Análisis de riesgos de seguridad de la información

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

TIA: Evaluación de riesgos de la seguridad de software mediante la matriz de riesgos

(caso de estudio)

 

Santiago Ramírez Valencia

 

 

 

Esta TIA 2 está relacionada con el estudio de caso Universidad Global,   en la cual se debe elaborar una matriz  de  riesgos  de  acuerdo  a  lo  solicitado  por           el decano para contemplar la seguridad de los módulos o interfaces   Web        del      Sistema           Académico  y  Gestión (SIAG) y para ello en forma grupal se debe realizar:

 

1.   Contextualización de la seguridad de acuerdo a las normas de seguridad

2.   Identificación de activos de información

3.   Identificación de amenazas

4.   Evaluación de riesgos

5.   Construcción de la matriz de riesgos

 

Desarrolle cada uno de los puntos solicitados en las diapositivas dispuestas para ello.

 

 

 

 

 

 

2

 

1.1 Identifique los aspectos de seguridad de las normas ISO 27005 e ISO 27001 a tener en cuenta para presentar la matriz de riesgos de la seguridad del software de interfaces solicitado por el decano.

 

 

 

 

ISO 27005 criterios de evaluación del riesgo

 

·         valor estratégico del negocio.

·         la criticidad de los activos de información involucrados.

·         los requisitos legales y reglamentarios, así como las obligaciones contractuales

·         la importancia de la disponibilidad, confidencialidad e integridad para las

·         operaciones y el negocio.

·         Las expectativas y percepciones de las partes interesadas y las consecuencias

·         negativas para el buen nombre y la reputación.

 

ISO 27001 criterios de evaluación del riesgo

 

·         Establecer y mantener los criterios de riesgo de la seguridad de la información

·         Asegurar que las evaluaciones de riesgo de la seguridad de la información, producen resultados consistentes, validos y comparables.

·         Identificar los riesgos de la seguridad de la información

·         Analizar los riegos de la seguridad de la información

·         Evaluar los riegos de la seguridad de la información

 

3

Escriba una lista de activos de información del SIAG (tenga en cuenta que estos activos son exclusivos del módulo o interfaces Web y pueden ser diferentes a los activos identificados en la TIA 1)

 

2.1       Identifique   los   activos   de   información   para       las interfaces solicitadas estudio de caso.

2.2    Defina qué tan crítico o importante es cada activo identificado para la organización.

 

 

 

 

Activos de Información	Criticidad
Capital Humano	Alto: ya que tienen el conocimiento de donde está la información y como se maneja
Equipos de Computo	Alto: ya que por medio de ellos se interactúa con la aplicación
Servidores	Alto: ya que es donde se almacena la mayor parte de la información
Sistema de información SIAG matriculas.	Medio: ya que aunque retrasa el proceso este se puede realizar manualmente, mientras se recupera la funcionalidad
Sistema de información SIAG historial y reportes personalizados o a medida	Medio: Es información importante se deberá mantener un back up de la reportera
Sistema de información SIAG faltas disciplinarias	Bajo: aunque es muy importante No representa una perdida económica relevante para significativa el sistema.
Sistema de información SIAG admisiones y módulo de liquidación	Alto: ya que esta es información relevante y la perdida de esta puede incurrir en altos costos y desestabiliza la funcionalidad de la institución
Sistema de información SIAG módulo de gestión académica	Alto: ya que puede incurrir en altos costos y desestabiliza la funcionalidad de la institución
Seguridad y Contraseñas	Muy Alto: Ya que pueden tener acceso a toda la información

 

 

 

 

4

 

3.1        Desarrolle una lista con las amenazas contra los atributos de seguridad de la información (Confidencialidad, integridad, disponibilidad y no repudio) teniendo en cuenta el contexto de desarrollo de las modificaciones al software.

 

Tenga en cuenta sólo las amenazas y las vulnerabilidades que pueden afectar el desarrollo de componentes adicionales para las interfaces al aplicativo del SIAG, no a todos los activos de infraestructura.

 

3.2     Justifique por qué se considera estas amenazas a la seguridad SIAG

 

Las vulnerabilidades pueden ser hipotéticas o teóricas, toda vez que no se han hecho pruebas de vulnerabilidad.

 

 

 

 

 

 

 

Amenazas y las vulnerabilidades a tener en cuenta	Justificación
DDOS	Ya que inunda nuestra red de información y puede hacer colapsar el sistema.
XSS	Ya que puede incrustar código en nuestro sistema y capturar información importante
SQL INJECTIION	Ya que podrá realizar operaciones en nuestras bases de datos y corromper nuestra información
BUFFER OVER FLOW	Ya que si tenemos un desbordamiento de datos se puede incurrir a un ataque de sobreescritura de memoria que puede exponer datos del aplicativo
BRUTE FORCE	Ya que podrá tener acceso a toda la aplicación rompiendo la seguridad mediante intentos masivos
EXPLOITS	Ya que permitirá un aprovechamiento de una debilidad de nuestro sistema ya sea en la seguridad como en el código fuente.
INGENIERIA SOCIAL	La promulgación de información confidencial por parte de nuestro personal
DUMPSTER DIVING	Probabilidad de dejar información importante en nuestras papeleras o archivos basura su utilización de forma inadecuada
FILE INCLUSION	Ya que si se presentan vulnerabilidades de archivos el atacante podría vulnerar nuestro sistema y tomar el control de nuestros archivos y ejecutarlos.
PERDIDA DE INFORMACIÓN	Ya sea por error humano o un ataque es de vital importancia tener copias de seguridad o back up’s

 

 

5

 

4.1    Estime la probabilidad de impacto de cada amenaza según las metodologías de evaluación de riesgos estudiadas.

4.2   Considere los criterios de seguridad que propone las metodologías estudiadas.

4.3       Considere las vulnerabilidades para asignar la probabilidad (posibilidad de ocurrencia) de cada amenaza.

Impacto de cada amenaza

Según las normas el impacto se debe medir con base al tiempo que se demore a la aplicación inactiva y su efecto económico, para esto se plantea la siguiente tabla de tabulación.

 

Rangos	descripción-de impacto.
Insignificante	La información no esta disponible por menos de 3 horas.
Menor	La información no esta disponible 3 y 8 horas
Medio	La información no esta disponible 8 y 14 horas
Mayor	La información no esta disponible entre 14 y de 24 horas
Superior	La información no esta disponible por más de 24 horas
Superior	Pérdida superior a los $40 millones

 

 

 

 

ESCENARIO	Impacto
DDOS   ENTORNO OPERATIVO	Medio
XSS   leguaje de programación	Mayor
SQL INJECTIION  base de datos	Medio
SQL INJECTIION lenguaje de programación	Medio
BUFFER OVER FLOW   ENTORNO OPERATIVO	Mayor
BUFFER OVER FLOW   HARDWARE	Medio
BRUTE FORCE   DOCUMENTACION	Superior
BRUTE FORCE   ENTORNO OPERATIVO	Mayor
EXPLOITS   DOCUMENTACION	Superior
INGENIERIA SOCIAL Personas	Superior
DUMPSTER DIVING Personas	Mayor
DUMPSTER DIVING DOCUMENTACION	Mayor
FILE INCLUSION  código fuente	Medio
PERDIDA DE INFORMACIÓN DOCUMENTACION	Mayor
PERDIDA DE INFORMACIÓN ENTORNO OPERATIVO	Medio
PERDIDA DE INFORMACIÓN HARDWARE	Mayor

 

Criterios de Seguridad

 

Se debe de tener presente los siguientes criterios de seguridad en la información con el fin de disminuir los riesgos y así poder garantizar al máximo el correcto funcionamiento de la aplicación y la confidencialidad de los datos con los que se maneja.

 

·         Integridad: La información solo puede ser modificada por quien esta autorizado y de manera controlada.

 

·         Confidencialidad: La información sólo debe ser legible para los usuarios autorizados.

 

·         Disponibilidad: Debe estar disponible siempre que se necesite.

 

·         Irrefutabilidad: El uso y/o modificación de la información por parte de un usuario debe ser irrefutable, es decir, que el usuario no puede negar dicha acción.

 

 

 

posibilidad de ocurrencia de cada amenaza.

se plantea la siguiente tabla de tabulación donde se establecen los criterios que se tuvieron en cuenta para la posibilidad de ocurrencia

 

Rangos	Descripción de ocurrencia
Insignificante	Puede ocurrir solo bajo circunstancias excepcionales
Baja	Podría ocurrir algunas veces
Media	Puede ocurrir en algún momento
Alta	La expectativa de ocurrencia se da forma periódica
Muy Alta	La expectativa de ocurrencia se da en la mayoría de circunstancias

 

 

ESCENARIO	Ocurrencia
DDOS   ENTORNO OPERATIVO	Insignificante
XSS   leguaje de programación	Media
SQL INJECTIION  base de datos	Baja
SQL INJECTIION lenguaje de programación	Baja
BUFFER OVER FLOW   ENTORNO OPERATIVO	Baja
BUFFER OVER FLOW   HARDWARE	Baja
BRUTE FORCE   DOCUMENTACION	Media
BRUTE FORCE   ENTORNO OPERATIVO	Media
EXPLOITS   DOCUMENTACION	Insignificante
INGENIERIA SOCIAL Personas	Muy Alta
DUMPSTER DIVING Personas	Baja
DUMPSTER DIVING DOCUMENTACION	Baja
FILE INCLUSION  código fuente	Baja
PERDIDA DE INFORMACIÓN DOCUMENTACION	Media
PERDIDA DE INFORMACIÓN ENTORNO OPERATIVO	Baja
PERDIDA DE INFORMACIÓN HARDWARE	Baja

 

 

 

 

6

 

 

5.1 Diseñe y construya una “matriz de riesgos”, donde pueda presentar los riesgos de acuerdo a su criticidad o importancia.

Se tendrá en cuenta la creatividad para su diseño, es decir, las facilidades que brinde para priorizar los riesgos a gestionar o controlar por el sistema de gestión de la seguridad.

 

La matriz de riesgos puede ser realizada en alguna herramienta ofimática.

 

La siguiente diapositiva presenta un ejemplo de matriz de riesgos aunque cada equipo de estudio está en libertad de utilizar otro diseño.

 

 

 

Tabulaciones:

 

Impacto

 

 

Ocurrencia

 

 

 

Matriz de riesgos

 

 

 

IN ST  I TU  C 10 N   U N I V E RS ITA R I A

PASCUAL BRAUO

 

 

Unidad  de  Educacién   Virtual

 

 

 

 

Alcaldia de Medellfn