Gestión de Seguridad de la Información

A día de hoy no existe empresa cuya infraestructura no esté basada en sistemas TIC.

La creciente necesidad de las empresas en garantizar la seguridad de la información que maneja supone un reto a la hora de garantizar la integridad, confidencialidad y disponibilidad.

Inprosec utiliza la normativa ISO 27K como referencia para la realización de la auditoría de los activos de información de sus clientes. Los resultados de la auditoría permiten conocer los riesgos existentes y definir planes de acción para subsanarlos.

Totalmente consciente e implicada con su ámbito de especialización, Gestión de la Seguridad de la Información, Inprosec está certificada en la ISO 27001:2013

Mediante un Plan Director, el equipo de Inprosec realiza el asesoramiento, mantenimiento y mejora de la Gestión de la Seguridad de una empresa de manera continuada durante la prestación del servicio.

En este periodo se mantienen los niveles de seguridad existentes, se identifican aspectos de mejora de la empresa y se definen las líneas de actuación (acciones, proyectos y/o servicios) que pueden incrementar el nivel de seguridad de la empresa. Además Inprosec tiene en cuenta el coste de implantación de las soluciones ofreciendo siempre a la compañía las mejores opciones al mínimo coste.

La duración de estos servicios ronda el año completo, durante el cual se definen prioridades, metas y objetivos, donde Inprosec actúa como mediador crucial para conseguirlos.

El Plan de Continuidad de Negocio de una empresa está formado por varios planes de contingencia (IT, recursos humanos, instalaciones físicas,…). Inprosec ofrece la elaboración de un Plan de Continuidad completo o focalizarse en aquellos planes de contingencia que la empresa considere prioritarios para garantizar la continuidad de sus procesos de negocio ante cualquier tipo de incidente.

Como paso inicial a este tipo de proyectos siempre es necesario la realización del BIA, que tiene como origen sus siglas Business Impact Analysis, que permite a la empresa identificar las dependencias principales de sus procesos de negocio. Tomando como referencia dichos resultados se definirán las acciones técnicas, humanas y organizativas necesarias para garantizar la continuidad del negocio y las operaciones de una compañía.

¿Sabía que entre el 80-90% de las empresas que no tienen un plan de continuidad no sobrevive a un desastre?

La definición de un cuerpo normativo incluye la elaboración de la política, normativa y procedimientos y cualquier documento que se utilice como marco de referencia para describir las medidas de seguridad de la información de la compañía, estableciendo formas de tratar la información y delimitando los derechos y obligaciones de usuarios respecto a la seguridad de la información y el uso de la tecnología corporativa. El cuerpo normativo de una organización tiene la finalidad de gestionar los riesgos a los que se enfrenta una organización, permitiendo tomar las medidas necesarias para mitigar los riesgos.

El cuerpo normativo de Seguridad de la Información se suele basar en el estándar internacional ISO 27001 y sus buenas prácticas definidas en la ISO 27002.

Tanto en el marco legal español como en el internacional hay diferentes normativas, LOPD, ENS, PCI-DSS,…, que son buenas prácticas de trabajo o en algunos casos de obligado cumplimiento en función del tipo de empresa que seamos.

Inprosec dispone de consultores y colaboradores especialistas en cada una de dichas normativas para ayudar a nuestros clientes a asegurar el cumplimiento legal y normativo mediante un proceso de adaptación que incluye altos estándares de calidad.

La constante evolución de la normativa que aplica a las nuevas tecnologías supone un reto a la hora de asegurar la constante adaptación a la mismas, Inprosec puede colaborar con las empresas para conseguir los requerimientos legales y normativos necesarios.

El test de intrusión es un método de auditoría mediante el cual se intenta acceder a los sistemas, para comprobar el nivel de resistencia a un acceso no deseado (“hacker”).

Puede ser:

• Caja negra: El cliente no da absolutamente nada de información sobre el sistema que será auditado.
• Caja blanca: El cliente proporciona código fuente, acceso administrador y toda la información de la que dispone.

Las aplicaciones web cada vez están más presentes y tienen una complejidad e importancia mayor dentro de las compañías.

Esto constituye una amenaza cada vez mayor, ya que una plataforma web tiende a utilizar multitud de tecnologías que no están exentas de riesgos.

Mediante metodologías OWASP, se realiza un análisis de la plataforma, comprobando vulnerabilidades técnicas, tales como la inyección de código SQL, Exploits Públicos, gestión de sistemas, descubrimiento de información, Cross Site Scripting (XSS), etc, así como la identificación de vulnerabilidades basadas en un mal diseño funcional.

Que el eslabón más débil de una cadena de seguridad es el componente humano no es algo que llame la atención. Sin embargo, no se trabaja activamente en la mayor de los casos.

Tanto si se desea probar la confiabilidad que se tiene en los empleados, la efectividad de la formación impartida, o tan solo se quiere tener una muestra real del impacto que provocaría un virus tipo criptolocker, el mejor ejercicio es realizar test de Ingeniería Social o Phishing.

Con un escenario muy configurable por parte del cliente, este servicio de corta duración aporta mucha información sobre la situación actual, y entrena directamente a los usuarios para no caer en una trampa cada vez más extendida.

Smartphones, tablets, APPs… cada día hay más componentes móviles que han llegado para quedarse.

Habitualmente no se tiende a prestar la atención que necesitan en materia de seguridad este tipo de dispositivos móviles. En Inprosec analizamos tanto las aplicaciones objetivo, como aquellos servicios web a los que atacan.

Se revisan también las configuraciones de los dispositivos empresariales, políticas, MDM, etc.

Las redes inalámbricas son tan cómodas como peligrosas, ya que extienden la capacidad de un ataque local hasta kilómetros de distancia.

Esto combinado con la mayor especialización de herramientas de hacking, hace que cada día sea más difícil encontrar configuraciones seguras para las redes WiFi, y que las vulnerabilidades amenacen cada vez más la seguridad empresarial.

Inprosec puede realizar test de penetración a Wifi, donde se buscan las debilidades existentes en los algoritmos estándar WiFi, y se intenta penetrar o debilitar los sistemas inalámbricos de la empresa.