Frente de la Tarjeta (término)		Atrás de la tarjeta (definición)	3ra Lámina (pista)

1.	Imágen: Remover Conceptos básicos, Identificación, Autenticación, Autorización.	Imágen: Remover Identificación: Quién es usted?<br /> Autenticación: Es usted quien dice ser?<br /> Autorización: A qué recursos puede acceder usted?	Imágen: Remover	Elimina Reordena
2.	Imágen: Remover Gestión de identidades (IDM), qué es?; quién pueden gestionar?; tipos de identidades?	Imágen: Remover Combinación de procesos, políticas y tecnología para gestionar identidades.<br /> Puede ser humano (usuario) o no (aplicaciones, servicios, redes).<br /><br /> Tipos de identidades:<br /> 1. Internas: Empleados, contratistas.<br /> 2. Externas: Clientes, proveedores.	Imágen: Remover	Elimina Reordena
3.	Imágen: Remover IDM, Ciclo de vida	Imágen: Remover	Imágen: Remover	Elimina Reordena
4.	Imágen: Remover Directorios	Imágen: Remover Permite identificar personas y recursos a los cuales pueden acceder (Autorización).<br /><br /> Ejemplos:<br /> LDAP.<br /> Active Directory.	Imágen: Remover	Elimina Reordena
5.	Imágen: Remover Autenticación, conocimiento	Imágen: Remover Algo que sabes, password, PIN, passphrase.	Imágen: Remover	Elimina Reordena
6.	Imágen: Remover Problemas con uso de password	Imágen: Remover 1. Mal creadas<br /> 2. Mal administradas (en papel o no encriptadas).<br /> 3. Uso de password cognitiva (tipo preguntas).<br /> 4. Mala implementación de sistemas de password.<br /> Largo forzado o almacenadas en mecanismos distintos a KDF.	Imágen: Remover	Elimina Reordena
7.	Imágen: Remover Preguntas Cognitivas: Sarah Palin	Imágen: Remover Atacante obtuvo acceso a la cuenta de yahoo vía password cognitiva (busca en Wikipedia fecha de nacimiento, colegio).	Imágen: Remover	Elimina Reordena
8.	Imágen: Remover Password Cognitivas, Corrección.	Imágen: Remover No utilizarlas, o crear tus propias preguntas.<br /> Agregar un factor de Autenticación adicional.	Imágen: Remover	Elimina Reordena
9.	Imágen: Remover No cambio periódico de password	Imágen: Remover Si a in usuario se le solicita que cambie password cada cierto tiempo.<br /> 1. Nueva password más fácil.<br /> 2. Iterar password actual.	Imágen: Remover	Elimina Reordena
10.	Imágen: Remover Caso: Demre U de Chile	Imágen: Remover Estudiante "celosa" modifica postulación (Posteos por Instagram).<br /> La password es un número de folio no cambiable.	Imágen: Remover	Elimina Reordena
11.	Imágen: Remover Autenticación, Propiedad	Imágen: Remover Algo que tienes.<br /><br /> Llave<br /> Tarjeta de acceso RFID<br /> Tokén en el móvil o físico.<br />	Imágen: Remover	Elimina Reordena
12.	Imágen: Remover Autenticación, Característica.	Imágen: Remover Algo que Eres.<br /><br /> Impresión dáctilar<br /> Patrón de Iris<br /> Impresión de voz	Imágen: Remover	Elimina Reordena
13.	Imágen: Remover Autenticación de 2 factores (2FA)	Imágen: Remover Combinación de conocimiento y propiedad.<br /><br /> ejemplos:<br /> Cajero automático (tarjeta + PIN)<br /> Acceso a cuenta bancaria (Password + Digipass)<br /> Acceso a cuentas de servicios online (OTP)<br />	Imágen: Remover	Elimina Reordena
14.	Imágen: Remover SMS para 2FA	Imágen: Remover Registro del celular para envío de código de Autenticación, problemas de MITM o Malware.	Imágen: Remover	Elimina Reordena
15.	Imágen: Remover 2FA usando OTP (One Time Password)	Imágen: Remover HOTP: OTP generada cada vez que se consulta.<br /> TOTP: OTP generada cada cierto tiempo.	Imágen: Remover	Elimina Reordena
16.	Imágen: Remover Universal 2nd Factor (U2F)	Imágen: Remover Uso de llave digital física criptográfica.<br /> Mejora usabilidad.<br />	Imágen: Remover	Elimina Reordena
17.	Imágen: Remover Single Sing On (SSO)	Imágen: Remover Log una vez, logiado en todo.<br /> Aporta ppio de aceptabilidad psicológica.<br /> Tecnología (Kerberos, SAML).	Imágen: Remover	Elimina Reordena
18.	Imágen: Remover Federación	Imágen: Remover Permite extender SSO a través de diversas organizaciones.<br /><br /> Ejemplo:<br /> OpenID	Imágen: Remover	Elimina Reordena
19.	Imágen: Remover OpenID	Imágen: Remover Permite autenticar usuarios a sitios vía un proveedor de identidad.	Imágen: Remover	Elimina Reordena
20.	Imágen: Remover Problemas con federación	Imágen: Remover Si falla proveedor de federación:<br /> Potencial SPOF/DoS<br /> Respaldo?<br /> Protección de transmición<br />	Imágen: Remover	Elimina Reordena
21.	Imágen: Remover Autorización, modelos de control de acceso	Imágen: Remover Control de acceso discrecional (DAC)<br /> Restringe acceso a objetos basados en usuarios/grupos.<br /> Un sujeto puede pasar esos privilegios (GRANT) a otros.	Imágen: Remover	Elimina Reordena
22.	Imágen: Remover Control de acceso mandatorio (MAC)	Imágen: Remover Acceso a objetos basados en su sensibilidad (confidencial, secreto, ultra secreto).<br /> Manejado centralmente (No Grants).<br />	Imágen: Remover	Elimina Reordena
23.	Imágen: Remover Role based access control (RBAC)	Imágen: Remover Permite definir accesos mediante roles y usuarios.<br /> Así se pueden definir privilegios por grupo y aplicarlos a múltiples usuarios en forma simple y controlada.	Imágen: Remover	Elimina Reordena
24.	Imágen: Remover OAuth, y sus abusos	Imágen: Remover Permite acceso de aplicaciones externas a datos de un sistema vía tokens.<br /><br /> Abuso:<br /> todo o nada<br /> Por eso se incluyen permisos que permiten extraer datos que no corresponden.<br /> Usar para salvaguardar API limits	Imágen: Remover	Elimina Reordena
25.	Imágen: Remover Errores al asignar permisos	Imágen: Remover Dar demasiados permisos (o todos).<br /> No dar ninguno.<br /> No auditar periódicamente usuarios, grupos, roles y permisos.<br /> Mal uso de password.	Imágen: Remover	Elimina Reordena
26.	Imágen: Remover Escalación de privilegios, qué es?, tipos?	Imágen: Remover Consiste en explotar un bug o falla de diseño o configuración para obtener acceso a recursos que no le corresponden.<br /><br /> tipos:<br /> 1. Escalación Vertical<br /> Usuario o proceso obtiene un nivel de acceso mayor al que debería (Buffer Overflows en servicos; SQL injection; Jailbreak/rooting).<br /><br /> 2. Escalación Horizontal<br /> Usuario o proceso obtiene privilegios de otros usuarios o procesos de su mismo nivel (robo secuestro de sesiones HTTP usando XSS; password decifrable; keystroke logging).<br /><br /><br />	Imágen: Remover	Elimina Reordena
27.	Imágen: Remover Privilegio, Prevención	Imágen: Remover Ppio Privilegio mínimo (todos los módulos/usuarios deben tener permisos para lo que deben).<br /> Aumentar privilegios si y solo si no se puede de otra forma.<br /> Ppio de mecanismos menos común, ocupar diferentes privilegios.	Imágen: Remover	Elimina Reordena
28.	Imágen: Remover Cumplimiento (Compliance)	Imágen: Remover Es el cumplimiento de estándares, sean estos:<br /> 1. Generados por regulación estatal/comunitaria.<br /> 2. Creadas por industria.<br />	Imágen: Remover	Elimina Reordena
29.	Imágen: Remover Cumplimiento regulado	Imágen: Remover Asegura que el tratamiento de información de la industria a la sociedad de que las protecciones satisfacen un estándar mínimo.<br /> Son publicas y existe expertirse para interpretar el lenguaje legal.<br /><br /> Ejemplos:<br /> Health Insurance Portability and Privacy Act (HIPPA).<br /> Sarbanes-Oxley (SOX).<br /> NERC Critical Infrastructure Protection (CIP).<br />	Imágen: Remover	Elimina Reordena
30.	Imágen: Remover No Cumplimiento	Imágen: Remover Existen 3 tipos:<br /> 1. Regulatorias.<br /> 2. Civiles.<br /> 3. De Mercado.	Imágen: Remover	Elimina Reordena
31.	Imágen: Remover Penas Regulatorias	Imágen: Remover Autoridades asignan multas.<br /> Demandas civiles (Civiles, no criminales).<br /><br /> Ejemplos:<br /> Cartolazo bco de Chile.	Imágen: Remover	Elimina Reordena
32.	Imágen: Remover Caso: Cartolazo Banco de Chile	Imágen: Remover Cartolas enviadas por error a clientes.<br /> 53.000 afectados.<br /> Outsourcing y Responsabilidad.<br />	Imágen: Remover	Elimina Reordena
33.	Imágen: Remover Penas de Mercado	Imágen: Remover 1. Reputación de la organización.<br /> 2. Pueden alejarse los clientes si tienen mala percepción de la seguridad.<br /> 3. Leyes de regulación directas (Reglamento SBIF, demandas por estafas).<br /><br /> Ejemplos:<br /> PCI DSS (penas en que el sistema bancario no permita recibir tarjetas de crédito).<br />	Imágen: Remover	Elimina Reordena
34.	Imágen: Remover Costos de compliance	Imágen: Remover Directors:<br /> 1. Nueva infraestructura (firewalls, IDS, DLP).<br /> 2. Personal adicional.<br /> 3. Capacitación/Concientización personal actual.<br /> 4. Auditorias internas.<br /><br /> Indirectas:<br /> 1. Costos de oportunidad.<br /> 2. Restricciones en modelos de negocios.<br />	Imágen: Remover	Elimina Reordena
35.	Imágen: Remover Beneficios de compliance	Imágen: Remover Directos:<br /> 1. Marketing y ventas.<br /> 2. Mejora reputación B2B.<br /> 3. Preparación ante peticiones de clientes.<br /><br /> Indirectas:<br /> 1. Mejoramiento de procesos (CMM(i)).<br /> 2. Reducción de riesgos.	Imágen: Remover	Elimina Reordena
36.	Imágen: Remover Estándares, ISO/IEC 27001:2013	Imágen: Remover Define especificación SGSI como continuo en el tiempo.<br /> Define 10 claúsulas cortas, largo anexo, el cual cubre 114 controles en 11 grupos.<br /> -Políticas, Organización, RRHH, Activos.<br /> -Control de acceso.<br /> -Uso de criptografía.<br /> -Seguridad ambiental y física.<br />	Imágen: Remover	Elimina Reordena
37.	Imágen: Remover SGSI, y sus pasos?	Imágen: Remover Conjunto de políticas que se encargan de la seguridad de información en la organización.<br /> Diseña e implementar un conjunto de políticas, procesos y sistemas tendientes a gestionar riesgos.<br /><br /> Proceso continuo y no un evento.<br /> Pasos:<br /> 1. Plan<br /> 2. Do<br /> 3. Check<br /> 4. Act	Imágen: Remover	Elimina Reordena
38.	Imágen: Remover Estándares, ISO/IEC 27002:2013	Imágen: Remover Guía de recomendaciones y buenas prácticas.<br /> No certificable.<br /> Más flexible permite adecuar controles a la realidad de cada empresa.<br />	Imágen: Remover	Elimina Reordena
39.	Imágen: Remover Estándares, ISO/IEC 27005:2011	Imágen: Remover Define pautas de gestión de riesgo de seguridad de información.<br /> No recomienda metodología.<br /> Establece elementos iterativos.	Imágen: Remover	Elimina Reordena
40.	Imágen: Remover Estándares, PCI-DSS v3	Imágen: Remover Estándar para organización que manejen tarjetas de crédito.<br /> Creado para evitar fraude con tarjetas de crédito.	Imágen: Remover	Elimina Reordena
41.	Imágen: Remover Ley actual 19233 del año 1993 (antes de internet)	Imágen: Remover Demasiado general,<br /> Artí*****:<br /> 1. Destrucción o empedimento de funcionamiento (disponibilidad).<br /> 2. Interceptación de información (confidencial).<br /> 3. Alteración, daño o destrucción de información (integridad).<br /> 4. Filtración de información (Confidencial).	Imágen: Remover	Elimina Reordena
42.	Imágen: Remover Boletín 10145-7	Imágen: Remover Modifica ley 19233,<br /> Añade:<br /> Crimenes como abuso de dispositivos y phishing.<br /> Agravantes (administración o estado).	Imágen: Remover	Elimina Reordena
43.	Imágen: Remover Política nacional de ciberseguridad	Imágen: Remover Publicada en Abril 2017,<br /><br /> Ejes:<br /> Infraestructura de información.<br /> Prevención, persecución y sanción de cibercrimen.<br /> Sensibilización, formación y difusión.<br /> Cooperación internacional.<br /> Desarrollo industrial y productivo en ciberseguridad.<br /> Institucionalidad.	Imágen: Remover	Elimina Reordena
44.	Imágen: Remover Certificación, ISC CISSP (Certified information security systems professional)	Imágen: Remover Permite proveer estructura y demostrar competencia en los conocimientos de un individuo.<br /> Múltiples dominios (control de acceso, criptografía, legal, seguridad de operaciones).<br /> Demostrar experiencia en seguridad y mantenerse actualizados.	Imágen: Remover	Elimina Reordena
45.	Imágen: Remover Certificación, ISC CSSLP (Certified Secure Software Lifecycle Professional)	Imágen: Remover Certificación a desarrolladores de software expertos en seguridad.<br />	Imágen: Remover	Elimina Reordena
46.	Imágen: Remover Certificación, ISACA CISM (Certified Information Security Manager)	Imágen: Remover Certifica a expertos en gestión de seguridad de información en 4 dominios:<br /> 1. Governance.<br /> 2. Gestión y cumplimiento.<br /> 3. Desarrollo y gestión de un programa de seguridad de la información.<br /> 4. Gestión de incidentes.	Imágen: Remover	Elimina Reordena
47.	Imágen: Remover Certificación, ISACA CISA (Certified Information Security Auditor)	Imágen: Remover Certifica a expertos en auditorias de seguridad de la información en 5 dominios.<br /> 1. Proceso de auditoría.<br /> 2. Governance y gestión TI.<br /> 3. Adquisición, desarrollo e implementación de sistemas.<br /> 4. Operaciones, mantenimiento y servicios de sistemas.<br /> 5. Protección de activos de información.	Imágen: Remover	Elimina Reordena
48.	Imágen: Remover Certificación, EC-COUNCIL C\|CISO (Certified Chief Information Security Officer)	Imágen: Remover Certificación para especialistas de seguridad de la información empresarial.<br /> Habilidades necesarias para identificar factores de riesgo e implementar controles para manejarlos.	Imágen: Remover	Elimina Reordena
49.	Imágen: Remover Certificación, EC-COUNCIL CEH (Certified Ethical Hacker)	Imágen: Remover Persona con conocimiento de vulnerabilidades la cual es autorizada a realizar pruebas de penetración, con informe final.	Imágen: Remover	Elimina Reordena
50.	Imágen: Remover LA/LI ISO 27001	Imágen: Remover Certificaciones para personas,<br /> Lead Auditor (LA): Certificación otorgable a personas que conocen el estándar y validan implementaciones SGSI.<br /> Lead Implementor (LI): Implementa SGSI en empresas en base a ISO 27001.	Imágen: Remover ISO 27001 ES CERTIFICABLE A EMPRESAS.	Elimina Reordena
51.	Imágen: Remover Qué es el riesgo?	Imágen: Remover Probabilidad de que ocurra algo no deseado, con el posterior impacto a la organización.<br /><br /> R = P x I	Imágen: Remover	Elimina Reordena
52.	Imágen: Remover Gestión de riesgo (parte 1)	Imágen: Remover Contexto: se establece<br /> 1. Objetivos, procesos, requisitos de la organización.<br /> 2. Plan de manejo de riesgos.<br /> 3. Criterios de evaluación de riesgos.<br /> 4. Criterios de impacto.<br /> 5. Criterios de aceptación de riesgos.<br /><br /> Valoración de riesgos:<br /> Permite:<br /> Determinar valor activos en la organización.<br /> Identificar amenazas, vulnerabilidades y controles.<br /> Prioriza amenazas a ser controladas por su nivel de riesgo.<br /><br /> Actividades:<br /> 1. Identificación:<br /> Determinar qué ocurriría que cause una pérdida potencial y obtener información acerca de cómo, dónde y por qué esa pérdida podría ocurrir.<br /><br /> 2. Análisis:<br /> Cuantitativo: Información numérica para probabilidad e impacto.<br /> Cualitativo: Clasificar cualitativamente la magnitud de las consecuencias de un Ataque.<br /><br /> 3. Evaluación:<br /> Determinar riesgo para cada activo de información.<br /><br /><br /><br />	Imágen: Remover	Elimina Reordena
53.	Imágen: Remover Gestión de riesgo (parte 2)	Imágen: Remover Tratamiento de riesgos<br /> Evitación: Buscar alternativas Al activo, no materializar riesgo.<br /> Transferencia: Riesgo se transpasa o se comparte con entidad. (seguro o outsourcing).<br /> Retención: Se asume riesgo, debe haber responsable que se haga cargo (signoff).<br /> Mitigación: Aplicación de controles de los activos para eliminar o disminuir el nivel de riesgo.<br /> Tipos: (controles)<br /> Prevención: Permiten evitar eventos nocivos.<br /> Detectivos: Permiten registrar y alertar acerca de eventos.<br /> Reactivos: Permiten corregir consecuencias de eventos.<br /><br /><br />	Imágen: Remover	Elimina Reordena
54.	Imágen: Remover Aceptación y riesgo residual	Imágen: Remover Riesgo post-tratamiento = Riesgo residual<br /> 1. Aceptar el riesgo y documentar.<br /> 2. Rechazar el riesgo y comenzar de nuevo.	Imágen: Remover *Los tratamientos reducen riesgo.	Elimina Reordena
55.	Imágen: Remover Frameworks de análisis de riesgos	Imágen: Remover OWASP Risk Rating Methodology (software)<br /> OCTAVE: Operationally Critical Threat, Asset, and Vulnerability Evaluation.<br /> RiskIT (ISACA).<br /> FAIR: Factor Analysis of Information Risk.	Imágen: Remover	Elimina Reordena
56.	Imágen: Remover Respuesta a incidentes	Imágen: Remover Proceso de monitoreo y detección de incidentes.<br /> Objetivo: Volver Al estado normal de operaciones rápidamente con bajo o nulo impacto.<br />	Imágen: Remover	Elimina Reordena
57.	Imágen: Remover Divulgar vulnerabilidades	Imágen: Remover Sin divulgación<br /> 1. Protege reputación de proveedor.<br /> 2. Protege al público de miedos innecesarios.<br /> 3. Si proveedor no sabe, no tiene obligación de corregir.<br /> 4. Público podría usar sistemas inseguros.<br /><br /> Divulgación Responsable<br /> 1. Se reporta al proveedor.<br /> 2. Balancear la urgencia de la divulgación completa con seguridad de la no divulgación.<br /><br /> Divulgación Completa<br /> Se revelan todos los detalles de la vulnerabilidad.<br /> 1. Ayuda a proveedor a corregir.<br /> 2. Permite a usuarios desactivar o dejar de usar temporalmente sistemas.<br /> 3. Pone en peligro a usuarios que ignoran.<br /> 4. Presión a proveedores a corregir rápido.<br />	Imágen: Remover	Elimina Reordena
58.	Imágen: Remover Motivación divulgación Responsable	Imágen: Remover Establecer política pública de divulgación (incentivos).<br /> Tener contacto de seguridad (todo reporte debe considerarse)	Imágen: Remover	Elimina Reordena
59.	Imágen: Remover Ciclo de vida de Manejo de incidentes	Imágen: Remover Preparación (Prevención):<br /> 1. Gestión y análisis de riesgo.<br /> 2. Reforzamiento de HOST.<br /> 3. Seguridad de redes.<br /> 4. Prevención de Malware.<br /> 5. Entrenamiento y Concientización de usuarios.<br /><br /> Detección y Análisis:<br /> 1. Vectores de Ataque.<br /> 2. Signos de incidentes:<br /> a) Precursores: Algo podría ocurrir en el futuro.<br /> b) Indicadores: Algo ya está ocurriendo.<br /> 3. Análisis del incidente:<br /> a) Falsos positivos.<br /> b) Un Indicadores no es un incidente.<br /> 4. Priorización Incidente.<br /><br /> Contención, Erradicación y Recuperación.<br /> 1. Elegir estrategia de contención.<br /> 2. Obtención y manejo de evidencias.<br /> 3. Identificar Host atacantes.<br /> Erradicación: Borrado de Malware, eliminación de cuentas comprometidas, mitigación de vulnerabilidades.<br /> Recuperación: Restauración, confirmar funcionamiento, parchado.<br /><br /> Post-Mortem<br /> 1. Reuniones de lecciones aprendidas.<br /> 2. Generación de documentación.<br /> 3. Contacto con terceros (CERTs/CSIRTs; Labs de seguridad; Conocimiento público; Autoridades como la PDI)<br />	Imágen: Remover	Elimina Reordena
Añade otra tarjeta (o presione Tab ↹)
Paso 3: Salvar y Crear