PUJ - Delitos Financieros Abril/2017 Ciberseguridad empresarial: De las prácticas de aseguramiento a las capacidades de defensa Jeimy J. Cano M., Ph.D, CFE GECTI – Facultad de Derecho Universidad de los Andes COLOMBIA JCM-17 All rights reserved Introducción • Introducción • Fundamentos conceptuales: ciberseguridad empresarial • Transformación de prácticas de protección de la información • Capacidades organizaciones: ecosistemas digitales • De las prácticas a las capacidades • Referencias JCM-17 All rights reserved JCM-17 All rights reserved 1 PUJ - Delitos Financieros Abril/2017 Introducción JCM-17 All rights reserved Introducción Groysberg, B. y Cheng, Y. (2016) The Political Issues Board Directors Care Most About. Harvard Business Review. Febrero. Recuperado de: https://hbr.org/2016/02/the-political-issues-board-directors-care-most-about JCM-17 All rights reserved JCM-17 All rights reserved 2 PUJ - Delitos Financieros Abril/2017 Introducción Computación cognitiva Grandes datos y analítica Redes sociales Computación móvil Computación en la nube Internet de las cosas Datos personales y corporativos JCM-17 All rights reserved Introducción Tomado de: https://cchs.gwu.edu/sites/cchs.gwu.edu/files/Respondi ng%20to%20Cybercrime%20at%20Scale%20FINAL.pdf JCM-17 All rights reserved JCM-17 All rights reserved 3 PUJ - Delitos Financieros Abril/2017 Fundamentos conceptuales: ciberseguridad empresarial JCM-17 All rights reserved Fundamentos conceptuales: ciberseguridad empresarial IV Seguridad de la Información Ciber seguridad Seguridad de la información Seguridad de la Información Ciber seguridad Ciber seguridad II I Seguridad de la Información Ciber seguridad III JCM-17 All rights reserved JCM-17 All rights reserved 4 PUJ - Delitos Financieros Abril/2017 Fundamentos conceptuales: ciberseguridad empresarial Tomado de: ALXELROD, W.C (2013) Engineering Safe and Secure Software Systems. Artech House Mundo Exterior Mundo Exterior Ataques Mundo Exterior Ataques Sistema Sistema Sistema Security Safety Security+Safety JCM-17 All rights reserved Tomado de: ALXELROD, W.C (2013) Engineering Safe and Secure Software Systems. Artech House Fundamentos conceptuales: ciberseguridad empresarial Mundo Exterior Mundo Exterior Mundo Exterior Ciberseguridad empresarial Ataques Ataques Sistema Sistema Sistema Security Safety Security+Safety Es una capacidad empresarial definida para defender y anticipar las amenazas digitales propias del ecosistema donde la organización actúa, con el fin de desarrollar y fortalecer la resiliencia de las operaciones y la reputación de la empresa. JCM-17 All rights reserved JCM-17 All rights reserved 5 PUJ - Delitos Financieros Abril/2017 Transformación de prácticas de protección de la información JCM-17 All rights reserved Vulnerabilidades en redes de computadores JCM-17 All rights reserved JCM-17 All rights reserved 6 PUJ - Delitos Financieros Abril/2017 Tomado de: http://www.sentineldr.com/post/estrategias-basicas-de-seguridadinformatica-defensa-en-profundidad Defensa en profundidad JCM-17 All rights reserved Dominios de seguridad de la información Seguridad Punto final Seguridad Redes Seguridad Datos Seguridad Comunicaciones Gestión Vulnerabilidades Seguridad Software Gestión Controles de TI Gestión Identidad Seguridad Móviles Proteger y asegurar Prácticas JCM-17 All rights reserved JCM-17 All rights reserved 7 PUJ - Delitos Financieros Abril/2017 Capacidades organizaciones: ecosistemas digitales JCM-17 All rights reserved Valor de los ciberataques Absorción ágil de las discontinuidades tecnológicas Activos valiosos en línea Redes digitales abiertas e interconectadas Atacantes sofisticados Ecosistemas digitales Ciberataques Cambio de percepción: Incertidumbre e inestabilidad Ideas adaptadas de: Kaplan, J., Bailey, T., O’Halloran, D., Marcus, A. y Rezek, C. (2015) Beyond cybersecurity. Protecting your digital business. Hoboken, New Jersey. USA: Wiley. JCM-17 All rights reserved JCM-17 All rights reserved 8 PUJ - Delitos Financieros Abril/2017 INFOSEC: De saberes especializados a capacidades colectivas Capacidades colectivas Saberes especializados Alta VISIÓN COGNITIVA Simulaciones y escenarios Generación de valor 2 1 Juegos de guerra 2 Ejercicios de ingeniería social 1 3 3 Inteligencia de amenazas 5 6 Baja 5 Auditorías de INFOSEC 4 VISIÓN DE ACTIVOS Identificación de puntos de control Táctico 4 Análisis de riesgos de INFOSEC VISIÓN ANALÍTICA Identificación de brechas 6 Análisis de vulnerabilidades Prácticas de INFOSEC Estratégico JCM-17 All rights reserved Cibersegurdad empresarial: Capacidades claves 1. PERCIBIR O SENSAR Buscar oportunidades y/o amenazas nuevas o emergentes. 4. VISUALIZAR Identificar patrones y tendencias en medio de la incertidumbre estructural vigente. 6. SIMULAR 5. ANTICIPAR Experimentar y validar patrones y escenarios para tomar posiciones estratégicamente claves en el entorno. 2. CAPTAR Aprovechar y capturar las oportunidades después de que sean reconocidas. DISCONTINUIDAD TECNOLÓGICA ATACANTES ACTIVOS DIGITALES CLAVES ECOSISTEMA DIGITAL Concretar escenarios posibles y probables. 3. RECONFIGURAR Transformar, cambiar y modificar los procesos existentes. Capacidad: Un patrón de aprendizaje y desaprendizaje de construcción colectiva a través del cual una organización y sus colaboradores generan, modifican y actualizan sistémica y sistemáticamente sus reflexiones ejecutivas y rutinas operativas para alcanzar una mayor efectividad en sus procesos y un mejor posicionamiento estratégico. Adaptado de: Su, H. y Linderman, K. (2016) An Empirical Investigation in Sustaining High-Quality Performance. Decision Sciences. 47, 5. October. JCM-17 All rights reserved JCM-17 All rights reserved 9 PUJ - Delitos Financieros Abril/2017 De las prácticas a las capacidades JCM-17 All rights reserved De las prácticas a las capacidades Valor potencial Alta Baja Defender Anticipar Los activos de información claves Las amenazas y riesgos emergentes Capacidades Proteger Asegurar Programa de seguridad de la información Información en los procesos críticos del negocio Baja Alta Capacidad: Prácticas Importancia estratégica Un patrón de aprendizaje y desaprendizaje de construcción colectiva a través del cual una organización y sus colaboradores generan, modifican y actualizan sistémica y sistemáticamente sus reflexiones ejecutivas y rutinas operativas para alcanzar una mayor efectividad en sus procesos y un mejor posicionamiento estratégico. Adaptado de: Su, H. y Linderman, K. (2016) An Empirical Investigation in Sustaining High-Quality Performance. Decision Sciences. 47, 5. October. JCM-17 All rights reserved JCM-17 All rights reserved 10 PUJ - Delitos Financieros Abril/2017 De las prácticas a las capacidades Ecosistema de seguridad Seguridad Punto final Seguridad Redes Seguridad Datos Seguridad Comunicaciones Gestión Vulnerabilidades Seguridad Software Gestión Controles de TI Gestión Identidad Seguridad Móviles Analítica de seguridad Punto final Redes Seguridad cognitiva Móviles Datos y apps Fraude Identidad Nube Proteger y asegurar Defender y anticipar Prácticas Capacidades Adaptado de: Falco, C. (2016) Unleashing the Immune System: How to Boost Your Security Hygiene. Recuperado de: https://securityintelligence.com/news/unleashingthe-immune-system-how-to-boost-your-security-hygiene/ Dominios de seguridad JCM-17 All rights reserved Conclusiones JCM-17 All rights reserved JCM-17 All rights reserved 11 PUJ - Delitos Financieros Abril/2017 Conclusiones Ciberseguridad empresarial Perímetros Se mueven hacia las personas y sus relaciones digitales Procesos De proteger y asegurar a defender y anticipar Tecnología De la protección de la información a la seguridad cognitiva Ecosistema digital Del control de acceso al control de uso: Productos y servicios digitalmente modificados JCM-17 All rights reserved Para seguir reflexionando … Referencia académica: Cano, J. (2016) Manual de un CISO. Reflexiones no convencionales sobre la gerencia de la seguridad de la información en un mundo VICA (Volátil, Incierto, Complejo y Ambiguo). Bogotá, Colombia: Ediciones de la U. Enlace en la página de la Editorial: (Ebook) https://edicionesdelau.com/producto/manual-de-un-ciso-2/ JCM-17 All rights reserved JCM-17 All rights reserved 12 PUJ - Delitos Financieros Abril/2017 Ciberseguridad empresarial: De las prácticas de aseguramiento a las capacidades de defensa @itinsecure Jeimy J. Cano M., Ph.D, CFE GECTI – Facultad de Derecho Universidad de los Andes COLOMBIA Blog: http://insecurityit.blogspot.com.co JCM-17 All rights reserved JCM-17 All rights reserved 13
