Download Sensibilización en Seguridad Informática

Sensibilización en Seguridad Informática
Septiembre 2003
Enrique Witte
Consultor
ArCERT – Coordinación de Emergencias en Redes Teleinformáticas
Oficina Nacional del Tecnologías Informáticas
Subsecretaría de la Gestión Pública.
Jefatura de Gabinete de Ministros.
ewitte@arcert.gov.ar - http://www.arcert.gov.ar
Sensibilización en Seguridad Informática – Septiembre 2003
:: Qué se debe asegurar ?
Siendo que la información debe
considerarse como un recurso con el que
cuentan las Organizaciones y por lo tanto
tiene valor para éstas, al igual que el
resto de los activos, debe estar
debidamente protegida.
Sensibilización en Seguridad Informática – Septiembre 2003
:: Contra qué se debe proteger la Información ?
La Seguridad de la Información, protege a
ésta de una amplia gama de amenazas,
tanto de orden fortuito como destrucción,
incendio o inundaciones, como de orden
deliberado, tal como fraude, espionaje,
sabotaje, vandalismo, etc.
Sensibilización en Seguridad Informática – Septiembre 2003
:: Qué se debe garantizar ?
Confidencialidad: Se garantiza que la información es
accesible sólo a aquellas personas autorizadas a tener
acceso a la misma.
Integridad: Se salvaguarda la exactitud y totalidad de la
información y los métodos de procesamiento.
Disponibilidad: Se garantiza que los usuarios autorizados
tienen acceso a la información y a los recursos relacionados
con la misma toda vez que se requiera.
Sensibilización en Seguridad Informática – Septiembre 2003
:: Por qué aumentan las amenazas ?
Las Organizaciones son cada vez mas
dependientes de sus Sistemas y Servicios
de Información, por lo tanto podemos
afirmar que son cada vez mas vulnerables
a las amenazas concernientes a su
seguridad.
Sensibilización en Seguridad Informática – Septiembre 2003
:: Por qué aumentan las amenazas ?
Crecimiento exponencial de las Redes
y Usuarios Interconectados
Profusión de las BD On-Line
Algunas
Causas
Inmadurez de las Nuevas Tecnologías
Alta disponibilidad de Herramientas
Automatizadas de Ataques
Nuevas Técnicas de Ataque Distribuido
(Ej:DDoS)
Técnicas de Ingeniería Social
Sensibilización en Seguridad Informática – Septiembre 2003
:: Cuáles son las amenazas ?
Accidentes: Averías, Catástrofes,
Interrupciones, ...
Errores: de Uso, Diseño, Control, ....
Intencionales Presenciales: Atentado con acceso
físico no autorizado
Intencionales Remotas: Requieren acceso al
canal de comunicación
Sensibilización en Seguridad Informática – Septiembre 2003
:: Amenazas Intencionales Remotas
•Interceptación pasiva de la información
(amenaza a la CONFIDENCIALIDAD).
•Corrupción o destrucción de la
información (amenaza a la INTEGRIDAD).
•Suplantación de origen (amenaza a la
AUTENTICACIÓN).
Sensibilización en Seguridad Informática – Septiembre 2003
:: Cómo resolver el desafío de la Seguridad Informática ?
Las tres primeras tecnologías de protección más utilizadas son el
control de acceso/passwords (100%), software anti-virus (97%) y
firewalls (86%)
Los ataques más comunes durante el último año fueron los virus
informáticos (27%) y el spammimg de correo electrónico (17%)
seguido de cerca (con un 10%) por los ataques de denegación de
1
servicio y el robo de notebook.
El problema de la Seguridad Informática está en su
Gerenciamiento
y no en las tecnologías disponibles
Fuente: Centro de Investigación en Seguridad Informática Argentina
Sensibilización en Seguridad Informática – Septiembre 2003
:: Ejemplo de problemas de Gerenciamiento ... I
SOBIG.F
Según Trend Micro, en los últimos 7 días se infectaron 124.410
equipos en el mundo. Se dan todo tipo de cifras pero,
evidentemente, estas son solo estimaciones pues, como siempre,
nadie puede saber exactamente cuantas máquinas se han infectado
y cuantos usuarios se han perjudicado por las técnicas de spam que
utiliza el virus.
• El virus, desde el punto de vista técnico no contiene
grandes novedades
• Incorpora archivos adjuntos de formato .PIF y .SCR,
que son los que producen la infección al abrirse
Sensibilización en Seguridad Informática – Septiembre 2003
:: Hasta acá ....
Amenazas
Protección de la Información
Internas
Confidencialidad
Externas
Integridad
Disponibilidad
Gerenciar Seguridad Informática
Sensibilización en Seguridad Informática – Septiembre 2003
:: Pero tenemos mas ...
PRESUPUESTO
•Presupuestos pesificados y disminuidos
•Mantenimiento o aumento de los objetivos a
cumplir
•La reducción de inversión en TI en la
Organización genera riesgos de Seguridad
Informática
•La reducción de inversión en TI de clientes,
proveedores y aliados, genera riesgos de
Seguridad Informática
Sensibilización en Seguridad Informática – Septiembre 2003
:: Informática y Comunicaciones = Sistema de Seguridad
• Redes Únicas
• Concentración de Servicios Telefónicos y Datos
• Problemas de Confidencialidad y
Disponibilidad
Sensibilización en Seguridad Informática – Septiembre 2003
:: Seguimos con Seguridad Informática ....
Sensibilización en Seguridad Informática – Septiembre 2003