UNIVERSIDAD TÉCNICA DE AMBATO FACULTAD DE INGENIERÍA EN SISTEMAS, ELECTRÓNICA E INDUSTRIAL CARRERA DE ELECTRÓNICA Y COMUNICACIONES
COMUNICACIÓN INALÁMBRICA Semestre: Octavo Electrónica
Tema: Metodología de Análisis de Riesgos CRAMM Docente: Ing. Freddy Robalino
Nombres: Chipugsi Calero Oscar Rafael Manobanda Guangasi Wilson Fernando Quilligana Sumbana Carlos Estuardo Sailema Medina Richard Eduardo
ÍNDICE
I. OBJETIVO............................................................................................2 II........................................................FUNDAMENTACIÓN TEÓRICA 3 III. FASES O ETAPAS DEL MÉTODO CRAMM................................3 IV. FICHAS, MATRICES Y HERRAMIENTAS USADAS EN CRAMM....................................................................................................6 ETAPA 1:......................................................................................................6 ETAPA 2:......................................................................................................7 ETAPA 3:......................................................................................................8 V. GUÍA PLAN DE ANÁLISIS DE RIESGOS....................................11 VI. BIBLIOGRAFÍA.............................................................................13 VII. ANEXOS.......................................................................................14 Anexo 1....................................................................................................14 Anexo 2...................................................................................................15
I. OBJETIVO 2
Realizar un estudio de la metodología de CRAMM para el análisis y gestión de riesgos de seguridad de información en redes inalámbricas AI.
FUNDAMENTACIÓN TEÓRICA
Germán (2009) señala: “Es un conjunto de normas y procedimientos que son aplicados para salvaguardar un sistema informático. Su finalidad es garantizar que todos los recursos que conforman el sistema informático sean utilizados para el fin que fueron creados sin ninguna intromisión” (p.11). Este conjunto de normas y procedimientos están asociados principalmente a metodologías que en contexto fueron creadas para la seguridad informática como es la metodología CRAMM que es una herramienta fundamental para un diseñador de redes. Que según Calle (1997) es: “Una metodología para el análisis y gestión de riegos que aplica sus conceptos de manera formal, estructurada y disciplinada y está orientada a proteger la confidencialidad, integridad y disponibilidad de un sistema y de sus activos” (p.58). El desarrollo de la metodología de CRAMM trabaja en dos fases o etapas que Giménez (2014) las destaca: “Una fase de análisis que se estudian los activos, las vulnerabilidades, y las amenazas para generar unos riesgos (…). Una fase de gestión, que incluye unas contramedidas, una implantación, y por ultimo una fase de auditoría” (p.48). Esto describe que el modelo es muy práctico porque indica el análisis de los activos físicos de valor de la empresa. En el estudio de una red inalámbrica estos componentes serán los routers, servidores, switches, etc que van a ser evaluados directamente. Además de las vulnerabilidades y las amenazas que permitían generar una lista de contramedidas y recomendaciones. Resumiendo, el análisis y gestión de riesgos de CRAMM se enfoca principalmente en, activos de datos, amenazas, vulnerabilidades, y la evaluación de los niveles de riesgo, posteriormente la gestión de riesgos orienta al personal a estar en condiciones de evitar riesgos o amenazas, y adoptar contramedidas propias del modelo. (Calle, 1997, p.58)
III. FASES O ETAPAS DEL MÉTODO CRAMM
3
Fig. 1 Etapas del Método CRAMM
Establecimiento de los objetivos de Etapa 1
seguridad.
Definir
el
alcance
del
estudio.
Identificar
y
valorar
los
activos físicos que forman parte del sistema.
Determinar el valor de la información
manejada,
mediante la entrevista a los usuarios acerca de los potenciales impactos en el negocio
que
derivarse
de
podrían la
disponibilidad,
no la
destrucción, la divulgación o la modificación de dicha información. 4
Identificar
y
valorar
los
activos de software que forman parte del sistema.
Identificar y evaluar el tipo y nivel de las amenazas que
pueden
afectar
al
sistema. Etapa 2
Evaluación de los riesgos y los requisitos
Analizar
el
grado
de
vulnerabilidad del sistema
de seguridad para el sistema propuesto.
a
las
amenazas
identificadas.
Combinar la amenaza y la vulnerabilidad con el valor de los activos para calcular una medida del riesgo.
Deben ser acordes con los riesgos calculados en la anterior etapa.
Etapa 3
Identificación y selección de las contramedidas.
CRAMM contiene una gran biblioteca
de
contramedidas, que consta de más de 3.000 medidas detalladas organizados en más de 70 agrupaciones lógicas.
IV.
FICHAS, MATRICES Y HERRAMIENTAS USADAS EN CRAMM
(GUGLIERI, 1997) Manifiesta que: “Si bien cada compañía es la que mejor conoce cuáles son sus activos críticos y que valores representan para ella, existen ciertos criterios generales que sirven de guía para cuantificar y unificar, en una escala del 1 al 5, dichos valores” A continuación se dan algunos criterios activos cuantificados que utiliza la metodología CRAMM 5
ETAPA 1: Descripción del proceso de identificación de activos
FICHA N.- 1
Establecimiento de los objetivos de seguridad.
Esta hoja de trabajo le ayudará a determinar el valor de la información manejada, mediante la entrevista a los usuarios acerca de los potenciales impactos en el negocio que podrían derivarse de la no disponibilidad, la destrucción, la divulgación o la modificación de dicha información.
Escenario 1: Piense en las personas que conforman su organización. Esto podría incluir criterios generales para conocer información sobre personal que ha sufrido algún daño físico.
Seguridad de las personas
Valoración
Daños físicos menores a una persona
1
Daños físicos a varias personas
3
Muerte de varias personas
5
Escenario 2: Piense en las personas que conforman su organización. Las causas o molestias que ocasiona la pérdida de privación personal.
Perdida de privacidad personal
Valoración
Causa pequeñas molestias
1
Origen de perjuicios importantes
2
6
Causa de perjuicios muy graves
3
Escenario 3: Piense en las personas que conforman su organización. Las causas o molestias que ocasiona la perdida de reputación de la compañía
Perdida de reputación de la compañía
Valoración
Problema restringido en un departamento, sin repercusión al publico
1
Problemas relacionados con un alto ejecutivo de la compañía con repercusión al exterior de la misma.
3
Gravísimo escándalo en el que la cúpula de la compañía tiene que dimitir y con graves repercusiones externas.
5
ETAPA 2: Evaluación de los riesgos y los requisitos de seguridad para el sistema propuesto.
FICHA N.- 2
Esta hoja de trabajo le ayudará a determinar la amenaza y la vulnerabilidad con el valor de los activos para calcular una medida del riesgo.
Escenario 1: Piense en las personas que conforman su organización. Costes asociados a la interrupción de actividades Costes asociados a la interrupción de actividades
Valoración
Menos de 1000
1
Entre 100.000 y 300.000
3
Más de 30.000.000
5
7
Escenario 2: Piense en las personas que conforman su organización. Incumplimiento de obligaciones legales por la compañía
Incumplimiento de obligaciones legales por la compañía
Valoración
Juicio en el que los daños probables o perjuicios no excedan de $2000.
1
Juicio en el que los daños o perjuicios puedan exceder de $10000, bien exista una querella por la que un director o empleado resulte implicado
3
Situación grave que pueda originar penas de prisión en personas relevantes de la compañía y amplias repercusiones negativas en el gran publico
5
Escenario 3: Piense en las personas que conforman su organización. Pérdidas económicas por información a la competencia
Pérdidas económicas por información a la competencia
Valoración
Menos de 1000
1
Entre 1.000.000 y 10.000.000
3
Más de 10.000.000
5
ETAPA 3: FICHA N.- 3
Alcance del estudio.
Esta hoja de trabajo le ayudará a determinar en qué campo se encuentra orientado la investigación.
Escenario 1: Tipos de amenaza al recomendadas según CRAMM para la creación de activos en una empresa Amenaza
Si
8
No
- Fuego (sala/edificio) - Inundación (sala/edificio) -
Desastres naturales
-
Disminución de la plantilla
-
Daños intencionados por personal ajeno
-
Daños intencionados por personal propio
-
Robo por personal ajeno
-
Robo por personal propio
-
Infiltración en el sistema de personal ajeno
-
Infiltración del sistema de personal propio
-
Uso indebido de recursos
-
Fallo de la unidad central de proceso
-
Fallo de memoria
-
Fallo de las unidades de entrada/salida
-
Fallo del procesador de comunicaciones
-
Fallo de equipos de redes de área extensa
-
Fallo de equipos de redes de área local
-
Fallo de alimentación eléctrica
-
Fallos de sistemas de acondicionamiento
-Fallo del sistema (de su sistema operativo y otro software) Error de operador del sistema -
Error de operadores de redes de área extensa
-
Error de operadores de redes de área local
-
Error de programador de aplicaciones
-
Error de programador del sistema
-
Error de mantenimiento
-
Error de usuario
-
Error de microordenadores
- Fallo de servicio portador de las redes de área extensa.
FICHA N.- 4
Determinación del nivel de riesgo
9
Esta hoja de trabajo le ayudará a determinar el nivel de riesgo
Escenario 1: La determinación del nivel de riesgo es el resultado de confrontar el impacto y la probabilidad con los controles existentes, al interior de los diferentes procesos y procedimientos que se realizan. La valoración consiste en asignar a los riesgos calificaciones dentro de un rango, que podría ser por ejemplo de 1 a 5 (insignificante (1), baja (2), media (3), moderada (4) o alta (5)), dependiendo de la combinación entre impacto y probabilidad. En la siguiente gráfica, se puede observar un ejemplo de esquema de valorización de riesgo en función de la probabilidad e impacto de tipo numérico con escala: a)
b)
10
FICHA N.- 5
Entrevista a Recursos Humanos
Esta hoja de trabajo le ayudará a conocer específicamente la infraestructura de hardware y software de la empresa, para identificar las diferentes vulnerabilidades y amenazas de la empresa, y así brindarles un análisis de riesgo efectivo. Escenario 1: Con el fin de conocer las vulnerabilidades y amenazas de la empresa para que esta cumpla con los requisitos y expectativas que la empresa necesita, solicitamos su colaboración para el llenado de la siguiente encuesta contestando las siguientes preguntas. De ante mano muchas gracias por su colaboración. Preguntas
Respuesta
¿Cuál es el rubro de la Empresa?
¿Con cuántos departamentos cuenta la empresa?
¿Con cuantas computadoras cuenta cada departamento?
¿Cuenta con un servidor de Internet y de datos la empresa? ¿Tienen un departamento encargado de la administración del servidor, o este trabajo lo realiza una persona específica? ¿Estos departamentos tienen acceso a Internet?
¿Qué usuarios son los que tienen acceso a Internet?
¿Han implementado anteriormente algún sistema de prevención de riesgos para la empresa?
¿Qué tan frecuentemente lo han implementado?
Estaría usted de acuerdo que como grupo de consultores le brindemos una metodología de análisis de riesgo.
11
FICHA N.- 6
Entrevista a Departamento Redes
Esta hoja de trabajo le ayudará a realizar una entrevista a una persona encargada del otro departamento que cuenta con un acceso a toda la información de la empresa, y los activos que esta empresa posee.
Escenario 1: Con el fin de conocer las vulnerabilidades y amenazas de la empresa para que esta cumpla con los requisitos y expectativas que la empresa necesita, solicitamos su colaboración para el llenado de la siguiente encuesta contestando las siguientes preguntas. De ante mano muchas gracias por su colaboración. Preguntas
Respuesta
¿El área de informática ¿cuenta con un lugar seguro para el almacenamiento de los datos físicamente? Los equipos de cómputo ¿cuentan con un sistema de alimentación eléctrica?
¿De qué tipo? El sistema de cómputo ¿cuenta con un cableado seguro?
¿Con que tipo de hardware cuenta la empresa?
¿Qué tipo de servidor tienen?
¿Cuáles son los servicios de Internet a los que tienen acceso los usuarios?
¿Qué horas son hábiles para acceder a estos servicios?
¿Con que tipo de aplicaciones cuenta el equipo?
¿Con que sistema operativo cuneta el equipo?
¿Qué departamentos cuentan con ese sistema operativo?
12
Estos equipos de cómputo ¿poseen antivirus?
¿Qué antivirus utilizan. Se encuentran registrados con alguna licencia? El antivirus que utilizan actualmente cumple con los requerimientos de la empresa.
¿Utilizan en el servidor algún tipo de firewall?
Las personas que accedan al equipo de cómputo entran con alguna contraseña. Las aplicaciones consideradas fundamentales ¿cuentan con algún tipo de contraseña o usuarios específicos?
V. GUÍA PLAN DE ANÁLISIS DE RIESGOS
ETAPA
DESCRIPCIÓN
HERRAMIENTAS
Reunión con - Definir el alcance los del estudio. administradore s de redes de la - Identificar y valorar los activos físicos Facultad de que forman parte Ciencias del sistema. Humanas y de la Educación. - Determinar el valor de la información manejada, mediante la entrevista a los usuarios acerca de los potenciales impactos en el negocio que podrían derivarse de la no disponibilidad, la destrucción, la 13
Entrevistas -Ficha N.-5 -Ficha N.-3 -Ficha N.-1
FUENTES DE INFOMRACIÓN •Infraestructura •Administración •Departamento de seguridad informática
divulgación o la modificación de dicha información. - Identificar y valorar
los activos de software que forman parte del sistema. Evaluación de - Identificar y los riesgos y los evaluar el tipo y requisitos de nivel de las seguridad para amenazas que el sistema pueden afectar al propuesto sistema. - Analizar el grado de vulnerabilidad del sistema a las amenazas identificadas.
-Ficha N.-2 -Ficha N.-4 parte a -Entrevista -Ficha N.-6
-Administrador de redes. -Autoridades de la facultad -Estudiantes
- Combinar la amenaza y la vulnerabilidad con el valor de los activos para calcular una medida del riesgo.
Identificación y selección de las contramedidas. Determinación de Amenazas
- Se organiza en una matriz las amenazas encontradas en la red para ser valoradas.
--Ficha N.-4 parte a
-Administrador de redes -Autoridades de la Facultad.
-Ficha N.-4 parte b
-Administrador de redes
- Se expone dicha matriz al administrador de redes. Determinación probabilidad de ocurrencia
- Deben ser acordes con los riesgos calculados en la anterior etapa. - Se revisa nuevamente la información con el cliente. - Se priorizan 14
actividades para dar solución a las amenazas más fuertes. Tratamiento de - Elaboración de un Riesgos plan de tratamiento, enfocándonos especialmente al tema de seguridad inalámbrica Contramedidas - Se dan las soluciones de acuerdo a los riesgos evaluados, y teniendo en cuenta el costo/beneficio para la facultad
VI.
BIBLIOGRAFÍA 15
-Documentos de IEEE.
-Administrador de Redes
-CRAMM contiene -Administrador de una gran biblioteca Redes de contramedidas, que consta de más de 3.000 medidas detalladas organizados en más de 70 agrupaciones lógicas
Alcidez, G. (2009). Seguridad Informática. Antioquia, Colombia. Recuperado de: http://biblioteca.udea.edu.co/manuales/seguridad.pps
Calle, J. (1997). Reingeniería y Seguridad en el ciberespacio. Madrid, España: Ediciones Días de Santos.
Giménez, J. (2014). Seguridad en Equipos Informáticos. Málaga, España: IC Editorial
Heredero, C., López, J. (2006). Dirección y Gestión de los Sistemas de Información en la empresa: una visión integradora. Madrid, España: ESIC
Torres, G. (2015). Estudio comparativo entre las metodologías MAGERIT Y CRAMM, utilizadas para Análisis y Gestión de Riesgos de Seguridad de la Información (tesis pregrado). Universidad del Azuay, Cuenca, Ecuador.
VII. ANEXOS
16
Anexo 1 GUGLIERI, C. (1997). Reingenieria y seguridad en el ciberespacio. Madrid: Diaz de Santos.
17
Anexo 2 español, M. d. (junio de 2014). Estrategia de la información y seguridad en el ciberespacio. España: NIPO.
18
Anexo 3 Bernal, Solórzano, Ruano, Hernández, C. (2009). METODOLOGIA DE ANALISIS DE RIESGO DE LA EMPRESA LA CASA DE LAS BATERIAS S.A DE C.V. San Salvador.
19
