Gtag 06 Global Technology Audit Guide

Global Technology Audit Guide GUIA 06: Manejar y Auditar vulnerabilidades de TI

Importancia • Según US National vulnerability database: – 5.000 nuevas cada año. – 40% de ellas son de severidad. – ¿Consecuencias?.

GTAG – Global Technology Audit Guide

Con esta guia • Conocer el proceso de administrar vulnerabilidades. • Revisar el ciclo de evaluación de vulnerabilidades. • Diferenciar alta y baja administración de vulnerabilidades.

GTAG – Global Technology Audit Guide

Baja admin. de vulnerabilidad • Vulnerabilidades en numero mayor a las aceptables*. • Incapacidad de definir las vulnerabilidades. • Incapacidad de asociar los riesgos. • Pobre relación entre admin. de TI y seguridad de TI. • Falta de evaluaciones de admin. de sistemas / manejo de configuraciones. GTAG – Global Technology Audit Guide

Admin. efectiva • Identificar y solucionar vulnerabilidades, administrando el riesgo. • Tener un conocimiento de las vulnerabilidades. • Soluciones de acuerdo al riesgo. • Evaluación continua de vulnerabilidades. • Utilizar la mejor tecnología posible.

GTAG – Global Technology Audit Guide

Labor del Auditor • Conocer y evaluar los controles. • Generar medidas de contención preventivas y correctivas. • Informar al nivel superior sobre las vulnerabilidades y su administración.

GTAG – Global Technology Audit Guide

Ciclo de evaluación

GTAG – Global Technology Audit Guide

Ciclo de vida Identification and Validation

Scoping Systems Detecting

Risk Assessment and Prioritization

Assess Risks Prioritize Vulerabilities

Validate

GTAG – Global Technology Audit Guide

Remediation

Mitigate Create a Mitigation Process

Continuous Improvement

Stop the Spread Set OLAs Automate Past - Future

10 preguntas a realizar • ¿Qué porcentaje de los sistemas son monitoreados o escaneados? • ¿Cuántas vulnerabilidades unicas existen en su empresa? • ¿Qué porcentaje de los sistemas son manejados? • ¿Qué porcentaje de vulnerabilidades se han validado? • ¿Cuál es el retraso para validar? GTAG – Global Technology Audit Guide

• ¿Qué porcentaje ha sido remediado en el ultimo periodo? • Que nivel de aceptación de nivel operacional (OLA) existe. • ¿Cuánto del trabajo de seguridad es no planeado? • ¿Cuántos incidentes ha tenido en el ultimo xx? • ¿Cuál ha sido el costo de los ultimos xx incidentes de seguridad? GTAG – Global Technology Audit Guide

Lectura • ISO 17799

GTAG – Global Technology Audit Guide

¿Preguntas?

GTAG – Global Technology Audit Guide