje Amenaza: robo de propiedad intelectual Amenaza: robo de información financiera Amenaza: interrupción de operaciones Vulnerabilidad: accesos no autorizados Vulnerabilidad: redes sociales Vulnerabilidad: tecnologóa móvil Vulnerabilidad: cloud Vulnerabilidad: usuarios no entrenados Vulnerabilidad: controles obsoletos * Amenaza: acción hostil por parte de actores externos ** Vulnerabilidad: posibilidad de ser atacado Principales amenazas y vulnerabilidades Fuente: EY’s Global Information Security Survey 2014
  25. 25. Page 25 El 56%de los encuestados dicen que es “improbable” o “altamente improbable” que su organización fuese capaz de detectar un ataque sofisticado. El 43%de los encuestados dicen que el presupuesto total para la seguridad de la información de su organización permanecerá aproximadamente igual en los próximos 12 meses y un 5% su presupuesto incluso decrecería. El 53%de las organizaciones dicen que la ausencia de recursos especializados es uno de los principales obstáculos que desafían su seguridad de la información. Casi dos tercios de las organizaciones, no tienen programas de Gestión e Identificación bien definidos y automatizados. El 37% dice que una visión en tiempo real del riesgo ciber no está disponible.A lo largo de casi todos los procesos de ciberseguridad, entre el 35% y el 45% de los encuestados se calificaron a sí mismos como “aún queda mucho por mejorar.” El 42%de las organizaciones no tienen un Centro de Operaciones de Seguridad Ciberamenazas Resumen encuesta Global Seguridad de la Información de EY 2014
  26. 26. Page 26 Las tres A’s Activar > Adaptar > Anticipar Get ahead of cybercrime — EY’s Global Information Security Survey 2014
  27. 27. Page 27 ¿Cómo adelantarnos al cibercrimen? Centrandonos en las tres As. Activar Adaptar Anticipar
  28. 28. Page 28 Un proceso en tres pasos Para adelantarse a la ciberdelincuencia se sugiere que las organizaciones deben adoptar un proceso de mejora de 3 etapas: ► Activar (fundamental) ► Mantenimiento y mejora continua de la ciberseguridad – vuelta a los origenes ► Adaptar (dinamico) ► Cambio constante – evolución permanente ► Anticipar (proactivo) ► Tacticas de deteccion y prevencion de ciber ataques, requiere de tecnicas de inteligencia, respuesta a incidentes y gestion de crisis
  29. 29. Activar
  30. 30. Page 30 El inicio de la seguridad Activar las medidas mínimas Las organizaciones que no cuentan con unas medidas de seguridad adecuadas deben actuar rápidamente y activar mecanismos que le permitan mitigar riesgos generados por las vulnerabilidades y amenazas que padece. Activar la Seguridad Evaluaciones de seguridad Compromiso Actualizar políticas Implementar un SOC Controles de Cyberseguridad BCP e Incidencias ► Análisis de amenazas y vulnerabilidades ► Modelo de madurez ► Desarrollar plan de remediación ► Adopción de prácticas líderes (e.j.: ISO27001) ► Redefinir el gobierno de seguridad e incluir lo relacionado a la cyberseguridad. ► Alinear los nuevos objetivos con los del negocio. ► Lograr el compromiso de la dirección. ► Actualizas las políticas con los nuevos procesos y controles. ► Impelente un ISMS. ► Desarrollar un procedimiento de monitorización de los riesgos conocidos y respuestas a incidentes ► Diseñar controles que mitiguen el riesgo de pérdida de información. ► Diseñar una estrategia de gestión de identidades. ► Mejorar la seguridad general de la plataforma tecnológica. ► Incluir pruebas de ataques y penetración. ► Identificar y explotar las debilidades
  31. 31. Page 31 Implementar y nada más El riesgo de no ir más allá Una organización que ha implementado medidas de seguridad pero no ha dado un paso más allá, por lo general tendrá las siguientes características: Extra sin valor Cuando se implementan medidas de seguridad, en una primer instancia se busca mitigar los riesgos existentes y conocidos. Si con el paso del tiempo la estrategia de la empresa se enfoca en eficiencia de controles o evaluación y mitigación de riesgos, se podría interpretar como que la organización aún se encuentra en el nivel básico de seguridad. Enfoque en el entorno actual El nivel inicial de seguridad tiene como objetivo asegurar las funciones diarias de las organizaciones. Sin embargo, una estrategia basada en cumplimientos regulatorios, y confiando en métricas de reportes estándar sólo será validad en un entorno sin cambios. Estrategia estática Cuando una organización implementa medidas de seguridad, pero no las integra con las operaciones y actividades del negocio, la seguridad puede empezar a ser vista como un gasto extra que no es prioridad para los objetivos del negocio. En este punto la seguridad podría empezar a verse como algo prescindible. Implementar Evolucionar Las medidas de seguridad implementadas deben estar siempre en un procesos de mejora continua que garantice una correcta evolución de las mismas
  32. 32. Page 32 El camino hacia la seguridad Aspectos que se deben mejorar en esta etapa Los siguientes pasos luego de implementar medidas de seguridad deben ir enfocados a la mejora continua de estas medidas, para lograr esto hay que prestarle atención a 5 aspectos importantes Compromiso Recursos Ejecución Acceso a datos Costes/Valor ► Las iniciativas de seguridad no deben venir de los niveles más bajo de la organización. ► La seguridad no debe ser vista como un responsabilidad exclusiva del departamento de IT. ► La estrategia de seguridad debe ocupar un sitio importante en la planificación estratégica de la empresa ► Las tareas inherentes a la seguridad deben ser consistentes y llevadas a cabo por personal capacitado. ► Los equipos de seguridad deben ser entrenados sobre las medidas de actuación en caso de ataque. ► Las actividades de seguridad deben ser concisas y de acuerdo a las necesidades del negocio. ► La efectividad de las medidas de seguridad no se puede medir. ► Los usuarios son uno de los principales riesgos, por lo que se debe implementar una buena gestión de identidades y accesos. ► En la medida de lo posible se deben automatizar los procesos manuales. ► Se debe prestar atención a las cuentas de usuarios de los ex-empleados ► El coste de las medidas de seguridad siempre será menos que la perdida de información o daño reputacional. ► Los beneficios de las medidas de seguridad siempre deben quedar claros para que el valor de estas sea percibido de mejor forma.
  33. 33. Adaptar
  34. 34. Page 34 Adaptar La seguridad a los cambios del entorno En una organización que se adapta a los cambios, la seguridad juega un papel importante sus procesos y estrategias. Cada vez que se crea un nuevo proceso, línea de negocio o servicio, siempre se toma en cuenta en cuenta el punto de vista de la cyberseguridad y los requerimientos que se deban cumplir en base a esta. De esta forma, los objetivos del negocio y la cyberseguridad estarán siempre alineados Por su parte los responsables de las tareas de cyberseguridad, deben estar siempre consientes no sólo de los cambios internos de la organización, sino también de la evolución tecnológica y la forma en que esta impacta los procesos del negocio. Por ejemplo, la implementación de servicios basados en La Nube, podrían introducir nuevos riesgos que deberían tomarse en cuenta para saber como mitigarlos y responder ante posibles incidentes En una organización que se sabe adaptar, la estrategia de cyberseguridad es flexible, ágil y está siempre en continua revisión. Esto le permite adaptarse para proteger mejor al negocio Incorporar la seguridad Enfocarse en los cambios Estrategia dinámica Para que las medidas de seguridad de una organización sean eficaces a lo largo del tiempo, deben adaptarse y saber manejar los cambios del entorno y evolucionar en paralelo con este. Incorporar la seguridad Adapratse Cambios en entornos
  35. 35. Page 35 ¿Cómo adaptarse? Después de implementar las medidas de seguridad es posible que surjan dudas sobre como seguir con el proceso evolutivo de la cyberseguridad, preguntas como: ¿qué áreas necesitan más atención?, ¿cuáles son las medidas correctivas inmediatas? O ¿cómo logro una integración de la estrategia de seguridad con los objetivos del negocio?, son muy comunes en las primeras etapas. ►Los SOC (Secutiry Operations Centers) son grandes aliados en la lucha contra el cibercrimen. ►Deben estar siempre al tanto de las nuevas y ya conocidas amenazas y vulnerabilidades. ►No debe estar enfocado sólo en la tecnología su ámbito de acción debe abarcar todo el negocio. ►Debe haber una interacción constante entre el SOC y los responsables del negocio. ►Los conocimientos del equipo se deben fortalecer constantemente. ►La distribución del equipo puede ser centralizada o por departamento, dependiendo de las necesidades de la organización. ►No sólo los miembros del equipo de seguridad deben ser entrenados, el resto de los empleados también deben incluirse en la estrategia de formación. ►Los empleados deben ser capaces de entender que si la seguridad de la organización se ve comprometida también lo estará su propia seguridad. ►Esta cultura junto con la confianza transmitida por la gestión del equipo de seguridad es la clave para una mejor adaptación a los cambios. ►Los empleados deben ser nuestros aliados contra el cybercrimen y deben actuar como primer línea de defensa. ►Con una estrategia de seguridad definida y consolidada, las organizaciones pueden mirar más allá de su entorno. ►Analizar el impacto de lo posibles ataques que puedan sufrir nuestros aliados de negocio es el punto de partida. ►En base a esto se deben implementar procesos que mitiguen los riesgos derivados de estas posibilidades. Mejorar el SOC Fortalecer Conocimientos Crear Cultura Ver a través de ..
  36. 36. Page 36 Ciclo de mejora continua Gestión eficiente y efectiva Actualmente es necesario desarrollar una estrategia que nos permita que nos permita gestionar el ciclo de vida de la adaptabilidad de forma eficiente y efectiva, para no sólo garantizarle un nivel de seguridad optimo al negocio sino también para disminuir los gastos en inversiones de seguridad. ► Gestionar riesgos y vulnerabilidades. ► Buscar apoyo externo. ► Estar dispuesto a cambiar. ► Usar métricas basadas en prácticas líderes ► Transmitir liderazgo. ► El responsable de la seguridad debe transmitir confianza al comité directivo. ► Las decisiones se deben esquematizar y ser incluidas en una línea de tiempo ► Alinear la estrategia de cyberseguridad con la estrategia del negocio. ► Involucrar a todos en los nuevos procesos para crear compromiso y responsabilidad. ► Establecer conexiones que ayuden a la integración. ► Desarrollar un programa amplio y robusto. ► Los métodos de implementación de las soluciones debe transmitir confianza al resto de la organización Mejora continua
  37. 37. Anticipar
  38. 38. Page 38 ¿Qué tan preparado estás ante posibles ataques?, ¿podrías contestar de forma positiva a las siguientes preguntas? ¿Eres proactivo? ¿Qué tan preparado estás? Estar por delante del cibercrimen es una tarea compleja y que toma tiempo, pero que trae beneficios considerables para la organización. Se debe saber explotar las oportunidades el mundo digital sin comprometer la seguridad, aunque lo más importante es actuar de una forma que los cibercriminales no esperan. ¿Sabes lo que tienes y que otros puedan querer? ¿Sabes como los planes del negocio pueden hacer estos activos más valiosos? ¿Conoces las formas para acceder a estos activos y ponerlos en peligro? ¿Sabrías identificar si has sufrido un ataque y estos activos se vieron comprometidos ? ¿Tienes un plan de acción para los posibles ataques y minimizar los daños? Propiedad Intelectual Información de empleados Información Financiera Información del negocio (estrategia, objetivos, etc.) Activos
  39. 39. Page 39 La Anticipación ¿Cómo la logramos? ¿Qué ganamos? 1. Integración completa de la seguridad con el negocio: lo que nos permitirá estar alerta, preparados para actuar y responder de una forma eficiente y eficaz. Así como también tener el respaldo del comité directivo y aún más importante, conocer cuales son nuestros activos de información. 2. Tener una estrategia de seguridad flexible y versátil: que nos permita saber las características del entorno donde operamos tanto interna como externamente. De igual forma nos capacita para seguir nuestra línea evolutiva, adaptándonos a las nuevas necesidad, tecnologías, amenazas y vulnerabilidades. 3. Ser proactivos: con la gestiones de incidentes y mecanismos de respuesta. Una organización proactiva, tiene la capacidad probar sus medidas de seguridad en complejos escenarios que le permitirán ensayar sus planes de reacción. ¿Qué hacemos? 1. Diseñar e implementar una estrategia de gestión inteligente: el departamento de seguridad de la información deberá trabajar de la mano con el comité directivo para lograr una integración completa de los temas de seguridad con los objetivos del negocio, para así incrementar el valor que proporciona la ciberseguridad. 2. Expandir la seguridad más allá del ecosistema de la organización: trabajar con los socios, proveedores, y personal externos para alinear las estrategias de seguridad, definir modelos, compartir experiencias y establecer mecanismos de cooperación. 3. Reflexionar sobre el valor económico: entender cuales son los activos de información más importantes de la organización y que tan valiosos pueden ser para los cibercriminales, y en base y en base a eso reevaluar el presupuesto económico. 4. Emplear método de análisis forenses: aprovechar las últimas tecnologías para tener conciencia de las vías por las cuales podrían atacarnos. 5. Asegurarse que todos entiendan la situación: controles bien implementados, niveles de cumplimiento óptimos, y comunicaciones regulares son factores claves para que el personal permanezca alerta en todo momento.

×