Soluciones de RSA para moderar el riesgo fortuito generado por el ...

Informe breve sobre la solución de RSA
Soluciones de RSA
para moderar el riesgo
fortuito generado por
el personal interno
Informe breve sobre la solución de RSA

1
¿Puede mencionar cinco riesgos fortuitos que los empleados
representan para la información de su negocio y sus
sistemas de TI?
Probablemente pueda lograrlo. Sin embargo, ¿cuál se le ocurrió en primer lugar? ¿Pensó en
acciones intencionales, como la venta de información para obtener ganancias económicas,
el robo de datos por parte de un contratista que dejará de prestar servicios o un ataque al
sistema o mediante virus perpetrado por un empleado descontento? ¿O pensó en un laptop
perdido, en un archivo guardado en un área compartida insegura, o en un virus que se
descargó de manera no intencional de un sitio web legítimo?
La realidad es que toda organización es vulnerable a una amplia variedad de riesgos generados
por el personal interno, y solamente una pequeña proporción de esos riesgos fortuitos se debe
a ataques, robos o fraudes intencionales perpetrados por individuos maliciosos, descontentos
o comprometidos. La “amenaza generada por el personal interno” es solo un tipo de “riesgo
generado por el personal interno” (cuya principal causa son las actividades no maliciosas y
no intencionales). IDC confirmó esta información en una encuesta a 400 CXOs de los Estados
Unidos, Reino Unido, Francia y Alemania: solo el 19% de los encuestados consideró que los
incidentes ocasionados por estas violaciones eran principalmente intencionales.
Dado el amplio alcance en que los empleados pueden violar la seguridad de manera no
intencional y la infinidad de historias que difunden los medios de comunicación sobre CDs
perdidos en el correo, laptops olvidados en trenes y datos personales expuestos en sitios web,
se podría pensar que el riesgo interno es un área de enfoque específico para la mayoría de las
organizaciones. Sin embargo, más de la mitad de los encuestados afirmó que no contaba con
un presupuesto de seguridad asignado específicamente a enfrentar los riesgos fortuitos
generados por el personal interno.
¿Cuál es el motivo de esta dicotomía?
¿Se trata de una cuestión de confianza?
Parte de la razón puede ser que las violaciones no
intencionales de seguridad y la pérdida accidental de
datos constituyen una consecuencia inevitable de la
necesidad de confiar en los empleados. Cada
organización necesita otorgar a los miembros del
personal permanente, contratado y temporario acceso a
los sistemas y a la información que les permiten realizar
su trabajo de manera efectiva, y los errores ocurrirán. Los
empleadores tienen especial cautela para no deteriorar
esta relación de confianza, y es posible que sientan que
para evitar descuidos y errores se requerirían medidas de
seguridad restrictivas que comprometerían la moral y la
productividad de los empleados.
Pero esto no es común. Con el enfoque adecuado, una
gran parte del riesgo fortuito generado por el personal
interno se puede controlar sin causar inconvenientes a
los empleados ni comprometer la eficiencia
operacional. Y se trata de un área que no se puede
ignorar, ya que los negocios deben confiar cada vez
más en la TI para conectar a personal cada vez más
disperso y variado que comparte información de
manera más amplia y fácil que nunca.
Informe breve sobre la solución de RSA
Desde el punto de vista de la responsabilidad, se deben
enfrentar los riesgos fortuitos generados por el personal
interno, y esto no tiene que implicar un reto a la
confianza en los empleados. Por el contrario, la falta de
acción podrá ocasionar daños trascendentales en la
reputación y la posición de mercado de la organización,
además del costo financiero que pueden generar la
investigación, la recuperación y la posibilidad de multas
por incumplimiento de normativas.
El riesgo fortuito generado por el
personal interno se origina a causa
de comportamientos intencionales
y no intencionales:
• Un empleado de America Online
usó la identidad de un colega para
obtener registros de clientes y,
posteriormente, vendió 92 millones
de direcciones de correo electrónico
a personas especializadas en el
envío de correo no deseado.
• Ponemon Institute informó que el
88% de las violaciones de datos
se ocasionaron a causa de simples
negligencias de los empleados
(2008 Annual Study: Cost of a Data
Breach, febrero de 2009).

Perfil promedio de incidentes de seguridad internos
Una encuesta a 400 CXOs que llevó a cabo IDC demostró que, en promedio, las
organizaciones sufren esta interrupción de incidentes causados de manera
interna cada año:
Pérdida no intencional provocada por la negligencia de un empleado
Ataques de malware/spyware que provienen desde dentro de la empresa
¿Dónde comenzar?
Demasiados derechos de control de acceso/privilegio
Violaciones intencionales de la política de seguridad de la información
Acceso no autorizado a sistemas e información confidencial
Pérdida de datos provocada por ataques externos a cargo de empleados anteriores
Exposición mediante retrasos de aprovisionamiento y desaprovisionamiento
Robo y pérdida de medios que exponen la información confidencial
Amenaza no intencional al reducir los procesos que establece la política de seguridad
Vulnerabilidades del sistema que exponen la información confidencial
Fraude interno (ganancias económicas para el autor del delito)
Un enfoque específico (es decir, reaccionar ante
incidentes internos cuando ocurren, con soluciones
puntuales) no resulta rentable ni eficiente para impedir
futuros incidentes. Existen demasiadas maneras en las
que se pueden producir errores o descuidos. Responder
ante un laptop perdido con la encriptación del laptop no
contribuye en caso de que se pierda un CD o un
dispositivo USB. La implementación de una mejor
seguridad de correo electrónico no enfrenta el problema
de uso compartido de archivos mediante clientes de
mensajería instantánea. El hecho de forzar a las personas
a cambiar las contraseñas no impide que las escriban.
La única manera eficiente y rentable de considerar
seriamente el riesgo fortuito generado por el personal
interno es adoptar un enfoque integrado y amplio, es
0 2 4 6 8 10 12 14 16
Cantidad promedio de incidentes por año
decir, emplear una estructura de administración de
riesgos que esté respaldada por soluciones adecuadas y
permita lograr lo siguiente:
– Descubrir y calificar todas las áreas de riesgo fortuito
generado por el personal interno para comprender
hacia dónde orientar las inversiones en seguridad.
– Crear un plan de orden de prioridad de mejores
prácticas para enfrentar el riesgo generado por el
personal interno.
– Implementar y aplicar el plan con los controles
apropiados.
– Monitorear el riesgo generado por el personal interno
(comportamiento de los empleados e incidentes).
– Analizar y crear informes sobre incidentes y
respuestas ante estos para identificar las áreas
que se deben continuar mejorando.
Informe breve sobre la solución de RSA 2

3
El enfoque de RSA
RSA ha ayudado a miles de organizaciones a adoptar este
enfoque hacia la administración de riesgos. No
hablaremos de aplicar tecnología a los retos hasta que no
lo hayamos ayudado a comprender el ambiente de riesgo
y hayamos desarrollado un programa integral de
administración de riesgos que maximice el efecto en su
presupuesto de seguridad. Recomendaremos soluciones
específicas en el contexto de una estructura desarrollada
para usted, y serán soluciones que funcionarán de
manera conjunta e integrada.
Descubrimiento
Según nuestra experiencia, el principal reto de riesgo
fortuito generado por el personal interno consiste en
superar la falta de visibilidad y la inteligencia del
ambiente de riesgos; entonces, comenzaremos por este
punto. Por lo tanto:
– ¿Cómo puede evitar la pérdida, el robo o la
transmisión inapropiada de información confidencial
si no puede identificar lo siguiente?
Datos confidenciales guardados.
Ubicación de residencia y método
de transmisión.
Períodos en que la transferencia es insegura.
Personas que cuentan con acceso.
– ¿Cómo puede controlar el acceso a los sistemas
o a la información si no puede lograr lo siguiente?
Identificar las funciones de los usuarios,
especialmente los que tienen acceso a grandes
volúmenes de información confidencial.
Conocer cuándo cambian sus responsabilidades
o cuándo están cumplidas para retirarse.
Identificar comportamientos anormales
de los usuarios.
RSA puede ayudarlo a comprender mejor la exposición al
riesgo interno, incluso a saber con qué datos
confidenciales (propiedad intelectual, información
confidencial del negocio, datos de clientes, información
de identificación personal) cuenta en su infraestructura,
desde data centers hasta terminales.
Informe breve sobre la solución de RSA
Aplicación
Una vez que comprenda su entorno de riesgos, puede
orientar sus inversiones en seguridad para comenzar a
moderar los riesgos por orden de prioridad.
Lo ayudaremos a evaluar y desarrollar sus políticas de
seguridad en el contexto de un programa y un plan
integrales de administración de riesgos. Podrá
implementar una estructura de controles apropiados de
tecnología para aplicar las políticas de seguridad,
incluidos controles de datos para minimizar la pérdida
de datos y controles de acceso para garantizar la
identidad de todos los usuarios y restringir los privilegios
necesarios para sus funciones actuales. Podrá
monitorear y realizar un seguimiento de los datos sobre
comportamiento de todos los usuarios y dispositivos, y
estar alerta a comportamientos anormales para brindar
respuestas basadas en normativas o aumento de
cantidad de personas.
RSA cuenta con capacidades
incomparables para asegurar
identidades, información e
infraestructura.
• Clasificación y descubrimiento
de datos
• Prevención de pérdida de datos
• Encriptación y administración
de claves
• Autenticación de múltiples
factores y basada en riesgos
• Control de acceso basado
en funciones
• Análisis de comportamientos
y de transacciones
• Detección de anormalidades
• Administración de logs
• Auditorías
• Análisis de incidentes
• Creación de informes

Monitoreo y creación de informes
Finalmente, las soluciones de RSA pueden ayudarlo a
auditar y analizar los incidentes de seguridad y el
comportamiento de los usuarios en toda la empresa.
Podrá identificar progresos a los que se debe responder,
como cambios en los patrones de acceso de los usuarios
o tipos de incidentes de seguridad, identificar y justificar
cualquier cambio necesario en inversión, y crear informes
sobre el negocio y el cumplimiento de normativas.
Soluciones de RSA para moderar el riesgo
fortuito generado por el personal interno
Hemos desarrollado una gama integral de servicios y
soluciones de tecnología para respaldar nuestro enfoque
estructural hacia la moderación del riesgo generado por
el personal interno. Estos funcionan de manera conjunta
para brindarle una amplia protección contra diversos
riesgos, tanto intencionales como no intencionales, que
los empleados (y las personas externas) representan para
sus sistemas y su información.
RSA Professional Services
El equipo de RSA Professional Services lo ayudará a
descubrir y calificar los riesgos fortuitos del personal
interno y a crear un plan de orden de prioridad de las
mejores prácticas para enfrentarlos. Identificaremos la
información confidencial en toda la infraestructura de su
red, desde data centers hasta terminales, y
determinaremos vulnerabilidades en la protección de
datos. Evaluaremos sus políticas de seguridad existentes
y lo ayudaremos a actualizarlas o a diseñar nuevas para
reflejar sus entornos de riesgos y de normativas, y la
mejor práctica actual. Trabajaremos junto a usted para
desarrollar un programa integral de administración de
riesgos y diseñar e implementar una estructura apropiada
de controles de tecnología para aplicar sus políticas. RSA
Professional Services incluyen lo siguiente:
– RSA Information Risk Assessment Service
– RSA DLP RiskAdvisor Service
– RSA Information Security
Policy Development Service
RSA ® Data Loss Prevention Suite
Nuestras capacidades de DLP comienzan con
Professional Services (consulte más arriba) para
descubrir los datos en riesgo, elaborar políticas para
protegerlos y diseñar controles apropiados para aplicar
las políticas. Contamos con una amplia gama de
soluciones de DLP para monitorear y controlar los datos y
sus transferencias en el data center, por medio de la red
y en terminales. RSA ® Data Loss Prevention Suite incluye
lo siguiente:
– RSA DLP RiskAdvisor Service
– RSA DLP Datacenter
– RSA DLP Network
– RSA DLP Endpoint
RSA Encryption and Key Management Suite
Como parte integral de nuestra estructura de control de
datos para proteger la información confidencial,
ofrecemos una serie de soluciones de administración
clave de encriptación centralizadas y encriptación de
datos, incluido lo siguiente:
– RSA ® Key Manager with Application Encryption
– RSA ® Key Manager for the Datacenter
– Encriptación de RSA BSAFE ®
Amplia protección contra
diversos riesgos, tanto
intencionales como no
intencionales, que los
empleados (y las personas
externas) representan
para sus sistemas y su
información.
Informe breve sobre la solución de RSA
4

5
RSA Identity Protection and Verification Suite
Estas soluciones utilizan tendencias de fraude,
inteligencia, análisis forense, modelado, monitoreo de
transacciones y autenticación de múltiples factores
basada en riesgos para reducir los riesgos que surgen de
transacciones remotas. Entre ellas, se incluyen:
– RSA FraudAction SM Service
– RSA ® Transaction Monitoring
– RSA ® Adaptive Authentication
– RSA ® Identity Verification
Autenticación de RSA
Independientemente de cómo los usuarios accedan a los
sistemas, contamos con sólidas soluciones de
autenticación para cumplir todos los requisitos sin
comprometer la comodidad o la seguridad del usuario.
Esto significa que puede aplicar una sólida autenticación
a todos los usuarios, no solamente a los que acceden a
los sistemas de manera remota. Nuestras soluciones de
autenticación incluyen:
– Autenticación de RSA SecurID ®
– RSA ® Adaptive Authentication
– RSA ® Identity Verification
RSA ® Access Manager
Administre fácilmente grandes cantidades de usuarios
que acceden a las aplicaciones web en intranets,
extranets, portales e infraestructuras de intercambio. Los
empleados pueden trabajar con más facilidad a contar
con un solo inicio de sesión seguro y control centralizado
de políticas de acceso.
Informe breve sobre la solución de RSA
Plataforma de RSA enVision ®
Esta plataforma de información de eventos e información
sobre seguridad recoge, administra y analiza
automáticamente los logs de toda la infraestructura, lo
que permite monitorear todos los sistemas, identificar y
llevar un registro de eventos de seguridad y acceso a la
información, llevar a cabo análisis y auditorías forenses,
y generar informes con una variedad de niveles de detalle
sobre el negocio y el cumplimiento de normativas.
Soluciones de EMC
EMC cuenta con una variedad de soluciones de
configuración y administración de servidores, de
administración y configuración de red, y de
administración de operaciones de TI que permiten
monitorear y realizar un seguimiento de los cambios en la
infraestructura para garantizar el cumplimiento de
políticas y la escalación de eventos para su solución, en
caso de ser necesario.
Elegir a RSA para controlar el
riesgo fortuito generado por el
personal interno constituye una
elección inteligente.
• Experiencia incomparable
para asegurar identidades,
información e infraestructura
• Amplia comprensión de la
naturaleza y los retos de
riesgos fortuitos generados
por el personal interno
• Enfoque integral basado
en estructuras
• Galardonados productos
y servicios de seguridad
• Sólidas relaciones con
partners, especialmente
con nuestra organización
matriz, EMC

Trabajamos junto a usted para desarrollar
un programa integral de administración
de riesgos y diseñar e implementar una
estructura apropiada de controles de
tecnología para aplicar sus políticas.
Informe breve sobre la solución de RSA 6

RSA es su partner de confianza
RSA, la División de Seguridad de EMC, es el
principal proveedor de soluciones de seguridad
para aceleración del negocio que ayudan a las
organizaciones más importantes del mundo a
alcanzar el éxito mediante la resolución de los
retos de seguridad más complejos y delicados.
El enfoque hacia la seguridad centrado en la
información que ofrece RSA protege la integridad
y la confidencialidad de la información durante
todo su ciclo de vida, sin importar dónde se la
transfiera, quién acceda a ella o cómo se la use.
RSA ofrece soluciones líderes de la industria
en seguridad de identidad y control de acceso,
encriptación y prevención de pérdida de datos,
administración de información sobre seguridad
y cumplimiento de normativas, y protección
contra fraudes. Estas soluciones brindan confianza
a millones de identidades de usuarios, a las
transacciones que realizan, y a los datos que
se generan. Para obtener más información,
consulte www.RSA.com (visite el sitio web de
su país correspondiente) y www.EMC.com (visite
el sitio web de su país correspondiente).
RSA, LogSmart y “All the Data“ son marcas registradas o marcas
comerciales de RSA Security Inc. en los Estados Unidos y en otros
países. EMC es una marca registrada de EMC. Windows es una marca
registrada de Microsoft Corporation en los Estados Unidos y otros
países. Todos los demás productos y servicios mencionados son
marcas comerciales de sus respectivas empresas.
IRSK SB 0709