Universidad Nacional Mayor de San Marcos(Universidad del Per, Decana de Amrica)

Facultad de Ingeniera de Sistemas e Informtica

Anlisis y Administracin de riesgos para Prestadores de Servicios de Sistemas de Valor Aadido (SVA) Tipo Sistema de Intermediacin

Digital (SID) basados en controles ISO 27002 alineados a ITIL

Tesina para optar el Titulo Profesional de Ingeniero de sistemas

Presentada por:

Bachiller: Cerdn Obregn, Rosario Celeste

Introduccin

En la actualidad el desarrollo de las Tecnologas de la Informacin

se extiende sobre la administracin pblica, en particular con el

proyecto de la planta de certificacin digital que se est

implementando en RENIEC y con el nuevo reglamento de la ley de

firmas y certificados digitales los cuales impulsan el desarrollo de

nuevos servicios de trmites documentarios en lnea.

Definicin del Problema

Las Entidades de la Administracin Pblica enfrentan constantes ataques

internos y externos a la Seguridad de la Informacin, y puesto que cuentan con

presupuestos limitados, es difcil determinar la prioridad con la que una

vulnerabilidad de Seguridad debe ser atendida, por lo que se debe iniciar con un

estudio de anlisis de riesgos incluso desde las etapas de diseo de los Servicios

de Valor Aadido (SVA), a fin de cubrir las vulnerabilidades primarias, sin

embargo esto puede implicar tambin una inversin significativa.

Objetivos:

GeneralIdentificar los riesgos comunes y

determinar controles del ISO 27002 e

ITIL v3, que puedan ser considerados

desde las etapas de Diseo de los

Servicios de Valor aadido (SVA) a fin

de reducir las futuras prdidas

posibles.

Especficos

Identificar un proceso modelo

general para los Servicios de Valor

Aadido (SVA).

Identificar los Activos importantes

del proceso.

Identificar las Vulnerabilidades y

Amenazas comunes.

Evaluar los riesgos.

Recomendar controles apropiados

basados en el ISO 27002 e ITIL v3.

Marco terico

Firma DigitalCertificado

Digital

IOFE ITIL V.3

SVASID

Firma Digital Certificado Digital

Es aquella firma electrnica que utilizando una tcnica de criptografa asimtrica, permite la identificacin del signatario.

Tiene la misma validez y eficacia jurdica que el uso de una firma manuscrita, siempre y cuando haya sido generada por un Prestador de Servicios de Certificacin Digital debidamente acreditado que se encuentre dentro de la Infraestructura Oficial de Firma Electrnica.

Para la obtencin de un certificado digital, el solicitante deber acreditar lo siguiente:

Tratndose de personas naturales, tener plena capacidad de ejercicio de sus derechos civiles.

Tratndose de personas jurdicas, acreditar la existencia de la persona jurdica y su vigencia mediante los instrumentos pblicos o norma legal respectiva, debiendo contar con un representante debidamente acreditado para tales efectos.

IOFE (InfraestructuraOficial de Firma Electrnica)

ITIL (Information Technology Infrastructure Library) v.3

De acuerdo a lo que establece el

Reglamento de la Ley de Firmas y

Certificados Digitales, se denomina

'Infraestructura de Firma Digital', al

sistema confiable, acreditado,

regulado y supervisado por la

Autoridad Administrativa

Competente.

ITIL como metodologa propone el

establecimiento de estndares que

nos ayuden en el control, operacin y

administracin de los recursos.

ISO 27002:2005 Servicio de Valor Aadido(SVA)

Es de uso obligatorio en todas las instituciones pblicas

desde agosto de 2004.

La versin de 2005 del estndar incluye las siguientes once secciones principales:

1) Poltica de seguridad.

2) Aspectos organizativos para la seguridad.

3) Clasificacin y control de activos.

4) Seguridad ligada al personal.

5) Seguridad fsica y del entorno.

6) Gestin de comunicaciones y operaciones.

7) Control de accesos.

8) Desarrollo y mantenimiento de sistemas.

9) Gestin de incidentes de seguridad de la

informacin.

10) Gestin de continuidad de negocio.

11) Conformidad.

Segn el Reglamento de la Ley de Firmas y

Certificados Digitales del DECRETO SUPREMO

N 052-2008-PCM los Prestadores de Servicios de

Valor aadido tienen las siguientes funciones:

a) Participar en la transmisin o envo de

documentos electrnicos firmados

digitalmente.

b) Certificar los documentos electrnicos con

fecha y hora cierta (Sellado de Tiempo)

c) Generar certificados de autenticacin a los

usuarios que lo soliciten.

Sistema de IntermediacinDigital (SID)Un Sistema de Intermediacin Digital (SID) es un sistema Web que permite la realizacin de procesos

automatizados de trmite documentario, empleando certificados digitales para realizar autenticaciones y firma digitales que garanticen el no repudio de las transacciones electrnicas realizadas.

El Sistema de Intermediacin Digital (SID) comprende los siguientes componentes principales:

Firma Digital.

Solicitante.

Funcionario.

Servidor Principal.

Servidor de Domicilios Electrnicos.

Servidor de Transacciones.

Servidor de Base de Datos.

Bitcora digital.

ESPECIFICACIN DIFERENCIAL UTILIZADAS EN EL PRESENTE TRABAJO DE INVESTIGACIN

ISO 27001 ISO 27002 ISO 27005

Es certificable No es certificable No es certificable

Es una especificacin Cdigo de Buenas Prcticas Diseada para ayudar a la aplicacin

satisfactoria de la seguridad de la

informacin basada en un enfoque de

gestin de riesgos.

Adopta un enfoque de gestin de

riesgos y promueve la mejora

continua de los procesos en los

Servicios de Valor Aadido (SVA)

Gua para, en distintos mbitos,

conocer qu se puede hacer para

mejorar la seguridad de la informacin

en los Servicios de Valor Aadido

(SVA).

Proporciona directrices para la gestin de

riesgos en la seguridad de la informacin.

Es la que proporciona recomendaciones y

lineamientos de mtodos y tcnicas de

evaluacin de riesgos de Seguridad en la

Informacin en los Servicios de Valor

Aadido (SVA), en soporte del proceso de

gestin de riesgos de la norma ISO 27001

Enumera los objetivos de control y

controles que desarrolla la ISO

27002, como se muestra en la Tabla

Caracterizacin de Amenazas de los

Activos importante de los Servicios

de Valor Aadido (SVA)

Describe los objetivos de control y

controles recomendables, detallados

en la Tabla Caracterizacin de

Amenazas de los Activos importante

de los Servicios de Valor Aadido

(SVA)

Apoya los conceptos generales

especificados en la ISO 27001

Estado de Arte

Criterio para la Gestin de Riesgo segn MAGERIT

Criterio para la Gestin de Riesgo segn ISO/IEC

27005:2008

Metodologa Propuesta

Criterio para la Gestin de Riesgo segn MAGERIT

El objetivo a proteger es la misin de la Organizacin, teniendo en cuenta las diferentes dimensiones de

la seguridad:

Disponibilidad: o disposicin de los servicios a ser usados cuando sea necesario.

Integridad: o mantenimiento de las caractersticas de completitud y correccin de los datos.

Confidencialidad: o que la informacin llegue solamente a las personas autorizadas.

Autenticidad (de quin hace uso de los datos o servicios): o que no haya duda de quin se hace

responsable de una informacin o prestacin de un servicio, tanto a fin de confiar en l como de poder

perseguir posteriormente los incumplimientos o errores.

Criterio para la Gestin de Riesgo segn ISO/IEC 27005:2008

Proporciona un conjunto de directrices para la correcta realizacin

de un Anlisis de Riesgos.

Determina dentro de las SVA:

Qu se debe Proteger

Porqu se debe Proteger

Contra qu se debe Proteger

Cmo se debe Proteger

Metodologa Propuesta

Esta investigacin pretende realizar un anlisis de

riesgos basado en una metodologa internacional sobre

un proceso cuyo modelo general es un Prestador de

Servicios de Valor Aadido (SVA) tipo Sistema de

Intermediacin Digital (SID), que permita identificar

los riesgos claves y comunes, a fin de determinar los

controles necesarios y sus prioridades desde la etapa de

formacin de las SVAs de la Administracin Pblica.

APLICACIN DE LA PROPUESTA METODOLOGICA

1 fase: Ingreso de Solicitud de Trmite Documentario.

2 fase: Firma del Funcionario.

3 fase: Verificacin del estado del Trmite del solicitante.

Proceso: Solicitud de trmite Documentario

Solicitante Servidor

Principal

Servidor de

Domicilios

Electrnicos

Fase

Inicio

El Solicitante

ingresa al Portal

del SIE

Registra Solicitud

de trmite Trmite

Documentario

Recibe la

Notificacin del

trmite

documentario

Fin

Ingreso de

Solicitud de

Trmite

Documentario

Ingresa los datos

requeridos en la

solicitud

Firma digitalmente

dicha solicitud

Enva la solicitud

al Servidor

Principal

El Servidor

Principal recibe la

solicitud del

solicitante

Registra solicitud

del Trmite

Documentario

Luego de ser

registrado en el

Servidor principal,

enva la solicitud

al Servidor de

Domicilios

Electrnicos

Recibe solicitud

de trmite

documentario del

servidor Principal

Enva Notificacin

de Registro de

Trmite al

Solicitante

Selecciona el tipo

de trmite a

realizar y la

solicitud

correspondiente

Fase 1: Ingreso de Solicitud de Trmite Documentario [Elaboracin propia]

Proceso: Solicitud de Trmite Documentario

Servidor de Base

de DatosFuncionario

Servidor de

Domicilios

Electrnicos

Servidor de

TransaccionesFase

Firma del

Funcionario

Inicio

El Funcionario

ingresa al Portal

del SIE

Consulta al

Servidor de

Domicilios

Electrnico

El Servidor de

Domicilios

Electrnicos

recibe consulta del

Funcionario

Procede a evaluar

la consulta y enva

resultado al

Funcionario

Recibe resultado

de Trmites

documentarios

pendientes

Enva todos los

trmites

documentarios

pendientes

Escoje un Trmite

Documentario

Procede a evaluar

solicitud de trmite

documentario

Enva la solicitud

de firmaRecibe solicitud

Enva solicitud al

Servidor de

Transacciones

Recibe

informacin del

Servidor de

Domicilios

Electrnicos para

validar firma

posterior

A

Fase 2: Firma del Funcionario[Elaboracin propia]

Proceso: Solicitud de Trmite Documentario

Servidor de Base

de Datos

Servidor de

Transacciones

Servidor de

Domicilios

Electrnicos

FuncionarioFase

A

El Servidor de

transacciones,

muestra una

pantalla de

ingreso de firma al

Funcionario

Ve en el Portal la

pantalla de

ingreso de Firma e

ingresa su firma

Enva firma al

Servidor de

TransaccionesRecibe firma y lo

valida

Enva la solicitud

de trmite

documentario al

Servidor de Base

de Datos

Registra o

actualiza la

solicitud de trmite

documentario

Enva notificacin

al Servidor de

Domicilios

Electrnicos

Recibe

notificacin del

Servidor de Base

de datos

El Servidor de D.E.

pregunta si hay un

sgte funcionario

para que firme

Recibe

notificacin del

Servidor de

Domicilios

Electrnicos

SI

Enva notificacin

al Solicitante

NO

Fin

Firma del

Funcionario

Fase 2: Firma del Funcionario[Elaboracin propia]

Proceso: Solicitud de Trmite Documentario

Fase Servidor de Base de DatosSolicitante

Verificacin del

Estado de

Trmite del

Solicitante

Inicio

El Solicitante

enva consulta del

Trmite al

Servidor de Base

de Datos

Recibe consulta

de solicitud de

trmite

documentario

Procesa dicha

solicitud

Luego de

procesado enva

resultado al

Solicitante

El Solicitante

recibe resultado

de la Solicitud

El Solicitante,

consulta al SIE si

el tramite

documentario a

finalizado

Enva documento

firmado a su

correo o a otra

cuenta

SI

Fin

NO

Fase 3: Verificacin del estado del Trmite del solicitante[Elaboracin propia]

Anlisis de riesgos para Prestadores de Servicios de Sistemas de Valor

Aadido (SVA)

Operacional Imgen institucional Obligaciones legales o regulatorias Econmicas

Probablemente cause una interrupcin

excepcionalmente seria de las

actividades

propias de la Organizacin con un serio

impacto en otras organizaciones

Constituye un incumplimiento

excepcionalmente grave de las

obligaciones contractuales relativas a la

seguridad de la informacin

proporcionada por terceros

Probablemente cause un incumplimiento

excepcionalmente grave de una ley o

regulacin

Sera de enorme inters para la

competencia, de muy elevado valor

comercial para terceros, sera causa de

muy significativas ganancias o ventajas

para individuos u organizaciones. Causa

de prdidas econmicas

excepcionalmente elevadas

Alto 3

Probablemente cause una interrupcin

temporal de las actividades

propias de la Organizacin con cierto

impacto en otras organizaciones

Constituye un incumplimiento de las

obligaciones contractuales para mantener

la seguridad de la informacin

proporcionada por terceros

Probablemente sea causa de

incumplimiento de una regulacin

Sera de cierto inters para la

competencia, de cierto valor comercial

para terceros, sera causa ganancias o

ventajas moderadas para individuos u

organizaciones. Causa de prdidas

econmicas moderadas

Medio 2

No podra causar la interrupcin de

actividades propias de la Organizacin

Sera causa de inconveniencias mnimas

a las partes afectadas

No sera causa de incumplimiento de

ninguna regulacin

Supondra prdidas econmicas

insignificantes

Bajo1

Impacto

NIVELES DE IMPACTO QUE EL DAO DE UN ACTIVO PUEDE CAUSAR SOBRE LOS SERVICIOS DE VALOR AADIDO (SVA)

El activo es atractivo

para atacantes internos o

externos?

Es dificil

materializar la

amenaza?

Existen

controles

eficaces?

Muy frecuente Puede ocurrir a diario Si Y Muy Fcil Y No

Frecuente Puede ocurrir mensualmente Si Y Fcil Y No

Normal Puede ocurrir una vez al ao Si Y Difcil Y No

Poco frecuente Puede ocurrir cada varios aos No O Muy difcil O Si

CRITERIOS

Cada cunto se puede materializar una amenaza?

FRECUENCIA

CRITERIOS PARA DETERMINAR LA FRECUENCIA DE UNA AMENAZA SOBRE LOS ACTIVOS DE

LOS SERVICIOS DE VALOR AADIDO (SVA)

Poca frecuenciaFrecuencia

NormalFrecuente Muy Frecuente

Alto Muy bajo Alto Muy alto Muy alto

Medio Muy bajo Medio Alto Muy alto

Bajo Muy bajo Bajo Medio Alto

Muy Bajo Muy bajo Muy bajo Bajo Medio

IMPACTO

FRECUENCIA

RIESGO

MATRIZ DE RIESGOS DE LA SEGURIDAD DE LOS SERVICIOS DE VALOR

AADIDO (SVA)

SELECCIN DE ACTIVOS IMPORTANTES DE LOS SERVICIOS DE VALOR AADIDO (SVA)

EVALUACIN DE LOS REQUERIMIENTOS DE SEGURIDAD DE LOS SERVICIOS DE VALOR

AADIDO (SVA)

CARACTERIZACIN DE AMENAZAS DE LOS ACTIVOS IMPORTANTES DE LOS SERVICIOS DE

VALOR AADIDO (SVA)

Ver

Controles basados en la fase de Operacin del Servicio

segn ITIL v3

A fin de complementar controles respecto de la gestin de incidencias y mantenimiento del

SGSI segn el estndar ISO 27001:2005 se propone la implementacin de los procesos de

control de la fase de Operacin del Servicio segn ITIL v3.

Gestin de Eventos en los Servicios de Valor Aadido (SVA)

Un evento es un suceso detectable que tiene importancia para la gestin de la

infraestructura TI, entrega y evaluacin del impacto de una posible desviacin en los

Servicios de Valor Aadido (SVA).

Gestin de Incidencias en los Servicios de Valor Aadido (SVA)

Una incidencia en los Servicios de Valor Aadido (SVA), es una interrupcin no planificada o

una reduccin de la calidad de un servicio de TI.

ConclusionesComo resultado de la presente investigacin, se concluye lo siguiente:

Los sistemas SVA del tipo SID pueden ser expresados siguiendo los criterios de las metodologas de gestin por procesos permitiendo identificar fcilmente las etapas crticas y los activos ms relevantes de dichos procesos.

Los SVA del tipo SID pese a contar con tecnologas que garantizan el no repudio requieren ser complementados con un sistema de gestin de la seguridad de la informacin que permita identificar de manera eficiente y oportuna las vulnerabilidades de cada SVA.

El proceso de anlisis y evaluacin de riesgo es la base fundamental para establecer un Sistema de Gestin de la Seguridad de la Informacin, permitiendo priorizar los esfuerzos econmicos, personal y tiempo para cubrir los requerimientos de seguridad de la informacin.

Los procesos y funciones de ITIL v3 se complementan con los controles del ISO 27001:2005 para lograr una mejor gestin de la seguridad de la informacin.