El 14 de septiembre de 2017, publicamos una versión revisada de nuestra Política de privacidad. Tu uso continuado de video2brain.com significa que aceptas este documento revisado, por lo que te recomendamos que dediques unos minutos a leerlo y comprenderlo.

Fundamentos de la ciberseguridad para profesionales IT

Proceso DSS05 de COBIT 5

Prueba ahora LinkedIn Learning sin cargo y sin compromiso.

Prueba gratis Mostrar modalidades de suscripción
Ahora nos vamos a centrar en uno de los procesos más interesantes de COBIT, el definido para Gestión de Servicios de Seguridad. Veremos su composición y sus objetivos, que, implementando o no COBIT, deberían tenerse siempre en cuenta.

Transcripción

Enmarcado dentro del framework de COBIT5 desarrollado por ISACA, encontramos el proceso DSS05 que es la base fundamental de un plan de defensa en ciberseguridad. Este proceso tiene siete objetivos de control de seguridad operacional. El primero es la protección contra malware. El segundo, gestión de redes y seguridad de conexiones. El DSS05.03, gestión de seguridad de terminales. El cuarto, gestión de identidad de usuarios y acceso lógico. El quinto, gestión de acceso físico a IT. El punto 06, gestión de documentación sensible y dispositivos de salida. Y el punto 07 y último, supervisión de la infraestructura para detección de incidentes de seguridad. Todos los objetivos de control que vamos a enunciar a continuación forman parte del conjunto de actividades que debe ejecutar y gestionar el centro de operaciones de ciberseguridad de cualquier organización. El primer objetivo de control es la protección contra malware. Dado que la mayor parte de los ciberataques perpetrados hoy en día utilizan algún tipo de malware, suponen un reto para la ciberseguridad. Entre las actividades y controles a establecer, está la implementación de antivirus, la aplicación de parches de seguridad, la actualización constante de información sobre ciberseguridad, gestión de cambios, filtrado y supervisión de tráfico de red, y formación en seguridad. Gestión de redes y seguridad de conexiones es el segundo objetivo de control de DSS05 e incluye políticas de conexiones de red, imposición de contraseñas de acceso, despliegue de firewalls y sistemas de detección de intrusiones, cifrado de comunicaciones y protocolos de seguridad en red, configuración y compartimentación de redes, implementación de sistemas de verificación de la seguridad de transmisión y recepción y, por último, evaluación de las medidas de seguridad, incluyendo pen-testing. El tercer punto es la gestión de seguridad de terminales que cubre la configuración de seguridad de equipos tales como servidores, computadoras de escritorio y portátiles, tablets, teléfonos, elementos de red y muchos otros. La fortificación o hardening de equipos, que es la aplicación de medidas estrictas de seguridad como, por ejemplo, eliminar cualquier aplicación o servicio innecesario o bloquear los puertos de comunicaciones físicos y lógicos que no se vayan a utilizar. Y, por último, está la gestión del acceso remoto a los equipos y a la infraestructura. La gestión de identidad de usuarios y acceso lógico es el cuarto objetivo de control de DSS05; uno de los más complejos del proceso, ya que involucra en gran medida el factor humano, y afecta a la disponibilidad y usabilidad de los sistemas. De igual modo, un mal diseño puede hacer inútiles el resto de objetivos de control. Una de sus principales funciones es la gestión de identidades de usuario y aplicación, por lo que debe controlar la vida de las identidades desde su creación hasta su eliminación. Establecer los privilegios que se asignan a cada identidad o grupo de ellas. También se ocupa de los sistemas de autenticación y autorización de accesos, y la supervisión constante de identidades y privilegios, así como de las vías de acceso y registro. El quinto objetivo de control es la gestión de acceso físico a recursos IT, incluyendo seguridad perimetral como verjas, cerraduras, puertas y otras, sistemas de detección de intrusión como alarmas sensorizadas o sistemas de videovigilancia, sistemas de registro y controles de acceso de personal por zonas, elementos de identificación de personal como tarjetas o tokens, y protocolos de gestión de visitas. Un medio para reducir el esfuerzo que supone el quinto objetivo de control de DSS05 es subcontratar infraestructuras como servicios, es decir, trasladar recursos a empresas de hosting o servicios cloud. De esta manera, transferimos ciertos riesgos, pero también debemos tener en cuenta que perdemos cierto control, y que hay que solicitar al proveedor del servicio unos criterios mínimos de seguridad. La gestión de documentación sensible y dispositivos de salida es el sexto objetivo de control y está enfocado, sobre todo, a evitar la exfiltración de información sensible, ya sea física o digitalmente, lo cual es complicado, dado que constantemente se envían correos electrónicos, entran y salen computadoras portátiles y smartphones en la organización y, a menudo, operan en redes fuera de nuestro control. Para facilitar este objetivo de control, existen medidas como cifrado de comunicaciones y soportes de memoria, conexiones VPN, gestión de privilegios de acceso a información, protección de terminales mediante contraseñas, entre otras. Por último, tenemos la supervisión de la infraestructura para detección de incidentes de seguridad que consiste en establecer medidas de monitorización y análisis que permitan detectar qué eventos de los que tienen lugar en nuestra infraestructura pueden considerarse indicadores de una incidencia de seguridad, sea presente, pasada o futura. Para esto, se instalan sistemas de detección y prevención de intrusiones, más conocidos como IDS e IPS. También están los sistemas de registro de actividad (o Logs) y los sistemas de gestión de información y eventos de seguridad (o sistemas SiEM). Se deben establecer los mecanismos de notificación de incidencias para su procesado, y en caso de tratarse de infraestructuras críticas, los reportes adecuados a las autoridades competentes. Y, por último, aunque no menos importante, la recolección de evidencias forenses para el desarrollo de las acciones pertinentes, tanto legales como de adaptación de los planes y objetivos de control.

Fundamentos de la ciberseguridad para profesionales IT

Descubre distintos métodos de evaluación de riesgos y de gestión de incidentes basados en frameworks o marcos de trabajo preestablecidos de alto reconocimiento a nivel mundial.

2:58 horas (27 Videos)
Actualmente no hay comentarios.
 
Temas:
IT
Seguridad IT
Fecha de publicación:29/08/2017

Este curso video2brain está disponible como descarga y para ser visualizado online. ¡Pero no hace falta que decidas entre las dos opciones! Al comprar el curso, disfrutarás de ambas posibilidades.

La descarga te permite ver las lecciones sin estar conectado/a a internet y supone una navegación fácil y ágil entre capítulo y capítulo. Si vas a trabajar en diferentes ordenadores o si no quieres descargarte el curso completo, entra en la web con tus datos de acceso y disfruta directamente de tus vídeos online. Te deseamos que disfrutes de este curso y te resulte de mucha utilidad.

Estamos a tu disposición si tienes cualquier tipo de duda o pregunta.