|
|
|
|
hackProducts / hackProductos |
||
 PRODUCT BROCHURE / PORTAFOLIO DEL PRODUCTO [+] Intro / Introducción [+] Description / Descripción [+] InForce Server / Servidor de Políticas [+] InForce Agent / Agente de Control [+] Architecture / Arquitectura [+] Advantages and Benefits / Ventajas y Beneficios
|
INFORCE TECHNOLOGY
"One to Rule Them All" La Nueva Tecnología para Administrar la Seguridad Organizacional de su Empresa a Partir de la Gestión y Control de Planes de Políticas de Seguridad Informática. Según
la Norma ISO/IEC 17799,
"La
Información es un activo que
tiene un Alto Valor para las Organizaciones y requiere una
Protección Adecuada". “Conjunto
de actividades, prácticas, técnicas, dispositivos,
herramientas, conocimientos, procesos y demás consideraciones
que tienen por objetivo común y prioritario establecer el
correcto uso, manipulación, transporte, transmisión y
almacenamiento de la información, garantizando la
correspondiente Confidencialidad, Integridad, Disponibilidad e
Identidad de esta información.” Los Expertos y
Especialistas en Seguridad Informática Delimitan el Tema a Dos
Espacios Fundamentales de Estudio: Seguridad Outsider: Corresponde a la Aplicación de los Conceptos de Seguridad Informática al Exterior de la Organización y que busca minimizar Riesgos a Nivel de Amenazas y Vulnerabilidades Externas a la Organización o su Infraestructura Tecnológica. p.e. Las Protecciones de Acceso Externo (Firewalls, VPNs, etc.). Los Riesgos de Seguridad Outsider son "relativamente bajos" (se considera que un 20%-30% de este tipo de Ataques tienen un Éxito Nocivo), y generalmente se centran en Ataques de Tipo DoS conocidos como Denegación de Servicio (Denial of Service). Seguridad Insider: Corresponde a la Aplicación de Conceptos de Seguridad Informática al Interior de la Organización y que busca Minizar Riesgos a Nivel de Amenazas y Vulnerabilidades Internas a la Organización o su Infraestructura Tecnológica. p.e. Los Sistemas de Autenticación de Usuarios (Sistemas de Claves de Acceso, Sistemas de Autenticación Biométrica, etc.), los Control de Acceso sobre Servicios y Archivos, los Registros y Logs, etc. Los Riesgos de Seguridad Insider son "relativamente Altos" (se considera que un 70%-80% de este tipo de Ataques tienen Éxito y una gran Profundidad de Daño para la Organización), y generalmente se centran en Ataques donde está altamente comprometido algún Actor dentro del Esquema Organizacional. |
||
|
Description / Descripción [^]
InForce Server / Servidor de Políticas [^] Corresponde a una Aplicación Software de mayor Jerarquía instalado en la Posición del Servidor (al que denominaremos Servidor de Políticas de Seguridad) mediante el cual el Administrador de red puede Gestionar las Políticas de Seguridad que se desean controlar por medio de los Agentes de Control.
Las Funciones
principales del
Gestor (Servidor de Políticas) serán: InForce Agent / Agente de Control [^] Corresponde a una Aplicación Software de menor Jerarquía instalada en la posición de cada uno de los equipos que conforman la Intranet y que está encargado de controlar las distintas Políticas gestionadas a través del Módulo de Gestión (Servidor de Políticas), para lo cual su principal interacción se lleva a cabo con el Sistema Operativo de cada equipo terminal de la Red (para este desarrollo piloto de este proyecto se ha determinado trabajar sobre el Entorno Operativo de Windows 98, Millenium, 2000, XP, 2003 considerado como la Plataforma más ampliamente difundida a nivel de Sistemas de Escritorio (Desktop) en la mayoría de las redes actuales. En desarrollos posteriores a este proyecto esta previsto se ampliación a otros tipos de Entornos como Linux, Unix, Solaris, MacOS, etc.). El Agente correrá de forma paralela con el Sistema Operativo como un Hilo o Demonio (Daemon) de tal manera que no afecte el rendimiento ni la eficiencia de los procesos de la máquina y hará uso de los principales elementos del sistema operativo como el Registro de Sistema Operativo (Registry), el Esquema de Procesos (Process), el Sistema de Archivos (File System), etc., para llevar a cabo las correspondientes Operaciones de Control.
Las Funciones
principales de los
Agentes de Control serán: Architecture / Arquitectura [^]  Advantages and Benefits / Ventajas y Beneficios [^] El Control de Políticas de Seguridad es una de las Actividades más Tediosas, Complejas y en determinados momentos Conflictiva. El Desgaste a nivel de Tiempo, Esfuerzo, Costo, es Alto. Pensando en esto, el Desarrollo del Proyecto InForce presenta las siguientes Ventajas:1. Covering / Cobertura 80% - 90% [^] Realmente, tratar de Controlar que los Usuarios cumplan en todo momento con el Plan de Políticas establecido por la Organización es Prácticamente imposible. En Recurso Humano esto implicaría tener un Responsable "Fiscalizador" de tiempo completo en el Lugar de Trabajo de cada uno de los Actores (Usuarios) que dentro de la Infraestructura Organizacional usan los Servicios y Recursos de Red. El hecho de Controlar las Actividades que realizan los Usuarios en sus Equipos todo el tiempo (Cobertura 100%) es Irrealizable. El Proyecto InForce ha sido Desarrollado con el fin de Disminuir al Máximo la Intervención Humana asociada a las Actividades de Control (Fiscalización), Permitiendo que sean Agentes Software con la suficiente Inteligencia para Interpretar las Acciones de los Usuarios relativas a la Seguridad Informática los que realicen dicho Trabajo de forma mucho más completa que como lo realizaría un "Fiscalizador Humano". Esto permite Incrementar el Nivel y Porcentaje de Cobertura en el Control del Plan de Políticas de Seguridad (80%-90%) 2. Specialized Management / Administración Especializada [^] El Proyecto InForce se dedica controlar aspectos específicos relativos a la Seguridad Informática, los cuales deben estar Definidos (Gestionados) en el Servidor de Políticas. "No tiene razón de ser que los monitoreos de Seguridad Exhaustivos entorpezcan las Labores Naturales de la Organización, lo cual afecta su desempeño, poniendo en Riesgo el Core (Núcleo) del Negocio de la Organización". Las Políticas de Seguridad Implementadas estarán totalmente ajustadas a la Realidad, Requerimientos y Necesidad de la Organización, pues el Lenguaje de Políticas de Seguridad ("Security Policy Language), permite que el Administrador de Seguridad de la Organización. Además, esta Especialización de la Información se traduce en la Agilización del Análisis Forense (Recolección de Evidencia Digital y Reconstrucción de Eventos) en los Casos Requeridos (Reporte, Identificación y Respuesta a Incidentes) 3. Organizational Infrastructure and Technological Infrastructure Integration / Integración Infraestructura Organizacional - Infraestructura Tecnológica [^] De Acuerdo a la Norma ISO/IEC 17799, se debe brindar una Estructura para la Seguridad de la Información cuyo Objetivo es: "Gestionar la Seguridad de la Información dentro de la Organización. ... Es conveniente Organizar Comités de Gestión adecuados ... , asignar Roles de Seguridad y Coordinar la Implementación de la Seguridad en toda la Organización. ... Debería fomentarse un Enfoque Multidisciplinario de la Seguridad de la Información". Uno de los Aspectos más Importantes Concebidos en el Diseño e Implementación del Proyecto InForce, es generar un Punto de Coyuntura entre el Esquema Organizacional y el Esquema Tecnológico. Esto se Obtiene al impulsar a los distintos Actores (Usuarios, Empleados, Administrativos, etc.) dentro de la Organización a Comprometerse con el cumplimiento del Plan de Políticas de Seguridad establecido. La Seguridad de la Información no es solo Responsabilidad de los Administradores de Red, el Departamento de IT, ni de las máquinas que componen la Infraestructura Tecnológica ... "LA SEGURIDAD ES RESPONSABILIDAD DE TODOS" 4. Security Standards Support / Soporte a Estándares de Seguridad [^] Los Principios de Diseño que rigieron el Desarrollo del Proyecto InForce se basan en los Estándares ISO/IEC 17799 y BS 7799-2, y tras el Resultado de Años de Investigación, el Producto Final tiene como Valor Agregado la Utilidad de que a través del Uso Correcto de la Herramienta se puede Implementar Procesos, Actividades y Procedimientos al Interior de la Organización que correspondan con las Guías de Buenas Prácticas de Administración recomendadas en dichos Estándares. Esto Significa, que bajo los Delineamientos Correctos, el Proyecto InForce se convierte en una Plataforma de Soporte a la Administración Segura de la Información en Conformidad con Estándares Internaciones Ratificados, Evaluados, Corregidos y Sugeridos. La Organización podrá Disponer de una forma de Competir con un Alto Perfil de Calidad en cuanto a sus Procesos de Administración de la Información se Refiere 5. Cost Decrease / Disminución de Costos [^] La Norma ISO/IEC 17799 recomienda: "deberían seleccionarse e implementarse los controles para asegurar la reducción de los riesgos a un nivel aceptable". Según esto: "La Seguridad de un Negocio en torno a la Administración de su Información NUNCA puede tener un Costo más Alto que el Negocio en Sí". El Proyecto InForce centra su labor en torno a las siguientes consideraciones: [-] Costos de Administración Los Costos de Administración están asociados a las Actividades de: Análisis de Requerimientos, Estudio y Evaluación de Riesgos (Amenazas y Vulnerabilidades), Diseño de la Política (Plan de Políticas de Seguridad) y Evaluación del Impacto de la Implementación. El Proyecto InForce permite conseguir un Nivel de Abstracción que facilita Interpretar Conceptos de un Alto Contenido Técnico para Generar Políticas Comprensibles, Monitoreables y cuya Vigencia realmente incremente el Nivel de Mentalidad en Seguridad Informática en las Áreas de la Organización Comprometidas con el Cumplimiento del Plan de Políticas de Seguridad. El Proyecto InForce permite Disminuir estos Costos (Esfuerzo, Recursos Humanos, Recursos Tecnológicos y Tiempo) en casi un 40% [-] Costos de Implementación De forma Institucional (a nivel de la Organización), los Costos Asociados a la Implementación implican la Generación de Documentos, su Análisis, Pruebas (Testing), Evaluación; la Instalación y Configuración de Herramientas, La Elaboración de Perfiles de Usuarios y Grupos de Usuarios (posiblemente se Requiera una Política planteada de forma Distinta para el Departamento de Finanazas que para el Departamento de Atención al Usuario, etc.). Esto no es sencillo. El Proyecto InForce permite Disminuir estos Costos (Esfuerzo, Recursos Humanos, Recursos Tecnológicos y Tiempo) en casi un 50% [-] Costos de Educación Según la Norma ISO/IEC 17799 El Objetivo de la Formación del Usuario (Actor) es: "Asegurar que los Usuarios tengan Conciencia sobre las Amenazas y Problemas de Seguridad de la Información, y que estén Preparados para brindar apoyo a la Política de Seguridad de la Información Organizacional en el curso de su Trabajo Normal. Los Usuarios deberían recibir Formación en Procedimientos de Seguridad y en el uso Correcto de los Recursos de Tratamiento de Información, para Minimizar los posibles Riesgos en la Seguridad". Desde el Punto de Vista del Proyecto InForce, talvez el más grande Valor agregado de este Sistema, es la Capacidad de Integrar la Educación de los Actores (Usuarios) con el Control de las Políticas de Seguridad, de tal manera que se Garantice que los Actores (Usuarios) son Conscientes de lo que está Sucediendo, tanto cuando Cumplen con las Políticas de Seguridad, mientras se les Controla y Cuando Infringen alguna de las Políticas establecidas. El Proyecto InForce permite Disminuir estos Costos (Esfuerzo, Recursos Humanos, Recursos Tecnológicos y Tiempo) en casi un 90% [-] Costos de Control La Norma ISO/IEC 17799, establece que las Revisiones de la Política de Seguridad y del Cumplimiento Técnico tienen por Propósito: "Asegurar el cumplimiento de los Sistemas con las Políticas y Normas de Seguridad Organizacionales. Estas Revisiones deberían realizarse con respecto a la Política de Seguridad apropiada, y las Plataformas Técnicas y los Sistemas de Información deberían ser Auditados para la Conformidad con los Estándares de Implementación de Seguridad". En la mayoría de las Organizaciones, los Costos de Controlar el Cumplimiento de las Políticas de Seguridad en un grado Exhaustivo se vuelven "Incalculables". Tras esto, la mejor opción es restringir el control del cumplimiento de las Políticas a Actividades realizables por algún responsable dentro de la Organización. Esto Disminuye la Cobertura de los Mecanismos de Control, y vuelve algo "Ortodoxa" dicha Actividad. La Ventaja del Proyecto InForce de trabajar bajo una Arquitectura Distribuida permite superar los Factores Limitantes anteriormente mencionados. El Proyecto InForce permite Disminuir estos Costos (Esfuerzo, Recursos Humanos, Recursos Tecnológicos y Tiempo) en casi un 70% [-] Costos de Integración En la mayoría de Organizaciones, las Actividades de Administración Segura de la Información se Limitan a un Departamento (IT), e incluso a solo un Responsable (el Administrador de la Red), lo que genera un Brecha de Seguridad (un Franja Altamente Peligrosa de Inseguridad) entre la Seguridad a Nivel de la Infraestructura Organizacional y la Seguridad a Nivel de la Infraestructura Tecnológica. Forzar que los Distintos Actores de la Organización tengan un Alto Compromiso con la Administración Segura de la Información implica un Desgaste y Costo Alto que la Organización debe estar Dispuesta a Asumir. El Proyecto InForce permite Disminuir estos Costos (Esfuerzo, Recursos Humanos, Recursos Tecnológicos y Tiempo) en casi un 50% [-] Costos de Análisis de Resultados Los Costos Asociados al Análisis de Resultados abarcan: la Obtención de Resultados de Forma Automatizada, su Organización, Análisis y Generación de Informes y Reportes (además de posibles Datos Estadísticos). Esta Labor es Dispendiosa, y por lo General demanda de la Organización la Delegación de un Responsable solo a esta labor. El Proyecto InForce permite Disminuir estos Costos (Esfuerzo, Recursos Humanos, Recursos Tecnológicos y Tiempo) en casi un 80% [-] Costos de Testing y Pruebas Desarrollar e Implementar un Plan de Pruebas para un Esquema de Políticas de Seguridad es en "cierto modo irrealizable". Esto debido a que para Probar y Testear la Efectividad e Impacto de una Política se Requiere utilizar Recursos Disponibles de la Organización y la Infraestructura Tecnológica, lo que afectaría la Productividad del Negocio. El Proyecto InForce permite implementar un Entorno de Pruebas para Políticas de Seguridad de forma tal que no se Subutilicen Recursos Importantes de la Organización, pues las Actividades de Testing y Pruebas de un Plan de Políticas de Seguridad No Tiene porqué Interferir con la Productividad del Negocio. El Proyecto InForce permite Disminuir estos Costos (Esfuerzo, Recursos Humanos, Recursos Tecnológicos y Tiempo) en casi un 70% [-] Costos de Corrección, Mantenimiento y Actualización Según la Norma ISO/IEC 17799, "La Política debería tener un Propietario que sea Responsable de su Mantenimiento y Revisión, conforme a un Proceso de Revisión Definido. ... También deberían programarse Revisiones Periódicas de: a) la Efectividad de la Política, demostrada por la Naturaleza, número e Impacto de los Incidentes de Seguridad Registrados; b) el Costo e Impacto de los Controles en la Eficiencia del Negocio; c) los efectos de los Cambios Tecnológicos". La Correción, Mantenimiento y Actualización de los Planes de Políticas de Seguridad por lo general Inciden en Traumatismos al Interior de la Organización que con Dificultad adoptó un Plan de Políticas de Seguridad Original, y luego requerirá readaptarse a los nuevos cambios y modificaciones aplicados al Plan. Los Replanteamientos a Nivel del Plan de Políticas de Seguridad pueden llegar a ser Altamente Costosos. El Proyecto InForce permite Disminuir estos Costos (Esfuerzo, Recursos Humanos, Recursos Tecnológicos y Tiempo) en casi un 60% [-] Costos de Estandarización Someter un Plan de Políticas de Seguridad a el Estudio y Evaluación por parte de un Comité de Certificación en Estándares Internacionales resulta un Proceso Complejo, Costoso y Dispendioso. El Proyecto InForce Simplifica la Gestión, Desarrollo, Implementación y Control del Plan de Políticas de Seguridad de forma tal que el Proceso de Estudio y Evaluación por parte de un Comité Certificador causen el Menor Impacto posible al Desempeño Regular de la Organización. El Proyecto InForce permite Disminuir estos Costos (Esfuerzo, Recursos Humanos, Recursos Tecnológicos y Tiempo) en casi un 40% |
|||
