metodologias para implantacion del sgsi
Post on 14-Jul-2015
102 Views
Preview:
TRANSCRIPT
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Metodologas para la implantacin de SGSIMara Eugenia CortiGrupo de Seguridad Informtica Instituto de Computacin Facultad de Ingeniera - UdelaR mcorti@fing.edu.uy
24/06/2010
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Contenido1
Metodologa para un grupo empresarial jerrquico Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro Metodologa para PyMEs Uruguayas Motivacin Metodologa Propuesta Conclusiones Prototipo de automatizacin de las actividades Principales Funcionalidades Arquitectura y Diseo del Sistema Demo Conclusiones ReferenciasMara Eugenia Corti Metodologas para la implantacin de SGSI
2
3
4
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro
Motivacin
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro
Motivacin
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro
Enfoque
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro
Organigrama de SeguridadDel grupo/Empresa Principal Direccion/Gerencia General
De la empresa subordinada Direccion
Comite de Seguridad
Extendido
Especialistas y Consultorias Externas
Equipo de Planeamiento
Extendido
Planificacion Estrategica (Infraestructura, productos, Servicios)
Operaciones
Divisiones Transversales y de Apoyo/Soporte
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro
Organigrama de Seguridad
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro
Sntesis Grca
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro
Sntesis Grca
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro
Sntesis Grca
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro
Grafo de Valoracin y Dependencia de Activos
E. Principal(Vc,Vi,Vd)
E. Subordinada(Vc,Vi,Vd) (Vc,Vi,Vd) (Vc,Vi,Vd) (Vc,Vi,Vd)
(Vc,Vi,Vd)
(Vc,Vi,Vd)
(Vc,Vi,Vd) (Vc,Vi,Vd)
Proceso empresa principal Activo empresa principal Proceso empresa subordinada Activo empresa subordinada
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro
Grafo de Valoracin y Dependencia de Activos
E. Principal(Vc,Vi,Vd)
E. Subordinada(Vc,Vi,Vd) (Vc,Vi,Vd) (Vc,Vi,Vd) (Vc,Vi,Vd)
(Vc,Vi,Vd)
(Vc,Vi,Vd)
(Vc,Vi,Vd) (Vc,Vi,Vd)
Proceso empresa principal Activo empresa principal Proceso empresa subordinada Activo empresa subordinada
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro
Documentacin
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro
Propuesta de Software de Apoyo
Workflow: que comprenda la naturaleza jerrquica del grupo empresarial Vistas o capas de abstraccin Gestin de roles Gestin de riesgos: Top Down con intervenciones Bottom Up Gestin de documentacin Valoracin de activos y dependencia (grafos) Gestin de dependencias inter-empresariales Revaloraciones
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro
ConclusionesUna estructura empresarial compleja requiere de una metodologa de implantacin especca Enfoque sistmico, con direccin jerrquica y gerenciamiento distribuido Gestin en diferentes niveles: Estratgico, Tctico y Operacional Mecanismos de comunicacin y cooperacin bien denidos para cada fase de la implantacin y mantenimiento Estructura organizacional de Seguridad de la Informacin Software de apoyo facilita la implantacin Metodologa propuesta conforme a la ISO/IEC 27001
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro
Trabajo Futuro
Validacin de la metodologa. Conrmacin experimental. Especicacin y desarrollo del software sugerido
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones
Motivacin
Contribuir a la elaboracin de herramientas y metodologas que faciliten la implementacin y mejora continua de SGSI Identicar metodologas y procedimientos adecuados a las caractersticas de las PyMEs uruguayas Cubrir organizaciones carentes de metodologas o prcticas de seguridad especcos o generales Especicacin de requerimientos de software para una herramienta de automatizacin de la implantacin y mejora continua de SGSI
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones
Caractersticas de las PyMEs
Estructura organizacional jerrquica poco compleja Infraestructura informtica de pocos recursos y desactualizada 67 % del software no legalizado Pocos recursos humanos dedicados Conectadas a Internet Nivel de seguridad de la informacin nulo o mnimo
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones
Sntesis Grca
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones
Etapa de Planicacin
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones
Identicar Activos
Identicar Categoras identicar PropietariosCategora HW SW Nombre PT SABD SisteFact Caractersticas Puestos de Trabajo Servidor de Base de Datos Sistema de facturacin y control de stock Propietario
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones
Identicar Activos
Identicar Categoras identicar PropietariosCategora HW SW Nombre PT SABD SisteFact Caractersticas Puestos de Trabajo Servidor de Base de Datos Sistema de facturacin y control de stock Propietario
Determinar DependenciasSistFact SUELDOS PROD CLIENTES X X SistSueldos X SistContab X
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones
Identicar Activos (Cont.)Denir Escala10 7-9 4-6 1-3 0 Valor muy alto alto medio bajo despreciable Criterio dao muy grave a la organizacin dao grave a la organizacin dao importante a la organizacin dao menor a la organizacin irrelevante a los efectos prcticos
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones
Identicar Activos (Cont.)Denir Escala10 7-9 4-6 1-3 0 Valor muy alto alto medio bajo despreciable Criterio dao muy grave a la organizacin dao grave a la organizacin dao importante a la organizacin dao menor a la organizacin irrelevante a los efectos prcticos
ValorarDependencias Sea SUP(B) = {Ai , Ai B} Valor_acumulado(B) = max(valor(B), maxi [valor(Ai )]) Ai SUP(B)
SABD FW-Web
Disponibilidad 5 4
Integridad 6 4
Condencialidad 4 3Metodologas para la implantacin de SGSI
Mara Eugenia Corti
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones
Identicar Amenazas
Determinar EscalaFrecuencia A diario Mensualmente Una vez al ao Cada varios aos Valor Muy frecuente Frecuente Normal Poco frecuente Tasa 100 10 1 1/10 Escala 4 3 2 1
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones
Identicar Amenazas
Determinar EscalaFrecuencia A diario Mensualmente Una vez al ao Cada varios aos Valor Muy frecuente Frecuente Normal Poco frecuente Tasa 100 10 1 1/10 Escala 4 3 2 1
Estimar Frecuencia y DegradacinActivo/Categora HW Amenaza Alteraciones elctricas Robo Frecuencia 3 1 Degradacin Disp. Int. Conf. 100 % 50 % 100 % 100 %
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones
Evaluar Impacto y Riesgo
Impacto = valor x degradacin Riesgo = impacto x probabilidad de ocurrenciaCategora Aplicativos Activo SistFact/SistContab SistFact/SistContab Amenaza Errores de usuarios Virus Disp. I R 1 4 1 4 I 4 4 Int. R 16 16 Conf. I R 2 6 1 4 RA 26 24
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones
Tratamiento de Riesgos
11 D. Villafranca et al., Hacia un modelo de gestin de la informacin para la pequea y mediana empresa con laISO/IEC 17799, CIBSI05 Mara Eugenia Corti Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones
Clases de Proteccin
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones
Etapa de Implementacin
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Motivacin Metodologa Propuesta Conclusiones
Conclusiones
Metodologa pensada para PyMEs Uruguayas Propone una particin de actividades, contribuyendo a claricar la visin global del proceso Rena el proceso de diseo de soluciones para el tratamiento de riesgos Dene en cada etapa la documentacin resultante Capacitacin y concientizacin un proceso continuo Especicacin de requerimientos de software de automatizacin de actividades
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Principales Funcionalidades Arquitectura y Diseo del Sistema Demo Conclusiones
Principales FuncionalidadesGestin de usuarios, grupos y permisos Gestin de la documentacin Automatizacin de actividades del SGSIGenerar Documento de Alcance y poltica de seguridad Alta de categoras de activos, identicacin de activos, dependencia de activos Identicacin de amenazas, asociar amenaza a activo Evaluacin de impacto y riesgo Alta controles, asociar control a activo-amenaza, asignar indicador a control Generar documento de aplicabilidad Reporte de evaluacin de riesgos Calculo de impacto y riesgo residual, Grca comparativa de riesgo acumulado y residual Reporte de implementacin de controles
NoticacionesMara Eugenia Corti Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Principales Funcionalidades Arquitectura y Diseo del Sistema Demo Conclusiones
Principales Funcionalidades (Cont.)
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Principales Funcionalidades Arquitectura y Diseo del Sistema Demo Conclusiones
Gestin de la documentacin
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Principales Funcionalidades Arquitectura y Diseo del Sistema Demo Conclusiones
Arquitectura y diseo del sistema
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Principales Funcionalidades Arquitectura y Diseo del Sistema Demo Conclusiones
Tecnologas utilizadas
Sun Java System Application Server 9
Postgres 8.2
Netbeans IDE 6.0 M10Visual Java Server Faces
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Principales Funcionalidades Arquitectura y Diseo del Sistema Demo Conclusiones
Demo
Demo
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Principales Funcionalidades Arquitectura y Diseo del Sistema Demo Conclusiones
Conclusiones
Prototipo que implementa la metodologa especicada Desarrollado con tecnologas de cdigo abierto Genera y gestiona la documentacin Gestin centralizada del SGSI Mdulo de noticacin
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
ReferenciasG. Pallas, Metodologa de Implantacin de un SGSI en un grupo empresarial jerrquico, Tesis de Maestra, 2010. M.Corti, G. Pallas, Metodologa de Implantacin de un SGSI en grupos empresariales de relacin jerrquica, IV Congreso Iberoamericano de Seguridad Informtica, 2009. M. Gels, N. De Maio, Automatizacin de Actividades de Implantacin y Mejora Continua de un SGSI, Tesis de Grado, 2007.
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Referencias (Cont.)
M. Corti, Anlisis y Automatizacin de la Implantacin de SGSI en Empresas Uruguayas, Tesis de Maestra, 2006. G.Betarte, M.Corti, R. de la Fuente, Hacia una implementacin exitosa de un SGSI, III Congreso Iberoamericano de Seguridad Informtica, 2005.
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Gracias por su tiempo
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias
Metodologas para la implantacin de SGSIMara Eugenia CortiGrupo de Seguridad Informtica Instituto de Computacin Facultad de Ingeniera - UdelaR mcorti@fing.edu.uy
24/06/2010
Mara Eugenia Corti
Metodologas para la implantacin de SGSI
top related