ibm - iss vision seguridad

IBM Information Security

Visión General de la Seguridad de la Información

Dic- 2009

2

Contenido

Panorama general de la seguridad de la información.

Retos de seguridad.

Nuestra visión general de solución.

Propuesta de soluciones integrales y efectivas.

Requerimientos generales para las soluciones.

Componentes del Framework de Seguridad• Soluciones de Seguridad con Tivoli• Soluciones de Seguridad con ISS• Soluciones de Seguridad con Rational App Scann

3

Panorama general de la seguridad de la información

La seguridad de la información es un problema con demasiadas aristas:• Atención de requerimientos• Alineación con las estrategias de la organización• Optimización del uso de recursos• Cumplimiento y transparencia• Entre muchos otros.

Es un problema complejo para todas las organizaciones.

4


Los riesgos, amenazas y vulnerabilidades se incrementan exponencialmente a cada momento, mientras la tecnología avanza rápidamente.

Las regulaciones obligatorias también han crecido sensiblemente… y además hay que operar.

5


El enfoque tradicional de la seguridad en las organizaciones no entrega los resultados esperados.

Pero no se arreglará si invertimos solamente en herramientas, o procesos, o consultoría, o en soluciones que no funcionan (subutilizadas o insuficientes)

Tecnología específica

Soluciones puntuales

Procesos y políticasaislados

Mayor complejidad

Costos redundantes

Uso ineficiente de recursos

Esquema de operación

fragmentado

6


Debido a que por cada control de seguridad, se afecta a la operación.

Considerando además, que los recursos son limitados y se compite contra otras áreas sustantivas de la organización.

OperaciónSeguridad

7

Retos de Seguridad en la Información

Amplio conjunto de políticas, estándares, y regulaciones de seguridad internas, de industria y gubernamentales

Integración de soluciones de seguridad física y lógica

Se incrementa el número de usuarios y dispositivos que accesan redes, aplicaciones y datos de la organización

Amenazas, virus, gusanos y vulnerabilidades crecientes.

Requerimientos regulatorios.

Diversas ubicaciones e identidades válidas

Uso no autorizado/no detectado de aplicaciones y datos.

Retos y riesgos inherentes en el uso de redes inteligentes (siguiente generación)

Mejorar eficiencia de la operación – gestión de costos

Preservación de la seguridad y privacidad de activos críticos.

8

Nuestra visión general de solución

La seguridad se asume con un enfoque integral y se evitan esfuerzos aislados dentro de la organización.

La seguridad se concibe como un grupo de características de la información y servicios definidos por los dueños y usuarios de la organización.

Smarter planet

Dynamic Infrastructure

Dynamic Infrastructure

ServiceManagement

seguridad

seguridad

9


La seguridad debe agregar valor real a los procesos del cliente, y contribuir al logro de su misión y objetivos.

Mantenimiento de la competitividad

Entrega de serviciosinnovadores

Incremento del valor

Objetivos de la organización Valor de la seguridad

• Enriquece la reputación de la organización• Habilita nuevos procesos de negocio.• Aumenta la confianza de los asociados• Mejora el desempeo del negocio• Reduce los costos de operación• Mitiga riesgos de seguridad relacionados con servicios

entregados en tecnologías web.

Mejora los sistemas de TI para lograr el cumplimiento de requerimientos regulatorios y de riesgos sin afectar los niveles de servicio y operación demandados.

Aumenta la rentabilidad del negocio a partir del soporte de la seguridad en nuevos productos y procesos dinámicos del negocio.

La seguridad permite gestionar el riesgo del negocio

La seguridad debe agregar valor a los procesos de negocio.

10


El valor se obtiene a partir de reconocer las necesidades del cliente, automatizar las tareas recurrentes y medir efectivamente el desempeño.

Identificación de los

requerimientos

Tratamiento estratégico de

riesgos

Implementación de soluciones

Medición y monitoreo del desempeño

Cumplimiento

11

Propuesta de soluciones integrales y efectivas

Framework de Seguridad de IBM. Su flexibilidad e integración favorece la habilitación de los esfuerzos de los clientes.

• Se habilita a través de mecanismos generales de identificación de

requerimientos reales de protección y operación de la

organización.

• Se considera la continuidad y enriquecimiento de los esfuerzos del

cliente.

• Se proporcionan diferentes esquemas y estrategias de

implementación de acuerdo a las necesidades de seguridad de la

organización.

• Favorecen la automatización de procesos de seguridad tales como:

gestión de usuarios, soporte a procesos de auditoría, monitoreo en

tiempo real.

• Las herramientas y esquemas de solución se apegan a

requerimientos del cliente y mejores prácticas de la industria.

USUARIOS E IDENTIDADES

GOBIERNO DE SEGURIDAD, GESTIÓN DE RIESGO Y CUMPLIMIENTO

DATOS E INFORMACIÓN

APLICACIONES Y PROCESOS

REDES, SERVIDORES Y END POINT

INFRAESTRUCTURA FÍSICA

Servicios administrado

s

Servicios profesionales

Hardware y software

12


• SEGURIDAD PARA CUMPLIMIENTOS• Demostrable aplicación de la política alineada a los

reglamentos, normas, leyes, acuerdos (PCI, FISMA, etc.)

• IDENTIDAD & ACCESO• Permitir la colaboración segura de los usuarios

internos y externos con el control y acceso seguro a la información, y las aplicaciones

• SEGURIDAD DE LA INFORMACION• Proteger y asegurar sus datos y archivos de

información

• SEGURIDAD EN SISTEMAS APLICATIVOS• Gestión continua, seguimiento y auditoria de

seguridad de aplicaciones

• SEGURIDAD EN LA INFRASESTRUCTURA • Administración completa de amenazas y

vulnerabilidades de configuraciones a través de las redes, servidores y puntos finales







Servicios administrados


Hardware y software

13










Hardware y software









Hardware y software

IBM Systems Group

14

Contenido

IBM Smart Planet.

Visión General de la Seguridad de la Información.

• Soluciones de Seguridad Tivoli.

• IBM Internet Security Systems.

• Soluciones de Seguridad con App Scan.

• Soluciones de Seguridad con Data Power.

Conclusiones

15

Contenido


Retos de seguridad.





Soluciones de Seguridad Tivoli

IBM Mexico

17

La gestión de la identidad conecta a las personas con los recursos que necesitan para ser productivos y obtener ganancias

1. Reconocer los usuarios validos

2. Sepa a lo que los usuarios tienen derecho a acceder

3. Control que le da acceso a que

4. Informe de auditoría y cumplimiento de políticas Store

Directory Lightweight Directory

Access Protocol

Synchronize Metadirectory

Administer Provision/manage

Enforce Authentication Authorization

Tivoli Identity & Access Management

Tivoli Federated Identity Mgt.

18

Propietarios de aplicación son capaces de mejorar la agilidad empresarial e impulsar el cumplimiento de los derechos de gestión para las nuevas aplicaciones compuestas y servicios

Gestionar el centro de aplicación las funciones, derechos y datos a nivel de acceso para la coherencia de la gestión de la seguridad

IT/Securidad Operational fortalecen la seguridad operacional y establecer la gestión pública con la política de seguridad unificada de gestiones

Proporcionar coherente seguridad a la gestión de la política a través de múltiples aplicaciones SOA DataPower

Solución basada en estándares de interoperabilidad

Estándares XACML para la gestión de derechos WS-Policy, WS-SecurityPolicy para seguridad SOA

Trae dos opciones Tivoli Security Policy Manager para SOA Tivoli Security Policy Manager para Derechos de

aplicación

Visibilidad - Proporcionar una visión única y global en funciones, derechos y datos de aplicación al nivel de acceso a través de LOB

Control – Fuente central de decisión política para gestionar la protección y el mensaje de politicas de autorización

Automatización - Reducir la lógica redundante aplicativa y segura para desplegar y gestionar un conjunto diverso de aplicaciones

Beneficios al Negocio

Tivoli Security Policy Manager

19

TAM ESSO V8 Personas & Identidades Encentuate ofrece

ESSO automatizado para ayudar a mejorar la productividad de los usuarios, mejorar la seguridad, implementar y documentar los esfuerzos de cumplimiento, y reducir los gastos de apoyo

Un amplio apoyo a aplicaciones comunes y flexible conjunto de herramientas para extender las aplicaciones a través de la empresa

Amplia integración con autenticación fuerte

Auditoría centralizada y presentación de informes de visibilidad en el acceso de los usuarios

Control de período de sesiones para la gestión compartida de escritorio

Permite la automatización del proceso single-sign-on, el control de acceso a los usuarios activos, y la visibilidad en la actividad de los usuarios a fin de ayudar a proveer el valor para nuestros clientes.

Security Governance, Risk Management and Compliance

Network, Server, and End-point

Physical Infrastructure

People and Identity

Data and Information

Application and Process

Common Policy, Event Handling and Reporting

The IBM Security Framework




People and Identity






People and Identity



Common Policy, Event Handling and Reporting

The IBM Security Framework

EnterpriseSSO

EnterpriseSSO

People & IdentityPeople & Identity

Application SecurityApplication Security

FederatedSSO

FederatedSSO

Web SSOWeb SSO

EncentuateEncentuateEncentuateEncentuateTivoli Access Manager for eBusiness

Tivoli Access Manager for eBusiness



Tivoli Federated Identity ManagerTivoli Federated Identity ManagerTivoli Federated Identity ManagerTivoli Federated Identity Manager

Audit & ComplianceAudit & Compliance

Business Benefits

20

IBM Tivoli Compliance Insight Manager supervisa los usuarios, y los sistemas de acceso e información

Personas Usuarios con altos

privilegios Contratistas Consultores

Comportamiento– errores, human error

– Sabotaje de datos o sistemas

– Robo y revelación de información

– Cambios o código erróneo

– Instalación de SW no autorizado

Sistemas Aplicaciones Base de datos Sistemas Operativos Mainframes etc.

Información– Información de

clientes

– Archivos de pacientes

– Información financiera

– Datos de recursos humanos

Usuarios Sistemas e Informacion

Comportamiento

21

IBM Tivoli Segurity Compliance Manager evalúa el cumplimiento de configuración de la plataforma

Auditorias de sistemas y aplicaciones de vulnerabilidades

identifica violaciones contra las políticas de seguridad

Automatiza las exploraciones de los servidores y sistemas de escritorio

Proporciona informes a los oficiales de seguridad y el cumplimiento de los auditores con información detallada sobre la seguridad de salud de la empresa

Identifica vulnerabilidades de seguridad del software antes de costosos daños causados por incidentes de seguridad

Mejora las operaciones comerciales y ayuda a aumentar el rendimiento a pesar de la automatización y centralización

Ayuda para abordar las cuestiones de cumplimiento a los reglamentos y las normas de cumplimiento mediante la automatización de tareas, control de correspondencia, la reducción de errores humanos y domar los costos de cumplimiento

Collected data

Servers

Collected dataLaptops/desktops

Servers

Tivoli Security Compliance Manager server

Managed systems with Tivoli Security Compliance

Manager client software running collectors on

independent schedules

Local or remote

¿Preguntas?

IBM Confidential

Documento para discusión

23

Contenido


Retos de seguridad.





IBM Internet Security System

IBM ISS México

25

IBM: Amplio portafolio de Seguridad, Gestión de Riesgo y Cumplimiento

El único Fabricante de Seguridad en el mercado con cobertura punto a punto en materia de seguridad

15,000 investigadores, desarrolladores y expertos en iniciativas de seguridad

3,000+ patentes de administración de riesgo y seguridad

200+ clientes como referencia en seguridad y 50+ casos de estudio publicados

40+ años de experiencia comprobada asegurando ambientes zSeries

$1.5 Billiones de dólares gastados en seguridad en 2008

26

IBM Hardware y Software de Seguridad

IBM ISS está preparado para hacer frente a las necesidades más críticas de seguridad de los clientes

IBM Servicios Profesionales de Seguridad

IBM Servicios Administrados de Seguridad

IBM

Th

reat

Mit

igat

ion

Ser

vice

s

IBM

Iden

tity

an

d A

cces

s M

gt

Ser

vice

s

IBM

Sec

uri

ty G

ove

rnan

ce S

ervi

ces

IBM

Sec

uri

ty A

pp

licat

ion

s S

ervi

ces

IBM

Dat

a S

ecu

rity

Ser

vice

s

IBM

Fra

ud

Pro

tect

ion

Ser

vice

s

27

Productos de Protección Empresarial

Vulnerability Assessment

Network Protection Server Protection

Asegura la disponibilidad de sus servicios generadores de negocio y protege su información corporativa identificando dónde se encuentran los riesgos, priorizando y asignando actividades de protección y reportando los resultados.

Seguridad de Datos – Provee datos históricos que permiten a las empresas encontrar el origen de un cambio, infiltración o patrón de comportamiento. Amenazas Internas – Rastrea el quién, cómo, cuándo y donde del comportamiento de los usuarios/administradorCompliance – Provee el reporteo necesario para demostrar la seguridad de la información confidencial

Seguridad de red de alto rendimiento con bloqueo entiempo real de ataques, coódigo malicioso y amenazas híbridas. Habilita la transaccíonalidad abierta segura en ambientes SOA para de manera eficiente preservar la disponibilidad de la red, reducir la carga de los recursos de IT y prevenir infiltraciones de seguridad. Protégé sistemas de correo electrónico y los datos que se pueden filtrar a través de los mismos.

SiteProtectorConsola de Seguridad Empresarial Unificada para todos los productos

27

Data Security Services

Fuga de Información – Un acercamiento holístico para que la información no se salga o escape de los ambientes controlados… ya sea accidental o intencionalmente.

28

IBM Proventia® Network IPS y el IBM Proventia Network Security Controller

IBM Proventia NetworkSecurity Controller Interfaces 10 Gbps para

balancear segmentos de red10 Gbps a través de varios Proventia IPS

Funcionalidad integrada de bypass para eliminar la necesidad de HW adicional en la red

Administración y configuración Plug and play

IBM Proventia NetworkIntrusion Prevention Respaldo del X-Force sobre

contenido de seguridad lo que incrementa el nivel de protección

Desempeño Carrier Class y confiabilidad

Complementamos con Servicios Administrados y Profesionales de Seguridad para darle valor al cliente

Protección para Redes 10 Gigabit– Aplica la protección de los IPS Proventia a redes

de alto desempeño– Extiende la vida de IPS existentes– Aplica la misma administración y políticas que usa

actualmente

– No se requieren nuevas consolas de administración, ni creación de nuevas políticas de seguridad

– Reduce el costo de las actualizaciónes de Red

– Seguridad escalable a medida que se incrementa la utilización de la red

292929

Proventia ESC

Application Control

Security Config Mgmt

Policy Mgmt

IPS

Firewall

Anti-Malware

X-Force Protection

Asset Discovery

Deployment/Removal

Power Mgmt

AV Client Mgr

Patch MgmtCompliance

NAC

DLP

Encryption

Content Analysis

30

Soluciones de seguridad en datos de IBM ISS

Enfocado en asegurar datos en movimiento

Enfocado en asegurar el Data Center

Enfocado a bloquear fuga de Información

31

Tecnologías complementarias, protección completa

Tecnologías complementarias IBM ISS Proventia™ previene intrusiones, ataques y abusos Fidelis XPS™ previene el filtrado de contenido confidencial

Protección completa Seguridad de entrada y salida para redes corporativas Profundidad de defensa asímetrica

31

FW

3232 04/12/23

PSS: Servicios de Seguridad exhaustivos de alcance Organizacional

EvaluarEvaluar Application Security Assessment Application Security Assessment Information Security AssessmentInformation Security Assessment Policy and ISO 17799 Gap Analysis Policy and ISO 17799 Gap Analysis Risk AssessmentsRisk Assessments Security Certification Program Security Certification Program FISMA AssessmentFISMA Assessment PCI AssessmentPCI Assessment Penetration TestPenetration Test

DiseñarDiseñar Implementation PlanningImplementation Planning Network Security Architecture Design Network Security Architecture Design Policy Design and Development Policy Design and Development QuickStart Programs for Regulatory QuickStart Programs for Regulatory

Compliance Compliance Security Strategy WorkshopSecurity Strategy Workshop Standards and Procedures DevelopmentStandards and Procedures Development

InstalarInstalar Deployment ServicesDeployment Services Migration ServicesMigration Services

Gestion & SoporteGestion & Soporte Emergency Response Services Emergency Response Services Staff Augmentation & SupportStaff Augmentation & Support X-Force Threat Analysis ServiceX-Force Threat Analysis Service

EducarEducar CertificationCertification On-Site & Off-Site ClassesOn-Site & Off-Site Classes Security Awareness ProgramSecurity Awareness Program Third Party ClassesThird Party Classes Secure Programing WorkshopSecure Programing Workshop

¿Preguntas?

IBM Confidential


34

Contenido


Retos de seguridad.





Soluciones de Seguridad AppScan

36

IBM Rational AppScan

El líder del mercado indiscutido

Ubicado en el #1 del mercado por IDC #1 en numerosas revistas de la industria

IBM Rational AppScan

es una herramienta que prueba la seguridad de las aplicaciones Web y automatiza la evaluación de las vulnerabilidades.

¿El resultado?Mejora la seguridad, costos menores, y la habilidad de cumplir con PCI, SOX, CNBV y otros estándares

37

Cómo funciona?

38

Reportes fáciles de entender

39

Reportando apego

PCISOXHIPAAGLBANERC/ FERCOWASP+40 More

40

What is being done by most people today

• Pen test

• Security team

Evolución de la seguridad de aplicaciones WEBEvolución de la seguridad de aplicaciones WEB

Strategic

Strategic

In-house In-house EstratégicoEstratégicoIn-house In-house

EstratégicoEstratégico

QA apoya en las pruebas Soporte del equipo de

seguridad Solución escalable

In-house Táctico

In-house Táctico

Esfuerzos manuales y herramientas de auditoría de escritorio

Recursos de seguridad internos limitados

Tercerizado

Tercerizado

Consultores en pruebas de penetración

Inconciente

Inconciente

Muchas organizaciones se mueven a través de un modelo de madurez al adoptar pruebas de aplicaciones WEB

¿Preguntas?

IBM Confidential


ibm - iss vision seguridad

Technology