{"id":39743,"date":"2016-11-23T23:30:55","date_gmt":"2016-11-24T05:30:55","guid":{"rendered":"http:\/\/audraysite.wordpress.com\/?p=469"},"modified":"2016-11-24T00:08:30","modified_gmt":"2016-11-24T06:08:30","slug":"administrando-el-peligro","status":"publish","type":"post","link":"https:\/\/kenscourses.com\/tc2027fall2016\/syndicated\/administrando-el-peligro\/","title":{"rendered":"Administrando el peligro"},"content":{"rendered":"<p class=\"syndicated-attribution\"><em> --Originally published at <a href=\"https:\/\/audraysite.wordpress.com\/2016\/11\/24\/administrando-el-peligro\/\"><a href=\"https:\/\/audraysite.wordpress.com\">(Not so) Random talk<\/a><\/a><\/em><br \/><\/p>\n<p><span style=\"font-weight:400;\">En el sector p\u00fablico y privado se tienen diferentes usos para la informaci\u00f3n y las nuevas tecnolog\u00edas, como ya hemos visto eso conlleva a tener presentes una serie muy grande de peligros y vulnerabilidades latentes. Las diferentes compa\u00f1\u00edas y empleados que generan las nuevas tecnolog\u00edas deben no s\u00f3lo ser capaces de reaccionar ante estas vulnerabilidades, sino tambi\u00e9n manejarlas y evaluarlas para poder otorgar un grado mayor de seguridad a los usuarios.<\/span><\/p>\n<p><span style=\"font-weight:400;\">Los diferentes objetivos que conlleva el evaluar estos riesgos son:<\/span><\/p>\n<ul>\n<li style=\"font-weight:400;\"><span style=\"font-weight:400;\">Encontrar peligros para la organizaci\u00f3n.<\/span><\/li>\n<li style=\"font-weight:400;\"><span style=\"font-weight:400;\">Detectar vulnerabilidades dentro y fuera de la organizaci\u00f3n.<\/span><\/li>\n<li style=\"font-weight:400;\"><span style=\"font-weight:400;\">Evaluar el impacto del explotamiento de dichas vulnerabilidades.<\/span><\/li>\n<li style=\"font-weight:400;\"><span style=\"font-weight:400;\">Conocer el porcentaje de probabilidad de ser explotada de una vulnerabilidad.<\/span><\/li>\n<\/ul>\n<p><span style=\"font-weight:400;\">Es decir, se lleva una evaluaci\u00f3n que determinar\u00e1 el riesgo.<\/span><\/p>\n<p><span style=\"font-weight:400;\">Los riesgos en las organizaciones deben ser vistos a partir de diferentes puestos de trabajo los cuales terminan abarcando todas las jerarqu\u00edas. Los dirigentes deben saber tanto como los programadores sobre los riesgos que puede implicar el uso de la tecnolog\u00eda, convirtiendo la tarea del asesoramiento de riesgos algo realmente complicado.<\/span><\/p>\n<p><span style=\"font-weight:400;\">Una manera de entender esto es lo siguiente: Digamos que se te pide que realices un formulario con la contrase\u00f1a de la gente.<\/span><\/p>\n<p><span style=\"font-weight:400;\">Hecho 1: El jefe, al no saber sobre riesgos acepta el trabajo a\u00fan sin especificar claramente que no se debe mostrar en alg\u00fan lado esa informaci\u00f3n.<\/span><\/p>\n<p><span style=\"font-weight:400;\">Hecho 2: El empleado al no saber sobre la seguridad de contrase\u00f1as ni peticiones, env\u00eda la contrase\u00f1a dentro del url para que la p\u00e1gina que le utiliza le pueda verificar.<\/span><\/p>\n<p><span style=\"font-weight:400;\">Hecho 3: Un atacante se da cuenta del error y roba informaci\u00f3n cuando el producto sale a la venta.<\/span><\/p>\n<p><img class=\" size-full wp-image-475 aligncenter\" src=\"http:\/\/kenscourses.com\/tc2027fall2016\/wp-content\/uploads\/2016\/11\/f60cfbb21ef62f0d425ec0acacef01f4.jpg\" alt=\"cross_eyed\" srcset=\"https:\/\/audraysite.files.wordpress.com\/2016\/11\/cross_eyed.jpg 401w, https:\/\/audraysite.files.wordpress.com\/2016\/11\/cross_eyed.jpg?w=150 150w, https:\/\/audraysite.files.wordpress.com\/2016\/11\/cross_eyed.jpg?w=300 300w\" sizes=\"(max-width: 401px) 100vw, 401px\"   \/><\/p>\n<p><span style=\"font-weight:400;\">Todo lo anterior da como resultado que la empresa quede en mala posici\u00f3n, se pierda dinero por la necesidad de arreglar el error, probablemente el programador sea despedido <div class=\"post-limited-image\"><img class=\" size-full wp-image-478 aligncenter\" src=\"http:\/\/kenscourses.com\/tc2027fall2016\/wp-content\/uploads\/2016\/11\/de29563072c50a1cd80f441f10d0d775.jpg\" alt=\"24684402\" srcset=\"https:\/\/audraysite.files.wordpress.com\/2016\/11\/24684402.jpg 400w, https:\/\/audraysite.files.wordpress.com\/2016\/11\/24684402.jpg?w=150 150w, https:\/\/audraysite.files.wordpress.com\/2016\/11\/24684402.jpg?w=300 300w\" sizes=\"(max-width: 400px) 100vw, 400px\"   \/><\/div>\n<div class=\"post-limited-image\"><img alt=\"\" border=\"0\" src=\"http:\/\/kenscourses.com\/tc2027fall2016\/wp-content\/uploads\/2016\/11\/de8c54478d7e2579a98bfd556ce0bae2.jpg\" \/><\/div>\n<div class=\"post-limited-image\"><img alt=\"\" border=\"0\" src=\"http:\/\/kenscourses.com\/tc2027fall2016\/wp-content\/uploads\/2016\/11\/542ea6e5d1594ede731e8e2979c06dbc.jpg#038;blog=115434560&%23038;post=469&%23038;subd=audraysite&%23038;ref=&%23038;feed=1\" width=\"1\" height=\"1\" \/><\/div><!--more--> todos se lamentan el no haber evitado todo esto desde el inicio.<\/span><\/p>\n<p><span style=\"font-weight:400;\">Es ah\u00ed cuando la evaluaci\u00f3n de riesgos ayuda puesto que nos permite el saber sobre estas vulnerabilidades desde el inicio, pudiendo permitir que se evite el problema o se minimice desde el encargado de aceptar el pedido y no solo cuando ya se est\u00e1 en p\u00e1nico y el programador debe pelear contra el tiempo para no seguir con p\u00e9rdidas.<\/span><\/p>\n<p><span style=\"font-weight:400;\">Esto parece m\u00e1s sencillo de lograr de lo que en realidad es, por lo anterior, se implementan los Frameworks de Administraci\u00f3n de Riesgos.<\/span><\/p>\n<p><span style=\"font-weight:400;\">La <strong><em>administraci\u00f3n de riesgos<\/em><\/strong> es el proceso que consta del asesoramiento de riesgos (el cual es tambi\u00e9n otro tema), mitigaci\u00f3n de riesgos y la evaluaci\u00f3n y el asesoramiento. Este ayuda a los administradores IT balancear los costos operacionales y econ\u00f3micos de las medidas preventivas y a obtener logros en la misma protecci\u00f3n de los sistemas.<\/span><\/p>\n<p><img class=\" size-full wp-image-478 aligncenter\" src=\"http:\/\/kenscourses.com\/tc2027fall2016\/wp-content\/uploads\/2016\/11\/de29563072c50a1cd80f441f10d0d775.jpg\" alt=\"24684402\" srcset=\"https:\/\/audraysite.files.wordpress.com\/2016\/11\/24684402.jpg 400w, https:\/\/audraysite.files.wordpress.com\/2016\/11\/24684402.jpg?w=150 150w, https:\/\/audraysite.files.wordpress.com\/2016\/11\/24684402.jpg?w=300 300w\" sizes=\"(max-width: 400px) 100vw, 400px\"   \/><\/p>\n<p><span style=\"font-weight:400;\">Los <strong><em>Frameworks<\/em><\/strong> no son m\u00e1s que una serie de buenas pr\u00e1cticas que ayudan a minimizar riesgos, m\u00e9todos de control para detectarlos y procedimientos para actuar en caso de ellos. Los frameworks son entonces herramientas que ayudan a mantener un cierto nivel de seguridad a la hora de realizar implementaciones y desarrollar los productos de tecnolog\u00eda que usan la informaci\u00f3n tan valiosa que se pudiera necesitar.<\/span><\/p>\n<p><span style=\"font-weight:400;\">Entre los pasos descritos por un Framework que deben ser respetados se encuentran los siguientes:<\/span><\/p>\n<ul>\n<li><b>Categorizar<\/b><span style=\"font-weight:400;\"> la informaci\u00f3n del sistema y la informaci\u00f3n que se usar\u00e1 a partir de un analisis de impacto.<\/span><\/li>\n<li><b>Seleccionar<\/b><span style=\"font-weight:400;\"> las reglas para los controles de seguridad de dichas categor\u00edas.<\/span><\/li>\n<li><b>Implementar<\/b><span style=\"font-weight:400;\"> los controles de seguridad y describir sus usos.<\/span><\/li>\n<li><b>Evaluar <\/b><span style=\"font-weight:400;\">los controles de seguridad.<\/span><\/li>\n<li><b>Autorizar<\/b><span style=\"font-weight:400;\"> el sistema de informaci\u00f3n basado en los riesgos.<\/span><\/li>\n<li><b>Monitorear<\/b><span style=\"font-weight:400;\"> los controles de seguridad continuamente.<\/span><\/li>\n<\/ul>\n<p><span style=\"font-weight:400;\">Como nos podemos dar cuenta no todos los pasos pueden ser realizados por la parte de desarrollo de los sistemas de informaci\u00f3n y deben de actuar diferentes jerarqu\u00edas de la organizaci\u00f3n para, juntos, lograr un nivel de riesgo m\u00ednimo. Y justo en este punto es donde entran las pol\u00edticas de seguridad, pero ese es otro tema.<\/span><\/p>\n<p><span style=\"font-weight:400;\">Algunas tecnolog\u00edas (o frameworks) y protocolos para la administraci\u00f3n de riesgos son:<\/span><\/p>\n<ul>\n<li style=\"font-weight:400;\"><a href=\"https:\/\/www.enisa.europa.eu\/topics\/threat-risk-management\/risk-management\/current-risk\/risk-management-inventory\/rm-ra-methods\/m_cramm.html\"><span style=\"font-weight:400;\">Cramm<\/span><\/a><\/li>\n<li style=\"font-weight:400;\"><a href=\"https:\/\/www.enisa.europa.eu\/topics\/threat-risk-management\/risk-management\/current-risk\/risk-management-inventory\/rm-ra-methods\/m_ebios.html\"><span style=\"font-weight:400;\">Ebios<\/span><\/a><\/li>\n<li style=\"font-weight:400;\"><a href=\"https:\/\/www.enisa.europa.eu\/topics\/threat-risk-management\/risk-management\/current-risk\/risk-management-inventory\/rm-ra-methods\/m_isamm.html\"><span style=\"font-weight:400;\">ISAMM<\/span><\/a><\/li>\n<li style=\"font-weight:400;\"><a href=\"https:\/\/www.enisa.europa.eu\/topics\/threat-risk-management\/risk-management\/current-risk\/risk-management-inventory\/rm-ra-methods\/m_isf_methods.html\"><span style=\"font-weight:400;\">ISF Methods<\/span><\/a><\/li>\n<li style=\"font-weight:400;\"><a href=\"https:\/\/www.enisa.europa.eu\/topics\/threat-risk-management\/risk-management\/current-risk\/risk-management-inventory\/rm-ra-methods\/m_iso133352.html\"><span style=\"font-weight:400;\">ISO\/IEC 13335-2<\/span><\/a><\/li>\n<li style=\"font-weight:400;\"><a href=\"https:\/\/www.enisa.europa.eu\/topics\/threat-risk-management\/risk-management\/current-risk\/risk-management-inventory\/rm-ra-methods\/m_iso17799.html\"><span style=\"font-weight:400;\">ISO\/IEC 17799<\/span><\/a><\/li>\n<li style=\"font-weight:400;\"><a href=\"https:\/\/www.enisa.europa.eu\/topics\/threat-risk-management\/risk-management\/current-risk\/risk-management-inventory\/rm-ra-methods\/m_iso27001.html\"><span style=\"font-weight:400;\">ISO\/IEC 27001<\/span><\/a><\/li>\n<li style=\"font-weight:400;\"><a href=\"https:\/\/www.enisa.europa.eu\/topics\/threat-risk-management\/risk-management\/current-risk\/risk-management-inventory\/rm-ra-methods\/m_magerit.html\"><span style=\"font-weight:400;\">Magerit<\/span><\/a><\/li>\n<li style=\"font-weight:400;\"><a href=\"https:\/\/www.enisa.europa.eu\/topics\/threat-risk-management\/risk-management\/current-risk\/risk-management-inventory\/rm-ra-methods\/m_marion.html\"><span style=\"font-weight:400;\">Marion<\/span><\/a><\/li>\n<li style=\"font-weight:400;\"><a href=\"https:\/\/www.enisa.europa.eu\/topics\/threat-risk-management\/risk-management\/current-risk\/risk-management-inventory\/rm-ra-methods\/m_mehari.html\"><span style=\"font-weight:400;\">Mehari<\/span><\/a><\/li>\n<li style=\"font-weight:400;\"><a href=\"https:\/\/www.enisa.europa.eu\/topics\/threat-risk-management\/risk-management\/current-risk\/risk-management-inventory\/rm-ra-methods\/m_migra.html\"><span style=\"font-weight:400;\">MIGRA<\/span><\/a><\/li>\n<li style=\"font-weight:400;\"><a href=\"https:\/\/www.enisa.europa.eu\/topics\/threat-risk-management\/risk-management\/current-risk\/risk-management-inventory\/rm-ra-methods\/m_octave.html\"><span style=\"font-weight:400;\">Octave<\/span><\/a><\/li>\n<li style=\"font-weight:400;\"><a href=\"https:\/\/www.enisa.europa.eu\/topics\/threat-risk-management\/risk-management\/current-risk\/risk-management-inventory\/rm-ra-methods\/m_risksafe-assessment\"><span style=\"font-weight:400;\">RiskSafe Assessment<\/span><\/a><\/li>\n<li style=\"font-weight:400;\"><a href=\"https:\/\/www.enisa.europa.eu\/topics\/threat-risk-management\/risk-management\/current-risk\/risk-management-inventory\/rm-ra-methods\/m_sp800_30.html\"><span style=\"font-weight:400;\">SP800-3<\/span><\/a><\/li>\n<\/ul>\n<p><span style=\"font-weight:400;\">Post made in collaboration with Cesar.<\/span><\/p>\n<blockquote><p><em>References and more info:<\/em><\/p>\n<p><em><a href=\"https:\/\/rmf.org\/images\/stories\/rmf_documents\/sp800-37-rev1-final.pdf\">https:\/\/rmf.org\/images\/stories\/rmf_documents\/sp800-37-rev1-final.pdf<\/a><\/em><\/p>\n<p><em><a href=\"http:\/\/csrc.nist.gov\/publications\/nistpubs\/800-30\/sp800-30.pdf\">http:\/\/csrc.nist.gov\/publications\/nistpubs\/800-30\/sp800-30.pdf<\/a><\/em><\/p>\n<p><em><a href=\"https:\/\/www.enisa.europa.eu\/topics\/threat-risk-management\/risk-management\/current-risk\/risk-management-inventory\/rm-ra-methods\">https:\/\/www.enisa.europa.eu\/topics\/threat-risk-management\/risk-management\/current-risk\/risk-management-inventory\/rm-ra-methods<\/a><\/em><\/p><\/blockquote><br \/>  <a rel=\"nofollow\" href=\"http:\/\/feeds.wordpress.com\/1.0\/gocomments\/audraysite.wordpress.com\/469\/\"><img alt=\"\" border=\"0\" src=\"http:\/\/kenscourses.com\/tc2027fall2016\/wp-content\/uploads\/2016\/11\/de8c54478d7e2579a98bfd556ce0bae2.jpg\" \/><\/a> <img alt=\"\" border=\"0\" src=\"http:\/\/kenscourses.com\/tc2027fall2016\/wp-content\/uploads\/2016\/11\/542ea6e5d1594ede731e8e2979c06dbc.jpg#038;blog=115434560&%23038;post=469&%23038;subd=audraysite&%23038;ref=&%23038;feed=1\" width=\"1\" height=\"1\" \/>","protected":false},"excerpt":{"rendered":"<p>&#8211;Originally published at (Not so) Random talk En el sector p\u00fablico y privado se tienen diferentes usos para la informaci\u00f3n y las nuevas tecnolog\u00edas, como ya hemos visto eso conlleva a tener presentes una serie muy grande de peligros y vulnerabilidades latentes. Las diferentes compa\u00f1\u00edas y empleados que generan las nuevas tecnolog\u00edas deben no s\u00f3lo &hellip; <a href=\"https:\/\/kenscourses.com\/tc2027fall2016\/syndicated\/administrando-el-peligro\/\" class=\"more-link\">Continue reading <span class=\"screen-reader-text\">Administrando el peligro<\/span><\/a><\/p>\n","protected":false},"author":14,"featured_media":39833,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[5,4],"tags":[199,200,191,201,202,24],"class_list":["post-39743","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blogs","category-syndicated","tag-collab","tag-danger","tag-risk","tag-risk-admin","tag-spanish","tag-tc2027"],"_links":{"self":[{"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/posts\/39743","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/users\/14"}],"replies":[{"embeddable":true,"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/comments?post=39743"}],"version-history":[{"count":3,"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/posts\/39743\/revisions"}],"predecessor-version":[{"id":39840,"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/posts\/39743\/revisions\/39840"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/media\/39833"}],"wp:attachment":[{"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/media?parent=39743"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/categories?post=39743"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/kenscourses.com\/tc2027fall2016\/wp-json\/wp\/v2\/tags?post=39743"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}