Sistemas de Gestión

Octubre 2013

▲ El sistema de gestión es un conjunto de

elementos interrelacionados o que interactúan

para establecer políticas, objetivos y

alcanzarlos para el diseño, transición, entrega

y mejora de los servicios

SISTEMA DE GESTIÓN DE SERVICIOS DE T.I.

▲ Norma internacional que establece los requisitos para dirigir y

controlar las actividades de la gestión del servicio.

▲ ISO/IEC 20000-1:2011

Gestión de Relación con el negocio

¿Por qué es

exitoso?

▲ Identificar y documentar los clientes,

usuarios y partes interesadas de los

servicios.

Gestión de Relación con el negocio

▲ Mecanismo de comunicación con el

cliente

▲ Promover el entendimiento del entorno

de negocio

▲ Gestionar las quejas

▲ Medir la satisfacción del cliente

Permite responder a las necesidades

del cliente

► Identificar requisitos

► Identificar y valorar los riesgos

► Requisitos sobre los recursos

► Tecnología utilizada

► Dependencias de otros servicios

► Pruebas

► Capacitación

Diseño y Transición de Servicios Nuevos o Modificados

▲ Planificación y diseño de actividades para el

servicio nuevo o modificado:

Gestión de Niveles de Servicio

▲ ¿Qué Servicios ofrece Facebook?

Muro: Es un espacio en cada perfil de usuario que permite que los amigos escriban mensajes para que el usuario los vea. Sólo es visible para usuarios registrados. Permite ingresar imágenes y poner cualquier tipo de logotipos en tu publicación.

Lista de amigos: En ella, el usuario puede agregar a cualquier persona que conozca y esté registrada, siempre que acepte su invitación.1En Facebook se pueden localizar amigos con quienes se perdió el contacto o agregar otros nuevos con quienes intercambiar fotos o mensajes. Para ello, el servidor de Facebook posee herramientas de búsqueda y de sugerencia de amigos.

Botón me gusta: Esta función aparece en la parte inferior de cada publicación hecha por el usuario o sus contactos. Permite valorar si el contenido es del agrado del usuario actual en la red social, del mismo modo se notifica a la persona que expuso ese tema originalmente si es del agrado del alguien más (alguno de sus contactos)

Catálogo de Servicio

Gestión de Niveles de Servicio

▲ Requisitos del servicio

▲ Características del servicio

▲ Cargas de trabajo

▲ Excepciones

Acuerdo de Nivel de Servicio - SLA

Das tu consentimiento para que tus datos

personales sean transferidos y procesados en Estados Unidos.

Al usar o al acceder a Facebook, muestras tu conformidad con esta Declaración

Privacidad, Compartir contenido, publicidad etc..

Disponbilidad 99.65%

Informes del Servicio

50, 304 Links compartidos

79, 364 Post en el muro

382, 681 Clics en el botón Me gusta

510, 404 Comentarios

82, 557 Actualización de Estado

135, 849 Fotos Subidas

1 MINUTO en Facebook

66, 168 Fotos Etiquetadas

Gestión de Capacidad

Actual

• 900 millones de usuarios

• 50% conectándose diario

• 9 centros de datos

• 30 billones de elementos de contenido

Futura

• 1 billón de usuarios

• 2do Campus en Menlo

• Crecimiento del 19%

• Facebook Home

• Compra e integración de otras aplicaciones

▲ 9 centros de datos, 60,000

servidores incluyendo:

Gestión de Configuración

Definir y controlar los

componentes del servicio y de la

infraestructura, y mantener

información precisa sobre la

configuración. del servicio a

través de una Base de datos de

Configuración que contenga:

Proceso de control que apoya a otros procesos

¿Qué infraestructura necesita

Facebook para mantener la red?

a)Ubicación

b)Descripción

c)Relaciones

d)Ubicación

e)Estatus

► Sistemas de energía

► Sistema de climatización

► Ancho de banda requerido

► Personal Técnico

► Sistema operativo

► Espacio físico especial

► Cableado CMDB

▲ Contrato documentado.

Gestión de proveedores

▲ Requisitos del servicio

▲ Características del servicio

▲ Cargas de trabajo

▲ Excepciones y penalizaciones

▲ Revisiones del desempeño del proveedor.

▲ Disputas contractuales

▲ Roles y responsabilidades

Gestionar los proveedores para garantizar la provisión sin interrupciones de servicios

Gestión de seguridad de la información

Gestión de riesgos

Controles de Seguridad

Política de Seguridad de la

información

Incidentes de Seguridad

http://www.facebook.com/security http://www.facebook.com/safety/tools/

▲ Política de uso de datos

► Qué información recibimos y

cómo se utiliza

► Cómo compartes contenido y

cómo se te encuentra en

Facebook

► Cookies, píxeles y otras

tecnologías del sistema

► Cómo funcionan los anuncios

y las historias patrocinadas

Gestionar la seguridad de la

información de manera eficaz para

todas las actividades del servicio. ▲ Aplicaciones: Debido al gran

éxito de las aplicaciones en

Facebook, los ciberdelincuentes

crean falsas aplicaciones con el

objetivo de engañar al usuario y

obtener información confidencial o

privada.

▲ Amigos: Ten cuidado a quién

agregas como amigo. En Internet

todo el mundo no siempre es

quién dice ser.

▲ Enlaces: Muchos

ciberdelincuentes aprovechan las

redes sociales para publicar falsas

noticias con asuntos sugerentes y

enlaces a páginas maliciosas..

▲ Protege tu cuenta. Como siempre,

nosotros recomendamos que

cambies tu contraseña

periódicamente para que te

mantengas seguro en línea.

▲ Control de los usuarios que

pueden ver tu información

▲ Utiliza la configuración de

privacidad para controlar quién

puede ver tu biografía y tus

publicaciones.

▲ Bloqueo de usuarios

▲ Si una persona te está acosando o

si no deseas que te pueda seguir

viendo en Facebook, puedes

bloquearla en tu biografía.

▲ Desconexión remota

Utiliza la desconexión remota para

cerrar cualquier sesión de Facebook

que hayas dejado activa en una

computadora o dispositivo, como en

un cibercafé o en casa de un amigo.

▲ Navegación segura

Si utilizas Facebook con frecuencia

desde redes públicas no seguras,

como las de los aeropuertos o

cibercafés, piensa en habilitar la

navegación segura de Facebook o

HTTPS.

▲ Denuncia contenido ofensivo o

abusivo Infórmanos acerca de

cualquier contenido que suponga

una infracción de las Condiciones

de Facebook. Las denuncias son

confidenciales. El usuario en

cuestión no sabrá que lo

denunciaste.

▲ Una vez enviada la denuncia,

investigaremos el caso y

determinaremos si el contenido

debe o no eliminarse tomando

como referencia las Condiciones

de Facebook. Investigamos cada

una de las denuncias para

determinar cuál es la línea de

acción adecuada.

Gestión de Continuidad y disponibilidad

Fuentes de energía alternas – básicamente no-breaks en escala industrial .

Sistemas de almacenamiento, procesamiento y recuperación redundantes por triplicado o cuadruplicado. Alta disponibilidad 99.6 % funcionando 24X7x365

¿Qué significa esto?

Básicamente que la información se está replicando y almacenando constantemente para que en caso de problemas no se pierda nada y el servicio SIEMPRE esté disponible.

En cada 90 servidores montados en 3 columnas de 30 hay un sistema de alimentación de emergencia.

Cuenta con un área de investigación para que sus centros de datos sean más eficiente |Open Compute Project

Restaurar el servicio acordado con el

negocio tan pronto como sea posible y

atender todas las solicitudes de servicio

Gestión de incidentes y solicitudes del servicio

Registro

Asignación de prioridad

Clasificación

Actualización de registros;

Escalamiento

Resolución

Comunicación del incidente

Cierre

Procedimiento de incidentes

Tipos de incidentes

identificar problemas y minimizar o eliminar el

impacto de los incidentes y problemas.

Gestión de Problemas

Registro

Clasificación

Actualización de registros;

Escalamiento

Resolución

Cierre

Publicaciones imprevistas

No puedo eliminar información

No puedo acceder a mis aplicaciones

La aplicación se ejecuta lentamente

Procedimiento de problemas

De carácter legal

Problemas

Analizar los datos y tendencias sobre los incidentes y problemas para identificar la causa

raíz.

Registro de errores conocidos http://www.facebook.com/he

lp/272381452882351/

Gestión de Cambios

2011 Biografía . tiene como objetivo agilizar y optimizar el paseo de los usuarios por los perfiles de todos los contactos.

2008 Fotos: Etiquetar fotos

2008 Chat: Conversaciones en línea

2009 Ubicación: Publicar la ubicación actual, lugares favoritos etc..

2007App: Aplicación de Facebook en móviles

2009 Apareció el botón me gusta

2012 Integración de aplicaciones

¿Cambios?

2004Primera versión de The Facebook

▲ Planificar el despliegue del

servicio nuevo o modificado

Gestión de liberación y despligue

Entregar, distribuir y realizar el seguimiento de uno o más cambios en la entrega en el entorno de

producción real.

▲ Probar el despliegue

▲ Plan de retorno

▲ Revisar el éxito o fallas

de las liberaciones

ISO/IEC 20000-1

Gestión de incidentes

Gestión de problemas

Gestión de cambios

Gestión la entrega

Ge

stió

n d

e la

co

nfi

gura

ció

n

Gestión de relación con proveedores

Gestión de la capacidad

Gestión de la continuidad y disponibilidad

Gestión de la Seguridad

Gestión de presupuesto y contabilidad de TI G

est

ión

de

niv

eles

de

se

rvic

io

Ges

tió

n d

e re

laci

on

es c

on

el

neg

oci

o

Clie

nte

/ N

ego

cio

▲ Identifica amenazas y vulnerabilidades

▲ Realiza un análisis de riesgos

▲ Identifica las medidas de seguridad que tienes

▲ Implementa controles

▲ Opera u mantiene tu seguridad

▲ Revisa tus contarles

SISTEMAS DE GESTIÓN DE SEGURIDAD DE INFORMACIÓN

Garantizar la confidencialidad, integridad y disponibilidad de la información que es pieza clave de las operaciones de negocio

Disminuye la posibilidad de que existan vulneraciones que

comprometan la información mediante la implementación de

controles que den tratamiento a lo riesgos.

Sistema de Gestión de

Seguridad de la Información

ISO/IEC 27001I

▲ Identifique las posibles amenazas a las que esta expuesta

organización

¿Cómo empezar?

Riesgos ¿Cómo te afectan?

Am

bien

tales

!

Espías

Hackers

Inundaciones

Terremotos / Sismos

Incendios

Usuarios descuidados

Usuarios malintencionados

Pérdida de Activos

Valora y Clasifica los riesgos

Físico

Acceso a edificios y cerraduras

CCTV y sistemas de identificación

Auditorías fuera de horas de trabajo

Intervención de comunicaciones y redes inalámbricas

Personas

Ingeniería social

Concientización de seguridad

Simulaciones de Phishing

Redes sociales y políticas de publicación

Sistemas / Redes

Sistemas operativos

Bases de datos

Routers, Switches, Firewalls y VPN

VoIP / telefonía

Equipo portátil /móvil

Denegación de Servicio

Aplicaciones

Web (.net, php, xml, http/s)

Java, C++ y revisión de código

Pruebas con y sin credenciales de acceso

reales

Asegurar aplicaciones de terceros

▲ Identifique qué medidas de seguridad tiene contra esos riesgos

¿Cómo empezar?

Medidas de Seguridad Existentes

Recepción ✓

Vigilancia, Cámaras ✓

Tarjetas de proximidad ✓

Reglamento interno ✓

Alarma sísmica X

Aspersores de humo X

Intranet, usuario y contraseñas ✓

Antivirus ✓

Respaldos X

▲ Compare las medidas de seguridad y amenazas identificadas

con los controles del Anexo A de la norma

¿Cómo empezar?

Numeral Control Amenaza Identificada Medida de seguridad identificadas

Nivel de Riesgo

A.9.1.2 Controles físicos de entrada Espías Usuarios malintencionados

Recepción ✓ Vigilancia, Cámaras ✓ Tarjetas de proximidad ✓

ALTO

A.9.1.4 Protección contra las amenazas externas y de origen ambiental

Terremotos Incendios

Alarma sísmica X Aspersores de humo X

MEDIO

A.11.2.3 Gestión de contraseñas de usuario Espías Usuario y contraseñas en

aplicaciones ✓ ALTO

A.11.7.1

Computadoras portátiles y comunicaciones móviles

Pérdida de activos Respaldos X ALTO

A.13.1.1

Notificación de los eventos de seguridad de la información ? ? ?

¿Habías considerado alguna amenaza y medida para el control?

¿Aplica en tu organización? ¿Las medidas de seguridad son suficientes para mitigar el riesgo?

Análisis de

Riesgos

Anexo A

A.5 Política de seguridad

A.6 Aspectos organizativos de la seguridad de la información

A.7 Gestión de activos

A.8 Seguridad ligada a los recursos humanos

A.9 Seguridad física y ambiental

A.10 Gestión de comunicaciones y operaciones

A.11 Control de acceso

A.12 Adquisición, desarrollo y mantenimiento de los sistemas de información

A.13 Gestión de incidentes de seguridad de la información

A.14 Gestión de la continuidad del negocio

A.15 Cumplimiento

133 CONTROLES

ADMINISTRATIVOS

TÉCNICOS

FÍSICOS

¿Cómo empezar?

▲ Elabore la declaración de aplicabilidad (SOA)

Numeral Control Aplicabilidad Estado Justificación

A.9.1.2 Controles físicos de entrada SI Implementado Este control ayuda a mitigar los riesgos derivados de amenazas de personas externas como hackers o especias.

A.9.1.4 Protección contra las amenazas externas y de origen ambiental

SI No implementado

Este control ayuda a mitigar los riesgos derivados de amenazas de origen ambiental como incendios y terremotos.

A.11.2.3 Gestión de contraseñas de usuario SI Implementado

Este control ayuda a mitigar los riesgos derivados de amenazas de usuarios malintencionados . Ayuda a proteger la información electrónica de la organización.

A.11.7.1

Computadoras portátiles y comunicaciones móviles

SI No implementado

Este control ayuda a mitigar los riesgos derivados de amenazas sobre la pérdida de información en equipo portátil.

A.13.1.1

Notificación de los eventos de seguridad de la información

SI No implementado

Este control ayuda a mantener registros de los eventos de seguridad para que se analicen y se pueda mejorar la seguridad de la organización.

A.10.9.1 Comercio Electrónico NO No implementado La organización no realiza comercio electrónico.

Versión 1. Fecha de publicación 27 de agosto de 2013

¿Cómo empezar?

▲ Elabore el plan de tratamiento de riesgos para cada

control qué aplique en tu organización

Numeral A.9.1.2

Control Controles físicos de entrada

Amenazas Espías Usuarios malintencionados

Nivel de riesgo

Alto

Tratamiento Mitigar

Medidas de Seguridad

Recepción , Vigilancia, Cámaras Tarjetas de proximidad

Documentos Manuales técnicos

Métrica - KPI (# de incidentes relacionados /Total de ingresos relacionados )*100

Responsable Responsable de Servicios Generales

Estado Implementado

Numeral A.11.7.1

Control Computadoras portátiles y comunicaciones móviles

Amenazas Pérdida de activos

Nivel de riesgo Medio

Tratamiento Mitigar

Medidas de Seguridad

Respaldos

Documentos Política de uso de activos Procedimiento para realizar los respaldos

Métrica - KPI (# Incidentes relacionados/Total de equipo móvil) *100

Responsable Responsable de infraestructura

Estado No implementado

¿Cómo empezar?

▲ Opere y revise las medidas de

seguridad

▲ Realice acciones de mejora

Plan de tratamiento

Incidentes relacionados

• Los visitantes no portaban Gafete • Ingreso de discos externos (prohibidos) • Robo de una laptop

Ineficacia Utilizando el KPI

(3/10)*100 = 30%

Nivel de Eficacia 70%

Se implementaranlas siguientes medidas de seguridad

• El personal de vigilancia realizará rondines por las instalaciones, y registrará cualquier anomalía.

• Al ingresar y Salir de las instalaciones se deberá realizar una revisión a mochilas, bolsas maletines para ver que solo lo ingresado sea lo mismo al momento de salir .

• Capacitar al personal de vigilancia sobre la importancia de Seguridad de la información

Actualizar el análisis de riesgos y SOA

Numeral A.9.1.2

Control Controles físicos de entrada

Amenazas Espías Usuarios malintencionados

Nivel de riesgo Alto

Tratamiento Mitigar

Medidas de Seguridad

Recepción , Vigilancia, Cámaras Tarjetas de proximidad

Documentos Manuales técnicos

Métrica - KPI (# de incidentes relacionados /Total de ingresos relacionados )*100

Responsable Responsable de Servicios Generales

Estado Implementado

Mayté RUPERTO LÓPEZ

Auditora Líder

de Sistemas de Gestión

1204 5191 Ext. 425

mruperto@nyce.org.mx

GRACIAS !