ANLISISYGESTIN

DERIESGOS
EN LA UPCT ENLAUPCT
CONPILAR
Esteban Snchez Snchez
1
Universidad Politcnica de Cartagena
esteban.sanchez@si.upct.es
ANLISIS Y GESTIN DE RIESGOS CON PILAR ANLISISYGESTINDERIESGOSCONPILAR
1.CreacindelproyectoconPilar p y
2.Anlisisderiesgos
2 1 Refresco de conceptos bsicos 2.1Refrescodeconceptosbsicos
2.2Activos
2.2.1Identificacin
2.2.2Clases
2.2.3Dependencias
2.2.4 Valoracin 2.2.4Valoracin
2.3Amenazas
2.3.1 Vulnerabilidad 2.3.1Vulnerabilidad
2.3.2Identificacin
2.3.3Valoracin
2 4 Impacto y Riesgo acumulado 2.4ImpactoyRiesgoacumulado
ANLISIS Y GESTIN DE RIESGOS CON PILAR ANLISISYGESTINDERIESGOSCONPILAR
3.Tratamientoygestinderiesgos
3 1 Refresco de conceptos bsicos 3.1Refrescodeconceptosbsicos
3.2Salvaguardas
3.2.1Identificacin
3.2.2Valoracin
3.3ImpactoyRiesgoresiduales
4 Informes 4.Informes
1.CREACINDELPROYECTOCONPILAR
Pordondeempiezo?
1.CREACINDELPROYECTOCONPILAR
Informacindepartidaenestafase:
Informacinyserviciosquequeremosproteger
Identificacindelos4sistemasquellevanestainformacinyservicios
Incluirrestodeactivos(aplicaciones,hardware,etc..)
Recopilarlainformacindeactivosyestablecerlasrelacionesentreellosde
acuerdoalos4sistemasidentificados
l d l d l b Primeraaproximacinalmodeloderelacinentreactivosqueseacabar
reflejandoenPilar
LicenciadePilar
Muchavoluntad
Traducir los sistemas y el modelo de relaciones entre los activos de los sistemas al Traducirlossistemasyelmodeloderelacionesentrelosactivosdelossistemasal
mundodePilar
1.CREACINDELPROYECTOCONPILAR
Tengolicenciadapilaryahoraque?
1.CREACINDELPROYECTOCONPILAR
Cmotrasladolos4sistemasaPilar?
Sebarajaron3opciones:
Opcin1Un sloproyectoyunmismodominiodeseguridad
Opcin 2Un solo proyecto y varios dominios de seguridad Opcin2Un soloproyectoyvariosdominiosdeseguridad
Opcin3Un proyectoyundominiodeseguridadporcadasistema
Culeslamejoropcin?
1.CREACINDELPROYECTOCONPILAR
Opcin1Un sloproyectoyunmismodominiodeseguridad
1.CREACINDELPROYECTOCONPILAR
Opcin1Un sloproyectoyunmismodominiodeseguridad
Ventajas:
Todoenunnicoproyecto
Noesnecesarioreplicaractivos
Desventajas: Desventajas:
Modeladocomplejo
Prdidadevisindelossistemasporseparado
1.CREACINDELPROYECTOCONPILAR
Opcin2Un soloproyectoyvariosdominiosdeseguridad
1.CREACINDELPROYECTOCONPILAR
Opcin2Un soloproyectoyvariosdominiosdeseguridad
Ventajas:
Todoenunnicoproyecto
Visindelossistemasporseparado(unopordominio)
Desventajas: Desventajas:
Necesidaddereplicaractivosentredominios
Pilarnoterminadefuncionarbienconvariosdominios
1.CREACINDELPROYECTOCONPILAR
Opcin3Un proyectoyundominiodeseguridadporcadasistema
1.CREACINDELPROYECTOCONPILAR
Opcin3Un proyectoyundominiodeseguridadporcadasistema
Ventajas:
Visindelossistemasporseparado(unopordominio)
SeguridaddequePilarfuncionarcorrectamente
Desventajas: Desventajas:
Necesidaddereplicaractivosentreproyectos
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.1CONCEPTOSBSICOS
2.ANLISISDERIESGOS
2.1CONCEPTOSBSICOS
2.ANLISISDERIESGOS
Activo:
Valorpropio:eldelelementoensmismo.
Valoracumulado:elproporcionalaloselementosque
tieneencima
Valornuclear:Elquetieneelelementodemsaltonivel q
(generalmentelainformacin)
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.1CONCEPTOSBSICOS
Amenazas:
Eventosquepuedendesencadenarunincidenteenla
organizacinproduciendodaosmaterialesoprdidas
i t i l inmateriales
Tipos de amenazas: Tiposdeamenazas:
Naturales
Industriales
Erroresnointencionados
At i t i d Ataquesintencionados
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.1CONCEPTOSBSICOS
Lasamenazasvarandeunactivoaotro.
Amenazaporcadaactivoydimensin
d l di i f d d l Notodaslasdimensionesafectadasportodaslas
amenazas
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.1CONCEPTOSBSICOS
Impacto:
Medidadeldaosobreunactivoderivadodela
materializacin de una amenaza materializacindeunaamenaza
Impacto por cada amenaza activo y dimensin Impactoporcadaamenaza,activoydimensin
2 tipos de impacto: acumulado y repercutido 2tiposdeimpacto:acumuladoyrepercutido
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.1CONCEPTOSBSICOS
ImpactoAcumulado:
Valoracumulado*degradacin
Secalculasobreunactivoteniendoencuenta:
Suvaloracumulado(elpropiomselacumuladoporlosactivos
quedependendel)
Lasamenazasalasqueestexpuesto
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.1CONCEPTOSBSICOS
ImpactoRepercutido:
Valorpropio*degradacin
Secalculasobreunactivoteniendoencuenta:
Suvalorpropio
Lasamenazasalasqueestnexpuestolosactivosdelosque
depende
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.1CONCEPTOSBSICOS
Riesgo:
Medidadeldaoprobabledeunsistema.Estimacindel
gradodeexposicinaqueunaamenazasematerialice
sobreunoomsactivoscausandodaosoperjuiciosala
organizacin
Riesgoporactivoamenazaydimensin
2tiposderiesgo:acumuladoyrepercutido
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.1CONCEPTOSBSICOS
RiesgoAcumulado:
Impactoacumulado*frecuenciaamenaza
Secalculasobreunactivoteniendoencuenta:
Elimpactoacumuladosobreunactivo
Lafrecuenciadelaamenaza
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.1CONCEPTOSBSICOS
RiesgoRepercutido:
Impactorepercutido*frecuenciaamenaza
Secalculasobreunactivoteniendoencuenta:
Elimpactorepercutidosobreunactivo
Lafrecuenciadelaamenaza
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.2ACTIVOS 2.2.1Identificacindeactivos
ModeloSugerido:
ModeloUPCT:
Informacin
Servicios
Informacin
Servicios
Aplicaciones
Equipoinformtico
S t d i f i
Aplicaciones
ServiciosTI
H t
Soportedeinformacin
Equipamientoauxiliar
Redesdecomunicaciones
Hosts
Hardware
Redes y Comunicaciones
Ubicaciones
Personas
RedesyComunicaciones
Ubicaciones
Personas
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.2ACTIVOS 2.2.2Clasesdeactivos
Paraquesirvetenerelactivoclasificado?
Tenerloclasificadoeidentificadoenel
modelo modelo
Agruparlojuntoconotrosactivosdela
mismaclasefacilitandoelmodelado
Sirveparaalgoms?
Unaamenazapuedeafectaratodoslos p
activosasloaalgunosenbaseasuclase
Lacorrespondenciaactivoamenazayala
sabe Pilar (Que lista!!). Por tanto clasificarlos sabePilar(Quelista!!).Portantoclasificarlos
permiteaPilarseleccionarpornosotroslas
amenazasenlafasedeidentificacinde
amenazas
Conclusin:unabuenaclasificacin,noira
laligera.Aprovecharlassubcategoriasque
ofrecePilar
2.ANLISISDERIESGOS
P i l d d i ?
2.ANLISISDERIESGOS
2.2ACTIVOS 2.2.3Dependenciasentreactivos
Para que sirven las dependencias?
Construimos un modelo del sistema en base a las relaciones entre sus activos.
No es un modelo detallado:
La herramienta de Pilar no permite modelado complejo
La forma de relacionar una activo con otros activos viene determinada por el tipo de
activo
Tipos de activos diferentes tienen distintos tipos de relaciones (no simpre es contenido en
o depende de)
Independientemente de los tipos de relaciones ,nuestro objetivo final es hacer un modelo Independientemente de los tipos de relaciones ,nuestro objetivo final es hacer un modelo
lo ms posible y que cumpla con los requisitos para el anlisis de riesgo
Cmo debe ser un modelo que sirva para el anlisis de riesgos?
El valor acumulado se debe repartir de forma adecuado entre todos los activos.
Activos de capas inferiores acumulan valor de activos de capas superiores
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.2ACTIVOS 2.2.4Valoracindeactivos
Para que sirve la valoracin?
Nos dar una visin de la importancia de nuestro activo en trminos de seguridad en base
a la valoracin de las 5 dimensiones de la seguridad (IDCAT). a la valoracin de las 5 dimensiones de la seguridad (IDCAT).
Se emplear el valor acumulado. As un activo por s mismo puede valer menos que la
suma de los activos que tiene por encima.
Qu escala de valoracin se empleo?
Cualitativa: 0 Sin valorar
1 Bajo
4 Medio
5 Alto
Se eligi de manera que encajase con los valores que se les dio a la informacin y a los
servicios en la fase previa a Pilar
f l l l l d d l La informacin y los servicios es lo ms importante en cuanto a valor nuclear desde el
punto de vista del ENS. Su valor se arrastra al resto seleccionando valor acumulado.
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.3AMENAZAS 2.3.1DominiosdeVulnerabilidad
Queslavulnerabilidad?
b bilid d d d d d i Probabilidaddequeseproduzcaydegradacinquegenera
QunospermitePilar?
Seleccionarunaseriedecondicionesinicialesparaelentornoquedanideade
su vulnerabilidad suvulnerabilidad
Cmonosayudaresto?
EnbasealoseleccionadopodemospediraPilarquenossugieraunos
valoresdefrecuenciaydegradacinadecuadosalentornoseleccionado.
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.3AMENAZAS 2.3.2Identificacin
Recordar a la hora de identificarlas que:
U d f t i ti Una amenaza puede afectar a uno o varios activos
Se puede consultar el ameno manual con todas las amenazas una por una e
ir seleccionado.
Cmo se seleccionaron? Cmo se seleccionaron?
Dejar a Pilar que nos sugiera. Recordar que lo hace en base a como
clasificamos los activos (2 1 2 clases de activos) clasificamos los activos (2.1.2 clases de activos)
En base al manual de informacin de Pilar eliminar las que no convencen o
introducir otras nuevas
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.3AMENAZAS 2.3.3Valoracin
Recordaralahoradevalorarque:
Una amenaza puede afectar a una o varias dimensiones de un activo Una amenaza puede afectar a una o varias dimensiones de un activo
Podemos volver a consultar el ameno manual con todas las amenazas una
por una e ir viendo a que dimensiones afecta.
Cmosevaloraron?
1. Dejar a Pilar que nos sugiera. Recordar que lo hace en base a como
describimos nuestro escenario en trminos de vulnerabilidad (2 2 1 dominio de describimos nuestro escenario en trminos de vulnerabilidad (2.2.1 dominio de
vulnerabilidad)
2 P ti d d l l i d Pil d t l t l 2. PartiendodelasvaloracionesdePilar,adaptarlasanuestraescala
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.3AMENAZAS 2.3.3Valoracin
Degradacin:
Frecuencia:
5%DegradacinBaja
30% D d i M di
100 muyfrecuenteadiario
10 frecuentemenualmente
30%DegradacinMedia
50%DegradacinAlta
10 frecuentemenualmente
1 normalunavezalao
80% DegradacinMuyAlta
1/10 pocofrecuente cadavarios
aos
100%Completa
1/100muyinfrecuentecadavarias
dcadas dcadas
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.3AMENAZAS 2.3.3Valoracin
Problemasmsimportantesquesurgenalvalorar:
Hay que valorar como si no hubiese salvaguardas (algo bastante complicado) Hayquevalorarcomosinohubiesesalvaguardas(algobastantecomplicado).
Faltaunabasededatosquerecojadeformadetalladatodoelhistricode
incidentes incidentes
Ademssepuedepensarquehayamenazasquenosehanproducidonunca
cuando en verdad lo que ha pasado es que: cuandoenverdadloquehapasadoesque:
Lashanparadolassalvaguardasquetenemos
Nosehanpodidodetectarqueocurranconlosmediosdelosquesedispone
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.3AMENAZAS 2.3.3Valoracin
Mtodoaseguiralvalorar:
Reunionesdedondesacarexperienciaprevia
Cuando no se tiene experiencia previa de que haya sucedido , para el caso de la Cuandonosetieneexperienciapreviadequehayasucedido,paraelcasodela
frecuencialaseleccionamosdeacuerdoconloprobablequeesqueseproduzca
eseincidenteaunquenohayapasadonunca.
Cuandovaloramosladegradacinlohacemossintenerencuentaningntipode
salvaguarda,porloquecosasqueyahanpasadoprovocarnunamayor
degradacin puesto que no est la salvaguarda que protegi en su momento degradacinpuestoquenoestlasalvaguardaqueprotegiensumomento
2.ANLISISDERIESGOS 2.ANLISISDERIESGOS
2.4IMPACTOYRIESGOACUMULADO
3.TRATAMIENTOYGESTINDERIESGOS
Salvaguardas:
3.TRATAMIENTOYGESTINDERIESGOS
3.1CONCEPTOSBSICOS
Salvaguardas:
Seaplicanparamitigaroreducirelriesgohastaunos
nivelesasumiblesporlaorganizacin
Salvaguardasseeligendeformaglobal
Lasalvaguardadebe/puedeproducirreduccinenla
degradacin de la amenaza para cada dimensin degradacindelaamenazaparacadadimensin
L l d d b / d d i d i l Lasalvaguardadebe/puedeproducirunareduccinenla
frecuenciaparacadadimensin
3.TRATAMIENTOYGESTINDERIESGOS 3.TRATAMIENTOYGESTINDERIESGOS
3.1CONCEPTOSBSICOS
3.TRATAMIENTOYGESTINDERIESGOS 3.TRATAMIENTOYGESTINDERIESGOS
3.2SALVAGUARDAS 3.2.1Identificacin
Las salvaguardas se aplican a nivel global para todo el sistema
reduciendo y evitando el riesgo (gestionando el riesgo)
Pilar contempla salvaguardas y grupos de salvaguardas
Estas salvaguardas y grupos se pueden clasificar en funcin de diferentes
criterios:
1 . Aspecto que se proteger
G: Aspecto de gestin.
T: Aspecto tcnico medidas ms concretas que la de gestin
P: Aspecto de Personal.
F: Aspecto de Seguridad fsica (instalaciones)
3.TRATAMIENTOYGESTINDERIESGOS 3.TRATAMIENTOYGESTINDERIESGOS
3.2SALVAGUARDAS 3.2.1Identificacin
2. Estrategiaqueadoptalasalvaguardaanteelincidente:
CR: Correctivas(gestindeincidentes) (g )
IM: Minimizarimpacto(desconexindeequipos)
RC: Recuperacindelincidente(copiasdeseguridad)
DT: Deteccin(detectoresdeincendios)
MN: Monitorizacin(registrosdeactividad)
EL: Eliminacin(Eliminarcuentasdeusuariosqueyanoemplean)
PR: Preventiva(autorizacinpreviadeusuarios)
DR: Disuasoria(vallas,guardiasdeseguridad)
AD: Administrativas(inventariodeactivos)
AW: Concienciacin(cursosdeconcienciacin)
d b d std: basadasennormas
proc: basadasenprocedimientos
cert: basadasenproductoscertificados(Firewalls)
3.TRATAMIENTOYGESTINDERIESGOS 3.TRATAMIENTOYGESTINDERIESGOS
3.2SALVAGUARDAS 3.2.1Identificacin
3. Clasedeactivoqueproteger(Grupoprincipal/raz)
3.TRATAMIENTOYGESTINDERIESGOS 3.TRATAMIENTOYGESTINDERIESGOS
3.2SALVAGUARDAS 3.2.1Identificacin
4. Importanciadelasalvaguarda:
5 Forma en la que se aplica: 5. Forma en la que se aplica:
{and}: Deberan aplicarse todas las salvaguardas.
{or}: Debera aplicarse al menos una de las salvaguardas
{xor}: Debera aplicarse slo una de las salvaguardas (la que mejor aplique la {xor}: Debera aplicarse slo una de las salvaguardas (la que mejor aplique la
ms recomendada).
3.TRATAMIENTOYGESTINDERIESGOS 3.TRATAMIENTOYGESTINDERIESGOS
3.2SALVAGUARDAS 3.2.1Identificacin
6. Recomendacindesuimplantacin:
1(blanco) norecomendableporquenoaplica
2 3 ( l) d bl 2,3(azul) recomendable
4,5(amarillo) bastanterecomendable
6,7(rojopalido) muyrecomendable
8,9(rojo) necesaria
3.TRATAMIENTOYGESTINDERIESGOS 3.TRATAMIENTOYGESTINDERIESGOS
3.2SALVAGUARDAS 3.2.1Identificacin
Consideracinsobresuaplicacin:
[Vaco]: Aplica la salvaguarda o no segn tenga configurado en las Opciones [Vaco]: Aplicalasalvaguardaono,segntengaconfiguradoenlas Opciones .
n.a.: Noaplicalasalvaguarday,porlotanto,nosemostraralahorade
evaluar las salvaguardas Si se la pongo a un grupo afecta a todo lo que hay evaluarlassalvaguardas.Siselapongoaungrupoafectaatodoloquehay
pordebajo
: Indica que se trata de un grupo de salvaguardas que contiene a alguna : Indicaquesetratadeungrupodesalvaguardasquecontieneaalguna
salvaguardaenn.a..
Consideracin sobre su estado: Consideracinsobresuestado:
On:Quierousarlaparaelanlisis
Off li i i li i l i id Off:Aunqueapliqueamisistema,enesteanlisisnolaquieroconsiderar
3.TRATAMIENTOYGESTINDERIESGOS 3.TRATAMIENTOYGESTINDERIESGOS
3.2SALVAGUARDAS 3.2.1Identificacin
Consideracionessobresuseleccin:
C tid d l d d l d Cantidadmuyelevadadesalvaguardas
MeinteresansobretodolasqueseaplicanalENS
Hayalgunaformadehacerunapreseleccin?
Usar perfil de seguridad del ENS Subconjunto de salvaguardas que se UsarperfildeseguridaddelENSSubconjuntodesalvaguardasquese
ofrecenenPilaryquesondeaplicacinalENS
3.TRATAMIENTOYGESTINDERIESGOS 3.TRATAMIENTOYGESTINDERIESGOS
3.2SALVAGUARDAS 3.2.1Identificacin
DentrodelperfilENS,Pilardistingueentre:
C l d l d i i l Controles: secorrespondenconlosapartadosprincipalesqueaparecenen
lanormativadelENS.Sirvenparagruparpreguntasysalvaguardas
P t d l t i b t d Preguntas: secorrespondenconloscomentariosysubapartadosque
aparecenenlanormadelENS.Sirvenparaevaluarelniveldecumplimiento
delanormaperonotieneninfluenciasobrelosvaloresdelriesgo
Salvaguardas: secorrespondenconlasqueaparecenenelapartadoT.2.1
yquePilarhaseleccionadoparadarcumplimientoaloscontrolesy
preguntas de la norma. Si tiene una influencia sobre los valores del riesgo. preguntasdelanorma.Sitieneunainfluenciasobrelosvaloresdelriesgo.
ParatenerunanlisiscompletoPilarrecomiendaevaluartodaslas
salvaguardas y no slo las que aparecen con la norma salvaguardasynoslolasqueaparecenconlanorma
3.TRATAMIENTOYGESTINDERIESGOS
C id i b li i d l
3.TRATAMIENTOYGESTINDERIESGOS
3.2SALVAGUARDAS 3.2.1Identificacin
Consideracinsobreaplicacindecontrolesypreguntas:
M: Es obligatorio a cumplir segn la norma.
[Vaco]: Es un control que no hay que cumplir segn el nivel de la dimensin o
se trata de un grupo de controles donde hay uno que no tiene que
cumplirla.
Ejemplo: [mp.if.9] Instalaciones alternativas
Gris: No tiene que cumplir segn la norma porque no se han includo
categoras de activos que contempla esa norma
Ejemplos [mp eq 3] Equipos porttiles Ejemplos: [mp.eq.3] Equipos porttiles
[mp.info.1] Datos de carcter personal
n.a.: Es obligatorio segn la norma pero en nuestro caso se dan condiciones
por las que no se va a cumplir no influye sobre la gestin del riego
3.TRATAMIENTOYGESTINDERIESGOS 3.TRATAMIENTOYGESTINDERIESGOS
3.2SALVAGUARDAS 3.2.2Valoracin
3.TRATAMIENTOYGESTINDERIESGOS 3.TRATAMIENTOYGESTINDERIESGOS
3.2SALVAGUARDAS 3.2.2Valoracin
3.TRATAMIENTOYGESTINDERIESGOS 3.TRATAMIENTOYGESTINDERIESGOS
3.2SALVAGUARDAS 3.2.2Valoracin
3.TRATAMIENTOYGESTINDERIESGOS 3.TRATAMIENTOYGESTINDERIESGOS
3.2SALVAGUARDAS 3.2.2Valoracin
3.TRATAMIENTOYGESTINDERIESGOS 3.TRATAMIENTOYGESTINDERIESGOS
3.3IMPACTOYRIESGORESIDUALES
4.INFORMES 4.INFORMES
4.INFORMES 4.INFORMES
5.OPCIONES 5.OPCIONES