Please enable JavaScript.

Coggle requires JavaScript to display documents.

Ciberseguridad (CSX) - Coggle Diagram

- - - - Económica
      - Social
        "Evaluación" de la población y sociedad donde está la organización
      - Tecnológica
      - Ecológica (medioambiental)
      - Legal
      - Político
      - Tabla Dimensión| Variable| Contexto y ref| Oportunidad| Amenaza
  - - - Fortalezas:
        Qué hacemos bien
        Cuales son nuestras mejores capacidades y aptitudes
        Por qué requieren nuestros servicios, productos y/o capacidades
      - Oportunidades :
        -Qué brechas existen en el mercado
        -Qué situaciones ventajosas pueden beneficiarme
        -Qué cambios podemos realizar para alcanzar mis objetivos
      - Debilidades
        Qué se podría mejorar
        Qué recursos podrían mejorar nuestro desempeño
        Qué capacidades debemos mejorar
      - Amenazas
        Ha habido cambios en las tendencias del mercado y sector
        Qué está haciendo tu competencia
        Qué factores externos limitan mi crecimiento y desarrollo
- - - - Gestión tiene supervisión operacional: trabaja para lograr objetivos estratégicos, planifica las operaciones de ciberseguridad, implementa la arquitectura de seguridad, politicas y controles, reporta kpi's, gestiona incidentes continuidad del negocio y otros macroprocesos del S.I.
    - - Directorio tiene Deber fiduciario deber de lealtad, : que establece la visión estratégica corporativa, aprueba políticas y estándares, define el apetito de riesgo organizacional, establece estructura roles y responsabilidades
      - El gobierno de las TI, de ciber seguridad etc, es una parte integral del gobierno corporativo, son ambos componentes del gobierno global de la organización
      - Cuestiones de gobierno
        
        1.-Principios de ciberseguridad:
        Cual es el rol de la csx en el negocio
        Cuales son comportamientos deseables de la csx
        Como se va a financiar la csx
        
        2.- Arquitectura de la CSX: :warning:
        
        Roles de IT: estratégico, operación, componente negocio (integrado a la cadena de valor)
        
        3.-Estrategicas de infraestructura de CSX
        
        4.- Aplicación a las necesidades del negocio
        
        5.- Prioridades e inversiones en CSX
        
        Weill and Ross
        
        :red_flag:El objetivo de la ciberseguridad es asegurar la continuidad de las operaciones
        
        4 grandes roles RACI
        Responsible- Ejecutor : Realiza la tarea para completar la atividad
        Accountable- responsable: Aprueba el resultado conforme de la tarea realizada por el ejecutor
        Consulted- Consultado: Persona o grupo que es consultado (2 vias) para que de opinion o expertise técnica sobre una actividad
        Informed_ Persona o grupo que son notificados (1 via) sobre el progreso,usualmente cuando se complete la actividad.
      - Principios de gobierno de la csx
        
        Los directores deben comprender y abordar la ciberseguridad como un problema de gestión de riesgos en toda la empresa, no solo como un problema de TI
        
        Los directores deben entender las implicaciones legarles de los riesgos cibernéticos según se relacionan con las circunstancias específicas de su empresa
        
        Las juntas deben tener un acceso adecuado a la experiencia en ciberseguridad y se le debe proporcionar un tiempo regular y
        adecuado a las discusiones sobre la gestión de riesgos cibernéticos en las agendas de las reuniones de la junta
        
        Los directores de la junta deben establecer la expectativa de que la gerencia establecerá un marco de gestión de riesgo cibernético para toda la empresa con personal y presupuesto adecuados
        
        La discusión de la junta directiva sobre el riesgo cibernético debe incluír la identificación de qué riesgos evitar, cuáles aceptar y cuáles mitigar o transferir a través de un seguro, así como planes específicos asociados con cada abordaje
        
        OEA- Manual de supervisión de riesgos ciberneticos para juntas corporativas
      - Gobierno TI: Compromiso y evidencia de que las TI son un
        elemento estratégico que proporciona valor a la empresa.
        Cumplimiento de objetivos locales y corporativos en el contexto de procesos de negocio.
        Gestión de TI: Diseñar y gestionar la arquitectura de las TI de la organización
        Operación de TI: Continuidad y competencia de la infraestructura de TI en la organización.
  - - - Dimensión del cliente:
        Mide la satisfacción de los clientes (percepción) y sus requisitos de rendimiento para la organización (en sus productos o servicios) [Ej definición de SLA y en ciber seguridad son un input para el proceso de gesión de incidentes],
      - Dimensión Financiera:
        Considera los requerimientos financieros y rendimiento de la organización
        [Las medidas financieras deben reflejar valor de la organización]
      - Dimensión de Procesos Internos
        Mide los requisitos y medidas de procesos críticos para los clientes
      - Dimensión de Crecimiento:
        Se enfoca en el entrenamiento y formación de personal y generación de capacidades internas para la organización
  - - - TOGAF: Descripción formal de un sistema o un plan detallado del sistema a nivel de sus componentes que guía su implementación
      - Zachman. Es una herramienta que permite representar una organización describiendo su arquitectura de negocio
  - - - Gestion de riesgos empresarial (ERM), COSO es el estandar un marco integral para la gesitón de riesgos corporativos, 20 principios en 5 componentes
      - Componentes COSO ERM
        
        Gobierno y cultura
        
        1.- Ejerce la supervisión de riesgos a través del consejo de administración
        
        2.- Establece estructuras operativas
        
        3.- Define la cultura deseada
        
        4.- Demuestra compromiso con los valores clave
        
        4.- Atrae, desarrolla y retiene a profesionales capacitados
        
        Estrategia y establecimiento de objetivos
        
        6.- Analiza el contexto empresarial
        
        7.- Define el apetito de riesgo
        
        8.- Evalúa Estrategias alternativas}
        
        9.- Formula objetivos de negocio
        
        Desempeño
        
        10.- Identifica el riesgo
        
        11.- Evalúa la gravedad del riesgo
        
        12-. Prioriza riesgos
        
        13.- Implementa respuestas ante los riesgos
        
        14.- Desarrolla una visión a nivel de cartera
        
        Revisón y monitorización
        
        15.- Evalúa los cambios significativos
        
        16.- Revisa el riesgo y el desempeño
        
        17.- Persigue la mejora de la gestión del riesgo empresarial
        
        Información, comunicación y reporte
        
        18.- Aprovecha la información y la tecnología
        
        19.- Comunica información sobre riesgos
        
        20.- Informa sobre el riesgo, la cultura y el desempeño
      - Estándares
        
        COSO->COSO ERM
        
        ISO 31.000
        
        ISO 27.005
      - Riesgo: Efecto de la incertidumbre en la consecución de los objetivos [:explode: Clase 3]
      - Riesgo inherente (Ri)= Probabilidad (%) x Impacto (I)= Severidad (S)
      - Riesgo Residual (Rr)= (Probabilidad x Impacto) - Controles[Tratamiento del riesgo]= Severidad2
      - Riesgo = % [Amenazas y vulnerabilidad] x I [BIA (:fountain_pen: Bussiness Impact Analisis y Negocio] - Controles
      - Gestión de Riesgo
        Actividades coordinadas para dirigir y controlar una organización en lo relativo al riesgo
      - Proceso de gestión de riesgo
        Aplicación sistemática de políticas, procedimientos y prácticas de gestión a las actividades de comunicación, consulta establecimiento de contexto, e identificación, análisis evaluación , tratamiento, seguimiento y revisión del riesgo.
      - NIST CSF
      - Opciones de tratamiento de riesgo CAIGG
        
        Evitar
        
        Compartir/transferir
        
        Reducir: Implementar un control
        
        Aceptar
      - Activos y activos de información
    - - Tratamiento de riesgos: ISO 27022
      - Análisis de riesgos (RA)
      - Gestión de activos de información
      - Procesos de identificación de activos de información
      - Entender el riesgo
        
        Priorizar el riesgo
        
        Monitorear el riesgo
    - - Cálculo de probabilidades
        
        Metodologías
        
        ISO 31.000: Da directrices generales y establece categorías para el cálculo de probabilidades
        
        ISO 27.005: Gestiona las amenazas con respecto a las probabilidades e impacto, teniendo una valoración cualitativa y cuantitativa
        
        Magerit: Probabilidad de ocurrencia con foco en la amenaza, revisando la Degradación del valor, y la probabilidad de ocurrencia
        
        NIST 800-30: Establece un contexto de evaluación de amenaza y vulnerabilidades basado en, cada uno tiene una tabla con Valores Cualitativos| Semi- Cuantitativos: Capacidad del adversario, Lo que intenta el adversario, Objetivos del adversario.
        Probabilidad de iniciación de adversario, no adversarios
        
        OWASP (metodología)- Amenazas:
        El análisis se centra en los factores de los agentes de amenazas, estableciendo, que son: Nivel de habilidades (¿cuán técnico es el grupo de agentes de amenazas?), Motivación (¿Cuál es la motivación del grupo de agente de amenazas para explotar una vulnerabilidad?), Oportunidad (¿Qué recursos y oportunidades requieren el grupo de agentes de amenazas para explotar una vulnerabilidad?), Tamaño (¿cuál es el tamaño del grupo de agentes de amenazas?)
        www.owasp-risk-rating.com
        
        Marco de trabajo Ciberseguridad NIST
        
        Nucleo (Core): Conjunto de actividades y resultados deseados
        5 funciones, 23 categorías y 108 subcategorías
        
        Función: es un tipo de actividad de alto nivel:
        -Identificar (¿Qué procesos y activos necesitan protección?)
        -Proteger (¿Qué salvaguardas/controles están disponibles?)
        -Detectar (¿Qué técnicas/controles pueden identificar los incidentes?)
        -Responder (¿Qué técnicas/controles sirven para contener los incidentes?)
        -Recuperar (¿Qué técnicas pueden restaurar nuestras capacidades?)
        
        Niveles de Implementación(Tiers) : Describen cómo y en qué grado el riesgo de ciberseguridad está gestionado en una organización
        
        Nivel: Grado de rigor en que las prácticas de gestión de riesgos de ciberseguridad de una organización se alinean con lo planteado
        1.- Parcial
        2.- Riesgo Informado
        3.- Repetible
        4.- Adaptado
        
        Perfiles (Profile): Es la alineación de las funciones, categorías y subcategorías con los requisitos empresariales, la tolerancia al riesgo y los recursos de la organización
        
        Perfil: es la alineación de las funciones, categorías y subcategorías con los requisitos empresariales
        
        Elementos de Gobernanza en NIST CF
        
        ID.GV-1 Política de Ciberseguridad
        
        ID-GV-2 Roles y responsabilidades
        
        Plan de implementación, con ecuación GL
        
        https://revistaseguridad360.com/noticias/capacidad-de-ciberseguridad/ cmms
        
        https://csf.tools/
        
        Tabla de activo| Descriptor de Amenazas| Vulnerabilidad| Escenario Riesgos :fountain_pen:
      - Cálculo de impacto
      - Severidad del Riesgo
- - - - Conceptos
        
        Identidad digital
        
        Tratamiento de los datos: Es el uso de los datos para un fin específico, incluyendo recopilar, registrar, organizar, estructurar datos, modificar, consultar, usar, combinar, borrar y destruir datos
        
        Esfera de privacidad
        
        Transformación digital en el contexto actual provoca la exposición excesiva de datos personales
        
        Protección de datos personales: concepto Europeo para equilibrar las fuerzas entre las personas y las organizaciones que recaban datos de las personas (similar al concepto de privacidad de EEUU)
        
        Data Privacy (UE), Data protection (EEUU):
        Qué se desea comunicar, cuando y a quién
        
        Reglamento General de Protección de Datos (GDPR) de la UE 2016, vigente desde 2018
        
        Responsabilidad proactiva: Es la capacidad de demostrar que se están tomando las medidas (técnicas) para proteger los datos personales
        
        Considerando 4° El tratamiento de datos personales debe estar concebido para servir a la humanidad Protegiendo a las personas, no los datos.
        
        El tratamiento de datos personales que regula el RGPD no comprende a los datos de las personas jurídicas solo las naturales
        
        Datos personales: Toda información sobre una persona física identificada o identificable
        
        Identificación de una persona:
        Puede de
        
        Ciclo de vida del dato
        
        Recogida
        
        Tratamiento y custodia
        
        Comunicación y acceso a datos
        
        Finalización
      - Tipos de datos personales
        
        Datos identificativos: nombre, apellido , firma, pasaporte, lugar y fecha de nacimiento, edad, fotografía y demás análogos
        
        Datos electrónicos: mac, ip, contraseñas, firma electrónica, correo electronico
        
        Datos laborales
        
        Datos patrimoniales historial crediticio, cuentas bancarias, seguros, fianzas, bienes muebles e inmuebles
        
        Datos sobre procedimientos administrativos y/o jurisdiccionales
        
        Datos académicos Trayectoria educativa, calificaciones, títulos, cédula profesional, etc
        
        Datos de tránsito y movimientos migratorios
        
        Datos sobre la salud expediente clínico, consumo de estupefacientes
        
        Datos biométricos Huellas dactilares, adn, geometría de la mano, características de iris, retetina y analogos
        
        Datos de menores de edad
      - Tratamiento del dato personal
        
        Responsable del tratamiento
        
        Persona física o jurídica, o autoridad pública, servicio u otro organismo que determine los fines y medios del tratamiento
        
        Obligaciones: Principios de privacidad desde el diseño y por defecto, Incrementar la transparencia, registro de actividades del tratamiento, notificar las brechas de seguridad, evaluaciones de impacto de protección de datos, designar al oficial de protección de datos, accountability (demostrar el cumplimiento de las obligaciones)
        
        Encargado de tratamiento
        
        Persona natural o jurídica, que realiza el tratamiento por cuenta del responsable, debe quedar establecido por un contrato estableciendo las obligaciones para el encargado del tratamiento
        
        Obligaciones: Realizar el tratamiento de DP (datos personales), no usar los DP con fines distintos, garantizar la confidencialidad, adoptar las medidas técnicas y organizativas, asistir al responsable, elaborar el rat
        
        Def: Cualquier operación o procedimiento técnico manual o automatizado, que permita la recogida, grabación conservación, elaboración, modificación, consulta, utilización, cancelación, bloqueo, o supresión así como las cesiones de datos que resulten de comunicaciones, consultas, interconexiones y transferencias
        Actividades: Recopilar, registrar, organizar, estructurar, almacenar, modificar, consultar, usar, publicar, combinar, borrar y destruir datos
        
        :fountain_pen: Listar los encargados de tratamientos que tienen en sus organizaciones, por qué es un encargado, que tipos de datos personales trata, existe un contrato escrito con el encargado, que medidas de seguridad tiene implementada
      - Principios del tratamiento y base legal según RGPD
        
        01 Licitud, lealtad y trasparencia
        Se requieren fundamentos legítimos para el tratamiento de datos personales
        
        02 Limitación de la finalidad:
        Los datos personales deben ser reacabados solo para fines precisos, evidentes y legítimos, que hayan sido especificados en el momento de recogida
        
        03 Minimización de datos
        Limitados a los datos necesarios en relación con los fines que son tratados
        
        04 Exactitud
        Se debe adoptar todas las medidas razonables para asegurar que los datos sean precisos y estén actualizados con respecto a los fines para los que fueron recopilados y almacenados
        
        05 Limitación del plazo de conservación
        Mantenidos solo durante el tiempo necesario para el fin del tratamiento
        
        06 Integridad y confidencialidad
        Se deben procesar los datos personales de una manera que garantice la seguridad de la información, aplicando todas las medidas organizativas y técnicas apropiadas para evitar el procesamiento ilegal o no autorizado
        
        Aplicación práctica de los principios a través de las medidas de seguridad
        
        Aplicación integridad y confidencialidad
        El responsable
        
        Cifrado de datos
        
        Medida para mantener los datos encriptados
        
        Anonimización de datos
        
        Consiste en desvincular completamente los datos personales de los datos identificativos, produciendose un nuevo conjunto de datos disociado del individuo al que perteneces, haciendo imposible que se pueda identificar o reidentificar a dicho individuo
        
        Seudonimización
        
        Desvincula lso datos identificativos, pero mantienen datos reidentificar mediante un proceso inverso
        
        Consentimiento online
        
        Específico
        
        Libre
        
        Informado
        
        Inequívoco
        
        Norma ISO/IEC 29184:2020
        TI - Avisos de privacidad y consentimiento
      - Aplicación