1. Educación

Seminario
Cómo afrontar los riesgos
tecnológicos en ciberseguridad:
presente y futuro
Ciberseguridad
Situación actual
2
Como afrontar riesgos en ciberseguridad
Situación actual
Evolución histórica
•
Hace 40 años el 99% de las empresas
almacenaban la información en
archivadores de papel, y las búsquedas
eran manuales.
•
Las comunicaciones se realizaban a
través de telefonía analógica, controladas
por las compañías telefónicas.
•
Las computadoras se usaban con fines
académicos, educativos y militares.
3
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Situación actual
Evolución histórica
•
En la actualidad hemos mejorado la
productividad y la forma de
comunicarnos, alcanzando unos niveles
impensables hace 40 años.
•
Pero también nos hemos vuelto
tecnológicamente dependientes, y la
dependencia conlleva riesgos.
4
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Situación actual
Internet
5
© 2012 Deloitte, S.L.
Escenarios de riesgo
6
Como afrontar riesgos en ciberseguridad
Escenarios de riesgo
En ciberseguridad contemplamos dos grupos de amenazas principales:
•
Amenazas lógicas. Aquellas que afectan a la información de la
empresa.
•
Amenazas reputacionales. Aquellas que afectan a la reputación de la
marca o la empresa.
7
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Escenarios de riesgo
Por industria
8
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Estrategias corporativas
en ciberseguridad
9
Como afrontar riesgos en ciberseguridad
Estrategias corporativas en ciberseguridad
•
Las estrategias corporativas en ciberseguridad tienen que ir orientadas hacia
minimizar los riesgos existentes.
•
Tienen que existir planes integrales, no esperar a que surja un incidente de
seguridad (reactividad).
Cultura
Riesgo
Tecnología
Estrategia
Ciberseguridad
Visibilidad
Desarrollo
Políticas
10
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Estrategias corporativas en ciberseguridad
•
La concienciación del personal es
uno de los principales pilares.
•
Introducir la ciberseguridad dentro de
la cultura corporativa es uno de los
grandes retos.
•
Sin el aspecto cultural el riesgo
derivado de la ingeniería social
nunca se reducirá lo suficiente.
Cultura
Riesgo
Tecnología
Estrategia
Ciberseguridad
Desarrollo
Visibilidad
Políticas
11
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Estrategias corporativas en ciberseguridad
•
Tener un conocimiento claro a corto,
medio y largo plazo de las
tecnologías que se usan en la
organización.
•
Evitar el uso de tecnologías porque
sean lo último o porque me lo
recomienda el fabricante.
•
Hay que ser coherente con la
integración de nuevas tecnologías y
los sistemas de información que se
están usando actualmente.
Cultura
Riesgo
Tecnología
Estrategia
Ciberseguridad
Desarrollo
Visibilidad
Políticas
12
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Estrategias corporativas en ciberseguridad
•
La aparición de vulnerabilidades en
seguridad tiene su principal
componente en métodos ineficientes
de desarrollo de software.
•
Generar ciclos seguros de desarrollo
de software (SDLC).
•
Incluir en los pliegos de contratación
de sistemas de información pruebas
de evaluación de vulnerabilidades y
metodologías reconocidas
internacionalmente (Ej.: OWASP)
Cultura
Riesgo
Tecnología
Estrategia
Ciberseguridad
Desarrollo
Visibilidad
Políticas
13
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Estrategias corporativas en ciberseguridad
•
Incluir las políticas de ciberseguridad
dentro de las políticas corporativas
tradicionales, tales como políticas de
calidad o normas internas.
•
El establecimiento de políticas
obligatorias mejora la concienciación,
ya que manda un mensaje directo
desde gerencia hacia abajo.
Cultura
Riesgo
Tecnología
Estrategia
Ciberseguridad
Desarrollo
Visibilidad
Políticas
14
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Estrategias corporativas en ciberseguridad
•
Las amenazas de ciberseguridad
contra una organización no acaban
en su infraestructura tecnológica,
pero sí su visibilidad.
•
Conocer su visibilidad para prevenir
ataques informáticos, detectar robo
de información o cualquier otra
amenaza externa a la infraestructura
tecnológica.
Cultura
Riesgo
Tecnología
Estrategia
Ciberseguridad
Desarrollo
Visibilidad
Políticas
15
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Estrategias corporativas en ciberseguridad
•
Cada organización es diferente, por
alcance, ámbito, industria, relaciones,
competencia, enemigos,…
•
Conocer el riesgo que tenemos en
cada amenaza es el indicador que
necesitamos para establecer una
planificación estratégica.
Cultura
Riesgo
Tecnología
Estrategia
Ciberseguridad
Desarrollo
Visibilidad
Políticas
16
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Estrategias corporativas en ciberseguridad
Fuga de información
•
Minimizar los riesgos de amenazas internas mediante la implantación
de soluciones DLP (Data Leakage Prevention), especialmente si se
encuentran en entornos de alta disponibilidad (DLP gestionado).
•
Cerrar la brecha de seguridad de los dispositivos móviles mediante
soluciones MDM (Mobile Devices Management).
17
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Estrategias corporativas en ciberseguridad
Robo de información
•
Análisis estático. Reducción de las vulnerabilidades existentes en
aplicaciones informáticas mediante el uso de ciclos seguros de
desarrollo de software (SDLC) y herramientas automatizadas de
análisis de código fuente.
•
Análisis dinámico. Ciclos de evaluación de vulnerabilidades y pruebas
de intrusión a nivel de infraestructura y aplicaciones.
•
Cerrar la brecha de seguridad de los dispositivos móviles mediante
soluciones MDM (Mobile Devices Management).
18
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Estrategias corporativas en ciberseguridad
Denegación de servicios
•
Cibervigilancia. Detección de ataques planificados contra
organizaciones en redes sociales, especialmente organizaciones en el
punto de mira del hacktivismo.
•
Prevención DDoS. Implantación de soluciones tecnológicas para
mitigar el impacto de ataques de denegación de servicios.
19
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Estrategias corporativas en ciberseguridad
Acceso no autorizado
•
Monitorización activa. Monitorización y correlación de eventos de
seguridad que se generan en los dispositivos perimetrales de la
organización.
•
Concienciación. Mejora de las políticas corporativas para el
establecimiento de contraseñas seguras y la gestión de la información.
20
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Futuro
21
Como afrontar riesgos en ciberseguridad
Futuro
La previsión de ciberamenazas para los próximos años:
Ataques dirigidos y ciberespionaje
Acciones de hacktivismo
Ciberguerra
Cibervigilancia - OSSINT
Ataques contra entornos cloud y virtuales
Malware para dispositivos móviles
22
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Futuro
Ataques dirigidos
•
Se estima un incremento de los ataques
sofisticados dirigidos contra
organizaciones.
•
Incremento de ataques contra
organizaciones “puente”.
•
Los ataques dirigidos tendrán como
prioridad la obtención de información
confidencial (espionaje industrial) o el
acceso a sistemas financieros.
23
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Futuro
Acciones de hacktivismo
•
Incremento de ataques informáticos
contra entidades públicas y grandes
compañías.
•
El hacktivismo se está convirtiendo en un
fenómeno creciente, con mayor número
de seguidores, con un conocimiento cada
vez más especializado en seguridad
informática.
•
Amenazas relacionadas con robo de
información (libertad de información) y
ataques de denegación de servicios.
24
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Futuro
Ciberguerra
•
Incremento de ataques informáticos
orquestados por gobiernos, con la
intención de robar información sensible o
comprobar la seguridad de
infraestructuras críticas nacionales de
otros países.
•
Es una nueva forma de guerra fría entre
países enemistados o con intereses
contrapuestos en materia de recursos o
ideologías.
•
Malware con propósitos y objetivos
específicos: Stuxnet.
25
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Futuro
Cibervigilancia - OSSINT
•
Uso por parte de entidades públicas de
sistemas de cibervigilancia y gestión de
amenazas.
•
Se trata de integrar los tradicionales
sistemas informáticos de las fuerzas y
cuerpos de seguridad con herramientas
automatizadas de inteligencia de red y
monitorización de amenazas en Internet.
•
Ejemplos de la Policía Federal do Brasil y
la Policía Montada de Canadá.
26
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Futuro
Ataques contra entornos cloud y virtuales
•
Incremento de ataques informáticos
dirigidos contra entornos en la nube con
el objetivo de robar información.
•
Los sistemas en cloud disponen de
mayor accesibilidad y disponibilidad que
los sistemas informáticos tradicionales,
pero supone también una mayor
exposición de ataques externos.
•
Incremento de ataques contra sistemas
de máquinas virtuales, ya que con un
único ataque consigue amenazas a
multitud de organizaciones que
comparten recursos de computación.
27
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Futuro
Malware contra dispositivos móviles
•
Incremento del malware contra
dispositivos móviles.
•
La modificación de malware tradicional
para el entorno móvil. Ejemplo: Zeus.
•
El incremento de la productividad y el uso
que le damos a los dispositivos móviles,
como mayores transacciones bancarias o
compras en comercio electrónico,
provoca una consecuencia lógica
incrementando el interés de los
delincuentes por estas plataformas.
28
Como afrontar riesgos en ciberseguridad
© 2012 Deloitte, S.L.
Cesar Novo
Partner | Enterprise Risk Services
Republica Dominicana
T. 809 563 5151 Ext. 4710
D. 809 562 4712
C. 809 519 0383
[email protected]
David Montero
Senior Manager | CyberSoc
España
[email protected]
© 2012 Deloitte, S.L.
Deloitte se refiere a Deloitte Touche Tohmatsu Limited, (private company limited by guarantee, de acuerdo con la legislación del Reino
Unido) y a su red de firmas miembro, cada una de las cuales es una entidad independiente. En www.deloitte.com/about se ofrece una
descripción detallada de la estructura legal de Deloitte Touche Tohmatsu Limited y sus firmas miembro.
Deloitte presta servicios de auditoría, asesoramiento fiscal y legal, consultoría y asesoramiento en transacciones corporativas a
entidades que operan en un elevado número de sectores de actividad. Con una red de firmas miembro interconectadas a escala global
que se extiende por más de 150 países, Deloitte aporta las mejores capacidades y un servicio de máxima calidad a sus clientes,
ofreciéndoles la información que necesitan para abordar los complejos desafíos a los que se enfrentan. Deloitte cuenta en la región
con más de 200.000 profesionales, que han asumido el compromiso de convertirse en modelo de excelencia.
.
Esta publicación contiene exclusivamente información de carácter general, y Deloitte Touche Tohmatsu Limited, Deloitte Global
Services Limited, Deloitte Global Services Holdings Limited, la Verein Deloitte Touche Tohmatsu, así como sus firmas miembro y las
empresas asociadas de las firmas mencionadas (conjuntamente, la “Red Deloitte”), no pretenden, por medio de esta publicación,
prestar servicios o asesoramiento en materia contable, de negocios, financiera, de inversiones, legal, fiscal u otro tipo de servicio o
asesoramiento profesional. Esta publicación no podrá sustituir a dicho asesoramiento o servicios profesionales, ni será utilizada como
base para tomar decisiones o adoptar medidas que puedan afectar a su situación financiera o a su negocio. Antes de tomar cualquier
decisión o adoptar cualquier medida que pueda afectar a su situación financiera o a su negocio, debe consultar con un asesor
profesional cualificado. Ninguna entidad de la Red Deloitte se hace responsable de las pérdidas sufridas por cualquier persona que
actúe basándose en esta publicación.
30
Título presentación (opcional)
© 2012 Deloitte, S.L.