¿Qué es?
¿Qué es un CISO dentro una organización?
El CISO (Chief Information Security Officer o bien, director de seguridad de la información) es un ejecutivo de alto nivel responsable de alinear las iniciativas de seguridad de la información con los programas corporativos y los objetivos de la organización, garantizando que los activos de información estén adecuadamente protegidos.
Descripción de los deberes del CISO en una organización
Los deberes y responsabilidades del CISO van desde la seguridad en general a la identificación, desarrollo, implementación y mantenimiento de procesos relacionados con la seguridad, con el objetivo de reducir los riesgos operativos de la organización. Sus deberes y responsabilidades incluyen:
- Diseñar, establecer e implementar políticas relacionadas con la seguridad de la información.
- Supervisar el cumplimiento normativo.
- Garantizar la confidencialidad, integridad y disponibilidad de los datos.
- Administrar al Equipo de Respuesta ante Incidentes de Seguridad Informática de la empresa, es decir, ser el responsable de coordinar al equipo que responderá ante un eventual ataque.
- Supervisar la administración de identidades y acceso, es decir, administrar y controlar el acceso a la red de la compañía.
- Establecer y supervisar la arquitectura de seguridad de la organización.
- Llevar a cabo el descubrimiento electrónico y las investigaciones forenses digitales.
- Trabajar con otros ejecutivos de alto nivel para establecer los planes de recuperación de desastres (DR) y continuidad del negocio.
Certificaciones que acreditan a un CISO
La certificación CCISO (Certified Chief Information Security Officer) es un programa líder en la industria que reconoce la experiencia del mundo real necesaria para tener éxito en los niveles ejecutivos más altos de seguridad de la información.
La gestión de los entornos de redes requiere certificaciones especializadas en redes como la CCNA Routing and Switching que imparte CISCO o Certified Network Defender de EC-Council.
De acuerdo con Global Knowledge, un CISO debe certificarse en CISSP (Certified Security Systems Security Professional) y CISM (Certified Information Security Manager), ambas orientadas a la administración, diseño, supervisión y evaluación de la seguridad.
La certificación CISA en auditoría de sistemas reconoce los conocimientos y aptitudes de los profesionales en auditorías en sistemas de información, operaciones, soporte y mantenimiento. El CISO debe demostrar que es capaz de evaluar el grado de exposición a amenazas de los sistemas, crear informes, establecer controles y conocimientos en auditorías.
También son necesarias las certificaciones en hackeo ético para garantizar el expertise en la protección de infraestructuras de redes, así como, ser capaz de identificar vulnerabilidades y crear los planes de defensa contra posibles ataques. Por ejemplo, CEH (Certified Ethical Hacker), esta certificación tiene mucho prestigio a nivel internacional en los ámbitos del Hacking Ético y la Auditoría de Sistemas Informáticos y Offensive Security Certified Professional de Offensive Security. Esta certificación te capacitará para saber identificar vulnerabilidades de distinta naturaleza y para crear y modificar exploits para hacerlos funcionar y tomar control total del sistema.
Con base en certificaciones en ciberseguridad forense es posible utilizar técnicas del método científico para analizar el escenario tras un ciberataque y descubrir no sólo qué ha sucedido, sino obtener datos vitales sobre el ataque o recuperar archivos perdidos o robados. En este caso, tenemos certificaciones como Computer Hacking Forensic Investigator del EC-Council y Certified Cyber Forensic Professional de ISC.
Las certificaciones en protección de datos como parte de la aplicación de la nueva normativa en protección de datos de la UE han traído un nuevo estándar en la defensa y seguridad de nuestros datos personales. La certificación más importante es la Certified Data Privacy Professional de ISMS.
También existen certificaciones de ciberseguridad desde la perspectiva de la nube, por ejemplo, Certified Cloud Security Professional (CCSP). Finalmente, CompTIA Cybersecurity Analyst (CySA +) es una certificación de la fuerza laboral de TI que aplica análisis de comportamiento a redes y dispositivos para prevenir, detectar y combatir las amenazas de ciberseguridad a través del monitoreo continuo de la seguridad.
Mejores prácticas de un CISO
- La mejor práctica de un CISO consiste en asesorar a otros para que se conviertan en un administrador en el manejo de riesgos, así como ofrecer asistencia y orientación a la empresa.
- Los CISO no sólo requieren de un conocimiento en seguridad TI detallado y de distintas certificaciones, sino también que la persona posea una mentalidad empresarial. Por lo que tener una visión más amplia para los negocios, puede aumentar las capacidades profesionales de un CISO.
- De las mejores prácticas para un CISO se encuentra el trabajo de las habilidades de comunicación y presentación ya que al ser un ejecutivo crítico para una organización y al contar con conocimientos sumamente especializados y técnicos, el CISO debe garantizar que la información transmitida hacia los demás miembros de la junta directiva sea comprendida sin mayor dificultad.
- La visibilidad es una buena práctica para el CISO, es decir, el CISO requiere visibilidad en todos los aspectos de la superficie de ataque de la organización, incluidos los recursos de la nube, contenedores, sistemas de control industrial y dispositivos móviles, que pueden estar o no en el radar de TI. El tener conocimiento sobre dónde están las exposiciones, o dónde es probable que se encuentren, revela un panorama mucho más amplio de lo que está en riesgo en la empresa.
- Otra buena práctica para un CISO es su capacidad de priorización. El CISO debe comprender el problema y la criticidad de los activos. Deberá dar prioridad en función de la importancia de los activos afectados para el negocio y la probabilidad de que se explote una vulnerabilidad determinada.
- Medir el progreso es una buena práctica para el CISO. Los CISO deberán identificar las métricas y los KPI (Key Performance Indicator) con los que medirá sus esfuerzos; dichas métricas deben ser visibles por unidad de negocio, geografía y tipo de activo. El objetivo es comprender cómo cambia el perfil de exposición diario, semanal, mensual, de modo que pueda ayudar a comprender si las inversiones de la empresa en ciberseguridad están dando frutos.
- Es buena práctica, que el CISO conozca experiencias y prácticas de otros colegas.
¿Qué es un SIEM?
Security Information and Event Management (SIEM) es una solución de software que agrega y analiza la actividad de muchos recursos diferentes en toda su infraestructura de TI.
SIEM recopila datos de seguridad de dispositivos de red, servidores, controladores de dominio y más. SIEM almacena, normaliza, agrega y aplica análisis a esos datos para descubrir tendencias, detectar amenazas y permitir que las organizaciones investiguen cualquier alerta.
Descripción de las capacidades de un SIEM en una organización
El SIEM proporciona dos capacidades principales a un equipo de respuesta a incidentes:
- Informar y analizar desde la perspectiva forense sobre incidentes de ciberseguridad.
- Generar alertas basadas en análisis que coincidan con un determinado conjunto de reglas, lo que indica un problema de ciberseguridad.
Cabe mencionar que existen conjuntos de reglas por defecto en sistema SIEM o bien, las reglas son personalizables por expertos en ciberseguridad.
En esencia, el SIEM es un sistema de recopilación, búsqueda y generación de informes de datos. El SIEM recopila inmensas cantidades de datos de todo su entorno de red, consolida y hace que los datos sean accesibles para los humanos. Con los datos categorizados y distribuidos al alcance de la mano del experto en ciberseguridad, se puede investigar las violaciones de seguridad de los datos con tanto detalle como sea necesario.
Gartner identifica tres capacidades críticas para un SIEM las cuales son: detección de amenazas, investigación y tiempo para responder. Hay otras características y funcionalidades que comúnmente ve en el mercado SIEM, por ejemplo
- Monitoreo de seguridad básico.
- Detección avanzada de amenazas.
- Forense y respuesta a incidentes.
- Recolección de registros.
- Normalización.
- Notificaciones y alertas.
- Detección de incidentes de seguridad.
- Flujo de trabajo de respuesta a amenazas.
Principales marcas de SIEM
- Splunk: Splunk es una solución SIEM local completa que Gartner califica como líder en el espacio. Splunk admite el monitoreo de seguridad y puede proporcionar capacidades avanzadas de detección de amenazas. Varonis se integra con Splunk a través de la aplicación Varonis DatAlert para Splunk. Varonis es una plataforma de software de seguridad que permite a las organizaciones rastrear, visualizar, analizar y proteger datos no estructurados.
- IBM QRadar. QRadar es otro SIEM popular que puede implementar como dispositivo de hardware, dispositivo virtual o dispositivo de software, según las necesidades y la capacidad de la organización. QRadar puede integrarse con Varonis para agregar capacidades de detección de amenazas avanzadas, para ello, es necesario buscar la aplicación Varonis para QRadar.
- LogRhythm. LogRhythm es un buen SIEM para organizaciones más pequeñas. Se puede integrar LogRhythm con Varonis para obtener capacidades de respuesta y detección de amenazas
Certificaciones que acrediten un SIEM dentro de una organización
La certificación SIEM de gestión de eventos e información de seguridad de KOENIG.
También se tiene la IBM Certified SOC Analyst - IBM QRadar SIEM V7.3.2. Esta certificación de nivel intermedio está dirigida a analistas que tienen conocimientos y habilidades técnicas en CompTIA Cybersecurity e IBM Security QRadar SIEM.
La certificación CompTIA Cybersecurity Analyst (CySA +) verifica que los candidatos seleccionados tengan el conocimiento y las habilidades necesarias para configurar y utilizar herramientas de detección de amenazas, realizar análisis de datos e interpretar los resultados para identificar vulnerabilidades, amenazas y riesgos para una organización, con el objetivo final de asegurar y protección de aplicaciones y sistemas dentro de una organización.
Esta certificación de administrador de IBM Security QRadar SIEM verifica que uno puede demostrar el conocimiento técnico para dar soporte a IBM Security QRadar SIEM V7.3.2, incluida la implementación y gestión de una solución IBM Security QRadar SIEM V7.3.2. En general, estos administradores están familiarizados con la funcionalidad del producto y sus políticas de seguridad. Planifican, instalan, configuran, implementan, despliegan, migran, actualizan, supervisan y resuelven problemas del software IBM Security QRadar SIEM V7.3.2.
También se sienten las siguientes certificaciones por parte de Splunk:
- Splunk Core Certifield User
- Splunk Core Certifield Power User
- Splunk Core Certifield Advanced Power User
- Splunk Cloud Certifield Admin
- Splunk Enterprise Certifield Admin
- Splunk Enterprise Certifield Architect
- Splunk Enterprise Certifield Developer
- Splunk Enterprise Security Certifield Admin
- Splunk IT Service intelligence Certified Admin
- Splunk Core Certified Consultant
- Splunk Phantom Certified Admin
Las cuales pueden ser consultadas con mayor detalle en
https://www.splunk.com/en_us/training.html
Mejores prácticas del SIEM
- Determinar el alcance Empezar por determinar el alcance de la implementación SIEM. Se necesitan reglas basadas en políticas que definan qué actividades y registros se deben monitorear (por parte del software SIEM). Utilizar esas políticas y comparar las reglas con los requisitos de cumplimiento externos para que se sepa exactamente qué tipo de panel e informes son necesarios. Agrupar varios dispositivos y sistemas en clases y definir cómo podrían monitorearse, como verificar datos de registro, alertas antivirus y eventos en firewalls, enrutadores o conmutadores de red. También se necesita obtener una imagen clara de los costos involucrados en términos de adquisición e implementación general. Determinar el alcance también implica elegir cómo desea implementar su SIEM, ya sea como software empresarial local, un servicio administrado o alojado, o accesible a través de la tecnología de virtualización.
- Ajustar las reglas de correlaciónEl verdadero valor de SIEM surge no del análisis de eventos aislados, sino de la aplicación de reglas de correlación que pueden marcar varios eventos de seguridad que nunca identificaría de forma aislada. El software SIEM viene con su propio conjunto de reglas de correlación preconfiguradas. Un enfoque sensato para diseñar reglas de correlación es habilitar todo de forma predeterminada y luego ajustar el software a sus necesidades eliminando los falsos positivos. También se puede notar que algunos eventos no se correlacionan, por lo que se pueden crear reglas propias para estas circunstancias.
- Identificar los requisitos de cumplimiento Un factor importante en la adopción e implementación del software SIEM es ayudar a las organizaciones a cumplir con sus requisitos de cumplimiento. Muchas organizaciones se ven afectadas por múltiples regulaciones y la guía para cumplirlas a menudo puede superponerse, por lo que es una buena práctica redactar un documento específico que destaque todos los requisitos de cumplimiento y compararlos con las posibles soluciones SIEM que está considerando. Varios proveedores ofrecen funciones integradas para respaldar mandatos de cumplimiento específicos. Además, se debe tener en cuenta los requisitos de auditoría, incluida la cantidad de datos de eventos o de registro que se deben conservar, en qué formato deben estar y durante cuánto tiempo se deben conservar para fines de cumplimiento.
- Monitorear el acceso a los recursos críticos Dentro de la infraestructura de TI de cualquier organización, habrá un conjunto de recursos críticos que necesitan un monitoreo estricto para la protección de datos confidenciales. La herramienta SIEM debe monitorear varios aspectos de estos recursos, incluido el acceso privilegiado y administrativo, la actividad inusual del usuario en dichos sistemas, los intentos de inicio de sesión remoto y las fallas del sistema.
- Defender los límites de la red Existen áreas vulnerables en el borde de las redes que deben ser monitoreadas estrictamente por el software SIEM. Los cortafuegos, enrutadores, puertos y puntos de acceso inalámbricos son áreas potencialmente vulnerables. Se debe asegurar de recopilar datos de registro de estos puntos límite de la red.
- Realizar ejecuciones de prueba del SIEM Dentro de la infraestructura de TI de cualquier organización, habrá un conjunto de recursos críticos que necesitan un monitoreo estricto para la protección de datos confidenciales. La herramienta SIEM debe monitorear varios aspectos de estos recursos, incluido el acceso privilegiado y administrativo, la actividad inusual del usuario en dichos sistemas, los intentos de inicio de sesión remoto y las fallas del sistema.
- Responder de manera rápida y completa. Es imperativo implementar un plan de respuesta a incidentes adecuado para que se pueda lidiar con los incidentes de seguridad de TI de manera oportuna. Esto implica definir, cómo alertar al personal relevante (correo electrónico, mensaje de texto) y qué hacer al recibir una alerta de su herramienta SIEM. Eso resume las mejores prácticas para su implementación SIEM.
SIEM as a Service (SIEMaaS)
Los beneficios de utilizar un SIEMaaS, entre muchos otros, son:
- Gestión de registros El SIEM recolecta y almacena de grandes cantidades de información relativa a los sistemas informáticos, redes y aplicaciones de una organización.
- Gestión de eventos El SIEM monitoriza los eventos generados por los sistemas, subyacentes de una organización, en tiempo real, realizando correlaciones para identificar actividades anómalas y posibles amenazas.
- Gestión de la información El SIEM tiene la capacidad de crear, almacenar y manipular reportes de informes sobre todos los registros y la información gestionada.
- Correlación de eventos El SIEM tiene la capacidad de definir reglas que permitan correlacionar eventos, es decir, el análisis de una secuenciación de eventos, en tiempo real, para identificar actividades anómalas y posibles amenazas.
Security Operations Center as a Service
¿Cómo es la operativa del SIEM as a Service?
Descripción de actividades del SOC genérico, workflow de las actividades un SOC (Monitorización, Identificación, Análisis, Detección, Decisión, Gestión de Incidentes dentro de un SOC), Mejores Prácticas
01. COEUS
COEUS
Ingenieros de Ciberseguridad con ideales de integridad, Utilidad, Compromiso, Crecimiento/Desarrollo y Disciplina, que buscamos entregar valor a nuestros clientes al proveer servicios que realmente disminuyan los riesgos de seguridad informática gracias a nuestra experiencia y talento.
