BU E N A S P R C T I C A S E N G E S T I N D E R I E S G O S

LA FBRICA DE PENSAMIENTO
INSTITUTO DE AUDITORES INTERNOS DE ESPAA

Ciberseguridad
Una gua de supervisin
El INSTITUTO DE AUDITORES INTERNOS DE ESPAA es una asociacin profesional fundada en 1983, cuya misin es contribuir al xito de
las organizaciones impulsando la Auditora Interna como funcin clave del buen gobierno. En Espaa cuenta con ms de 3.200 socios,
auditores internos en las principales empresas e instituciones de todos los sectores econmicos del pas.

LA FBRICA DE PENSAMIENTO es el laboratorio de ideas del Instituto de Auditores Internos de Espaa sobre gobierno corporativo, gestin
de riesgos y Auditora Interna, donde participan ms de 150 socios y profesionales tcnicos expertos.

AUDITORA INTERNA BUENAS PRCTICAS EN GESTIN DE RIESGOS OBSERVATORIO SECTORIAL PRCTICAS DE BUEN GOBIERNO

El laboratorio trabaja con un enfoque prctico en la produccin de documentos de buenas prcticas que contribuyan a la mejora del buen
gobierno y de los sistemas de gestin de riesgos en organizaciones de habla hispana. Adems de desarrollar contenido, fomenta el
intercambio de conocimientos entre los socios.
 BU E N A S P R C T I C A S E N G E S T I N D E R I E S G O S

LA FBRICA DE PENSAMIENTO
INSTITUTO DE AUDITORES INTERNOS DE ESPAA

Ciberseguridad
Una gua de supervisin
Octubre 2016

MIEMBROS DE LA COMISIN TCNICA

COORDINACIN: Israel Martnez Lacabe, CISA. GRUPO SANTANDER
Josep Castells Rafel, CISA. CAIXABANK
Jos Antonio Castrillo, CISA, CISM, CGEIT. MAZARS
Jordi Civit Vives, CISA, CCSA. MELI HOTELES
Oliver Crespo Romero, CISA, CISM. SANITAS
Sandra Fernndez Moreno, CISA. MAPFRE
Gregorio Hernndez Manso, CISA, CISM. RED ELCTRICA DE ESPAA
Juan Jos Huerta Daz, CIA, CISA, CISM, CGEIT, CDPP. BBVA
Eduardo Iglesias Cordero. LIBERBANK
Daniel Martnez Villegas. CIMPRESS
Ral Mateos Martn, CISA, CISSIP, CRISC. BBVA
Marc Munta Vergs, CISA, CISM. MUTUA UNIVERSAL
Felipe Pastor Fornieles, CISA, CISM. ERNST & YOUNG, S.L.
Fernando Picatoste Mateu, CIA, CISA, CISM, CGEIT, CRISC, CISSP. DELOITTE
Albert Sans I Feliu, CISA. INDITEX
 BUENAS PRCTICAS EN GESTIN DE RIESGOS

El avance de las nuevas tecnologas ha propiciado un cambio sin precedentes que ha in-
fluido en la forma de operar de las organizaciones, cuyas actividades se desarrollan cada
vez ms en el ciberespacio.

Este hecho propicia un gran desarrollo econmico y social, pero a la vez la aparicin de
nuevos retos y amenazas que es imprescindible gestionar. No en vano el Foro Econmico
Mundial incluye varios riesgos asociados a la ciberseguridad en su ranking de Riesgos
Globales desde hace aos. A modo de ejemplo, en 2016 el coste medio de un ataque in-
formtico para las compaas ronda los 75.000 euros, lo que hace que solo los ciberdeli-
tos cuesten a las empresas espaolas unos 14.000 millones de euros al ao.

Los ciberataques y su naturaleza se han multiplicado en los ltimos aos, y cada vez son
ms complejos y ms difciles de prevenir y detectar, lo que hace que los rganos de go-
bierno de las organizaciones deban incrementar y mejorar la supervisin sobre la ciberse-
guridad.

LA FBRICA DE PENSAMIENTO, el think tank del Instituto de Auditores Internos de Espa-

a, aborda en este documento parte de un manual editado tambin por el IAI- las prin-
cipales cuestiones relativas a la ciberseguridad y un completo anlisis de buenas prcticas
de Auditora Interna para la evaluacin y revisin de los controles en esta materia.

Tambin se incluyen los 20 Controles Crticos de Seguridad que todas las organizaciones
deben implementar y cul es el papel de Auditora Interna en la revisin de cada uno de
ellos.

El valor que aporta esta gua de supervisin va ms all de los auditores internos de siste-
mas o de las Direcciones de Auditora Interna. Las Comisiones de Auditora y otros comi-
ts de la empresa encontrarn en estas pginas un importante aliado que les ofrecer in-
formacin completa y precisa para permitirles tomar decisiones sobre la estrategia, orga-
nizacin y operaciones para evitar que este riesgo se materialice en las organizaciones.

Un documento tan exhaustivo y a la vez de fcil comprensin como ste, incluso para los
profanos en auditora de TI, solo poda estar firmado por expertos auditores internos co-
mo los que han formado parte de la Comisin Tcnica. Les felicito por haber puesto su
experiencia y conocimiento al servicio de todos los socios y por mantener el nivel de exce-
lencia y sencillez al que nos tienen acostumbrados las publicaciones de LA FBRICA DE
PENSAMIENTO.

Ernesto Martnez
Presidente del Instituto de Auditores Internos de Espaa

3
 BUENAS PRCTICAS EN GESTIN DE RIESGOS

ndice

INTRODUCCIN 06

PRINCIPALES CUESTIONES RELATIVAS A LA CIBERSEGURIDAD 07

Riesgos, amenazas y vulnerabilidades ....................................................................09

De la seguridad de TI a la ciberseguridad: el cambio de paradigma ..............16

Ciberejercicios y ciberseguros ...................................................................................21

Metodologas y estrategias de control y gestin de ciberriesgos ....................24

Regulacin y normativa ..............................................................................................28

BUENAS PRCTICAS DE AUDITORA INTERNA PARA LA 32

EVALUACIN Y REVISIN DE CONTROLES DE CIBERSEGURIDAD
El rol de Auditora Interna ......................................................................................... 32

20 Controles Crticos de Seguridad que todas las organizaciones

deberan implementar ................................................................................................ 35

CERTIFICACIONES PROFESIONALES 42

BIBLIOGRAFA RELEVANTE 46

5
BUENAS PRCTICAS EN GESTIN DE RIESGOS
La proteccin frente a
los ciberriesgos se ha
convertido en una
prioridad debido a las
nuevas amenazas
procedentes de
Internet, el crecimiento
del nmero de ataques
y la mayor complejidad
de las amenazas.
6
Introduccin
La economa internacional, la prestacin de
servicios por parte de las administraciones,
empresas y profesionales, el acceso a la infor-
macin, la educacin, el comercio, el ocio o la
salud de los ciudadanos, al igual que casi to-
dos los mbitos de nuestra sociedad, se sus-
tentan hoy ms que nunca (y cada vez ms)
en el ciberespacio1.
Las tecnologas de la informacin y las comu-
nicaciones (TIC) propician el desarrollo econ-
mico de la sociedad de manera integrada den-
tro de las empresas y organizaciones, que
usan en su actividad el amplio abanico de dis-
positivos electrnicos y redes de comunicacio-
nes disponibles.
Sin embargo, de la mano de dicha expansin
tecnolgica y el aumento del uso de servicios
de Internet surgen nuevos retos y desafos pa-
ra las organizaciones. As, una de las principa-
les amenazas que han trado consigo estos
avances es la proliferacin de acciones delicti-
vas en el ciberespacio.
1. Se entiende por ciberespacio el entorno virtual comn que comprende la interconexin del conjunto global de sistemas,
activos de informacin y redes de comunicaciones (incluyendo Internet), as como los usuarios de estos servicios y tec-
nologas.
Ningn dispositivo hardware o software exis-
tente en la actualidad desde el sistema ms
complejo instalado en una infraestructura es-
tratgica, como una central nuclear, hasta la
ms sencilla aplicacin informtica instalada
en un telfono mvil est exento de ser ata-
cado.
As, la ciberseguridad representa actualmente
una de las principales preocupaciones de to-
das las empresas e instituciones, con indepen-
dencia del sector o mbito al que pertenez-
can.
La proteccin frente a los ciberriesgos se ha
convertido por tanto en una prioridad de las
mismas, fruto de la proliferacin de nuevas
amenazas procedentes de Internet, el enorme
crecimiento durante los ltimos aos del n-
mero de ataques recibidos por las organiza-
ciones, y el aumento en la complejidad y sofis-
ticacin de estas amenazas.

Principales cuestiones relativas
a la ciberseguridad
Los ciberataques no slo se han multiplicado
en los ltimos aos, extendiendo su incidencia
a todo tipo de organizaciones y a todos los
sectores econmicos, sino que su naturaleza
ha cambiado drsticamente en trminos de
frecuencia, complejidad y finalidad, dentro de
un proceso de continua evolucin y sofistica-
cin que los hace cada vez ms complejos y
peligrosos.
En pocos aos, las tradicionales amenazas de
la seguridad (virus, gusanos, troyanos,) han
evolucionado hacia ataques de denegacin de
servicios (DoS2) y sofisticados softwares mali-
ciosos (malware) hasta llegar a las amenazas
persistentes avanzadas (APTs) o ataques diri-
gidos, que combinan mltiples tcnicas de
ataque y explotacin de diferentes tipos de
vulnerabilidades, incluyendo el uso de tcnicas
de ingeniera social (por ejemplo spear-phis-
hing), as como una fase previa de estudio y
recoleccin de informacin del objetivo que
los hace mucho ms eficaces y dainos.
Son numerosos los ataques recibidos por
grandes corporaciones y multinacionales du-
rante los ltimos aos, como JPMorgan, Sony,
2. DoS: Del ingls Denial of Service.
3. Si bien no existe un criterio de clasificacin estricto de las diferentes tipologas de malware, se entiende de manera ge-
neral que esta palabra incluye todo tipo de software o cdigo malicioso que tiene el objetivo de infiltrarse y daar un
sistema de informacin, abarcando virus, gusanos, troyanos, rootkits, spyware, keyloggers, botnets, etc.
BUENAS PRCTICAS EN GESTIN DE RIESGOS
Target, Apple, Home Depot, o Google, entre
otras. Tambin administraciones pblicas y go-
biernos de todo el mundo estn entre los
damnificados que han sufrido robos de infor-
macin de sus bases de datos de clientes, ele-
vadas prdidas econmicas, prolongadas in-
disponibilidades en sus sistemas, daos repu-
tacionales o sabotajes de sus servicios online;
como consecuencia del denominado cibercri-
Empresas,
men.
administraciones
Sirvan como ejemplos de lo anterior las si- pblicas y gobiernos
guientes ciberamenazas que han provocado han sufrido robos de
algunas de las mayores infecciones y trastor- informacin, prdidas
nos recientes en materia de seguridad infor- econmicas o sabotajes
mtica: como consecuencia del
denominado
Zeus. Malware3 orientado al robo de infor- cibercrimen.
macin personal de los usuarios: credencia-
les de cuentas de correo electrnico, redes
sociales, datos de servicios financieros, etc.
Flame y Agent BTZ. Software espa con
gran capacidad de propagacin capaz de
obtener capturas de pantalla, pulsaciones
de teclado, control del bluetooth, webcam o
grabacin de llamadas. Asimismo, posee la
capacidad de transmitir la informacin reco-
7
BUENAS PRCTICAS EN GESTIN DE RIESGOS
pilada ocultndola mediante tcnicas de ci-
frado.
Carbanak. Ataque Persistente Avanzado
(APT) diseado y dirigido al sector bancario,
capaz de alterar y manipular el funciona-
miento de las redes y software de control
de los cajeros automticos.
Ransomware. Tambin conocido como el
virus de la polica, cifra la informacin
contenida en el sistema del usuario infecta-
do, solicitando una compensacin econmi-
ca para su desbloqueo.
Stuxnet. Software malicioso descubierto en
2010, capaz de controlar y manipular soft-
ware de control y supervisin de procesos
industriales (SCADA).
Actualmente la ciberseguridad representa un
problema global y sistmico, como lo demues-
VOLUMEN DE CIBERINCIDENTES
1.914
193 485
2009 2010 2011
CIBERAMENAZAS
Troyanos Bots
Virus Gusanos Spyware
Fuente: elaboracin propia a partir de datos de CCN-CERT
8
tra tambin el hecho de que el World Econo-
mic Forum lo incluya desde el ao 2014 en la
lista de los 5 principales riegos globales, en
trminos de probabilidad, junto al cambio cli-
mtico, el desempleo, las catstrofes naturales
y la desigualdad econmica.
Los principales vectores y razones que han
propiciado esta situacin actual son:
La creciente expansin del acceso a Internet
y el proceso de digitalizacin global (actual-
mente existen ms de 2.800 millones de
personas con acceso ms del 40% de la
poblacin mundial y 10.000 millones de
dispositivos conectados), as como la popu-
larizacin de nuevos dispositivos (smartpho-
nes, tablets), nuevas tecnologas de proce-
samiento de datos (cloud computing, vir-
tualizacin de sistemas) y posibilidades de
conexin remota y/o mvil (Wifi, VPN, 4G,
18.232
+41%
12.916
7.263 Impacto
3.998
2012 2013 2014 2015
Malware DoS APTs Ingeniera social

satlite), con sus consiguientes riesgos y de-
bilidades de seguridad asociados.
La velocidad de los cambios tecnolgicos y
la adopcin de tecnologas emergentes, en
ocasiones no suficientemente maduras des-
de el punto de vista de seguridad.
La crisis econmica de carcter global (gran
recesin) que se inici durante los aos
2007-2008 y que, en mayor o menor medi-
da, sigue vigente en muchos pases y geo-
grafas.
Las importantes carencias existentes en las
legislaciones transfronterizas, laxa normati-
va y escasa regulacin en algunos pases, y
dificultad legal de perseguir el cibercrimen,
de manera general.
La creciente actividad que presentan los
movimientos activistas antisistema y anti-
globalizacin.
RIESGOS, AMENAZAS Y VULNERABILIDADES
Riesgos cibernticos
El concepto de riesgo ciberntico proviene de
la amenaza continua y a escala industrial so-
bre los activos digitales, las operaciones y la
informacin corporativa, por parte de terceros.
Para entender mejor el contexto actual, es ne-
cesario conocer los principales riesgos a los
que se exponen las organizaciones:
FRAUDE DINERARIO
El robo econmico representa una de las
principales motivaciones de la gran mayora
4. McAfee (2013): The Economic Impact of Cybercrime and CyberEspionage. Center for Strategic and International Stu-
dies.
BUENAS PRCTICAS EN GESTIN DE RIESGOS
La posibilidad de utilizar fuentes y sistemas
annimos, que ampla la cantidad de gente
dispuesta a cometer este tipo de delitos.
El concepto de riesgo
Se estima que el cibercrimen tiene un impacto ciberntico proviene de
global en la economa de entre 300.000 mi- la amenaza continua y
llones y un billn de dlares al ao, cifra que a escala industrial por
equivale a cerca del 1% del PIB mundial, al- parte de terceros sobre
canzando un nivel similar al de amenazas cri- los activos digitales, las
minales convencionales como el narcotrfico operaciones y la
y/o la piratera4. informacin
corporativa.
Ms an, los riesgos cibernticos tienen una
naturaleza sustancialmente superior a stas
ltimas, en la medida que pueden tener dife-
rentes objetivos simultneamente: la rentabili-
dad que ofrece su explotacin, la facilidad y el
bajo coste de las herramientas utilizadas para
la consecucin de ataques, as como la facili-
dad de ocultacin del atacante; hacen posible
que estas actividades se lleven a cabo de for-
ma annima y desde cualquier lugar del mun-
do, con lo que su trazabilidad y seguimiento
resulta sumamente complejo.
de atacantes. Debido a ello, las instituciones
y entidades financieras son uno de los prin-
cipales objetivos de los ciberdelincuentes.
ROBO DE INFORMACIN
La filtracin pblica o prdida de la infor-
macin confidencial representa un elevado
riesgo para cualquier organizacin, cuyos
impactos o prdidas pueden resultar espe-
cialmente significativos. Debido a ello, la in-
formacin de carcter personal o documen-
9
BUENAS PRCTICAS EN GESTIN DE RIESGOS
tos clasificados son algunos de los principa-
les activos de informacin que deben ser
especialmente protegidos.
INDISPONIBILIDAD DE SERVICIOS
Interrupcin puntual o prolongada de los
servicios online ofrecidos por una organiza-
cin (correos, pagos financieros, cobro de
La prdida de
impuestos, registros pblicos).
reputacin es una de
las principales SABOTAJE DE INFRAESTRUCTURAS
consecuencias de los Ataques contra los servicios o infraestructu-
ataques y el objetivo de ras crticas de un pas o estado (abasteci-
gran parte de los
ciberataques, con
efectos altamente PRINCIPALES RIESGOS
significativos. Fraude dinerario.
Robo de informacin.
Indisponibilidad de servicios.
Sabotaje de infraestructuras.
Prdida de reputacin.
PRINCIPALES AMENAZAS
Contra la informacin.
Contra la infraestructura TIC.
PERFIL DE LOS ATACANTES
Hacking.
Cibercrimen.
Hacktivismo.
Ciberespionaje y ciberterrorismo.
Insiders.
Amenazas
Al igual que la naturaleza se adapta, las ame-
nazas que en un principio eran puntuales y
muy concretas en cuanto a objetivos, con tc-
nicas muy simples y consecuencias para el
10
mientos, comunicaciones, etc) con el objeti-
vo de provocar una interrupcin puntual o
prolongada de los mismos.
PRDIDA DE REPUTACIN
Ms que un riesgo en s mismo, es una de
las principales consecuencias de los ata-
ques y el objetivo de gran parte de los cibe-
rataques, cuyos efectos en una organiza-
cin pueden resultar altamente significati-
vos.
PRINCIPALES TCNICAS DE ATAQUE
Ingeniera social.
Fingerprinting.
Enumeracin y escaneo.
Ataques de das cero (0-Day).
Spam y Phishing.
Hijacking.
DoS (Denegacin de Servicios).
SQL Injection.
Cross-site scripting (XSS).
Virus, malware, gusanos y troyanos.
Botnet (Redes zombis).
Rootkits.
APT (Amenaza Persistente Avanzada).
usuario ms molestas que dainas, se estn
convirtiendo en sofisticadas herramientas po-
tencialmente dainas. De este modo, las prin-
cipales amenazas relacionadas con el ciberes-

pacio se pueden agrupar en las amenazas
contra la informacin y las amenazas contra
la infraestructura TIC5.
AMENAZAS CONTRA LA INFORMACIN
Aquellas cuya materializacin provocan una
prdida, manipulacin, publicacin o uso
inadecuado de la misma. Entre otras desta-
can:
Espionaje, desde el mbito del espionaje
de Estado al espionaje industrial.
Robo y publicacin de informacin clasi-
ficada o sensible (datos personales, datos
bancarios).
Robo de identidad digital.
Fraude.
Perfil de los atacantes
Si bien el anonimato y la deslocalizacin son
algunas de sus mximas seas de identidad,
los principales actores que componen el perfil
de los atacantes se pueden clasificar en los si-
guientes grupos:
HACKING
Individuos que generalmente trabajan de
manera individual con el objetivo de provo-
car trastornos o daos puntuales, si bien no
suelen resultar de gran impacto.
CIBERCRIMEN
Organizaciones y/o grupos de ciberdelin-
cuentes/hackers que cuentan generalmente
con los recursos, conocimientos, motivacin
y respaldo o apoyo financiero necesarios
para la obtencin de sus objetivos (princi-
5. Spanish Cyber Security Institute (2014): La Ciberseguridad Nacional, un compromiso de todos.
BUENAS PRCTICAS EN GESTIN DE RIESGOS
AMENAZAS CONTRA LAS INFRAESTRUCTU-
RAS TIC
Son aquellas cuya materializacin pueden
provocar la interrupcin temporal, parcial o
total de determinados servicios o sistemas,
entre las que se encuentran:
Ataques contra infraestructuras crticas.
Ataques contra las redes y sistemas.
Ataques contra servicios de Internet.
Ataques contra sistemas de control y re-
des industriales.
Infecciones con malware.
Ataques contra redes, sistemas o servi-
cios a travs de terceros.
palmente el fraude econmico y el robo de
informacin confidencial).
HACKTIVISMO
Grupos de hackers que actan en base a
una serie de principios y/o creencias polti-
cas, sociales o religiosas, principalmente
con fines reivindicativos. Sus principales ob-
jetivos suelen incluir multinacionales, go-
biernos y organismos oficiales.
Algunos ejemplos conocidos de grupos
hacktivistas son: Anonymous,Legion of
Doom, Milw0rm y LulzSec.
CIBERESPIONAJE Y CIBERTERRORISMO
Uso de tecnologas de la informacin y co-
municacin electrnica con el propsito de
apoderarse de informacin confidencial de
11
BUENAS PRCTICAS EN GESTIN DE RIESGOS

gobiernos, naciones u otros organismos, e je/destruccin de infraestructuras crticas; has-

incluso generar el miedo o terror en una ta la sustraccin de informacin corporativa
poblacin o Estado. estratgica como la relativa a la propiedad in-
Este objetivo puede perpetrarse a travs del dustrial o intelectual, datos personales de
La informacin es una
saboteo de infraestructuras crticas, infiltra- clientes y empleados, inteligencia de merca-
de las armas
cin en redes de alta seguridad, recluta- do, etc., con objeto de lucro; el dao de la
estratgicas ms letales
miento de personal a travs de Internet y/o imagen o reputacin de una entidad; la rei-
en un nuevo escenario
publicacin de contenidos violentos o ame- vindicacin poltico-social; e incluso la simple
de riesgo para las
nazadores.
organizaciones. notoriedad o amenaza, entre otras6.
INSIDERS
Los objetivos son muy heterogneos y los
Personal de las propias organizaciones que,
ataques van dirigidos a cualquier tipo de or-
aprovechando su conocimiento o acceso a
ganizacin pblica o privada, con nimo de
informacin confidencial en los sistemas,
lucro o sin l afectando a empresas de todos
realiza igualmente acciones delictivas (prin-
cipalmente de fraude) asociadas al cibercri- los sectores de actividad, gobiernos y organi-
men. zaciones de cualquier tipo.

Las motivaciones son diversas y pueden va-
riar desde la perpetuacin de un fraude finan-
ciero sobre los ingresos de la organizacin o
de sus clientes; la produccin de un quebran-
to econmico directo a una compaa, el en-
torpecimiento de sus operaciones o el sabota-
As las cosas, los recientes eventos de fuga de
informacin y fallos en la seguridad cibernti-
ca de algunas organizaciones evidencian un
nuevo escenario de riesgo donde la informa-
cin se convierte en una de las armas estrat-
gicas ms letales, comprometiendo la estabili-

ACTORES MOTIVACIN OBJETIVOS

HACKING. Personal. Notoriedad, pequeos disturbios,

CIBERCRIMEN. Ecnomica/lucro. Robo dinerario o de informacin.

HACKTIVISMO. Ideolgica. Dao reputacional, divulgacin de

informacin,

CIBERESPIONAJE. Poltica. Trastrornos graves, robo de informacin

crtica,

INSIDERS. Varias. Varias

Fuente: elaboracin propia

6. Deloitte (2015): 12 Programa para el Desarrollo de Directores Financieros.

12
 BUENAS PRCTICAS EN GESTIN DE RIESGOS

dad o continuidad de cualquier persona u or- an sin estrenar8. Otros ejemplos relevantes
ganizacin. fueron las filtraciones de Edward Snowden,
Los principales ataques
cuando se comprometi la informacin de
En efecto, algunos ataques cibernticos re- son los producidos en
ms de 40 delegaciones de pases en suelo
cientes han puesto en riesgo naciones e in- forma de DDoS,
estadounidense9, o el robo de datos de 83
dustrias. Un ejemplo fue la operacin Auro- hacking, ataques fuera
millones de clientes a la entidad bancaria JP
ra, en 2009, que vulner los sistemas de se- del permetro, ataques
Morgan Chase.
guridad de hasta 34 compaas de EEUU (Go- a activos intangibles y
ogle, Yahoo, Symantec y Adobe, entre muchas Estos hechos demuestran que los objetivos de los basados en el
otras)7. O el ciberataque sufrido por Sony en los atacantes son cada vez ms ambiciosos, fraude econmico y la
2014, cuando se filtraron en Internet los da- se manifiesten sus acciones en el terreno de fuga de informacin
tos personales, nmeros de identificacin fis- la ciberdelincuencia o en los entornos del ci- confidencial.
cal e informacin mdica de los ms de 3.800 berespionaje (estados, empresas, personas) y
trabajadores de la empresa, as como varios del ciberterrorismo.
contenidos de producciones cinematogrficas

Principales tcnicas de ataque y vulnerabilidades

Nos encontramos con ataques a plataformas
propias en forma de DDoS, hacking o de ex-
plotacin de vulnerabilidades en el hardware
y software corporativo; ataques fuera del per-
metro, como los dirigidos a clientes (phishing,
malware, credenciales robadas); ataques a ac-
tivos intangibles (reputacin de la marca o los
directivos); a activos fsicos o infraestructuras
crticas; y ataques basados en el fraude eco-
nmico y en la fuga de informacin confiden-
cial (filtraciones, robos o perdidas de disposi-
tivos).

INGENIERA SOCIAL
Tcnicas y habilidades sociales o psicolgicas para obtener informacin confidencial a tra-
vs de la manipulacin de las personas o usuarios.

FINGERPRINTING
Bsqueda y recoleccin de todo tipo de informacin del objetivo, principalmente en Inter-
net, y realizada de manera pasiva, que pueda ser utilizada en la perpetracin de un ataque.
Puede incluir tanto la recoleccin de informacin de fuentes pblicas (OSINT: Open-Source
Intelligence), como de fuentes privadas o de pago.

7. El Economista (2010): Operacin Aurora, el ciberataque ms sofisticado de la historia.

8. CNet (2014): Sony encabeza la lista de los peores 'hackeos' del ao.

9. Onemagazine (2014): La ciberseguridad en 2013: un ao marcado por Snowden.

13
BUENAS PRCTICAS EN GESTIN DE RIESGOS

ENUMERACIN Y ESCANEO
Identificacin de sistemas, equipos y dispositivos existentes en la red. Obtencin de nom-
bres de equipos, usuarios, recursos compartidos, etc.
Tambin incluye habitualmente la identificacin de posibles vulnerabilidades.

ATAQUES DE DAS CERO (0-DAY)

Ataques contra aplicaciones o sistemas que aprovechan nuevas vulnerabilidades, desconoci-
das por los fabricantes del producto y/o software, y para los que no se han desarrollado an
parches o soluciones que las corrijan.
Estos ataques pueden tener un grave impacto, y el cdigo para explotar dichas vulnerabili-
dades se vende a menudo por elevadas cantidades de dinero en el denominado mercado
negro de los exploits.

SPAM Y PHISHING
Ataques a travs del servicio de correo electrnico, ya sea buscando la indisponibilidad del
mismo o la suplantacin de identidad para obtener informacin confidencial de los usua-
rios.
Durante los ltimos aos las tcnicas de phishing han evolucionado enormemente dada su
simplicidad y alta efectividad, y es habitual hablar de ataques concretos de smishing, vis-
hing, spear phishing, etc.

HIJACKING
Tcnicas ilegales utilizadas por los atacantes para aduearse o tomar el control de diferen-
tes recursos: navegador, credenciales de sesin, conexiones TCP/IP, pginas web, etc.

DoS (DENEGACIN DE SERVICIOS)

Ataques de desbordamiento con el objetivo de provocar la parada o interrupcin de un ser-
vicio crtico, tpicamente realizados a travs de una inundacin de peticiones a pginas web.

SQL INJECTION
Tcnica de ataque sobre pginas web qu,e a travs de la ejecucin de comandos SQL, per-
mite la obtencin y/o manipulacin de informacin de la base de datos del servidor.

CROSS-SITE SCRIPTING (XSS):

Tcnicas de inyeccin de cdigo (principalmente Javascript y PHP) que, aprovechando erro-
res de programacin en las pginas web, provocan un comportamiento anormal del sistema
pudiendo afectar a la integridad del mismo.

14
 BUENAS PRCTICAS EN GESTIN DE RIESGOS

VIRUS, MALWARE, GUSANOS Y TROYANOS

Software o cdigo malicioso que tiene como objetivo infiltrarse o daar un sistema o equi-
po, estando adems normalmente diseados para su rpida propagacin en una red de or-
denadores. Especialmente extendido se encuentra el uso de troyanos, cuya apariencia simu-
la la de un programa benigno o inocuo que, tras ser ejecutado por el usuario, ocultan y libe-
ran el virus contenido en l.
El 80% de los ataques
BOTNET (REDES ZOMBIS) podran prevenirse con
buenas prcticas como
Conjunto de ordenadores (conectados a Internet) infectados que se ejecutan y controlan de
el uso de contraseas
manera autnoma y automtica. Estas redes son usadas principalmente para aumentar la
seguras,
capacidad de procesamiento necesaria para perpetrar un ataque, as como para ocultar el
configuraciones de
origen y autora del mismo.
seguridad adecuadas,
un correcto control de
ROOTKITS
accesos a aplicaciones
Herramientas y programas usados para esconder la presencia del intruso, obteniendo privi-
y datos, y la
legios de administracin que permitirn la manipulacin futura del sistema.
actualizacin de
sistemas.
APT (AMENAZA PERSISTENTE AVANZADA)
Ataques especialmente diseados y dirigidos contra una organizacin o entidad concreta.
Por lo general requieren de un elevado tiempo de preparacin y combinan diferentes tcni-
cas y vulnerabilidades de entre las ya comentadas anteriormente.

Con carcter general, todas estas tcnicas o
amenazas se basan en la deteccin y existen-
cia de errores en la configuracin de seguri-
dad de los sistemas, obsolescencia o falta de
actualizacin de las infraestructuras tecnol-
gicas, y fallos de programacin o diseo en
las arquitecturas de seguridad y comunicacio-
nes, cuya identificacin y mitigacin debe
considerarse una prioridad por las entidades y
organizaciones.
Por otro lado, a las facilidades derivadas de
una mayor superficie de explotacin por parte
de los atacantes (mviles, cloud, redes socia-
les, etc.) o la existencia de un mercado negro
de vulnerabilidades 0-Day, poco ayuda una
realidad en la que la mayor parte de los ata-
ques sufridos por las empresas evidencian fa-
llos ocasionados por la ausencia de medidas
de seguridad, mtodos, procedimientos, pro-
ductos y herramientas debidamente imple-
mentados y certificados.
A este hecho se suma la escasa conciencia-
cin y cultura de seguridad dentro de las or-
ganizaciones, y la escasez de personal slida-
mente formado y especializado dedicado a la
ciberseguridad. El 80% de los ataques ciber-
nticos podran prevenirse mediante una serie
de sencillas buenas prcticas en redes y equi-
pos, que suelen incluir el uso de contraseas
seguras, configuraciones de seguridad ade-
cuadas, correcta gestin del control de acce-

15
BUENAS PRCTICAS EN GESTIN DE RIESGOS
El cibercrimen se ha
convertido en un
negocio, siendo posible
contratar a travs de
Internet la realizacin
de un ataque DoS,
spam, phishing, el
alquiler de una botnet
o los servicios de un
hacker.
16
sos a aplicaciones y datos, y un apropiado ni-
vel de actualizacin de los sistemas10.
De hecho, segn estudios recientes publica-
dos por el CCN-CERT (Centro Criptolgico
Nacional-Centro de Respuesta a Incidentes de
DE LA SEGURIDAD DE TI A LA CIBERSEGURIDAD: EL CAMBIO DE PA-
RADIGMA
Es importante sealar el incremento en el n-
mero de ataques directos a personas (em-
pleados, clientes, simples usuarios de Inter-
net), puesto que representan el eslabn ms
dbil de la cadena de seguridad. La populari-
zacin y extendido uso de Internet en casi to-
dos los mbitos de la sociedad actual (pbli-
co, profesional, compras, comunicacin, noti-
cias, viajes, cultura,) ha incrementado nota-
blemente la superficie de ataque disponible
para los cibercriminales; y debido a su alta
efectividad y la falta de medidas de protec-
cin adecuadas que en muchas ocasiones
presentan los dispositivos (smartphones, ta-
blets, ordenadores personales,) son cada
vez ms habituales este tipo de ataques, ha-
biendo crecido su impacto de manera expo-
nencial durante los ltimos aos.
Se puede afirmar incluso que el cibercrimen
se ha profesionalizado, contando actualmente
los atacantes con elevados conocimientos y
recursos, tanto humanos como tcnicos y fi-
nancieros. Se trata, por tanto, de grupos bien
organizados y preparados.
10. National Audit Office (2013): The UK cyber security strategy: Landscape review
11. Parte oculta de Internet, utilizada por los cibercriminales/delincuentes, no accesible desde los motores de bsqueda
tradicionales, y dotada de complejos sistemas de comunicacin y reenvo del trfico y contenidos para ocultar su ori-
gen, acceso y mantener el anonimato.
Seguridad), el mayor porcentaje de ataques
tienen su origen en vulnerabilidades ya cono-
cidas y para las que se dispone de soluciones
y medidas de deteccin y mitigacin.
Hasta tal punto es as, que tambin el ciber-
crimen se ha convertido en un negocio (Cy-
bercrime as a Service), siendo posible actual-
mente contratar a travs de Internet (princi-
palmente en la Deep-web / Dark-Web11) la
realizacin de un ataque de DoS, spam, phis-
hing, el alquiler de una botnet o los servicios
de un hacker.
Este nuevo entorno de evolucin, sofisticacin
e incremento de los ataques y amenazas est
produciendo un cambio relevante en la mane-
ra de gestionar la seguridad en las organiza-
ciones.
Tradicionalmente la seguridad de la informa-
cin ha sido siempre una de las materias ma-
yormente olvidadas, cuya percepcin general
se aproximaba ms a un impedimento o traba
en el desarrollo de los negocios y las tecnolo-
gas, que a una autntica necesidad.
Desde un enfoque histrico, la gestin de la
seguridad de la informacin consista en un
enfoque principalmente reactivo: las revisio-
nes de configuracin de seguridad de los sis-
 BUENAS PRCTICAS EN GESTIN DE RIESGOS

CIBERSEGURIDAD
Controles centrados en el cumplimienro normativo.
ENFOQUE PREVENTIVO

Desarrollo de una estrategia global de seguridad. Compliance tcnico con auditoras y estndares.

ENFOQUE REACTIVO
Monitorizacin y vigilancia de la seguridad.
Escaso anlisis de amenazas externas, con foco casi
Gestin de amenazas de manera proactiva. exclusivo en el personal interno.
Coordinacin e intercambio de informacin.
Anlisis de logs y eventos de seguridad, nicamente
Personal dedicado y experto. realizado tras sufrir incidentes o ataques relevantes.
Formacin y concienciacin de personal.
SEGURIDAD DE TI

Fuente: elaboracin propia

temas y revisin de logs o registros de even- de sus planes de transformacin a la econo-

tos eran ejecutadas casi nica y exclusiva- ma digital.
mente por exigencias de cumplimiento o au-
Un ciberataque dirigido a una organizacin
ditoras, entre otros motivos por la carencia
afecta a todas sus reas, pero se traduce so-
de cultura de seguridad en las organizacio-
bre todo en prdidas que afectan al nego-
nes, as como por la escasez de recursos y
cio12:
personal dedicado a estas tareas.
Prdida de ingresos (19%).
El contexto actual ha hecho necesario evolu- Prdida de productividad (21%).
cionar hacia una gestin proactiva de la segu-
Deterioro marca/ reputacin y prdida de la
ridad, la identificacin anticipada de los ries-
confianza de clientes/accionistas (30%).
gos y la gestin continua de las amenazas
que pueblan el ciberespacio. En otras pala- Cumplimiento y sanciones legales (8%).
bras, es necesario evolucionar de la actual
cultura reactiva a una de prevencin y resi- Costes de TI: 22% Prdidas que afectan
al negocio: 78%
liencia.
12% 19%
Por otra parte, las funciones de seguridad de 10%
la informacin, prevencin de fraude y conti-
nuidad de negocio, estn pasando a un pri- 8%
21%
mer plano corporativo porque se imbrican en
el conjunto de responsabilidades de la alta di-
reccin de las organizaciones. Especialmente 30%

en empresas cotizadas, que han de ser ejem-

plares de cara a sus accionistas en el buen
De hecho, apenas una cuarta parte del impac-
gobierno de sus sociedades y en el cumpli-
to de ciberataque son costes TI:
miento legal, por lo que deberan invertir ade-
cuadamente en la gestin de riesgos de ciber- Costes tcnicos de remediacin (10%).
seguridad como uno de los elementos clave Costes de investigacin (12%).

12. IBM (2014): Global Study on the Economic Impact of IT Risk

17
BUENAS PRCTICAS EN GESTIN DE RIESGOS
La ciberseguridad no
debe circunscribirse a
los departamentos de
TI, sino que la Alta
Direccin ha de
implicarse en su
gestin eficiente con un
compromiso activo
continuo.
18
De la rapidez y extensin del impacto que tie-
nen las nuevas amenazas en toda la organi-
zacin se concluye que la ciberseguridad no
es una cuestin cuya responsabilidad deba
circunscribirse a los departamentos de TI, sino
que la Alta Direccin de la empresa ha de es-
tar implicada en su gestin eficiente con un
compromiso activo continuo.
Por tanto la seguridad corporativa ya no se
identifica nicamente con la seguridad pre-
ventiva, ni es responsabilidad exclusiva de un
departamento, ni se separa en un escenario
interior o exterior o con un enfoque reactivo o
preventivo.
De este modo surgen en el seno de las em-
presas nuevas actividades y tareas relaciona-
das entre las que cabe destacar:
Anlisis de la exposicin a los ciberries-
gos por parte de las entidades, identifica-
cin y clasificacin de informacin crtica
existente en una organizacin y estableci-
miento de una estrategia de seguridad.
Concienciacin: Cualquier persona o rea
de una entidad puede ser vctima de un ci-
berataque, por lo que resulta necesario es-
tablecer una cultura de seguridad en las or-
ganizaciones con el objetivo de cambiar la
manera en que la seguridad es percibida
por las personas, adoptando entre otras al-
gunas de estas medidas:
- Divulgacin de polticas y manuales de
seguridad.
- Difusin de incidentes y ataques de se-
guridad, explicando sus causas y orge-
nes.
- Establecimiento de cursos y actividades
formativas en materia de prevencin y
deteccin de los riesgos de ciberseguri-
dad.
Medidas organizativas, como la difusin
de polticas de seguridad en las organiza-
ciones o la concienciacin a los usuarios de
los riesgos en el uso de las tecnologas de
la informacin.
Medidas tcnicas que pueden incluir desde
la existencia de herramientas para la ges-
tin centralizada de alertas y eventos de
seguridad en los sistemas a tcnicas que
permitan detectar y prevenir fugas de infor-
macin confidencial; contratacin de servi-
cios de hacking tico y auditoras forenses
de seguridad; bsqueda de informacin en
Internet, prensa o redes sociales; suscrip-
cin a servicios de alertas, incidentes y vul-
nerabilidades de seguridad; e incluso la
contratacin de plizas de los denominados
ciberseguros que cubran la prdidas ocasio-
nadas por un ciberataque, y la participacin
en ciberejercicios que permitan evaluar las
capacidades de organizacin y resiliencia
ante el cibercrimen.
Servicios y sistemas de seguridad
En los ltimos aos han surgido diferentes
servicios avanzados de seguridad para el con-
trol y gestin de estos riesgos que cada vez
ms organizaciones estn adaptando e im-
plantando en su operativa diaria, y entre los
que cabe destacar:
SOC (Security Operations Center). La exis-
tencia de un Centro de Operaciones de Se-
guridad (24x7) con personal especialista
dedicado en exclusiva a la prevencin y de-
teccin de ciberataques.

SIEM (System Information Event Manage-
ment). La existencia de herramientas que
permitan la correlacin e identificacin de
eventos de seguridad en los diferentes sis-
temas y dispositivos, as como una gestin
centralizada de dichas alertas.
DLP (Data Loss Prevention). La existencia
de procedimientos, medidas y herramientas
para la prevencin y deteccin de prdidas,
robos y fugas de informacin confidencial.
Antimalware. Herramientas de deteccin y
prevencin de malware y otras amenazas
avanzadas. Estos sistemas, utilizan tcnicas
heursticas y de deteccin por comporta-
miento algo ms avanzadas que los clsi-
cos anti-virus, normalmente basados en fir-
mas.
Hacking tico y pen-testing. La necesidad
de contar con servicios y pruebas peridicas
de hacking e intrusin en los sistemas, rea-
lizados bien sea a travs de recursos inter-
nos o subcontratados con terceros.
Auditoras forenses de seguridad. Servi-
cios basados en diferentes procesos de in-
vestigacin, rastreo y recopilacin de infor-
macin con el objetivo de establecer el ori-
gen, motivo e incluso autora de un cibera-
taque, as como la recoleccin de eviden-
cias digitales que puedan servir incluso co-
mo prueba en posibles litigios o procesos
judiciales.
Ciberinteligencia. Observatorio de Internet
y servicios de vigilancia digital que incluyan
entre otros el seguimiento y anlisis de in-
formacin publicada en redes sociales, fo-
ros, portales tcnicos, medios de comunica-
cin, etc., como medida de prevencin de
posibles ataques, identificacin de fugas de
BUENAS PRCTICAS EN GESTIN DE RIESGOS
informacin, etc. Incluye la coordinacin e
intercambio de informacin con organismos
pblicos (por ejemplo, Fuerzas de Seguri-
dad del Estado) y otras organizaciones de
referencia.
Para llevar a cabo estas actividades, resulta
fundamental contar con los recursos y el per-
sonal capacitado para realizarlas, adaptndo-
nos por supuesto a las necesidades, nivel de
exposicin y tamao de cada entidad. Por es-
te motivo, el personal con conocimientos y El tratamiento de la
habilidades en materia de ciberseguridad es a ciberseguridad requiere
de un enfoque
da de hoy un perfil muy demandado y valora-
transversal e integral,
do en el mercado de trabajo actual.
ya que sta excede el
Por otro lado, en el actual contexto globaliza- mbito, funciones y
do donde empresas y organizaciones de cual- responsabilidad del
quier pas y sector son posibles objetivos de personal y reas de
los ciberdelincuentes, para combatir estas seguridad y tecnologa.
amenazas resulta casi imprescindible la cola-
boracin, coordinacin e intercambio de infor-
macin entre entidades, gobiernos, institucio-
nes pblicas y gubernamentales, y fabricantes
y proveedores de software y hardware.
El alcance actual de la ciberseguridad y los
riesgos que conlleva excede con creces el m-
bito de las infraestructuras y tecnologas de la
comunicacin, e incluye tambin la proteccin
de personas.
Debido a ello, su tratamiento requiere de un
enfoque transversal e integral en las organi-
zaciones. Cualquier persona o rea de una or-
ganizacin puede ser vctima de un ciberata-
que, por lo que es necesario contar con todas
ellas, puesto que la ciberseguridad excede el
mbito, funciones y responsabilidades del per-
sonal y reas de seguridad y tecnologa, y nos
afecta a todos y cada uno de nosotros.
19
BUENAS PRCTICAS EN GESTIN DE RIESGOS

Actualmente, resulta cada vez ms comn es-
cuchar en las entidades y medios de comuni-
cacin trminos como ciberinteligencia, resi-
liencia o seguridad operacional, que represen-
Las organizaciones
tan perfectamente este cambio de paradigma,
deben implantar una
y ahondan en la idea del establecimiento de
estrategia de seguridad
acorde a su exposicin una estrategia global del ciclo de vida de la
a los riesgos y a las seguridad y la gestin de incidentes, as como
necesidades, en las capacidades de las organizaciones de
posibilidades y defenderse, resistir e incluso responder a un
recursos. ciberataque.
Para ello, las entidades estn adoptando mo-
delos para la gestin de los ciberriesgos, ba-
sados en algunos de los estndares y buenas
prcticas del mercado, propuestos por las
principales organizaciones de referencia (ISO,
CobiT, ISACA, ITIL).
La siguiente figura muestra las principales
funciones asociadas a la gestin de la ciber-
seguridad segn el modelo de control pro-
puesto por el Instituto Nacional de Estndares
y Tecnologa Norteamericano (NIST13).

CICLO DE VIDA DE GESTIN DE LOS CIBERRIESGOS

Identificar Proteger Detectar Responder Recuperar

Fuente: NIST (National Institute of Standards and Technology) (Feb. 2014): Framework for Improving Critical Infrastructure
Cybersecurity

Si bien la seguridad no existe al cien por cien
(siempre estaremos expuestos en mayor o
menor medida), s es posible hacer nuestras
organizaciones ms seguras. Para ello, la anti-
cipacin es clave. Hay que ir por delante de
los ataques siendo capaces de detectarlos y
prevenirlos.
Adems, se puede limitar de forma significati-
va el dao si se reacciona de forma rpida y
decidida ante cualquier intento de compro-
meter nuestro entorno. Todo esto requiere
continuidad y constancia en la vigilancia pero,
sobre todo, es necesario un cambio de menta-
lidad.
En este sentido, las organizaciones deben rea-
lizar un anlisis detallado de la exposicin a
estos riesgos, e implantar una estrategia de
seguridad acorde a la misma, as como a las
necesidades, posibilidades y recursos de cada
organizacin, construyendo un modelo de
gestin de la seguridad donde, adems de las
reas clsicas de la seguridad IT, tengan refle-
jo capacidades ms avanzadas asociadas con
los conceptos de ciberseguridad y ciberresi-
liencia14.

13. NIST: del ingls National Institute of Standards and Technology.

14. Deloitte (2015): Modelo Colaborativo de CiberSeguridad (MCCS).

20

A nivel agregado, el conjunto de medidas y
principales actividades para el control y ges-
tin de los ciberriesgos, podra resumirse en:
Gobierno y organizacin en la entidad para
gestionar los riesgos, con una clara asigna-
cin de roles y responsabilidades en toda la
organizacin, implantando estructuras de
gobierno procedimientos, polticas de se-
guridad, estndares, cumplimiento legal,
formacin y concienciacin de directivos y
empleados, gestin de proveedores que
permitan mantener y evolucionar sus capa-
cidades de ciberseguridad.
Deteccin de las amenazas mediante el
uso de las mltiples fuentes de ciberinteli-
gencia con el fin de poder gestionarlas pro-
activamente, anlisis de redes y sistemas,
anlisis del comportamiento de los usua-
rios, monitorizacin de eventos de seguri-
dad, etc.
CIBEREJERCICIOS Y CIBERSEGUROS
De la misma forma que en el mundo de la
continuidad de negocio y la gestin de crisis
el modelo de gestin evoluciona principal-
mente por la realizacin de sucesivos escena-
rios de prueba, dentro de la ciberseguridad la
sucesiva realizacin de ciberejercicios permi-
ten a las organizaciones mejorar su desempe-
o dentro de este mbito.
Ciberejercicios
Tal y como se recoge en el documento Taxo-
noma de Ciberejercicios desarrollado por el
INCIBE (Instituto Nacional de Ciberseguri-
dad), se puede definir el concepto de cibere-
jercicio como: una herramienta que per-
BUENAS PRCTICAS EN GESTIN DE RIESGOS
Prevencin frente a ciberataques mante-
niendo y mejorando las herramientas y me-
didas de seguridad fsica, de sistemas, re-
des, y aplicaciones para la proteccin de
sus infraestructuras y sus activos de infor-
macin.
La sucesiva realizacin
Respuesta ante incidentes de seguridad y de ciberejercicios
recuperacin adecuadas, con el fin de po- permite a las
der limitar su impacto sobre la organizacin organizaciones mejorar
y mantener la continuidad del negocio. su desempeo en el
mbito de la
Este marco estratgico para la gestin de la
ciberseguridad.
seguridad, permitir a las organizaciones
comprender el panorama de las ciberamena-
zas y los riesgos subyacentes; proteger los da-
tos y activos contra las amenazas cibernti-
cas; detectar estas a tiempo; y finalmente,
responder a los ciberataques y estar mejor
preparadas para reaccionar frente a lo inespe-
rado.
mite evaluar el estado de preparacin de los
participantes frente a crisis de origen cibern-
tico, facilitando adems lecciones aprendidas
y recomendaciones para el futuro
Con carcter general, y aunque la naturaleza
de estos ejercicios es variada, pueden cumplir
con los siguientes objetivos:
- Evaluar las medidas de seguridad perime-
tral, monitorizacin de seguridad y protec-
cin de sistemas y activos de informacin,
mediantes ejercicios de hacking tico o
pentesting que simulan y utilizan las tcni-
cas y modos de actuacin de los atacantes.
- Evaluar las capacidades de tratamiento y
recuperacin de las entidades ante un ci-
21
BUENAS PRCTICAS EN GESTIN DE RIESGOS
Los resultados de los
ciberejercicios permiten
identificar debilidades y
ausencias de control en
los sistemas y
mecanismos de control
y seguridad de la
informacin,
permitiendo establecer
planes y acciones para
su resolucin y mejora.
22
berataque, tanto de las medidas organizati-
vas y de gestin (ejercicios role-play: toma
de decisiones), como desde un punto de
vista tcnico (capacidades de deteccin,
anlisis de la infeccin e informtica foren-
se, contingencia de los sistemas,).
- Evaluar el nivel de concienciacin, forma-
cin y cultura de seguridad de los emplea-
dos de la organizacin, tpicamente realiza-
do a travs de la realizacin de simulacros
(falsas campaas de phishing, colocacin
de dispositivos con informacin confiden-
cial,).
Los resultados de estos ejercicios son de gran
valor para las entidades, puesto que permiten
identificar debilidades y ausencias de control
en los sistemas y mecanismos de control y se-
guridad de la informacin, permitiendo esta-
blecer planes y acciones para su resolucin y
mejora.
Estas actividades de prueba dentro de la ci-
berseguridad han sido promovidas y desarro-
lladas, tradicionalmente, por los mbitos mili-
tares y gubernamentales.
Generalmente las pruebas cuentan con la par-
ticipacin de las fuerzas de seguridad locales,
aunque recientemente, y cada vez ms, la
complejidad de las infraestructuras tecnolgi-
cas y la proteccin de las infraestructuras cr-
ticas implican la participacin de diferentes
organizaciones empresariales de diversos sec-
tores.
Inicialmente, los principales ciberejercicios
provenan de organismos gubernamentales
de defensa como la OTAN. Dentro de este ti-
po de iniciativas podramos encuadrar el Loc-
ked Shields y la Cyber Coalition, que se de-
sarrollan principalmente a nivel europeo aun-
que con la participacin de organismos de
defensa estadounidenses. La realizacin de
este tipo de ejercicios suele implicar la partici-
pacin de numerosos organismos guberna-
mentales incluyendo tanto al ejrcito como a
las fuerzas del orden y seguridad del Estado.
La implicacin de mltiples organismos en la
preparacin de estos ciberejercicios represen-
ta un gran dilema a la hora de desarrollar una
estrategia continua de pruebas. El alto coste
de preparacin y coordinacin de actividades
que exigen estos ejercicios representa un es-
collo importante a la hora de formalizar un
proceso continuo de prueba. Adems, suele
ser complicado obtener un reaprovechamien-
to de las actividades desarrolladas anterior-
mente debido al alto grado de volatilidad y
caducidad de las ciberamenazas. Es decir, el
escenario preparado un ao para la realiza-
cin del ciberejercicio puede encontrarse ob-
soleto para el ejercicio del ao siguiente, lo
que requiere volver a desarrollar y planificar
un nuevo escenario de prueba cada ejercicio.
La elevada complejidad de las pruebas, unida
al reducido beneficio que estas actividades
pueden llegar a proporcionar (teniendo en
consideracin la constante aparicin de nue-
vas ciberamenazas) han hecho surgir el trmi-
no CyberRange, conocido como Campo de
Maniobras. Este tipo de iniciativas represen-
tan una infraestructura tecnolgica de virtua-
lizacin con la suficiente versatilidad como
para poder componer multitud de escenarios
y situaciones de manera rpida y automatiza-
da. De esta forma, con un esfuerzo menor y
de forma gil se pueden recrear campos de
entrenamiento continuo para el personal im-
plicado en la ciberseguridad. Este concepto,
con un elevado coste y una alta complejidad
de diseo, representa actualmente una ten-

dencia muy interesante para los organismos
de defensa de cara a reducir la carga de tra-
bajo que puede representar la preparacin y
realizacin de ciberejercicios.
Sin embargo, actualmente la realizacin y par-
ticipacin de las entidades en ciberejercicios
se encuentra ampliamente extendida y ha
evolucionado hacia un enfoque menos com-
plejo y ms prctico (pequeos simulacros y
ejercicios concretos) para las entidades, hasta
ser considerada una buena prctica casi im-
prescindible en ciberseguridad para las orga-
nizaciones.
En el mbito nacional los ejercicios organiza-
dos por el INCIBE y el CNPIC (Cyber-Ex), con-
taron en 2014 con la participacin de quince
grandes empresas espaolas de sectores del
transporte, finanzas, energa, servicios, inver-
siones y seguros; como por ejemplo Banco
Santander, Repsol, Mapfre, Metro Madrid, Ac-
ciona S.A., y El Corte Ingls, entre otras.
En el ao 2015 aument el nmero de enti-
dades participantes, habindose realizado
ejercicios especficos adaptados a la naturale-
za de la actividad de las entidades (diferentes
ejercicios por sector), as como la realizacin
del primer Cyber-Ex Internacional, incluido en
el marco de los Estados Miembros de la Orga-
nizacin de los Estados Americanos (OEA),
con el objetivo de fortalecer las capacidades
de respuesta ante incidentes cibernticos, as
como una mejora de la colaboracin y coope-
racin ante este tipo de incidentes.
Otros ejemplos de ciberejercicios relevantes
son los promovidos por FS-ISAC15 y Payments
Council (iniciados en 2010 para entidades de
Estados Unidos y Canad, y que por primera
15. Financial ServicesInformation Sharing and Analysis Center. https://www.fsisac.com/
BUENAS PRCTICAS EN GESTIN DE RIESGOS
vez en 2015 cont con la participacin de ins-
tituciones europeas) o los ms recientes Pro-
teus (Brasil), CBEST Cyber Exercise (Inglaterra)
y Ciber Perseu (Portugal).
Ciberseguros
Otra de las tendencias recientes en el mbito
de la ciberseguridad es la proliferacin de los
denominados ciberseguros o plizas para la
cobertura de los riesgos relacionados con la
ciberseguridad, siendo considerada una de las
La contratacin de
principales estrategias para la mitigacin de
ciberseguros es
riesgos (transferencia del mismo a un terce-
tendencia, con
ro).
coberturas que van
Las compaas aseguradoras han diseado desde la proteccin de
productos especficos dentro de este mbito las propias
con coberturas que oscilan desde la protec- infraestructuras a la
cin de las propias infraestructuras a la cober- cobertura de los riesgos
tura de los riesgos, en caso de la declaracin en caso de la
de una ciberguerra. declaracin de una
ciberguerra.
En este tipo de plizas el tomador de las mis-
mas debe cumplimentar un cuestionario, e in-
cluso el tomador puede verse sometido a un
proceso de evaluacin en ciberseguridad por
parte de un externo contratado por la compa-
a aseguradora, de cara a establecer el im-
porte de la prima, que depender en parte de
las medidas de seguridad que el tomador ha
implantado en su compaa, as como de las
coberturas y franquicias establecidas.
Es importante mencionar que, con carcter
general, este tipo de plizas no suele cubrir
las prdidas econmicas directas (robo dine-
rario) ocasionadas por un cibertaque (las
compaas suelen disponer de otro tipo de
plizas y provisiones para cubrir los eventos
de fraude tanto interno como externo), sino
23
BUENAS PRCTICAS EN GESTIN DE RIESGOS
que estn enfocadas a cubrir las prdidas y
gastos relacionados con fallos en los siste-
mas, notificacin y atencin a clientes, investi-
gacin forense, extorsin, gastos de consulto-
Los ciberseguros no
suelen cubrir las ras y asesoramiento legal, impactos reputa-
prdidas econmicas cionales o responsabilidades derivadas de ro-
directas de un bos de informacin y publicacin de conteni-
ciberataque, sino que dos en medios digitales.
cubren aquellas
Valga como ejemplo el caso de la cadena de
relacionadas con fallos
supermercados norteamericana Target, que
en los sistemas,
dispona de un ciberseguro. A finales de 2013
notificacin a clientes,
sufri un cibertaque por el que le fueron sus-
investigacin forense o
impactos trados los nmeros de tarjetas de crdito y
reputacionales, entre dbito de 40 millones de clientes, as como
otras. los datos personales de 70 millones de perso-
nas. El coste del ataque para la compaa fue
METODOLOGAS Y ESTRATEGIAS DE CONTROL Y GESTIN DE CIBER-
RIESGOS
En la actualidad existe un buen nmero de
marcos de control y buenas prcticas sobre
ciberseguridad que pueden ser de gran utili-
dad para que las organizaciones afronten este
reto. Hacer uso de ellos facilitar la compren-
sin de los riesgos y amenazas existentes y
facilitar la implantacin de las medidas ade-
cuadas a la realidad de la compaa.
A continuacin se muestran algunos de los
ejemplos ms significativos, incluyendo algu-
nas de las entidades/organismos de referen-
cia en el mbito de la ciberseguridad, tanto a
nivel nacional como internacional.
No hay que olvidar que el sector se encuentra
en constante evolucin, pudiendo surgir nue-
vas referencias. Es importante mantenerse ac-
tivo en la bsqueda de soluciones y nuevas
24
de 61 millones de dlares, de los cuales su
seguro cubri 44 millones.
Un reciente estudio de Wells Fargo sobre 100
empresas medianas y grandes de Estados
Unidos desvel que el 85% de ellas tenan un
ciberseguro. De stas, el 44% haban sufrido
incidentes que fueron cubiertos por su asegu-
radora.
Segn la corredura de seguros Marsh, el mer-
cado de los ciberseguros gener en Estados
Unidos 1.000 millones de dlares en 2013,
cantidad que se dobl en 2014 y cuya de-
manda sigue aumentando significativamente
en la actualidad. El mercado europeo de ci-
berseguros es an pequeo comparado con
Estados Unidos, pero crece a buen ritmo.
prcticas si queremos luchar con xito contra
los riesgos asociados a la ciberseguridad.
NIST 02-2014
El National Institute of Standards and Techno-
logy (NIST) proporciona interesantes referen-
cias y buenas prcticas a travs de metodolo-
gas y normas, cuyo objetivo no es otro que el
de promover la innovacin y competitividad
industrial.
Dentro de su gran produccin de marcos de
referencia, cabe destacar por su utilidad en el
tema que estamos tratando el correspondien-
te a ciberseguridad: Framework for Impro-
ving Cybersecurity. Este documento, de ca-
rcter pblico y disponible a travs de su p-
gina web, muestra un enfoque basado en
 BUENAS PRCTICAS EN GESTIN DE RIESGOS

riesgos para la gestin de la ciberseguridad y Niveles de implantacin del marco y proce-

se compone de tres apartados: sos para gestin del riesgo.
Marco base: Conjunto de actividades para Perfiles del marco: Resultados en base a las
la correcta gestin de la ciberseguridad. Se necesidades del negocio.
divide en 5 funciones: identificar, proteger,
detectar, responder y recuperar que, a su
vez, se dividen en 20 categoras.

FRAMEWORK FOR IMPROVING CIBERSECURITY MARCO BASE

Identificar Proteger Detectar Responder Recuperar

Gestin de activos Control de acceso Anomalas y eventos Plan de respuesta Plan de

recuperacin
Entorno de negocio Formacin y Monitorizacin Comunicaciones
concienciacin continua Anlisis
Gobierno Mitigacin
Seguridad de los Procesos de Mejoras
Anlisis de riesgos datos deteccin
Estrategia Proteccin de la
de gestin informacin
Mantenimiento
Tecnologas de
proteccin

Fuente: National Institute of Standards and Technology (NIST)

ISO / IEC 27032 pos de seguridad, definicin de grupos de in-

ters y sus roles, y gua para hacer frente a los
La organizacin internacional de normaliza- problemas de ciberseguridad. Normas como la ISO
cin no poda ser menos a la hora de ofrecer 27032, la ISO 27014 o
un estndar internacional con directrices de Es importante tener presente que las buenas el conjunto ISO 27000
ciberseguridad. prcticas en seguridad de la informacin, se- son importantes para
guridad fsica, etc., son tambin aplicables a asegurarse buenas
El alcance de las directrices incluidas en la la ciberseguridad, por lo que se deben tener prcticas en materia de
norma Cybersecurity Guideline engloba tambin presentes otras normas como la ISO ciberseguridad.
los mbitos de seguridad de la informacin, 27014 Gobierno de la seguridad de la infor-
seguridad de la red, seguridad en Internet y macin, o el conjunto ISO 27000, entre las
en las infraestructuras crticas, as como bue- que destacan entre otras:
nas prcticas en el intercambio de informa- ISO 27001 Estndar para la seguridad de
cin, manejo de incidentes y colaboracin en- la informacin.
tre las partes interesadas. La norma establece ISO 27002 Cdigo de buenas prcticas
una visin general de ciberseguridad, explica- para la gestin de seguridad de la informa-
cin de la relacin entre la misma y otros ti- cin.

25
BUENAS PRCTICAS EN GESTIN DE RIESGOS
Segn el Instituto
SANS, hay 20 controles
crticos o acciones clave
que las organizaciones
deberan implementar
para prevenir, detectar
y mitigar los
ciberataques.
26
ISO 27003 Directrices para la implanta-
cin de un SGSI16.
ISO 27004 Mtricas para la gestin de la
seguridad de la informacin.
ISO 27005 Gestin de riesgos en seguri-
dad de la informacin.
SANS y CIS
SysAdmin Audit, Networking and Security Ins-
titute (SANS) es una conocida organizacin
norteamericana de investigacin y educacin
cooperativa que ofrece recursos y noticias so-
bre seguridad. Entre sus artculos se puede
encontrar mucha informacin relevante en
materia de ciberseguridad. Dentro de sus re-
cursos, se encuentra Securing The Human,
que ofrece herramientas de concienciacin
gratuitas.
En el ao 2008, con el objetivo de minimizar
los robos de informacin sufridos principal-
mente por organizaciones del mbito de de-
fensa estadounidense, se inici el proyecto
para la elaboracin de una gua de buenas
prcticas en seguridad de la informacin:
Critical Security Controls for Effective Cy-
ber Defense, que fue transferido en 2015 al
Center for Internet Security (CIS) de Estados
Unidos.
Se trata de 20 controles crticos o acciones
clave que las organizaciones deberan imple-
mentar para prevenir, detectar y mitigar los ci-
berataques. A la fecha de publicacin de este
documento, la ltima versin (6.1) data de
agosto de 2016 y ser objeto de un mayor
anlisis en posteriores captulos del presente
documento.
16. Sistema de Gestin de Seguridad de la Informacin.
CESG UK GOV
Communications - Electronics Security Group
(CESG)) representa la autoridad nacional en
el Reino Unido en materia de seguridad de la
informacin.
Entre sus muchas publicaciones destaca Ten
Steps To Cyber Security, una gua sobre c-
mo las organizaciones pueden protegerse en
el ciberespacio en 10 pasos. Inicialmente pu-
blicada en septiembre de 2012, a la fecha de
publicacin de este documento la ltima ver-
sin data de enero de 2015, e incluye como
sus 10 principales prioridades la gestin de
los siguientes aspectos:
Modelo de informacin de los riesgos de ci-
berseguridad.
Configuracin segura.
Seguridad de la red.
Gestin de usuarios privilegiados.
Formacin y concienciacin de usuarios.
Gestin de incidentes.
Proteccin ante el malware.
Monitorizacin de seguridad.
Control de dispositivos removibles.
Poltica de trabajo a distancia (mvil y en el
hogar).
ISACA
Information Systems Audit and Control Asso-
ciation (ISACA) se involucra en el desarrollo
de buenas prcticas en auditora y control en
sistemas de la informacin. Dentro de la infi-
nidad de documentacin que proporciona a
los profesionales cabe destacar la gua para la
aplicacin del marco NIST (mencionado ante-

riormente) para la ciberseguridad: Imple-
menting the NIST Cybersecurity Frame-
work, desarrollada dentro de su programa
CSX (Cybersecurity Nexus), creado en 2015
tras la aprobacin de la ley de ciberseguridad
estadounidense (Cibersecurity Information
Sharing Act of 2015), con el objetivo de pro-
porcionar a los profesionales de seguridad los
conocimientos y herramientas necesarios para
la realizacin de su trabajo.
Adicionalmente, y dentro la ltima revisin de
CobiT (Control objectives for Information and
related Technology), cuyas guas representan
uno de los principales estndares de buenas
prcticas para el control y supervisin de tec-
nologa de la informacin a nivel mundial,
ISACA lanz en junio del 2012 COBIT 5 pa-
ra la seguridad de la informacin, actuali-
zando la ltima versin de su marco para pro-
porcionar una gua prctica de seguridad de
la empresa en todos sus niveles prcticos, y
ayudar a las empresas a reducir sus perfiles
de riesgo a travs de una adecuada adminis-
tracin de la seguridad.
INCIBE
El Instituto Nacional de Ciberseguridad (INCI-
BE), fundando en Espaa en 2006 bajo el
nombre de INTECO (Instituto Nacional de Tec-
nologas de la Comunicacin) y dependiente
del Ministerio de Industria, pone a disposicin
de su pblico que abarca desde ciudadanos
individuales a grandes empresas una eleva-
da cantidad de recursos e informacin rela-
cionada con la ciberseguridad.
Entre muchas otras utilidades, en su pgina
web se puede encontrar un apartado especfi-
co denominado Protege tu empresa, y que
incluye por ejemplo las siguientes guas:
Cmo gestionar una fuga de informacin.
BUENAS PRCTICAS EN GESTIN DE RIESGOS
Gestin de riesgos.
Ciberseguridad en comercio electrnico.
Adicionalmente, el Instituto pone a disposi-
cin de los usuarios de todo un catlogo de
empresas proveedoras de soluciones de ciber-
seguridad, as como un servicio gratuito para
conocer si un equipo est infectado.
En materia de formacin y concienciacin ca-
be destacar la actividad de la Oficina de Se-
guridad del Internauta (www.osi.es), cuyo ob-
El espaol INCIBE pone
jetivo es ayudar a los usuarios de Internet a la
a disposicin de
adopcin de buenos hbitos en seguridad, ciudadanos y empresas
sensibilizando a la comunidad de los riesgos una elevada cantidad
existentes, y contribuyendo a reducir el volu- de recursos e
men y gravedad de incidentes de seguridad informacin
sufridos por los usuarios. relacionada con la
Otras de las iniciativas lideradas por el INCIBE ciberseguridad.
son CyberCamp y CyberEx, tambin mencio-
nadas en este documento.
ENISA
La European Union Agency for Network and
Information Security (ENISA) ofrece en su p-
gina web intercambio de informacin, buenas
prcticas y conocimiento en el campo de la ci-
berseguridad.
Un reglamento publicado en junio de 2013
encomendaba a ENISA el mbito de actua-
cin y la autoridad necesarios que les permite
la lucha contra el cibercrimen:
Desarrollo de polticas y legislacin de la
Unin Europea en materia de ciberseguri-
dad.
Investigacin, desarrollo y estandarizacin
de normativa.
Prevencin, deteccin y respuesta a cibera-
menazas fronterizas.
27
BUENAS PRCTICAS EN GESTIN DE RIESGOS

Aunque sus recomendaciones estn enfoca- nas prcticas aplicables a la realidad de las
das a estrategias nacionales de ciberseguri- organizaciones.
dad, su lectura puede ayudar a extraer bue-

REGULACIN Y NORMATIVA
Sector Pblico Objetivos de la ciberseguridad. En este
apartado se establece el objetivo global de
El documento ms importante en materia de lograr que Espaa haga un uso seguro de
ciberseguridad en el mbito regulatorio na- los Sistemas de Informacin y Telecomuni-
cional fue el publicado en el ao 2013 desde caciones.
la Presidencia del Gobierno con el ttulo Es-
trategia de Ciberseguridad Nacional. Este Lneas de accin de la ciberseguridad na-
documento, conforma el eje central estratgi- cional. Define una serie de lneas maestras
La Estrategia de co y recoge los principios fundamentales para para alcanzar los objetivos expuestos en el
Ciberseguridad la definicin de la estrategia espaola en ma- captulo anterior.
Nacional recoge los teria de ciberseguridad.
puntos fundamentales La ciberseguridad en el Sistema de Segu-
para la definicin de la El documento se encuentra estructurado en ridad Nacional. Define la estructura org-
estrategia espaola en los siguientes captulos: nica al servicio de la ciberseguridad.
materia de El ciberespacio y su seguridad. Este cap- En el mbito del sector pblico, se puede pro-
ciberseguridad. tulo recoge las caractersticas del ciberes- ducir una nueva diferenciacin respecto al
pacio, as como sus principales oportunida- mbito de aplicacin de esta estrategia nacio-
des y amenazas. nal. Por un lado, se puede diferenciar el mbi-
Propsito y principios rectores de la ciber- to especfico de defensa (militar) y por otro, se
seguridad en Espaa. Establece una defini- puede identificar el mbito de las administra-
cin de las directrices generales del uso se- ciones pblicas. Aunque la estrategia en ma-
guro del ciberespacio. teria de ciberseguridad es la misma para es-
tos mbitos, la aproximacin empleada para
su desarrollo es diferente.
Ciberespacio
y su EN EL MBITO DE LAS ADMINISTRACIONES
seguridad
PBLICAS, la principal normativa empleada
Sistema de Propsito y
Seguridad principios para la gestin de la ciberseguridad lo confor-
Nacional Estrategia de rectores man las normas internacionales ISO (princi-
Ciberseguridad
Nacional palmente ISO27002 e ISO18044).

Lneas Estas normas internacionales recogen, por un

de accin Objetivos
lado, un conjunto de controles para la gestin
de la seguridad de la informacin (ISO27002)

28

y, por otro lado, la norma ISO18044 define las
medidas de seguridad aplicables para el trata-
miento y respuesta a incidentes tecnolgicos.
EN EL MBITO DE DEFENSA, como ya se ha
mencionado anteriormente, se toma como
principal gua el documento Estrategia de Ci-
berseguridad Nacional. Sin embargo, se ma-
nejan y toman como documentacin adicional
los documentos de benchmarking elaborados
por el CIS (Center for Internet Security) y las
guas DISA STIGs (Defense Information Sys-
tems Agency - Security Technical Implementa-
tion Guides) elaboradas por organismos esta-
dounidenses, que definen medidas de seguri-
dad especficas para diferentes entornos y
plataformas. Estas guas definen gran canti-
dad de medidas de seguridad, algunas de
ellas bastante costosas de implementar, pero
son una pieza fundamental y muy completa a
la hora de bastionar distintas plataformas.
A nivel nacional tambin se cuenta con un
conjunto de guas de la serie STIC (Seguridad
de las Tecnologas de la Informacin y las Co-
municaciones). En concreto, cabe destacar la
serie 800 relacionada con el ENS (Esquema
Nacional de Seguridad). Esta Serie CCN-STIC-
800 establece las polticas y procedimientos
adecuados para la implementacin de las me-
didas contempladas en el Esquema Nacional
de Seguridad (RD 3/2010).
Adicionalmente, tal y como se ha indicado,
dentro del mbito de las administraciones p-
blicas se pueden destacar las normativas ela-
boradas por el CCN-CNI (Centro Criptolgico
Nacional) a travs de las series de guas STIC.
Estas guas cuentan, en algunas ocasiones,
con herramientas propias de desarrollo como
son CARMEN (Centro de Anlisis de Registros
y Minera de Datos), LUCIA (Listado Unificado
de Coordinacin de Incidentes y Amenazas) o
CLARA (que permite verificar el cumplimiento
BUENAS PRCTICAS EN GESTIN DE RIESGOS
desde un punto de vista tcnico de los requi-
sitos del ENS en entornos Windows 7 y Win-
dows server 2008 R2.). Estos documentos y
herramientas son tambin empleados dentro
del mbito de defensa para la implantacin
de medidas de ciberseguridad.
Finalmente, y aunque su mbito de actuacin
excede el de la seguridad de las comunicacio-
nes telemticas y el ciberespacio, abarcando
La serie de guas de la
el terreno de la seguridad fsica y la lucha
serie STIC establece las
contra el terrorismo, es relevante mencionar
polticas y
la creacin del Centro Nacional de Proteccin
procedimientos
de las Infraestructuras Crticas (CNPIC) de-
acecuados para la
pendiente del Ministerio del Interior encar-
gado de impulsar, coordinar y supervisar to- implantacin de las
das las actividades y mecanismos necesarios medidas contempladas
para garantizar la seguridad de la infraestruc- en el Esquema Nacional
turas que proporcionan servicios esenciales a de Seguridad.
nuestra sociedad, fomentando la participacin
de todos y cada uno de los agentes del siste-
ma en sus correspondientes mbitos, con el
objetivo de crear un modelo de seguridad ba-
sado en la confianza mutua, y creando una
asociacin pblico-privada que permita mini-
mizar las vulnerabilidades de las infraestruc-
turas crticas ubicadas en el territorio nacio-
nal.
El primer Plan Nacional de Proteccin de las
Infraestructuras Crticas, aprobado en mayo
de 2007, reconoce que el riesgo de ataques
terroristas catastrficos contra infraestructu-
ras crticas est viviendo un aumento, y por
ello se ha creado un catlogo de instalaciones
sensibles a estos atentados.
Este plan establece que las infraestructuras
crticas son aquellas instalaciones, redes, ser-
vicios y equipos fsicos y de tecnologa de la
informacin cuya interrupcin o destruccin
pueden tener una repercusin importante en
la salud, la seguridad o el bienestar econmi-
co de los ciudadanos o en el eficaz funciona-
29
BUENAS PRCTICAS EN GESTIN DE RIESGOS
miento de los gobiernos de los Estados miem-
bros.
Entre estas instalaciones sensibles destacan
INFRAESTRUCTURAS
CRTICAS las centrales y redes de energa, las comunica-
PLAN NACIONAL DE PROTECCIN ciones, las finanzas, el sector sanitario, la ali-
Factores
mentacin, el agua embalses, almacena-
miento, tratamiento y redes, los transpor-
Rango
tes aeropuertos, puertos, etc., monumentos
Escala
nacionales, as como la produccin, almacena-
Efectos en el tiempo
miento y transporte de mercancas peligrosas,
como material qumico, biolgico o nuclear.
Parmetros
El criterio para incluir a dichas instalaciones
Daos causados
Impacto econmico
en el catlogo es una mezcla de diversos fac-
tores: rango, escala y efectos en el tiempo; y
Impacto en servicios
esenciales de parmetros: daos causados, impacto eco-
nmico e impacto en servicios esenciales; y
reas estratgicas comprende actualmente ms de 3.500 insta-
Energa laciones e infraestructuras sensibles dentro de
Industria Nuclear las siguientes reas estratgicas: Energa, In-
TI dustria Nuclear, Tecnologas de la Informa-
Transportes cin, Transportes, Suministro de Agua, Sumi-
Suministro de Agua nistro de Alimentos, Salud, Sistema Financie-
Suministro de Alimentos ro, Industria Qumica, Espacio y Administra-
Salud cin.
Sistema Financiero
EN EL MBITO INTERNACIONAL caben desta-
Industria Qumica
car otras iniciativas como La Estrategia de Ci-
Espacio
berseguridad de la Unin Europea (publica-
Administracin
da en 2013), o la Directiva de Seguridad de
la Redes y la Informacin (NIS), que estable-
ce medidas de control y mecanismos de coo-
peracin concretos entre los estados miem-
bros, como la red de equipos de respuesta a
incidentes de seguridad (CSIRT) y el grupo de
cooperacin, compuesto por miembros de au-
toridades nacionales competentes, la Comi-
sin de la Unin Europea y la ENISA. La Di-
rectiva tambin obliga a disear una estrate-
gia de ciberseguridad nacional, y la obliga-
cin para empresas que trabajan en sectores
crticos tales como energa, transporte y fi-
30
nanzas, entre otros, a informar a las autorida-
des nacionales acerca de incidentes de impac-
to significativo.
Se ha establecido que las 5 estrategias priori-
tarias a desarrollar son:
La resiliencia contra ciberataques.
La reduccin drstica de la delincuencia en
la red.
El desarrollo de una poltica de ciberdefen-
sa y de las capacidades correspondientes
en el mbito de la Poltica Comn de Segu-
ridad y Defensa (PCSD).
El desarrollo de los recursos industriales y
tecnolgicos necesarios en materia de ci-
berseguridad.
El establecimiento de una poltica interna-
cional coherente del ciberespacio en la
Unin Europea y la promocin de los valo-
res europeos esenciales.
As pues, son numerosas las iniciativas a nivel
internacional que diferentes organismos, re-
guladores y gobiernos estn promoviendo en
el mbito de la ciberseguridad y proteccin de
las infraestructuras crticas, entre las que cabe
destacar la aprobacin y promulgacin de di-
versas leyes en diferentes pases:
Cybersecurity Enhancement Act of 2014 (Es-
tados Unidos). Proporciona una asociacin
permanente pblico-privada para mejorar y
fortalecer la investigacin y el desarrollo
del personal, educacin, preparacin y con-
ciencia en materia de ciberseguridad.
- Cybersecurity Act of 2015 (Estados Unidos).
Creada con el objetivo de promover y alen-
tar al sector privado y gobierno de Estados
Unidos para intercambiar con rapidez y de
manera responsables informacin sobre las
amenazas cibernticas.

- IT Security Act (Alemania). En respuesta, y
tras la alarma del ciberataque al parlamen-
to alemn (Bundestag) conocido en junio
de 2015, Alemania aprob una ley de se-
guridad informtica destinada a reforzar los
dispositivos de proteccin a las empresas,
debiendo adems informar de inmediato
acerca de cualquier incidente, anomala o
sospecha de virus.
Sector Privado
Dentro de las compaas de sector privado se
debe desarrollar un cuerpo normativo de se-
guridad que cubra todos los riesgos a los que
la compaa se encuentra expuesta, sin olvi-
dar la ciberseguridad. Este cuerpo normativo
debe ser debidamente publicado y comunica-
do a todos los empleados de modo que co-
nozcan los riesgos a los que nos exponemos
cuando nos enfrentamos a la ciberseguridad.
Una buena prctica es realizar cuestionarios y
actividades de concienciacin que permitan a
los empleados conocer sus responsabilidades
en materia de ciberseguridad y realizar prue-
bas internas de ingeniera social que nos ayu-
den a medir el nivel de concienciacin im-
plantado en la compaa. Realizar revisiones
peridicas de cumplimiento del cuerpo nor-
mativo permitir identificar debilidades y es-
tablecer acciones correctoras.
Cabe mencionar la importancia de colabora-
cin con entidades pblicas, tal y como esta-
blece la Estrategia de Ciberseguridad Nacio-
nal comentada con anterioridad.
17. Federal Reserve System - https://www.federalreserve.gov/
18. Office of the Comptroller of the Currency - http://www.occ.gov/
19. Federal Deposit Insurance Corporation - https://www.fdic.gov/
20. Prudential Regulation Authority - http://www.bankofengland.co.uk/
21. Financial Conduct Authority - http://www.fca.org.uk/
BUENAS PRCTICAS EN GESTIN DE RIESGOS
Por supuesto no hay que olvidar que el sector
privado deber realizar un levantamiento de
las leyes y regulaciones de los pases en los
que tiene presencia con objeto de conocer sus
obligaciones legales.
As pues, la regulacin en materia de ciberse-
guridad en el sector privado ha cobrado espe-
cial importancia durante los ltimos aos, co-
La realizacin de
mo demuestran algunos de estos hechos:
cuestionarios, pruebas
- La creacin por parte del NERC (Corpora- internas de ingeniera
cin para la confiabilidad del sector elctri- social y actividades de
co norteamericano) de un estndar de bue- concienciacin para
nas prcticas en ciberseguridad y soporte a que los empleados
la industria e infraestructura elctrica.
conozcan sus
- La creciente exigencia a los bancos y enti- responsabilidades en
dades financieras en materia de sistemas y materia de
para la prevencin y deteccin de amena- ciberseguridad son
zas de ciberseguridad por parte de los dife- buenas prcticas a
rentes reguladores del sistema financiero. aplicar en el sector
As lo demuestran las constantes revisiones, privado.
auditoras y procesos peridicos de anlisis y
evaluacin de la capacidad de ciberresiliencia
de las mismas, realizadas por la FED17, OCC18
y FDIC19 en Estado Unidos, PRA20 y FCA21 en
Inglaterra, y ms recientemente por el Meca-
nismo nico de Supervisin (MUS) del Banco
Central Europeo. A este respecto, es impor-
tante mencionar que el BCE inici sus diligen-
cias el pasado ao sobre las principales enti-
dades bancarias a nivel europeo, con la reali-
zacin de un primer proceso de evaluacin de
ciberseguridad a travs del envo de un cues-
tionario, y seguido por inspecciones in situ ac-
tualmente en curso.
31
BUENAS PRCTICAS EN GESTIN DE RIESGOS

Buenas prcticas de Auditora Interna

para la evaluacin y revisin de
controles de ciberseguridad
A partir de este punto, se profundiza en los aspectos ms relevantes que un auditor interno de
sistemas o TI deber tener en cuenta a la hora de abordar una revisin de ciberseguridad.

EL ROL DE AUDITORA INTERNA

La ciberseguridad suscita mucho inters en
los rganos de gobierno (comits o consejos
Una buena
directivos, comisiones de auditora, comits
aproximacin para
de riesgos, etc) de las distintas organiza-
mitigar los riesgos
ciones, independientemente de su sector y ac-
puede consistir en
tividad, y cada vez est ms presente en las
integrar la
reuniones y en el da a da de dichos rganos.
ciberseguridad en el
Modelo de las Tres Los riesgos derivados de ciberseguridad como
Lneas de Defensa, fugas de informacin, fraudes, sabotajes, etc.,
comnmente pueden golpear duramente la reputacin de
implantado en la las compaas, castigar econmicamente en
mayora de las forma de sanciones y prdidas, o pueden lle-
organizaciones. gar a parar la operativa o prestacin del servi-
cio de las compaas, incluso en pases con
una regulacin avanzada pueden conllevar
condenas penales.
Una buena aproximacin puede consistir en
integrar la ciberseguridad en el sistema co-
mnmente implantado en la mayora de las
organizaciones (modelo de las tres lneas de
defensa).
La primera lnea de defensa
La primera lnea de defensa es la propietaria
de los riesgos y de su tratamiento en primera
instancia. Debe realizar los procedimientos de
control interno y de gestin de riesgos en su
actividad diaria y tomar las decisiones en
cuanto al riesgo con base a su cuantificacin
cualitativa y cuantitativa, con el objetivo de
alcanzar los niveles ptimos en cuanto al cos-
te/beneficio de asumir o no un riesgo.

Tanto el volumen como el impacto de las
amenazas estn aumentando exponencial-
mente en los ltimos tiempos. Por todo esto
hay que extremar las medidas en materia de
ciberseguridad y establecer todos los contro-
les necesarios para poder mitigar los riesgos
en las organizaciones.
Debe poner en funcionamiento todas las me-
didas tcnicas y organizativas necesarias. Los
empleados y usuarios (o los propietarios de
las aplicaciones sean o no desarrolladas inter-
namente por la organizacin) deben ser cons-
cientes de que son parte primordial de esta
primera lnea de defensa. Son el primer obje-

32

Modelo de las Tres Lneas de Defensa* adaptado al riesgo de Ciberseguridad
Cumplimiento Normativo
Control de TI
de las reas
Seguridad de TI
Gestin de Riesgos de TI
Control
Interno de TI
* European Confederation of Institutes of Internal Auditors/Federation of Risk Management Association-2013. Endorsed
by Global Institute of Internal Auditors-2014
tivo y la puerta de entrada ms dbil para los
malos.
Deben tener mucho cuidado con correos elec-
trnicos sospechosos, dispositivos mviles, re-
des Wifi, redes sociales, etc. Un uso adecuado
de los mismos y conforme a las polticas de
seguridad de la compaa provee una garan-
ta que minimiza el riesgo existente. Pero esto
no es suficiente, tambin se tienen que im-
plantar todas las medidas tcnicas (firewall,
IDS, gestin de accesos, cifrado de la informa-
cin, etc.) al alcance de la organizacin y en
consonancia con la informacin que se mane-
ja.
La segunda lnea de defensa
La segunda lnea de defensa puede estar
compuesta por diferentes funciones en la or-
ganizacin tales como Gestin de Riesgos de
TI, Seguridad de Sistemas, Cumplimiento Nor-
mativo de TI, Asesora Jurdica, etc. Es eviden-
te que dependiendo de la organizacin unas
BUENAS PRCTICAS EN GESTIN DE RIESGOS
Regulador / Supervisor
Auditora de Cuentas
Auditora Interna
de TI
tendrn ms presencia que otras, pero todas
ellas deberan tener en cuenta la ciberseguri-
dad y sus riesgos.
La relacin entre todas ellas debe formar un
modelo de aseguramiento en ciberseguridad
que facilite que los riesgos y controles en este
mbito se manejan de manera consistente,
mediante revisiones proactivas de la seguri-
dad y procesos de deteccin, correccin y me-
jora continua, proveyendo de tranquilidad y
confianza a la alta direccin de la organiza-
cin.
Como principales tareas debe:
Desarrollar e implementar las polticas ge-
nerales (ciberseguridad) y facilitar el desa-
rrollo e implantacin del marco general de
riesgos y controles.
Establecer las metodologas y mtricas para
evaluar y monitorizar el proceso.
Reforzar los marcos de control definidos
por la primera lnea de defensa.
33
BUENAS PRCTICAS EN GESTIN DE RIESGOS
Proveer de un mapa de riesgos completo y
actualizado de la organizacin.
Realizar el seguimiento de la exposicin al
riesgo y verificacin de que est dentro de
Para definir su Plan de
los mrgenes y apetito al riesgo definido en
Auditora, Auditora
Interna de TI debe la sociedad.
incorporar la Establecer los sistemas de reporting vertical
informacin y horizontal en materia de ciberseguridad.
suministrada por la
segunda lnea de La tercera lnea de defensa
defensa y sus propios
anlisis, prestando La tercera lnea de defensa, que suele recaer
especial atencin a la sobre Auditora Interna, en nuestro mbito de
ciberseguridad. ciberseguridad recaera ms especficamente
sobre Auditora Interna de Sistemas. Debe ser
completamente independiente del resto de l-
neas de defensa y debe proveer garantas so-
bre el sistema de control interno a los rga-
nos de gobierno (consejo, comisiones de audi-
tora), y la alta direccin.
Auditora interna debe proporcionar una revi-
sin y evaluacin independiente sobre la efi-
cacia de las lneas de defensa inferiores.
La colaboracin con la segunda lnea de de-
fensa es muy importante facilitando el alinea-
miento con el modelo de aseguramiento a ni-
vel corporativo y poner en contexto y elevar
tanto las bondades del modelo como los gaps
o deficiencias encontradas en materia de ci-
berseguridad.
En este punto, Auditora Interna debera parti-
cipar de manera pasiva o estar informada
puntualmente de las actividades de las reas
PLAN
DE AUDITORA INTERNA Informacin sobre ciberseguridad
34
de seguridad de sistemas (encargadas de la
ciberseguridad), asistiendo a sus comits o
simplemente estableciendo entre ambas una
lnea de reporting lo suficientemente comple-
ta.
Para definir su Plan de Auditora, Auditora In-
terna de TI debera incorporar la informacin
suministrada por la segunda lnea de defensa
adems de sus propios anlisis prestando es-
pecial atencin a la ciberseguridad.
Adicionalmente, Auditora Interna puede par-
ticipar en ejercicios de revisin tcnica de la
seguridad, con el fin de identificar riesgos no
identificados en las capas anteriores.
A modo de gua general, el siguiente listado
pretende reflejar los principales aspectos en
materia de ciberseguridad, que deberan ser
preocupacin y objeto de revisin por parte
de Auditora Interna:
1. Colaborar con la direccin de la compaa
en la creacin y desarrollo de una estrate-
gia y poltica de ciberseguridad.
2. Asegurar que la organizacin cuenta con
un correcto nivel de madurez y capacidad
para la identificacin y mitigacin de los
riesgos de ciberseguridad.
3. Verificar los mecanismos para reconocer
incidentes de ciberseguridad procedentes
de un empleado o proveedor externo.
4. Aprovechar las relaciones con la direccin
de la compaa para aumentar el nivel de
concienciacin con los riesgos de ciberse-

guridad de la Junta y el Consejo, as como
su implicacin y compromiso con cuestio-
nes clave en esta materia, como la actua-
lizacin de la estrategia de ciberseguridad
de la compaa.
5. La ciberseguridad se encuentra formal-
mente cubierta e integrada en el Plan de
Auditora Interna.
6. Entender y desarrollar un perfil de riesgo
en ciberseguridad de la compaa, tenien-
do en cuenta las nuevas tecnologas y
tendencias emergentes.
7. Evaluar el programa de ciberseguridad de
la compaa con el marco de ciberseguri-
dad de la NIST, y otros estndares tales
como ISO 27001 y 27002.
8. Identificar y evaluar las capacidades pre-
ventivas de control de la ciberseguridad
en materia de educacin, formacin y
concienciacin de usuarios, as como pro-
cesos y herramientas de control y vigilan-
cia digital.
9. Asegurar que la monitorizacin y gestin
de ciberincidentes es considerada una
prioridad en la compaa, existiendo un
proceso de escalado claro al respecto.
10. Identificar cualquier carencia o falta de
personal de IT y Auditora Interna que
pueda representar un impedimento para
20 CONTROLES CRTICOS DE SEGURIDAD QUE TODAS LAS ORGANI-
ZACIONES DEBERAN IMPLEMENTAR
Antecedentes
Los controles de seguridad crticos son un
conjunto recomendado de acciones de ciber-
defensa, orientados a mitigar los ataques ms
BUENAS PRCTICAS EN GESTIN DE RIESGOS
alcanzar los objetivos y retos de ciberse-
guridad de la compaa.
Ciberseguridad en comits y comisio-
nes
Adems de las funciones vistas en las tres l-
neas de defensa, existen multitud de comits
y comisiones delegadas dependiendo de las
propias caractersticas de las organizaciones,
para tomar decisiones en cuanto a la estrate-
gia, organizacin y operacin. La ciberseguri-
dad debera estar presente en todos ellos y
tomada en consideracin como un aspecto
relevante en los siguientes:
Comits de Sistemas, de Seguridad, de Con-
tinuidad de Negocio.
Comits de Cumplimiento, de Riesgos. Auditora Interna debe
entender y desarrollar
Comits de Direccin. el perfil de riesgo en
Comisiones de Auditora y Cumplimiento, ciberseguridad de la
de Riesgos. organizacin, teniendo
en cuenta las nuevas
Con esta presencia aseguramos que los mxi- tecnologas y
mos responsables de las organizaciones: pre- tendencias emergentes.
sidencia, consejeros delegados, consejos de
administracin, etc., estn informados en to-
do momento de los riesgos que tienen las or-
ganizaciones en materia de ciberseguridad,
las medidas adoptadas y las responsabilida-
des que asumen.
comunes y dainos con la intencin de auto-
matizarlos lo mximo posible. Estn alineados
con el marco de ciberseguridad del NIST y son
un subconjunto de los controles definidos de
35
BUENAS PRCTICAS EN GESTIN DE RIESGOS

la publicacin NIST 800-53, compendio de SANS Institute ha coordinado la actualizacin

controles recomendados para las agencias es- hasta la versin 5.0. En agosto de 2016 se
tadounidenses, y sobre el cual se realizan las public la versin 6.1, ya coordinada desde el
auditoras de seguridad de las agencias esta- Center for Internet Security (CIS). Aunque esta
Los controles de
seguridad crticos son tales en EEUU. ltima versin no incorpora cambios relevan-
acciones recomendadas tes en la redaccin y contenido de los contro-
Los mecanismos de defensa recogidos en es- les, incluye una categorizacin de los mismos
orientadas a mitigar los
tos controles se basan en las experiencias de en 2 niveles: fundamental y avanzado. Para
ataques ms comunes y
dainos para contencin efectiva de ataques reales. Las ac- 2017 se espera la publicacin de una herra-
automatizarlos al ciones estn priorizadas por orden de mitiga- mienta que permitir evaluar el nivel de im-
mximo. cin, segn la puntuacin de la NSA. plantacin de estos controles.

En 2009 un consorcio de agencias federales

de los Estados Unidos y compaas del sector
privado generaron las Directrices Consensua-
das de Auditora (CAG por sus siglas en in-
gls), un conjunto de 20 controles de seguri-
dad de la informacin alineados con la publi-
cacin NIST 800-53.
Listado de controles y objetivos de
control
La siguiente tabla muestra los 20 Controles
Crticos de Seguridad (CSC), as como los ob-
jetivos de control necesarios para su correcta
implementacin:

CSC 1 INVENTARIO DE DISPOSITIVOS Gestionar activamente todos los dispositivos hardware en la red, de
AUTORIZADOS Y NO AUTORIZADOS forma que slo los dispositivos autorizados tengan acceso a la red.

CSC 2 INVENTARIO DE SOFTWARE AUTORIZADO Gestionar activamente todo el software en los sistemas, de forma
Y NO AUTORIZADO que slo se pueda instalar y ejecutar software autorizado.

CSC 3 CONFIGURACIONES SEGURAS
DE SOFTWARE Y HARDWARE PARA
DISPOSITIVOS MVILES, PORTTILES,
EQUIPOS DE SOBREMESA Y SERVIDORES
Establecer una configuracin base segura para dispositivos mviles,
porttiles, equipos de sobremesa y servidores, y gestionarlas
activamente utilizando un proceso de gestin de cambios y
configuraciones riguroso, para prevenir a los atacantes explotar
servicios y configuraciones vulnerables.

CSC 4 PROCESO CONTINUO DE IDENTIFICACIN Disponer un proceso continuo para obtener informacin sobre
Y REMEDIACIN DE VULNERABILIDADES nuevas vulnerabilidades, identificarlas, remediarlas y reducir la
ventana de oportunidad a los atacantes.

CSC 5 CONTROL SOBRE PRIVILEGIOS Desarrollar procesos y utilizar herramientas para identificar, prevenir
ADMINISTRATIVOS y corregir el uso y configuracin de privilegios administrativos
en ordenadores, redes y aplicaciones.

CSC 6 MANTENIMIENTO, MONITORIZACIN Recoger, gestionar y analizar logs de eventos que pueden ayudar a
Y ANLISIS DE LOGS DE AUDITORA detectar, entender o recuperarse de un ataque.

36

CSC 7 PROTECCIN DEL CORREO ELECTRNICO
Y DEL NAVEGADOR
CSC 8 DEFENSAS CONTRA EL MALWARE
CSC 9 LIMITAR Y CONTROLAR LOS PUERTOS
DE RED, PROTOCOLOS Y SERVICIOS
CSC 10 CAPACIDAD DE RECUPERACIN
DE DATOS
CSC 11 CONFIGURACIONES SEGURAS
DE DISPOSITIVOS DE RED
(FIREWALLS, ROUTERS Y SWITCHES)
CSC 12 DEFENSA PERIMETRAL
CSC 13 PROTECCIN DE LOS DATOS
CSC 14 ACCESO BASADO EN LA NECESIDAD DE
CONOCER (NEED TO KNOW)
CSC 15 CONTROL DE ACCESO WIRELESS
CSC 16 CONTROL Y MONITORIZACIN
DE CUENTAS DE SISTEMA
BUENAS PRCTICAS EN GESTIN DE RIESGOS
Minimizar la posibilidad de que los atacantes manipulen a los
empleados a travs de su interaccin con el correo electrnico
y el navegador.
Evitar la instalacin, difusin y ejecucin de cdigo malicioso en
distintos puntos, al tiempo que se fomenta la automatizacin para
permitir una actualizacin rpida en la defensa, recopilacin de
datos y la correccin.
Gestionar el uso de puertos, protocolos y servicios en los
dispositivos que tengan red para reducir las vulnerabilidades
disponibles a los atacantes.
Disponer procesos, metodologas y herramientas adecuadas para
respaldar la informacin crtica y realizar pruebas de recuperacin.
Establecer una configuracin base para los dispositivos de
infraestructura de red, y gestionarlas activamente utilizando un
proceso de gestin de cambios y configuraciones riguroso, para
prevenir a los atacantes explotar servicios y configuraciones
vulnerables.
Desarrollar una estrategia para detectar, prevenir y corregir los flujos
de transmisin de informacin entre redes de distintos niveles de
seguridad (confianza).
Disponer de procesos y herramientas adecuadas para prevenir la
fuga de informacin, mitigar los efectos cuando se ha producido un
incidente de fuga de informacin, y asegurar la confidencialidad e
integridad de la informacin sensible.
El acceso a los activos crticos debe realizarse de acuerdo a una
definicin formal de que personas, sistemas y aplicaciones tienen la
necesidad y el derecho de acceso. Los procesos y herramientas
utilizadas en el seguimiento, proteccin y correccin de estos
accesos deben estar alineados con las definiciones.
Disponer de procesos y herramientas para garantizar una seguridad
adecuada en las redes WiFi y en los sistemas clientes, incluyendo
seguimiento y correccin de las medidas de seguridad.
Gestionar activamente el ciclo de vida de las cuentas de sistema y
de aplicacin (creacin, uso, inactividad y borrado) para reducir su
utilizacin por parte de un atacante.
37
BUENAS PRCTICAS EN GESTIN DE RIESGOS

CSC 17 VERIFICACIN DE LAS HABILIDADES Identificar los conocimientos especficos, habilidades y capacidades
DE SEGURIDAD Y FORMACIN ADECUADA necesarias en la organizacin para la defensa de los activos crticos
de la compaa, y desarrollar y evaluar un plan para identificar gaps
y remediar con polticas, formacin y programas de sensibilizacin.

CSC 18 SEGURIDAD EN EL CICLO DE VIDA Gestionar el ciclo de vida de todas las aplicaciones, tanto las
DE LAS APLICACIONES desarrolladas internamente como las de proveedores para prevenir,
detectar y corregir vulnerabilidades tcnicas.

CSC 19 GESTIN Y RESPUESTA A INCIDENTES Proteger la informacin y la reputacin de la organizacin

desarrollando e implementando una infraestructura de respuesta a
incidentes para detectar un ataque, contener el dao de forma
efectiva, expulsar al atacante, y restaurar la integridad de los
sistemas y la red.

CSC 20 REALIZAR TEST DE PENETRACIN Probar las defensas de la organizacin (tecnologa, procesos
Y EJERCICIOS DE ATAQUE y personas) mediante la simulacin de un ataque, utilizando sus
mismas acciones y objetivos.

El papel de Auditora Interna en la revi- CONTROLES 1 Y 2

sin de los controles
Para cada uno de los 20 enunciados, existen ac-
tividades ms concretas que pueden formar par-
te del programa de trabajo de una auditora de
ciberseguridad.
El propio CIS cuenta con una gua para la medi-
cin de la efectividad de estos controles. Esta
vara con las amenazas cambiantes. Es necesa-
rio contar con procesos de diagnstico de la
efectividad de los controles, utilizando mtricas.
La automatizacin de estos es fundamental para
alcanzar este objetivo.
Los controles estn pensados para organizacio-
nes de cualquier tipo, no obstante, el conoci-
miento de la organizacin y la exposicin a las
amenazas va a condicionar la propia prioriza-
cin y alcance de la implantacin de los contro-
les.
La revisin puede realizarse de dos formas:
Verificar que existe una gestin de inventarios
hardware y software, identificando listas blan-
cas y negras y su actualizacin (al ser una
aproximacin de ver que existe un control,
podramos llamarla, de capa 2).
El auditor interno escanea las redes internas
utilizando herramientas automticas (acta
como Red Team, segn el control 20, es decir,
comportndose como lo hara un atacante),
hace una verificacin tcnica, que podra-
mos llamar de capa 1.
En el resto de controles tambin usaremos estas
dos aproximaciones de revisin.
CONTROLES 3 Y 4
Su revisin se puede enfocar, de forma comple-
mentaria a los controles 1 y 2, verificando si
existe una poltica de bastionado de todos los
dispositivos, aplicaciones y servicios, si esta pol-

38

tica est alineada con buenas prcticas y si se
dispone de un proceso de revisin de las vul-
nerabilidades que retroalimente la poltica de
bastionado.
Otra aproximacin es que el auditor escanee
los dispositivos/aplicaciones utilizando herra-
mientas automatizadas, actuando como Red
Team.
CONTROL 5
Este control nos lleva a que las cuentas de
usuarios administradores de aplicaciones, dis-
positivos y sistemas operativos deben estar
identificadas, su uso auditado, eliminando las
que no se utilizan y cambiando las que estn
definidas por defecto. Adicionalmente, deben
cumplir con la poltica de fortaleza de contra-
seas.
La revisin de este control puede orientarse a
verificar la existencia de una poltica de alta,
baja y mantenimiento de usuarios administra-
dores, y la fortaleza de la contrasea (debera
formar parte de la poltica de bastionado), y
las tareas que se desarrollan para comprobar
su cumplimiento.
Por otro lado, tambin podemos solicitar el
listado de usuarios definidos en los sistemas y
los ficheros de contraseas cifradas asocia-
dos, y comprobar que no disponen de las cla-
ves por defecto utilizando herramientas auto-
mticas.
CONTROL 6
Implica que todos los sistemas y aplicaciones
deberan tener habilitadas las trazas de audi-
tora, incluyendo respuestas a desde dnde,
quin, qu y cundo, as como tener definidas configuraciones autorizadas, y tareas de revi-
acciones de alerta.
Debera existir una poltica asociada, un for-
mato de log corporativo y una tarea de anli-
sis de estos logs. En organizaciones con pre-
BUENAS PRCTICAS EN GESTIN DE RIESGOS
supuesto y personal suficiente se suele dispo-
ner de un SIEM (Security Information and
Event Management), sistema que permite dis-
poner en tiempo real de alertas de seguridad.
La verificacin pasa por analizar el contenido
de los logs, y, si actuamos como Red Team,
las actividades que realicemos, como esca-
near una red o conectarnos como usuario ad-
ministrador desde un puesto no habitual, de-
beran reflejarse en los logs y generarse las
alertas correspondientes.
Los controles estn
CONTROL 7 pensados para
organizaciones de
Nuevo en la versin 6.0, pasa por utilizar
cualquier tipo. El
clientes de correo y navegadores actualizados
conocimiento de la
y evitar que el usuario pueda aadir extensio-
organizacin y la
nes, as como cambiar su configuracin. La
exposicin a las
configuracin debe ser la ms restrictiva posi-
amenazas condicionar
ble para que el usuario pueda trabajar, desha-
la propia priorizacin y
bilitando los plugins innecesarios. alcance de la
De forma complementaria, el control 8 habili- implantacin.
ta el anlisis de malware en los equipos, y de-
ben definirse medidas para evitar que el mal-
ware entre a travs de la navegacin del
usuario o de la lectura de correo (IPS, antivi-
rus de navegacin y correo, bloqueo de URLs
maliciosas, etc.).
CONTROL 8
El control 8 tambin recomienda agregar
otras medidas contra el malware que deben
estar recogidas en la poltica, como el blo-
queo de USB y la monitorizacin contina de
los equipos.
Debe existir una poltica del uso seguro y de
sin automatizada de los equipos y servido-
res.
Otra posible verificacin pasa por enviar un
correo con contenido no autorizado a una
39
BUENAS PRCTICAS EN GESTIN DE RIESGOS
cuenta interna, o navegar por una pgina
dentro de una lista negra.
CONTROL 9
El acceso a la
Nos habla de limitar los servicios expuestos a
informacin debe
las redes, y separar fsicamente las mquinas
seguir el principio de
que tienen esos servicios. Debe existir una po-
necesidad de
ltica que defina que slo los servicios y puer-
conocer. Un perfilado
tos necesarios para la organizacin estn ha-
adecuado mitiga el
bilitados, o restringidos a las redes/usuarios
riesgo, pero deben
que realizan tareas asociadas. El resto debera
implantarse otros
estar deshabilitado/filtrado.
controles, ya que un
ataque puede obtener La aproximacin para verificar este control
credenciales que pasa por realizar escaneos automticos de las
tengan acceso a la diferentes redes, para identificar puertos/ser-
informacin. vicios que deberan estar restringidos o des-
habilitados. Un auditor interno puede realizar
esta tarea de forma puntual o verificar si exis-
te un proceso continuo que lo realice.
CONTROL 10
Nos pide que se hagan copias de seguridad
de todos los datos crticos, as como que se
verifique de forma peridica que estos se
pueden recuperar en un tiempo asumible. Asi-
mismo, los sistemas donde se guardan estas
copias deben tener acceso restringido, tanto
fsica como lgicamente.
Para probar este control, se pueden solicitar
las polticas de back up y el resultado de las
pruebas de recuperacin.
CONTROL 11
Se basa en definir una configuracin segura
para los dispositivos de comunicaciones (fire-
walls, routers, switches), junto con los proce-
sos de gestin de cambio asociados. Este con-
trol es la implantacin para estos dispositivos
de los controles 3, 4 y 5: configuracin base
segura, revisin de vulnerabilidades y control
40
del uso del administrador y, adicionalmente,
control de cuentas por defecto (control 16).
El test de este control sera de la misma for-
ma que los controles mencionados.
CONTROL 12
En este control vemos que tenemos que tener
una seguridad perimetral basada en aplicar
filtros sobre las comunicaciones de nuestra
organizacin hacia y desde fuera, as como
desplegar sensores que detecten actividades
sospechosas y alimenten a nuestro SIEM, te-
nemos que protegernos, pero tambin es im-
portante detectar si estn intentando entrar
o, si ya lo han hecho, identificarlos.
Por otro lado, tenemos que tener una DMZ,
una zona donde los servicios expuestos a In-
ternet estn separados de la red interna.
Si necesitamos acceder a la red interna desde
fuera (teletrabajo), debemos implantar un se-
gundo factor de autenticacin.
El anlisis de las reglas de FW nos permite
evaluar este control. De igual forma que en
controles anteriores, podemos hacer un esca-
neo de nuestro permetro desde Internet para
identificar puntos de entrada, servicios accesi-
bles sin autenticacin robusta y, testear qu
alertas han generado nuestra actividad.
CONTROL 13
Este control confa en el cifrado de la infor-
macin en reposo y en trnsito para garanti-
zar la privacidad y prevenir una fuga.
CONTROL 14
El acceso a la informacin debe seguir el prin-
cipio de necesidad de conocer. Un perfilado
adecuado mitiga el riesgo, pero aun as debe-
mos implantar otros controles, ya que un ata-
que puede obtener credenciales que tienen
acceso a la informacin. Debemos emprender

acciones complementarias, y algunos de los
controles que hemos visto nos ayudan: limitar
el uso de USB, monitorizar las conexiones o la
separacin entre redes.
La prueba del control tiene que ser emprica,
intentar acceder a informacin a la que no te-
nemos acceso por perfil.
CONTROL 15
Nos dice que protejamos las redes wireless.
Un inventario de todas las existentes, junto
con revisiones peridicas por parte del rea
de seguridad de que no existen redes no au-
torizadas; la comprobacin automtica de sus
vulnerabilidades y de la fortaleza de las con-
traseas; y una limitacin de las redes inter-
nas a las que se puede acceder; completan la
revisin del control.
Adicionalmente, se deberan desplegar detec-
tores de intrusos en estas redes para identifi-
car dispositivos no autorizados.
CONTROL 16
Si el control 4 era qu hace el administrador,
el 16 es si hay cuentas definidas en los siste-
mas que sean usuarios por defecto, usuarios
que ya han abandonado la organizacin o si
existen otras cuentas definidas en los siste-
mas.
Por otro lado, se deben establecer bloqueos
de cuentas por accesos fallidos (este punto
debera estar en la poltica de seguridad), li-
mitando desde dnde se puede acceder y so-
licitando un doble factor para acceder a siste-
mas/datos especialmente sensibles.
Los accesos de terceros deben revisarse espe-
cialmente.
Para probar este control, una opcin es verifi-
car que exista un proceso de revisin de
usuarios. Otra opcin es que Auditora Interna
BUENAS PRCTICAS EN GESTIN DE RIESGOS
lance herramientas automticas para identifi-
car cuentas obsoletas habilitadas.
CONTROL 17
Se basa en que cada puesto funcional tiene
que tener una formacin especfica en seguri-
dad. Deben identificarse posibles carencias y
formar a los empleados. Igualmente, la orga-
nizacin debera tener un programa de con-
cienciacin dirigido a todos los empleados,
adecuado a las funciones que realizan.
Deben establecerse
Solicitar la formacin recibida del personal de bloqueos de cuentas
seguridad nos permite identificar las caren- por accesos fallidos,
cias. limitando desde dnde
Una forma de probar la efectividad es, una se puede acceder y
vez realizada la accin formativa/conciencia- solicitando un doble
dora, enviar un correo tipo phishing para ver factor para acceder a
la reaccin del empleado y los pasos que rea- sistemas/datos
especialmente
liza para denunciar el evento.
sensibles.
CONTROL 18
El ciclo de vida del software tambin necesita
tener una capa de seguridad, como muestra
el control 18. Tanto el desarrollo interno como
la compra de software de terceros requieren
de una capa de seguridad.
Las redes de desarrollo y produccin deberan
estar separadas.
Unas directrices de programacin segura o
plan de formacin especfica de desarrollo se-
guro, ayuda a evitar vulnerabilidades en las
aplicaciones desarrolladas internamente. Si lo
acompaamos de una revisin automtica de
cdigo por parte de herramientas especializa-
das, limitamos las vulnerabilidades.
Una revisin final una vez integrado todo el
desarrollo nos permite completar el ciclo. Esta
ltima accin puede realizarla Auditora Inter-
na.
41
BUENAS PRCTICAS EN GESTIN DE RIESGOS
Existen productos que filtran/limitan las vul-
nerabilidades ms comunes, que tambin
pueden desplegarse en produccin.
Es fundamental Los productos de terceros deberan probarse
disponer de un plan de antes de su implantacin.
gestin y respuesta a
CONTROL 19
incidentes que
Se enfoca en la gestin de crisis. Es funda-
contemple
mental disponer de un plan de gestin y res-
procedimientos
puesta a incidentes que contemple procedi-
escritos, asignacin de
mientos escritos, asignacin de tareas y res-
tareas y
ponsabilidades.
responsabilidades.
Estos planes deberan ser probados para veri-
ficar cmo est preparada la organizacin
frente a un incidente de envergadura, y ga-
rantizar una gestin adecuada a la crisis.
Certificaciones profesionales
Con el aumento del nivel de amenazas y ries-
gos relacionados con la ciberseguridad expe-
rimentado durante los ltimos aos, existe ac-
tualmente una alta demanda de profesionales
especializados en estas materias. La Unin
Europea prev la creacin de 90.000 nuevos
puestos de trabajo en este sector para el ao
2020.
Sin embargo, no resulta fcil para las empre-
sas encontrar los perfiles adecuados y espe-
cializados en los nuevos riesgos de la seguri-
dad de la informacin, puesto que no existe
todava demasiada formacin reglada.
En este sentido, se lanzaron iniciativas como
el Foro de Empleo y Talento en Ciberseguri-
22. Certificacin otorgada por ISACA (Information Systems Audit and Control Association).
42
CONTROL 20
Nos habla de realizar ciberejercicios. Los tipos
de ataques no paran de crecer. Aparecen nue-
vas tcnicas de las que nos tenemos que de-
fender. Una forma de probar si tenemos las
defensas adecuadas es comportarnos como
un posible atacante utilizando tcnicas simila-
res.
La capa 2 puede realizar esta tarea. Auditora
Interna revisara las situaciones identificadas
y las acciones correctoras.
Auditora Interna tambin puede realizar la
tarea (prueba todos los controles), o contratar
los servicios de un externo.
dad de CyberCamp (celebrado los das 27, 28
y 29 de noviembre de 2015 en el Barclaycard
Center de Madrid) con el objetivo de dar a
conocer la oferta y demanda laboral de dife-
rentes empresas, orientar a los jvenes acerca
de las posibles trayectorias profesionales, as
como informar acerca de los diferentes pro-
gramas y opciones de formacin.
En este marco, a las ya tradicionales certifica-
ciones para profesionales de seguridad y au-
ditora de sistemas: ITIL (Information Techno-
logy Infrastructure Library), CobiT (Control
Objectives for Information and Related Tech-
nology), ISO 27000 (Estndar para la Seguri-
dad de la Informacin), CISA22 (Certified Inter-

nal Systems Auditor), CISM (Certified Informa-
tion Security Manager), CISSP23 (Certified In-
formation Systems Security Professional), Se-
curity+ (certificada por CompTIA24), etc.; se
han incorporado otras muchas que han co-
brado importancia (especialmente aquellas
relacionadas con aspectos de pentesting y
hacking tico, gestin de ciberincidentes o
anlisis forense), tales como las ofrecidas por
las siguientes organizaciones.
ISACA
Ha lanzado el programa Cybersecurity Ne-
xus25 (CSX), que ofrece una serie de certifica-
ciones en diferentes niveles para la formacin
de profesionales, y alineadas con los principa-
les estndares de ciberseguridad del merca-
do:
Cybersecurity Fundamentals Certificate.
Orientada a la introduccin de los concep-
tos, marcos, guas de buenas prcticas y es-
tndares de ciberserguridad de la industria;
ciberseguridad en redes, sistemas, aplica-
ciones y datos, implicaciones de seguridad
de las nuevas tecnologas y respuesta bsi-
ca ante incidentes.
CSX Practitioner. Certificacin orientada a
la primera capa de respuesta de seguridad,
con el objetivo de conocer e implementar
los principales controles de seguridad, reali-
zar anlisis y escaneos de vulnerabilidades,
definicin de procesos y procedimientos de
seguridad en los sistemas.
23. Certificacin otorgada por ISC2 (International Information Security Certification Consortium).
24. Computing Technology Industry Association. http://certification.comptia.org/
25. https://cybersecurity.isaca.org/csx-certifications
BUENAS PRCTICAS EN GESTIN DE RIESGOS
CSX Specialist. Certificaciones avanzadas y
especializadas en el conocimiento y habili-
dades de las siguientes reas o dominios:
Identificacin de riesgos, proteccin de sis-
temas, deteccin de amenazas, respuesta y
anlisis de incidentes, y recuperacin de los
sistemas.
CSX Expert. Certificacin de nivel avanza-
do para la identificacin, anlisis, respuesta
y mitigacin de incidentes de ciberseguri-
dad avanzados, y asociados a empresas con
entornos complejos y una alta exposicin a
ataques.
SANS
El Instituto SANS (SysAdmin Audit, Networ-
king and Security Institute) en colaboracin
con la entidad certificadora GIAC (Global In-
formation Assurance Certification) ofrece un
conjunto de ms de 20 certificaciones agru-
padas en diferentes niveles en materia de ad-
ministracin y gestin de seguridad, auditora
legal y de seguridad, seguridad del software y
anlisis forense:
NIVEL INTRODUCTORIO.
Administracin de Seguridad.
- GISF: Information Security Fundamentals.
NIVEL INTERMEDIO.
Administracin de Seguridad.
- GSEC: Security Essentials Certification.
Gestin.
- GISP: Information Security Professional.
Forense.
- GCFE: Certified Forensics Examiner.
43
BUENAS PRCTICAS EN GESTIN DE RIESGOS
NIVEL AVANZADO.
Administracin de Seguridad.
- GPPA: Certified Perimeter Protection A-
nalyst.
- GCIA: Certified Intrusion Analyst.
- GCIH: Certified Incident Handler.
- GCUX: Certified UNIX Security Adminis-
trator.
- GCWN: Certified Windows Security Ad-
ministrator.
- GCED: Certified Enterprise Defender.
- GPEN: Certified Penetration Tester.
- GWAPT: Web Application Penetration
Tester.
Gestin.
- GSLC: Security Leadership Certification.
- GCPM: Certified Project Manager Certifi-
cation.
Seguridad del software.
- GSSP-NET: Secure Software Programmer-
NET.
- GSSP-JAVA: Secure Software Program-
mer - Java.
Auditora.
- GSNA: Systems and Network Auditor.
Forense.
- GCFA: Certified Forensic Analyst.
Legal.
- GLEG: Law of Data Security & Investiga-
tions.
NIVEL EXPERTO
Administracin de Seguridad.
- GAWN: Assessing Wireless Networks.
- GXPN: Exploit Researcher and Advanced
Penetration Tester.
Forense.
- GREM: Reverse Engineering Malware.
GSE.
- GSE: GIAC Security Expert.
44
EC-Council2
El Consejo Internacional de Consultores de
Comercio Electrnico, ofrece entre otras mu-
chas, las siguientes certificaciones relaciona-
das con la gestin de la ciberseguridad:
CEH (Certified Ethical Hacker). Introduc-
cin a las habilidades y vulnerabilidades en
sistemas utilizando los mismos conocimien-
tos y herramientas que los hackers malicio-
sos y metodologa de pentesting, con el ob-
jetivo de ayudar a la organizacin a tomar
medidas contra estos ataques.
ECSA (Certified Security Analyst). Curso
avanzado en mtodos y tcnicas de pene-
tracin, analizando diferentes herramientas,
tecnologas y fases del proceso de hacking
tico, para identificar y mitigar los riesgos
de seguridad de la infraestructura como
analista de seguridad y pentester.
ENSA (Network Security Administrator).
Certificacin dirigida a administradores de
seguridad, proporcionando las habilidades
para analizar las amenazas (internas y ex-
ternas), as como las tcnicas defensivas
para protegerse ante ellas.
CHFI (Computer Hacking Forensic Investi-
gator). Preparacin para la deteccin ante
ataques perpetrados por hackers, responder
a incidentes de seguridad, e identificacin
de tcnicas de investigacin y anlisis para
rastrear el origen del evento con el fin de
determinar diferentes evidencias digitales.
ECIH (Certified Incident Handler). Disea-
da para proveer los conocimientos necesa-
rios en materia deteccin, gestin y res-
puesta ante amenazas e incidentes de ci-
berseguridad.

ECES (Certified Encription Specialist).
Aprendizaje de las diferentes tcnicas (si-
mtrico, clave criptogrfica), fundamentos y
detalle de los algoritmos de cifrado (DES,
AES, RSA, MD5, etc.), as como su uso e im-
plementacin tcnica.
Formacin
Ante la demanda y bsqueda de nuevos pro-
fesionales en ciberseguridad, y con el objetivo
de facilitar una mejor comprensin y gestin
de estos riesgos, existe actualmente en el
mercado una amplia oferta de opciones de
formacin (seminarios, cursos presenciales y/o
online, cursos de postgrado), entre los que
podemos destacar:
- El Instituto Tecnolgico de Massachusetts
(MIT 26 ) reconocido mundialmente como
una de las mejores instituciones del sector,
dispone de una amplia gama de cursos,
certificaciones y seminarios, y cuenta con
una completa plataforma online que permi-
te a la inscripcin de estudiantes de todo el
mundo, y el seguimiento de clases online.
- La Agencia Europea para la Seguridad de
las Comunicaciones y la Informacin (ENI-
SA27, por sus siglas en ingls), ofrece tam-
bin una serie de cursos de formacin en
26. http://web.mit.edu/
27. https://www.enisa.europa.eu/
28. https://www.incibe.es/
BUENAS PRCTICAS EN GESTIN DE RIESGOS
materia de ciberseguridad relacionados
fundamentalmente con las siguientes mate-
rias: gestin de ciberincidentes, anlisis
avanzados de amenazas, anlisis forense
digital y gestin de amenazas en dispositi-
vos mviles.
- El Instituto Nacional de Ciberseguridad
(INCIBE28) ofrece una serie de cursos online
como, por ejemplo: Seguridad en sistemas
de control y automatizacin industrial, Ci-
berseguridad para micro-pymes y autno-
mos, Seguridad avanzada en dispositivos
mviles o Ciberseguridad para fuerzas y
cuerpos de seguridad.
- Diferentes Masters en ciberseguridad ofre-
cidos entre otras por S21sec, Zin Security,
CICE (Escuela de Formacin de Nuevas Tec-
nologas), Aucal Business School, y diferen-
tes centros universitarios como la Universi-
dad de Len, la Universidad Europea de
Madrid, la Universidad Politcnica de Cata-
lua o la Universidad Camilo Jos Cela.
45
BUENAS PRCTICAS EN GESTIN DE RIESGOS

Bibliografa relevante
Estndares, normativa y legislacin
- NIST (02/14): Framework for improving Cyber-security.
- ISO27032: Guidance from improving the state of cyber-security.
- Estrategia de Ciberseguridad Nacional (Gobierno de Espaa).
- Ten steps to cyber security (UK GOV: CESG and CPNI).
- Cybersecurity Capability Maturity Model (C2M2) Program (USA Department of Energy).
- CIS Critical Security Controls (SANS Institute & Center for Strategic & International Studies).

Artculos, informes y presentaciones tcnicas

- State of Cybersecurity: Implications for 2015 (Nexus, ISACA y RSA).
- Temas candentes de la Ciberseguridad - Un nuevo espacio lleno de incgnitas (IE y PWC).
- Presente y Futuro de la Ciberseguridad (CCN-CERT).
- Ciberamenazas 2014. Tendencias 2015 (CCN-CERT).
- Gua de gestin de ciberincidentes (CCN-CERT).
- Ciberinteligencia: de la reaccin a la prevencin en Ciberseguridad (KPMG).
- Ciberinteligencia aplicada al desarrollo de servicios (INCIBE).
- Anlisis y caracterizacin del mercado de la ciberseguridad (INCIBE).
- Risk Intelligence Report (CEB).
- Informe sobre el estado de la ciberseguridad 2015 (U-TAD).
- State of the Internet Security Report 2015 (Akamai).
- System Design Guide for Thwarting Targeted Email Attacks (IPA, Japan).
- Controls for Effective Cyber Defense v6.0 (CIS: Center for Internet Security).
- Cybersecurity, What the Board Directors Needs To Ask (IIARF & ISACA).
- Assessing the Top Priorities for Internal Audit Functions (Protiviti)
- COSO in the Cyber Age (Deloitte).
- 2016 Data Protection & Breach Readiness Guide.
- Auditing Cybersecurity (ISACA Journal enero/febrero 2016).

46
Instituto de Auditores Internos de Espaa
Santa Cruz de Marcenado, 33 28015 Madrid Tel.: 91 593 23 45 Fax: 91 593 29 32 www.auditoresinternos.es

Depsito Legal: M-36848-2016

ISBN: 978-84-945594-2-6

Diseo y maquetacin: desdecero, estudio grfico

Impresin: IAG, SL
OTRAS PRODUCCIONES DE LA FBRICA DE PENSAMIENTO

COBERTURA DEL RIESGO TECNOLGICO: HACIA UNA AUDITORA

INTERNA DE TI INTEGRADA
El documento destaca la importancia de Auditora Interna de TI en su
apoyo a la organizacin en la gestin, gobierno y control de los
riesgos de TI. Se han estudiado temas relacionados con la gestin de
las relaciones entre Auditora Interna de TI y el rea de TI,
destinatarios de los informes de Auditora Interna de TI o las
herramientas que habitualmente se utilizan en este tipo de trabajos.

MARCO DE RELACIONES DE AUDITORA INTERNA CON OTRAS FUNCIONES

DE ASEGURAMIENTO
Ayuda a fijar posiciones sobre la necesidad de mejorar la eficiencia de
los recursos de las Direcciones de Auditora Interna para mantener el
nivel adecuado de aseguramiento en coordinacin con las distintas
funciones encargadas de proporcionarlo. Aborda la necesidad de
realizar un mapa de aseguramiento que proporcione una visin
global de las actividades de control llevadas a cabo, proponiendo a
Auditora Interna como coordinador principal de todas las funciones
de aseguramiento.

GESTIN DEL RIESGO DE FRAUDE

Aborda los diferentes procesos para una ptima gestin del riesgo de
fraude, que pasa por el establecimiento de un programa eficaz de
prevencin, deteccin e investigacin de fraudes. La gua, resumen
ejecutivo de un estudio ms amplio publicado por el Instituto de
Auditores Internos, define un enfoque efectivo para la gestin del
riesgo de fraude y un anlisis profundo sobre las responsabilidades
en su prevencin, deteccin e investigacin.
 LA FBRICA DE PENSAMIENTO
INSTITUTO DE AUDITORES INTERNOS DE ESPAA

Prcticamente todos los mbitos de nuestra sociedad se sustentan hoy

ms que nunca, y cada vez ms, en el ciberespacio propiciado por las
tecnologas de la informacin y las comunicaciones. Una de las
principales amenazas que han trado consigo estos avances es la
proliferacin de acciones delictivas en el ciberespacio, aadiendo
nuevos retos y desafos para las organizaciones.

La ciberseguridad es una de las principales preocupaciones de empresas

e instituciones y exige extremar las medidas para establecer todos los
controles necesarios para mitigar los riesgos en las organizaciones.

Esta gua establece diversas buenas prcticas, incluyendo los 20 Con-

troles Crticos de Seguridad que todas las organizaciones deben
implementar, y cul es el papel de Auditora Interna en su revisin.

Tambin aportar gran valor a Comisiones de Auditora y otros comits,

que encontrarn aqu un importante aliado con informacin completa y
precisa para permitirles tomar decisiones sobre la estrategia, estructura
y operacin de las organizaciones.