Propuesta Técnica y Económica para Servicio de: ETHICAL HACKING A ENTIDAD

Propuesta Técnica y Económica para Servicio de:

ETHICAL HACKING A ENTIDAD

íNDICE:

1.        RESUMEN EJECUTIVO        13

1.1.        Descripción de la propuesta        13

1.2.        ¿Por qué realizar una auditoría de seguridad?        13

1.3.        ¿Por qué elegirnos?        14

2.        OBJETIVOS        15

2.1.        OBJETIVO GENERAL        15

2.2.        OBJETIVOS ESPECÍFICOS        15

3.        METODOLOGÍA        15

3.1.        OSSTMM (Open Source Security Testing Methodology Manual) de ISECOM        15

4.        ALCANCE        18

5.        CRONOGRAMA DE TRABAJO        20

6.        LISTADO DE HERRAMIENTAS USADAS:        21

7.        ANÁLISIS DE RIESGOS        22

8.        CARTERA DE CLIENTES        23

9.        CERTIFICADOS DE RESPALDO POR SERVICIOS        25

10.        PERSONAL        25

11.        REQUERIMIENTOS PARA LA EJECUCIÓN DEL SERVICIO        33

12.        PRINCIPALES ENTREGABLES        33

12.1.        Presentaciones        33

12.2.        Remisión de entregables        33

13.        COSTO DEL SERVICIO        34

.

1.  RESUMEN EJECUTIVO

1. Descripción de la propuesta

Este documento es una propuesta de servicios para realizar Ethical Hacking (“Hackeo Ético”), cuya objetivo es proveer una visión del estado de Seguridad Informática de su infraestructura tecnológica y aplicaciones de negocio frente a posibles ataques de “ciberdelincuentes”, personas/empleados malintencionados, criminales que pretenden obtener acceso no autorizado a información sensible a través de las redes internas o externas de la institución (internet).

1. ¿Por qué realizar una auditoría de seguridad?

Cada año existen incidentes de seguridad en entidades públicas y privadas. A raíz de estos incidentes se comprometen datos personales de los usuarios.  A continuación se muestra un resumen de las filtraciones de datos a nivel mundial ocurridas el 1er semestre del 2018:

[pic 1]

[pic 2]

Fuente: https://www.cyberriskanalytics.com/

1. ¿Por qué elegirnos?

• Tenemos la política de actualizar la batería de pruebas que usa el personal CADA 6 MESES, cubriendo de esta manera las últimas vulnerabilidades reportadas. Esta política nos permite brindar un trabajo especializado de alta calidad técnica para nuestros clientes.
• Realizamos PRUEBAS ESPECÍFICAS a la tecnología usada en su infraestructura, además de las pruebas genéricas.
• El personal tiene múltiples certificaciones internacionales en ETHICAL HACKING y Seguridad de la Información. Está capacitación constante y alineación a estándares internacionales nos permite entregar resultados óptimos a nuestros clientes.

1. OBJETIVOS

1. OBJETIVO GENERAL

Identificar y evaluar posibles vulnerabilidades técnicas internas y externas en la infraestructura tecnológica y en los sistemas de información que se encuentran en producción de la entidad, a través de pruebas de intrusión controladas.

1. OBJETIVOS ESPECÍFICOS

• Identificar los activos de información vulnerables desde los diferentes vectores de ataque;
• Identificar errores de configuración de seguridad y debilidades de control;
• Determinar la efectividad de los controles tecnológicos de respuesta a ataques;
• Verificar si las vulnerabilidades son potencialmente explotables;
• Clasificar las vulnerabilidades técnicas en base al nivel de riesgo para el negocio;
• Emitir recomendaciones para una remediación de vulnerabilidades;
• Brindar información ejecutiva para la toma de decisiones de alta gerencia.

1. METODOLOGÍA

Empleamos una combinación de metodologías para ejecutar las diferentes pruebas de Ethical Hacking, entre ellas:

1. OSSTMM (Open Source Security Testing Methodology Manual) de ISECOM

Metodología empleada porque cubre de manera integral toda la entidad. Nos permite evaluar desde el personal hasta los servidores.  Para evaluar los distintos módulos se siguen los siguientes pasos:

[pic 3]

Módulos evaluados con la metodología OSSTMM son:

[pic 4]

• La explotación de vulnerabilidades en servidores críticos serán coordinados con la entidad.
• Las pruebas que pudieran afectar la disponibilidad de servicios o acceso de usuarios legítimos se realizarán en horarios que la entidad disponga, previa coordinación de partes.
• Las pruebas de ingeniería social se limitan a personal interno de la entidad (previa coordinación de partes), las mismas no serán dirigidas a clientes de la entidad, socios de negocios, accionistas, directores, asociados o entidades externas.

1.   ALCANCE

El alcance del proyecto incluye la auditoría interna y externa:

[pic 5]

[pic 6]

1. CRONOGRAMA DE TRABAJO

Duración del servicio: 7 días hábiles

1. LISTADO DE HERRAMIENTAS USADAS:

Esta es la lista de herramientas de pruebas genéricas. Cuando se realiza las pruebas específicas se utiliza herramientas acordes a la tecnología que se está evaluando.

1. ANÁLISIS DE RIESGOS

Para el determinar el nivel de riesgo de las vulnerabilidades técnicas identificadas, se utiliza la siguiente matriz:

[pic 7]

Donde el nivel de riesgo está definido por:

[pic 8]

• La probabilidad está definida por la facilidad de explotación de la vulnerabilidad por una amenaza.
• El Impacto es igual al daño potencial para el negocio (estimado en términos de valoración del activo de información) causado por la ejecución éxitosa del ataque:

1. CARTERA DE CLIENTES

Tenemos una amplia cartera de clientes por servicios relacionados a Seguridad de la Información, auditorías de sistemas, Ethical Hacking, capacitación profesional en seguridad, desarrollo de sistemas de control, consultorías especiales, entre otros.

...