administrando la confidencialidad de la if...

of 29/29
Administrando la confidencialidad de la if inf ormacn: Saneamiento de Medios de Almacenamiento Jeimy J. Cano, Ph.D, CFE GECTI – Uniandes [email protected]

Post on 21-Nov-2020

0 views

Category:

Documents

0 download

Embed Size (px)

TRANSCRIPT

  • Administrando la confidencialidad de la i f ióinformación:

    Saneamiento de Medios de Almacenamiento

    Jeimy J. Cano, Ph.D, CFEGECTI – Uniandes

    [email protected]

  • AdvertenciaAdvertencia

    L d ll il d ió f d• Los detalles ilustrados en esta presentación son procesos que afectan demanera definitiva a los medios de almacenamiento que se les aplique.

    • Por tanto, es responsabilidad de cada profesional o área de tecnologíaentrenar y formalizar este tipo de procedimientos en sus organizaciones, puesmal utilizados puede ocasionar pérdidas de datos irreversibles.

    • Esta presentación tiene un propósito educacional y académico y no pretendeser instrumento para atentar contra los medios de almacenamiento de lasorganizaciones.

    JCM07‐All rights reserved 2

  • AgendaAgenda• Advertencia• Introducción• Introducción• ¿Dónde se almacena la información?• Consideraciones técnicas de los medios de almacenamiento• Contexto del saneamiento en la Admon de Seguridad Informática• ¿Porqué adelantar el saneamiento de un medio de almacenamiento?• ¿Porqué adelantar el saneamiento de un medio de almacenamiento?• Tipos y métodos para el saneamiento de medios• ¿Qué método usar?• Valoración de riesgos• Herramientas disponibles para saneamiento• Herramientas disponibles para saneamiento• Recomendaciones para Gerentes de TI• ¿Qué dice la ISO 27001:2005?• ¿Qué dice Cobit 4.1?• Ciclo de vida de los datos y su seguridadCiclo de vida de los datos y su seguridad• Responsabilidad del Gerente de Seguridad de la Información• Reflexiones finales• Referencias

    JCM07‐All rights reserved 3

  • IntroducciónIntroducción

    • ¿Ha efectuado un inventario de los medios que se utilizan en la organizaciónpara el almacenamiento de información corporativa?para el almacenamiento de información corporativa?

    • ¿Cuando se dona un equipo de la empresa, se tiene un procedimiento formalpara “sanear” el disco duro del mismo?

    • ¿Las cintas de almacenamiento que se reutilizan son previamente preparadaspara tal fin?

    • ¿La disposición final de los medios de almacenamiento responde a unal ifi ió d l i f ió ll id t ?

    p f pclasificación de la información en ellos residente?

    • ¿Se tiene acordado con el área de archivo físico, los tiempos de retención,descarte y eliminación de la información, de acuerdo con su sensibilidad?

    JCM07‐All rights reserved 4

  • ¿Dónde se almacena la información?¿Dónde se almacena la información?• Físico

    P l d i d– Papel y sus derivados– Microfilm

    • Electrónico• Electrónico– Memory cards

    • Compact Flash• SmartMediaSmartMedia

    – Memory Stick ‐ EEPROM– USB Flash Memory– Ipods

    JCM07‐All rights reserved 5

  • ¿Dónde se almacena la información?

    • Magnético– Diskettes– Discos duros

    A l d di ( AI )– Arreglos de discos (RAID)– Discos Zip– CintasCintas

    • Magneto‐Óptico– Superdisk – LS‐120

    JCM07‐All rights reserved 6

  • ¿Dónde se almacena la información?

    • ÓpticoCD– CD

    – DVD

    • Holográficog– Imágenes holográficas de tres dimensiones definen estructura de

    almacenamiento

    • MolecularMolecular• Basado en una bacteria denominada bacteriorhodopsin y con unláser se cambia su estado, con lo cual se codifica elalmacenamiento en el medio.

    JCM07‐All rights reserved 7

  • Consideraciones técnicas de los medios de almacenamiento

    • FísicoTextura del papel– Textura del papel

    – Gramaje – ¿De cuántos gramos es?– Capacidad de absorción– Tiempo de envejecimiento

    ó– Duración

    • Magnético – Nacen en los 70’s– Inicialmente del mismo material de las cintas de audio – Óxido ferroso– Se establece una geometría para su almacenamiento (Discos duros y

    diskettes)• Pistas, cilindros y sectores

    – Se debe dar formato físico al medio – Formato de bajo nivel (define losj (sectores en el disco). Requiere software del fabricante.

    – Requiere sistema que represente los archivos para el sistema operacional– File System – FAT, NTFS, EXT3/2, HFS, ISO9660

    JCM07‐All rights reserved 8

  • Consideraciones técnicas de los medios de almacenamiento

    • Óptico – Nacen en los 80’s• Óptico – Nacen en los 80 s– Incrementa la capacidad de

    almacenamiento hasta elmomento disponibles endiskettesCD 1982 Ti t– CD – 1982‐ Tiene cuatrocapas – base depolicarbonato (substrato),capa reflectiva, capa deprotección y superficie deetiqueta

    http://electronics.howstuffworks.com/cd.htm

    etiqueta• Entre el policarbonato y lacapa reflectiva: Materialfotoreactivo

    – Verde (utilizados en losprimeros CD), Oro y Azul(P d V b i )p ), y(Patentado por Verbatim)

    – DVD – 1996 – Es más anchoque el CD – 1.2 mm (CDgeneralmente 0,6mm). http://electronics.howstuffworks.com/dvd2.htm

    JCM07‐All rights reserved 9

  • Consideraciones técnicas de los medios de almacenamiento

    • Electrónicos – Nacen enlos los 90’s

    Memory sticks– Memory sticks– USB Flash Memory –Creadas por IBM enCreadas por IBM en1998

    http://es.wikipedia.org/wiki/Memoria USBhttp://electronics.howstuffworks.com/flash-memory.htm

    JCM07‐All rights reserved 10

    http://es.wikipedia.org/wiki/Memoria_USB

  • Consideraciones técnicas de los medios de almacenamiento

    • Holografic Versatile Disc– Incrementa lacapacidad del i t 200almacenamiento. 200veces más que un DVD

    – Láser se divide en dos:un rayo de referencia yun rayo de referencia yotro de información

    – 300 Gbytes dealmacenamiento

    http://electronics.howstuffworks.com/hvd.htm

    JCM07‐All rights reserved 11

    http://electronics.howstuffworks.com/hvd.htm

  • C d l S i lContexto del Saneamiento en la Admon de la Seguridad InformáticaAdmon de la Seguridad Informática

    Administración de la SeguridadPolíticas de Seguridad

    Clasificación de la Información

    Medios de Almacenamiento

    g

    Estrategias de almacenamiento

    Estándares de SeguridadMétodos de Saneamiento

    Herramientas seleccionadas

    g

    Procedimientos de seguridad

    Verificación y controlValidación de resultados

    JCM07‐All rights reserved 12

  • ¿Porqué adelantar el saneamiento¿Porqué adelantar el saneamiento de un medio de almacenamiento?

    • Para prevenir fugas de información voluntarias o involuntarias

    • Para cumplir con la regulaciones y estándares de seguridad de lap g y ginformación.

    • Para contar con una estrategia confiable de reutilización de medios

    • Para asegurar la confidencialidad de la información y fortalecer laclasificación de la misma

    • Para disponer de la información conforme a su clasificación y losPara disponer de la información conforme a su clasificación y losmedios de almacenamiento disponibles.

    JCM07‐All rights reserved 13

  • Tipos y métodos para el saneamiento de medios

    • Tiposé d– Descartar

    • Deshacerse del medio sin medidas de saneamiento.

    – Distorsionar

    MétodosDeshacerse del medioo Generalmente asociado con

    información en papel que no estáclasificado como sensible.

    b i• Protege la confidencialidad de la información. Resistente a la recuperación por medio de la entrada estándar o herramientas de barrido físico del medio.

    Purgar

    Sobreescriturao Del espacio lógico y físico de los

    archivos con secuencias decaracteres aleatorios. Generalmenteútiles y limitan recuperación

    Desmagneti ar– Purgar• Protege la confidencialidad de la 

    información frente a estrategias de recuperación en laboratorios avanzados por medio de técnicas no estándares

    Desmagnetizaro Exposición del medio a intensos

    campos magnéticos con el fin dedestruir los dominios o campospresentes en el mismo.Generalmente son dispositivosed o de éc cas o es á da es

    – Destruir• Desaparición física del medio bien sea por: 

    desintegración, incineración, pulverización o derretido.

    phardware.

    Destruiro Desintegración, incineración,

    pulverización o derretido.

    JCM07‐All rights reserved 14Tomado de: NIST. Guidelines for media sanitization.

  • ¿Qué método usar?¿Qué método usar?Clasificación de la info

    BAJADeja la

    Organización?

    SIPurgar

    Validar

    DistorsionarNO

    Destruir NONO

    Clasificación de la infoMODERADA Será reutilizadoel medio?

    Deja la Organización?

    SI

    NO

    PurgarSI

    NO

    Clasificación de la infoALTA

    Deja la Organización?

    Será reutilizadoel medio?

    DestruirSI

    NO

    SI

    JCM07‐All rights reserved 15

    NO

    Tomado de: NIST. Guidelines for media sanitization.

  • Valoración de RiesgosValoración de RiesgosNivel deRiesgo

    Deja laorganización y

    á tili d

    Deja laorganización yNO á

    NO deja laorganización y

    á tili d

    NO deja laorganización yNO ág será reutilizado NO será

    reutilizadoserá reutilizado NO será

    reutilizado

    BAJO Purgar Purgar Distorsionar Distorsionar

    MEDIO Purgar Destruir Distorsionar Destruir

    ALTO Purgar/Destruir Destruir Purgar Destruir

    JCM07‐All rights reserved 16

    Tomado de: National Institutes of Health. NIH Sanitization guide. Draft document. 2007

  • Herramientas disponibles para el saneamiento (Software)

    Tomado de: GARFINKEL, S. y SHELAT, A. (2003) “Remembrance of Data Passed: A Study of Disk Sanitization Practices,” IEEE Security & Privacy, vol. 1, no. 1, 2003, pp. 17–27.

    JCM07‐All rights reserved 17

  • Herramienta disponibles para el saneamiento (Hardware)

    http://www.degausser.co.uk/degauss/6000.htm

    http://www.veritysystems.com/degaussers/degausser.asp?id=157&processor=true

    JCM07‐All rights reserved 18

  • Herramienta disponibles para el saneamiento (Discos y Cintas)

    http://www.veritysystems.com/degaussers/degausser chart.asp

    JCM07‐All rights reserved 19

    http://www.veritysystems.com/degaussers/degausser_chart.asp

  • Recomendaciones para Gerentes de TI y SI

    • El saneamiento de los medios de almacenamiento responde directamente a laEl saneamiento de los medios de almacenamiento responde directamente a laclasificación de la información.

    • Debe existir una política formal de saneamiento de medios y los procedimientosasociados para su ejecución por parte de personal autorizado.

    • Se debe contar con un inventario de medios de almacenamiento y sucaracterización requerida para ser saneados según sea el caso.

    C t i bl íti l i t d di l l ifi ió d l• Cuatro variables son críticas para el saneamiento de medios: la clasificación de lainformación, el tipo de medio, si será reutilizado y si éste saldrá de la organización.

    • Las herramientas de software o hardware que soporten los procedimientos desaneamiento deben ser validadas y probadas previa puesta en operaciónsaneamiento deben ser validadas y probadas previa puesta en operación

    JCM07‐All rights reserved 20

  • Recomendaciones para Gerentes de TI y SIRecomendaciones para Gerentes de TI y SI (Algunas políticas asociadas)

    • Fuera de los horarios regulares, los empleados deben mantener limpios los escritorios.

    • Durante los horarios no laborales, los empleados que laboran en áreas con informaciónsensible deben mantener asegurada tal información.

    • Toda información clasificada como sensible cuando no esté en uso deber estarprotegida contra cualquier acceso no autorizado.

    • Si existe información clasificada como sensible en un disco duro o dispositivo interno oSi existe información clasificada como sensible en un disco duro o dispositivo interno oexterno de almacenamiento, ésta debe estar debidamente protegida con mecanismosde control de acceso o cifrado de datos

    • Si existe una tabla de retención documental, con tiempos de almacenamiento ydescarte ésta debe ser revisada anualmente por los propietarios de la información paradescarte, ésta debe ser revisada anualmente por los propietarios de la información parasu actualización (cambio de clasificación) o destrucción.

    JCM07‐All rights reserved 21

  • R d i G t d TI SIRecomendaciones para Gerentes de TI y SI

    Tomado de: NIST. Guidelines for media sanitization.

    JCM07‐All rights reserved 22

  • ¿Q é di l ISO 27001 2005?¿Qué dice la ISO 27001:2005?

    JCM07‐All rights reserved 23

  • ¿Q é di COBIT 4 1?¿Qué dice COBIT 4.1?

    JCM07‐All rights reserved 24

  • Ciclo de vida de los DATOSCiclo de vida de los DATOS

    JCM07‐All rights reserved 25Tomado de: HYDEN, E. 2008

  • Responsabilidad del Gerente de d d d l f óSeguridad de la Información

    • DeDe acuerdoacuerdo concon laslasnormasnormas dede archivoarchivo yynormasnormas dede archivoarchivo yyconservaciónconservación..

    •• PeriodosPeriodos dede retenciónretención yydescartedescarte..descartedescarte..

    •• DeDe acuerdoacuerdo conconregulacionesregulaciones fiscales,fiscales,tributarias,tributarias, contables,contables,t buta as,t buta as, co tab es,co tab es,localeslocales..

    JCM07‐All rights reserved 26Tomado de: NASCIO – Representing the Chief Information Officers of the States. 2008

  • Reflexiones finalesReflexiones finales• La inseguridad de la información toma múltiples formas y estrategias, por tanto

    entenderla y enfrentarla implica reconocer las formas de materializarla.entenderla y enfrentarla implica reconocer las formas de materializarla.

    • No es posible alcanzar mayores niveles de confidencialidad sin una adecuadaclasificación de la información

    • El saneamiento de medios de almacenamiento es un procedimiento obligatoriopara toda empresa que sigue estándares y regulaciones internacionales sobreseguridad informática.

    Si d d i i b l i t i d l ti i f ió á• Sin una adecuada conciencia sobre la importancia del activo información, será muypoco lo que se pueda avanzar en fortalecimiento de la confidencialidad de lamisma

    • Luchar contra la inseguridad de la información, es hacerle más complicado elLuchar contra la inseguridad de la información, es hacerle más complicado elacceso al posible atacante interno o externo.

    JCM07‐All rights reserved 27

  • ReferenciasReferencias• KISSEL, R., SCHOLL, M., SKOLOCHENKO, S. y LI (2006) Guidelines for media sanitization. NIST Special

    Publication 800‐88.• GARFINKEL, S. y SHELAT, A. (2003) Remembrance of Data Passed: A Study of Disk Sanitization

    Practices, IEEE Security & Privacy, vol. 1, no. 1, 2003, pp. 17–27.• GUTMANN, P. (1996) Secure Deletion of Data from Magnetic and Solid‐State Memory. San Jose: Sixth

    USENIX Security Symposium Proceedings. Disponible en:www.cs.auckland.ac.nz/~pgut001/pubs/secure_del.html

    • GEIGER, M., FAITH CRANOR, L. (2006) Scrubbing Stubborn Data: An Evaluation of Counter‐ForensicGEIGER, M., FAITH CRANOR, L. (2006) Scrubbing Stubborn Data: An Evaluation of Counter ForensicPrivacy Tools. IEEE Security and Privacy, vol. 4, no. 5, pp. 16‐25, Sept/Oct.

    • US DoE Cybersecurity Program (2007) Media clearing, purging and destruction guidance. Disponibleen: http://cio.energy.gov/documents/CS‐11_Clearing_and_Media_Sanitization_Guidance.pdf.

    • US DoE ((2006) ) National Industrial Security Program Operating Manual‐NISPOM. NISPOM 5520.22‐M. Disponible en: http://www.dss.mil/files/pdf/nispom2006‐5220.pdf

    • ISO/IEC 17799:2005 (2005) Code of Practice for Information Security Management Control 10 7 2• ISO/IEC 17799:2005 (2005) Code of Practice for Information Security Management, Control 10.7.2(Disposal of Media).

    • National Institutes of Health (2007) NIH Sanitization guide. Draft document. Disponible en:http://irm.cit.nih.gov/security/SanitizationGuide‐1‐16‐07.doc

    • ZETTERSTROM, H. (2002) Deleting sensitive information. Why hitting delete isn’t enough. ReadingRoom SANS Institute. Sección Privacy. Disponible en:http://www sans org/reading room/whitepapers/privacy/691 phphttp://www.sans.org/reading_room/whitepapers/privacy/691.php

    • University of Cincinnati (2006) Software Guide ‐ File Shedders. Disponible en:http://www.uc.edu/infosec/SoftwareShredders.htm#Software

    • HYDEN, E. (2008) Data lifecycle security essentials. Information Security Magazine. Agosto.• NASCIO (2008) Protecting the Realm: COnfronting the reality of State Data at Risk. Disponible en:

    http://www.nascio.org/publications/documents/NASCIO‐ProtectingRealm.pdf

    JCM07‐All rights reserved 28

  • Administrando la confidencialidad de la i f ióinformación:

    Saneamiento de Medios de Almacenamiento

    Jeimy J. Cano, Ph.D, CFEGECTI – UniandesGECTI  Uniandes

    Estéganos International Group ‐ EIGSocio Fundador 

    http //www esteganos comhttp://www.esteganos.com

    [email protected]