Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Metodologas para la implantacin de SGSI

Mara Eugenia Corti
Grupo de Seguridad Informtica Instituto de Computacin Facultad de Ingeniera - UdelaR mcorti@fing.edu.uy

24/06/2010

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Contenido
1

Metodologa para un grupo empresarial jerrquico Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro Metodologa para PyMEs Uruguayas Motivacin Metodologa Propuesta Conclusiones Prototipo de automatizacin de las actividades Principales Funcionalidades Arquitectura y Diseo del Sistema Demo Conclusiones Referencias
Mara Eugenia Corti Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro

Motivacin

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro

Motivacin

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro

Enfoque

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro

Organigrama de Seguridad
Del grupo/Empresa Principal Direccion/Gerencia General

De la empresa subordinada Direccion

Comite de Seguridad

Extendido

Especialistas y Consultorias Externas

Equipo de Planeamiento

Extendido

Planificacion Estrategica (Infraestructura, productos, Servicios)

Operaciones

Divisiones Transversales y de Apoyo/Soporte

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro

Organigrama de Seguridad

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro

Sntesis Grca

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro

Sntesis Grca

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro

Sntesis Grca

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro

Grafo de Valoracin y Dependencia de Activos

E. Principal
(Vc,Vi,Vd)

E. Subordinada
(Vc,Vi,Vd) (Vc,Vi,Vd) (Vc,Vi,Vd) (Vc,Vi,Vd)

(Vc,Vi,Vd)

(Vc,Vi,Vd)

(Vc,Vi,Vd) (Vc,Vi,Vd)

Proceso empresa principal Activo empresa principal Proceso empresa subordinada Activo empresa subordinada

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro

Grafo de Valoracin y Dependencia de Activos

E. Principal
(Vc,Vi,Vd)

E. Subordinada
(Vc,Vi,Vd) (Vc,Vi,Vd) (Vc,Vi,Vd) (Vc,Vi,Vd)

(Vc,Vi,Vd)

(Vc,Vi,Vd)

(Vc,Vi,Vd) (Vc,Vi,Vd)

Proceso empresa principal Activo empresa principal Proceso empresa subordinada Activo empresa subordinada

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro

Documentacin

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro

Propuesta de Software de Apoyo

Workflow: que comprenda la naturaleza jerrquica del grupo empresarial Vistas o capas de abstraccin Gestin de roles Gestin de riesgos: Top Down con intervenciones Bottom Up Gestin de documentacin Valoracin de activos y dependencia (grafos) Gestin de dependencias inter-empresariales Revaloraciones

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro

Conclusiones
Una estructura empresarial compleja requiere de una metodologa de implantacin especca Enfoque sistmico, con direccin jerrquica y gerenciamiento distribuido Gestin en diferentes niveles: Estratgico, Tctico y Operacional Mecanismos de comunicacin y cooperacin bien denidos para cada fase de la implantacin y mantenimiento Estructura organizacional de Seguridad de la Informacin Software de apoyo facilita la implantacin Metodologa propuesta conforme a la ISO/IEC 27001

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones y Trabajo Futuro

Trabajo Futuro

Validacin de la metodologa. Conrmacin experimental. Especicacin y desarrollo del software sugerido

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones

Motivacin

Contribuir a la elaboracin de herramientas y metodologas que faciliten la implementacin y mejora continua de SGSI Identicar metodologas y procedimientos adecuados a las caractersticas de las PyMEs uruguayas Cubrir organizaciones carentes de metodologas o prcticas de seguridad especcos o generales Especicacin de requerimientos de software para una herramienta de automatizacin de la implantacin y mejora continua de SGSI

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones

Caractersticas de las PyMEs

Estructura organizacional jerrquica poco compleja Infraestructura informtica de pocos recursos y desactualizada 67 % del software no legalizado Pocos recursos humanos dedicados Conectadas a Internet Nivel de seguridad de la informacin nulo o mnimo

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones

Sntesis Grca

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones

Etapa de Planicacin

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones

Identicar Activos

Identicar Categoras identicar Propietarios

Categora HW SW Nombre PT SABD SisteFact Caractersticas Puestos de Trabajo Servidor de Base de Datos Sistema de facturacin y control de stock Propietario

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones

Identicar Activos

Identicar Categoras identicar Propietarios

Categora HW SW Nombre PT SABD SisteFact Caractersticas Puestos de Trabajo Servidor de Base de Datos Sistema de facturacin y control de stock Propietario

Determinar Dependencias
SistFact SUELDOS PROD CLIENTES X X SistSueldos X SistContab X

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones

Identicar Activos (Cont.)

Denir Escala
10 7-9 4-6 1-3 0 Valor muy alto alto medio bajo despreciable Criterio dao muy grave a la organizacin dao grave a la organizacin dao importante a la organizacin dao menor a la organizacin irrelevante a los efectos prcticos

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones

Identicar Activos (Cont.)

Denir Escala
10 7-9 4-6 1-3 0 Valor muy alto alto medio bajo despreciable Criterio dao muy grave a la organizacin dao grave a la organizacin dao importante a la organizacin dao menor a la organizacin irrelevante a los efectos prcticos

Valorar
Dependencias Sea SUP(B) = {Ai , Ai B} Valor_acumulado(B) = max(valor(B), maxi [valor(Ai )]) Ai SUP(B)

SABD FW-Web

Disponibilidad 5 4

Integridad 6 4

Condencialidad 4 3
Metodologas para la implantacin de SGSI

Mara Eugenia Corti

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones

Identicar Amenazas

Determinar Escala
Frecuencia A diario Mensualmente Una vez al ao Cada varios aos Valor Muy frecuente Frecuente Normal Poco frecuente Tasa 100 10 1 1/10 Escala 4 3 2 1

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones

Identicar Amenazas

Determinar Escala
Frecuencia A diario Mensualmente Una vez al ao Cada varios aos Valor Muy frecuente Frecuente Normal Poco frecuente Tasa 100 10 1 1/10 Escala 4 3 2 1

Estimar Frecuencia y Degradacin

Activo/Categora HW Amenaza Alteraciones elctricas Robo Frecuencia 3 1 Degradacin Disp. Int. Conf. 100 % 50 % 100 % 100 %

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones

Evaluar Impacto y Riesgo

Impacto = valor x degradacin Riesgo = impacto x probabilidad de ocurrencia

Categora Aplicativos Activo SistFact/SistContab SistFact/SistContab Amenaza Errores de usuarios Virus Disp. I R 1 4 1 4 I 4 4 Int. R 16 16 Conf. I R 2 6 1 4 RA 26 24

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones

Tratamiento de Riesgos

1
1 D. Villafranca et al., Hacia un modelo de gestin de la informacin para la pequea y mediana empresa con la
ISO/IEC 17799, CIBSI05 Mara Eugenia Corti Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones

Clases de Proteccin

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones

Etapa de Implementacin

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Motivacin Metodologa Propuesta Conclusiones

Conclusiones

Metodologa pensada para PyMEs Uruguayas Propone una particin de actividades, contribuyendo a claricar la visin global del proceso Rena el proceso de diseo de soluciones para el tratamiento de riesgos Dene en cada etapa la documentacin resultante Capacitacin y concientizacin un proceso continuo Especicacin de requerimientos de software de automatizacin de actividades

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Principales Funcionalidades Arquitectura y Diseo del Sistema Demo Conclusiones

Principales Funcionalidades
Gestin de usuarios, grupos y permisos Gestin de la documentacin Automatizacin de actividades del SGSI
Generar Documento de Alcance y poltica de seguridad Alta de categoras de activos, identicacin de activos, dependencia de activos Identicacin de amenazas, asociar amenaza a activo Evaluacin de impacto y riesgo Alta controles, asociar control a activo-amenaza, asignar indicador a control Generar documento de aplicabilidad Reporte de evaluacin de riesgos Calculo de impacto y riesgo residual, Grca comparativa de riesgo acumulado y residual Reporte de implementacin de controles

Noticaciones
Mara Eugenia Corti Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Principales Funcionalidades Arquitectura y Diseo del Sistema Demo Conclusiones

Principales Funcionalidades (Cont.)

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Principales Funcionalidades Arquitectura y Diseo del Sistema Demo Conclusiones

Gestin de la documentacin

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Principales Funcionalidades Arquitectura y Diseo del Sistema Demo Conclusiones

Arquitectura y diseo del sistema

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Principales Funcionalidades Arquitectura y Diseo del Sistema Demo Conclusiones

Tecnologas utilizadas

Sun Java System Application Server 9

Postgres 8.2

Netbeans IDE 6.0 M10

Visual Java Server Faces

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Principales Funcionalidades Arquitectura y Diseo del Sistema Demo Conclusiones

Demo

Demo

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Principales Funcionalidades Arquitectura y Diseo del Sistema Demo Conclusiones

Conclusiones

Prototipo que implementa la metodologa especicada Desarrollado con tecnologas de cdigo abierto Genera y gestiona la documentacin Gestin centralizada del SGSI Mdulo de noticacin

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Referencias
G. Pallas, Metodologa de Implantacin de un SGSI en un grupo empresarial jerrquico, Tesis de Maestra, 2010. M.Corti, G. Pallas, Metodologa de Implantacin de un SGSI en grupos empresariales de relacin jerrquica, IV Congreso Iberoamericano de Seguridad Informtica, 2009. M. Gels, N. De Maio, Automatizacin de Actividades de Implantacin y Mejora Continua de un SGSI, Tesis de Grado, 2007.

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Referencias (Cont.)

M. Corti, Anlisis y Automatizacin de la Implantacin de SGSI en Empresas Uruguayas, Tesis de Maestra, 2006. G.Betarte, M.Corti, R. de la Fuente, Hacia una implementacin exitosa de un SGSI, III Congreso Iberoamericano de Seguridad Informtica, 2005.

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Gracias por su tiempo

Mara Eugenia Corti

Metodologas para la implantacin de SGSI

Metodologa para un grupo empresarial jerrquico Metodologa para PyMEs Uruguayas Prototipo de automatizacin de las actividades Referencias

Metodologas para la implantacin de SGSI

Mara Eugenia Corti
Grupo de Seguridad Informtica Instituto de Computacin Facultad de Ingeniera - UdelaR mcorti@fing.edu.uy

24/06/2010

Mara Eugenia Corti

Metodologas para la implantacin de SGSI