La empresa Interbank

Enunciado:

Piense en una organización X (póngale un nombre) a la cual aplicar las siguientes preguntas:

1. ¿Qué tipo de activos físicos, lógicos o técnicos y administrativos protegería? Justifique sus respuestas.
2. Aplique la sección de la ISO 27001 para organizar una estrategia de seguridad de la información para salvaguardar la información y los activos de la organización X.
3. Proponga un ejemplo dónde indique como aplicaría alguna sección de COBIT para gestionar la seguridad de la información. Justifique su respuesta.
4. Indique cómo aplicaría la estrategia de defensa en profundidad: anillos concéntricos para mitigar riesgo de seguridad de la información.
5. Indique cómo aplicaría la estrategia de defensa en profundidad: redundancia superpuesta para mitigar riesgo de seguridad de la información.

INTERBANK

4. La estrategia de anillos concéntricos es una serie de capas de seguridad, que permite que el atacante tenga un retraso en llegar a la información, esto nos ayuda a detectar que hay un atacante queriendo entrar.

Ejemplo:

La empresa Interbank tiene un banco de datos de los clientes (Nombres, apellidos, número de DNI, número de tarjeta, etc.). Vamos a ponerle 3 capas de seguridad para ingresar a estos datos, la primera capa para entrar seria código de usuario y contraseña para entrar a la plataforma, segunda capa de seguridad seria código de acceso de un Supervisor a cargo y la ultima capa de seguridad seria aprobación mediante un check verde en la plataforma por el jefe de área.

5. La estrategia de redundancia superpuesta son dos o más controles que trabajan en paralelo para proteger un activo, es más efectiva cuando son diferentes los controles, va entre más controles, más detecciones tendrá.

Ejemplo:

La empresa Interbank cuenta con su pagina web, y se da cuenta que esta viendo un ataque de envenenamiento de cookies, o sea que está habiendo una modificación de cookies, con el fin de eludir los mecanismos de seguridad, al hacer esto el atacante puede obtener información no autorizada o hasta robar su identidad. Para ello, se va a utilizar un cortafuegos de aplicaciones web, que va a ayudar a supervisar la red y bloquear los posibles ataques, también se tendrá métodos almacenados con límites que se parametrizan automáticamente y por último se puede colocar CAPTCHAP, para asegurar que el que esta entrando en la pagina sean personas y no bots, todo lo dicho puede funcionar paralelamente sin ningún problema, para tener una página web segura.

1. Activos físicos: Seria Infraestructura de TI, Centros de datos, Habitaciones de equipos y servidores, Armarios de red, inventario o inmuebles. Estos serían protegidos ya que, en las cosas físicas esta el capital de la empresa y la información del cliente. Estos se protegerían con cámaras de vigilancias, sistema de alarmas, se puede adoptar controles para reducir el peligro de probables amenazas físicas y del medio ambiente, por ejemplo, hurto, incendio, explosivos, humo, agua (o fracasa en el abastecimiento de agua), efectos químicos, etc.

Activos lógicos o técnicos: Seria datos digitales, como datos personales, financieros, correo electrónico, contestadores automáticos, bases de datos, unidades lógicas, copias de seguridad. Estos deben de ser protegidos por los ataques cibernéticos, también por inacción del servidor que eventualmente es provocada por un error humano. La estabilidad lógica no solo disminuye la probabilidad de errores humanos al delimitar la entrada, sino que además provoca que sea más simple rastrear errores y diagnosticar inconvenientes una vez que ocurren.

Activos administrativos: Seria usuarios que poseen ingreso a qué recursos e información utilizando medios como, por ejemplo, estrategias de selección de personal y división, registro y contabilidad, información de la empresa, políticas de la empresa, procesos de la empresa, etc. Estos deben de ser protegidos ya que, si terceras personas cuentan con aquella información, se puede ver la vulnerabilidad de ante la competencia, se pierde la confianza de los clientes, puede ver pérdidas económicas y sobre todo robo de información.

...