Bueno ahora tenemos gobernanza o gobernanza de la información.
Esto significa que nosotros sabemos controlar sabemos que tenemos cómo la tenemos que vamos a hacer
en dado caso pase algo no pase etcétera etcétera.
Básicamente tener un buen control sobre la información que tenemos.
Entonces para eso tenemos varios conceptos claves.
Empecemos por políticas que son las políticas políticas.
Podríamos decir que son los que nos dice el qué debemos hacer.
Que esto es clave porque entonces entendemos que una política no entra a lo específico sino que nos
dice por ejemplo una política puede ser usted debe encriptar información.
Esa puede ser una política.
Ahora bien nos podemos apoyar en procedimientos o procesos para entonces darle un detalle a esa política.
Entonces ahí entraríamos en el cómo el proceso o el procedimiento nos podría decir el cómo entonces
bajo la bajo el mismo ejemplo de encriptar la información.
Podríamos decir entonces el proceso viene y nos dice hay que utilizar este algoritmo este software hay
que darle clic a este icono etc. es algo más a detalle.
Luego tenemos los estándares que tocamos en el capítulo anterior donde decimos donde dicen las buenas
prácticas.
Ojo que a mí no me gusta usar el término mejores prácticas porque nadie tiene la última palabra y lo
que hace una persona no significa que va a ser mejor que la otra.
Pero sí hay términos de buenas prácticas esto significa bueno hay que encriptar información.
Esa es una buena práctica y que utilizaron árboles es una buena práctica.
Entonces tenemos estándares como por ejemplo ISO para las tarjetas de crédito PCI para los hospitales
y las organizaciones de salud en Estados Unidos tenemos IPS o por ejemplo tenemos los gavilanes que
posiblemente no son tan estrictos y tan tan a detalle pero tan estricto tan mandatorio como los estándares
o las leyes es verdad.
Pero si tenemos Gavilanes o guías que podíamos seguir tenemos frameworks.
Por ejemplo los Rainbows de la NESTS que nos pueden decir bueno hay que hacer esto hay que hacerlo otro
por ejemplo Freiburg reembolse para continuar el negocio y tenemos bailarines verdad que son básicamente
donde empezar o lo mínimo que podríamos tener verdad.
Entonces esto podríamos decir por ejemplo política procedimiento y estándar pueden ser de un origen
mandatorio mientras que los gavilanes y las y los bailarines las guías y las bases podrían ser discrecionales
verdad.
Luego tenemos la seguridad en el personal.
Esto significa que vamos a hacer para para estar conscientes de que nuestro personal no vaya a ser también
un problema porque recuérdense que un empleado enojado o como dicen en inglés Brown Rowntree Empoli
puede puede causar mucho problema porque el atacante muchas veces no viene de fuera sino que viene de
adentro.
Entonces ahí tenemos que tomar en cuenta por ejemplo el entrenamiento y la Warnes hacia los usuarios
es verdad enseñarles que son ataques por ejemplo shoulder surfing o es decir que alguien esté viendo
mi pantalla mientras yo pongo mi contraseña por ejemplo ataques de Piggyback o tail Guerin en inglés
que es básicamente colarse.
Cuando alguien abre una puerta yo no tengo el batch porque yo soy el atacante u o el bueno el tipo malo.
Yo no tengo un batch para entrar pero viene el empleado y por educación me deja la puerta abierta.
Este se le llama Piggyback en un hotel gay.
En verdad todo esto tenemos que darles a los usuarios un training y una Warnes para que no caigamos
en ingeniería social.
Por ejemplo viene un correo de phishing que puedan tener el olfato digámoslo así de poder detectar un
ataque malicioso de phishing.
Luego tenemos dos background checks o los chequeados de un historial policiaco.
Por ejemplo si si el empleado tuvo algún problema con la policía si el empleado tuvo algún problema
con el Gobierno si el empleado tuvo algún problema con su jefe anterior.
Todos estos Bacanuchi de verdad muchas veces se vuelve un poco un tema un poco muy intrusivo en la vida
del empleado porque muchas veces se hacen estudios socioeconómicos donde se va a ver dónde vive el empleado
cómo vive qué dicen los vecinos del empleado pero a veces dependiendo del puesto se vuelve un poco necesario
porque de repente la persona que estamos contratando o que se va a contratar va a haber temas financieros
va a haber temas de los que tengan que ver con información muy delicada para la empresa.
Entonces necesitamos estar muy seguros de que esta persona no viene de un origen malicioso o que no
va a terminar haciéndole daño a la empresa.
Luego tenemos cómo vamos a hacer alguna terminación de algún empleado que cuando se le notifica que
se le notifica muchas veces el empleado nunca se entera hasta que llega al puesto de trabajo y lo están
esperando en el escritorio como un policía.
Soy un poco extremo soy un poco feo la situación puede ser incómoda pero si le damos una notificación
al empleado y el empleado pues por estar molesto decide hacer algo que daña a la empresa pues también
puede resultar en algo muy muy malicioso o poco beneficioso para nosotros.
Luego tenemos el cómo se manejan los famosos parí o los proveedores consultores con tractos que le dicen
en inglés verdad todo todo esto cómo se maneja todo el personal que no es empleado de la empresa verdad.
También tenemos que tener ese contrato recuérdense que vimos el tema de ese se y contratos básicamente
porque podríamos por ejemplo nosotros tenemos una empresa que nos da servicios de seguridad en el sentido
física no policías etcétera etcétera.
Cómo podríamos saber que el proceso de contratación de ellos está bien verdad.
Cómo podríamos saber que el proceso de contratación de las personas que nos apoyan con la limpieza por
ejemplo está bien no podríamos hacerlo entonces ahí donde podemos exigir decir Bueno ustedes y si van
a ser mis proveedores deberían de seguir está ahí está esta línea chequear esto y esto y esto y entonces
ya podemos hacer un trato para que ustedes sean los proveedores hay que tener mucho cuidado cuando contratamos
proveedores y después tenemos el outsourcing y Offshoring como si nosotros vamos a poner un adsorción
por ejemplo en nuestra empresa va a hacer outsourcing del Departamento de Desarrollo de Software otra
vez.
En qué países están localizados cuáles son las regulaciones de ese país o como hacen los background
checks todo esto da porque por ejemplo no sólo tenemos que tomar en cuenta temas de seguridad sino temas
de país temas de cultura verdad tal vez ellos no trabajan en el mismo horario que nosotros o trabajan
una hora más una hora menos.
No sé todo esto hay que tomarlo en cuenta porque al final recuérdense que tenemos tres pilares confidencialidad
integridad así pero también disponibilidad.
Si la empresa de outsourcing trabaja 12 horas después de nosotros por ejemplo al otro lado del mundo
posiblemente para responder a un incidente o para responder a un requerimiento se va a tener que tardar
esas 12 horas en lo que nosotros salimos del trabajo y ellos centran entonces todo esto hay que tomarlo
en cuenta cuando hablamos de seguridad informática y bueno tenemos los controles bajo esa premisa sabiendo
que tenemos que tener mucho cuidado de nuestros.
De todo todas las personas que toca en nuestro sistema interno otra vez sean empleados de nosotros proveedores
consultores constructores a outsourcing.
Cualquier persona que toque en nuestro sistema tenemos que tenerla controlada y esto se va a lograr
por medio de controles de acceso.
Ahora bien tenemos seis categorías de controles de acceso preventivos de activos correctivos de recuperación
repelentes y compensatorios.
Ahora bien siempre más en la pregunta esto debería por ejemplo un árbol en qué categoría cae un control
puede caer en muchas categorías no significa que caiga una categoría y ahí sí se olvida por ejemplo
un GPS un GPS puede entrar dentro de preventivo porque estamos poniéndole de forma preventiva.
No es que nos estén atacando ahorita pero queremos enterarnos de verdad puede entrar detective porque
entonces al final el GPS va a detectar y puede entrar incluso en correctivo porque le pesa al detectar
pues corrige de repente hay un hype malicioso ahí dando vueltas en la intranet.
Entonces no sólo la reporta sino que la corta o la bloquea.
Por ejemplo la manda al Blacklist entonces un control puede entrar en varias categorías pero tenemos
que entender eso sí que hace cada categoría de preventivo pues está fácil un control preventivo que
previene valga la redundancia el ataque.
Esto puede ir incluso en temas físicos no como guardia de un guardia de seguridad una cámara todo lo
que pueda prevenir verdad.
Detectives pues ya ya nos están atacando y nos detectan aquí entran muchos controles.
Por ejemplo un Farewell un GPS un antivirus etcétera etcétera todo todo eso dentro puede entrar dentro
de detectives luego correctivos es decir Bueno se nos filtró Taltal o nos pasó tal información pues
pongamos un elepé esto podría entrar en un correctivo por ejemplo pero ojo otra vez el DLP puede entrar
también en otras categorías pues en este caso un correctivo podría ser un DLP Data duas prevención de
recuperación.
Esto podría ser un sitio alterno por ejemplo alta disponibilidad la famosa hiper convergencia que a
mí me parece una tecnología muy muy buena para el tema de disponibilidad de alta disponibilidad perdón
recuperación otra vez sitios alternos repelentes.
Podría ser incluso yo sé que se van a reír conmigo pero de recuperación de repelentes podría entrar
un perro un un por ejemplo un cartel que diga esta empresa está protegida o tiene la alarma puesta o
está protegida por cierto grupo de seguridad etc. a todo lo que sea repelente.
Incluso he visto a empresas con poco presupuesto que van a tiendas en línea y compran cámaras falsas.
No sólo está la cámara se mira muy real pero no graba no toma fotos no hace nada simplemente está ahí
puesta en la pared para que cuando un posible atacante llegue y diga Bueno hay cámaras.
Entonces he visto incluso eso puede ser dentro de repelente y compensatorio es cuando de repente no
tenemos el presupuesto adecuado para comprar la medida principal.
Por ejemplo viene PCI nos pide un firewall pero de repente nosotros queremos marca X GZ pero no tenemos
la plata para hacerlo entonces ponemos un firewall de software por ejemplo no muy bueno y picop y.
La policía de la IP.
Entonces este podría ser un control compensatorio o no precisamente un firewall en vez de un firewall.
Pongo un esnifar o un DS y PSP Boggs North que es que es muy bueno y gratis.
Entonces de repente ahí compensatorios recuérdense que lo que nosotros debemos reducir es el riesgo
nunca vamos a llegar a reducir el riesgo a nivel cero a menos que lo evitemos pero los tratamientos
de riesgo lo vamos a ver más adelante pero a menos que evitemos el riesgo es decir Bueno de repente
yo tengo una página web y bueno ya no voy a tener presencia en la web que en estos tiempos sería un
suicidio para la empresa.
Pero yo no quiero tener presencia en la página web entonces si definitivamente tu riesgo relacionado
a tu página web va a llegar a cero.
De lo contrario tu riesgo nunca va a llegar a cero y siempre va a estar cambiando porque las vulnerabilidades
cambian o existen nuevas vulnerabilidades conforme va pasando el tiempo.
Y bueno eso es todo amigos.
Espero les ha gustado y muy pronto.