Hola en este video del curso de seguridad de la información miraremos unos aspectos de reflexión constante
sobre seguridad parte de la reflexión que queremos hacer acá es que recuerden que la información que
en algún momento está siendo procesada transmitida o almacenada podría llegar a ser de interés de la
competencia de su empresa por ejemplo y aquí hablamos ejemplo del tema de gobierno cuando un gobierno
quiere acceder a la información de otro gobierno y demás sabemos si la base de datos está protegida
de manos criminales.
Y cuando hablamos de bases de datos no sólo estamos hablando de SQL de Oracle de Access de digamos ya
no sistemas de información sino hay otras bases de datos y de seguro las hay en todas las empresas que
se han venido formando en repositorios diferentes.
Hoy en día el tema de carpetas compartidas el tema de tener todos los repositorios en una carpeta se
usa mucho en las empresas para poder dar esa facilidad del acceso a la información en las diferentes
áreas.
Eso también puede considerarse base de datos.
Estamos protegiendo eso de alguna manera tenemos algún control para que solo en esas carpetas haya información
de las últimas 24 horas de la última semana se saca un respaldo cuando hablamos de bases de datos es
hablar en general de donde se está almacenando esa información y que es consultada por las diferentes
áreas del negocio.
Su empresa tiene un plan para seguir operando después de un desastre.
Usted ha aprobado su plan de gestión de incidentes consultorías le dicen a uno acá hay incidentes todo
el tiempo.
Tal vez todos esos incidentes están más relacionados con incidentes de servicio como los de PC y ITIL.
Qué debo hacer si el correo no me sirve.
Qué debo hacer si tengo problemas para acceder a un directorio pero en realidad ese plan de gestión
de incidentes me va a ayudar en el momento que yo sea víctima de un fraude.
Me va a ayudar en el momento que haya una fuga de información.
Entonces esas son las pruebas que hay que hacerles a esos planes de gestión de incidentes por ejemplo
para poder garantizar si ante esas amenazas o esos desastres cosas que podríamos considerar de alto
impacto podemos reaccionar o sabemos cómo reaccionar.
Se tienen controles y procedimientos para la protección del software malicioso.
Les tocaba ahora al tema del antivirus pues casi siempre se piensa que para poder hacer frente al mal
está pero instalar la solución del antivirus va un poco más allá.
Es una gestión que se debe complementar con el tema de los parches porque el antivirus hará su tarea
de poder identificar software malicioso pero el atacante puede hacer lo que quiera hacer o sembrar ese
software malicioso a través de una vulnerabilidad.
Entonces es un trabajo como mútuo y lo otro es que los antivirus sea la marca que sea.
Si yo no los Parametría eso si no les estoy configurando qué directorio debe escanear.
Qué tipo de acciones debe hacer ante determinadas amenazas si debe avisar si no debe avisar si debe
borrar.
Básicamente el antivirus va a ser una tarea muy básica y no nos va a servir para hacer frente a ese
tipo de amenazas.
Qué pasa por ejemplo con los sistemas operativos que comúnmente no son afectados por malware como una
X un S 400.
Será que nos quedamos solo con el tema es que para eso hay un antivirus y ya y todos tranquilos.
No pues si no contamos con una solución de antivirus al menos deberíamos tener un procedimiento para
ir y chequear quincenal o mensualmente la página del fabricante para saber si de pronto pudo haber surgido
una vulnerabilidad nueva.
Recuerden que hay cosas que son muy seguras de momento pero que en algún momento pueden llegar a dejar
de serlo.
Nos pasó con el tema de l recuérdense que el protocolo se considera el más seguro y que cuando se halló
la vulnerabilidad del hardware ya dejó de ser un protocolo seguro y ya puestos tocó ir a las versiones
TLS 1.1 y en adelante.
Entonces sin entrar en tecnicismos lo que quiere decir esto es que hoy en día podemos considerar ciertos
sistemas operativos muy seguros y muy poco vulnerables al tema del malware.
Pero también debemos hacer una gestión sobre eso para qué si se llega a dar sepamos qué hacer los activos
de su empresa han sido inventariados.
Esto es uno de los grandes pecados que cometen las empresas.
A veces cuando uno empieza a preguntarles por ejemplo ustedes por qué tienen un firewall.
Bueno porque todo mundo tiene un firewall o porque necesitamos algo para segmentar la red y por qué
tienen ese antivirus pues era el antivirus que teníamos o porque era el más barato entonces cuando uno
comienza a ver qué controles de seguridad hay en la empresa pero que no han sido implementados a base
de los activos de información que se quiere proteger y uno le pregunta a los dueños del proceso o a
los dueños de los activos cuáles son sus activos de información cuáles son sus activos de información
críticos y no tienen idea pues es muy fácil asegurar esa información si mínimo es que el dueño de la
información y el que la procesa no lo tienen claro pues es muy fácil que el ingeniero de seguridad venga
a ejercer control sobre una información que él no sabe si es crítica si debe estar publica sino debe
estar publica son los dueños de la información los dueños del proceso los que nos deben decir eso y
para eso hay que hacer un inventario de activos de información y conocer los activos de información
para poder saber cuál es el control adecuado.
Entonces hay que iniciar por esa definición y vamos a ver que el estándar nos hace empezar por allí
para poder definir claramente cuáles son esos controles que se requieren.