Alineando la Gestión de Riesgos de Seguridad de la Información y la Ciberseguridad

Objetivo

Promover en los participantes el desarrollo de conocimientos teórico y habilidades prácticas relacionadas con el gobierno y la gestión del Riesgo de la Seguridad de la Información y la Ciberseguridad.

Objetivos Específicos

1) Repasar conceptos clave, así como el alcance de los procesos de gobierno y gestión de la seguridad de la información (SI) y la Ciberseguridad (CS).
2) Repasar marcos y mejores prácticas para diseñar, implementar y mantener un proceso de gobierno del riesgo de seguridad de la información y la Ciberseguridad.
3) Diseñar herramientas prácticas y sencillas para identificar, medir, monitorear y tratar los riesgos de seguridad de la información y así como su relación con otros tipos de riesgos, como el de Ciberseguridad.
4) Reflexionar sobre lo discutido y compartido en la jornada y enumerar las principales conclusiones.

Temario

1. Introducción a la Seguridad de la Información:
1.1 La información y su importancia.
1.2 El verdadero valor de nuestra información.
1.3 Agentes de amenaza más comunes.
1.4 Riesgos de seguridad de la información (SI).
1.5 Impactos o consecuencias de la materialización de riesgos de SI.
1.6 Relación entre los riesgos de SI y otros tipos de riesgos y la ciberseguridad.
1.7 Problemática que supone la falta de SI.
1.8 Regulaciones y estándares a nivel internacional.

2. Comprendiendo el panorama de amenazas:
2.1 Evolución del panorama de amenazas y riesgos de SI.
2.2 Explorando el estado de la situación en distintas industrias.
2.3 Riesgo de SI y la ciberseguridad (CS).
2.4 Códigos maliciosos y tipos ataques.
2.5 Atributos de un ciberataque.
2.6 Proceso de un ciberataque.
2.7 Ciberataques: Técnicas, Tácticas y Procedimientos.
2.8 Análisis de vulnerabilidades y remediación.

3. Gobierno de la seguridad de la información y la ciberseguridad:
3.1 Las líneas de defensa.
3.2 Principios de gobierno y gestión.
3.3 Gobierno y gestión.
3.4 Roles y responsabilidades.
3.5 Diferencias entre el gobierno y gestión.
3.6 Comprendiendo el macroproceso.

4. Gestión de los servicios esenciales y los activos de información:
4.1 Identificación de procesos y servicios esenciales.
4.2 Activos de información y su importancia.
4.3 Formatos de activos de información.
4.4 La información y su ciclo de vida.
4.5 Activos de soporte a la información.
4.6 Clasificando y valorando activos de información.
4.7 Gestionando activos de información.

5. Proceso de gestión de riesgos:
5.1 Ciclo de vida de la gestión de riesgos (GR).
5.2 Integralidad del proceso.
5.3 Roles y responsabilidades.
5.4 Conceptos importantes sobre la gestión de riesgos.
5.5 Amenazas.
5.6 Vulnerabilidades.
5.7 Afectación a la confidencialidad (C), Integridad (I) y Disponibilidad (D).
5.8 Identificación y redacción de los escenarios de riesgo.
5.9 Cuantificación de los escenarios de riesgos.
5.10 Apetito y tolerancia al riesgo.
5.11 Diseñando indicadores de monitoreo.
5.12 Definiendo planes de tratamiento.
5.13 Tipos de control.
5.14 Diseño e implementación de controles para proteger la CID.

6. Evaluación de controles:
6.1 Proceso de evaluación de controles.
6.2 Capacidades requeridas.
6.3 Diseñando una prueba de evaluación de controles.
6.4 Documentando los resultados.

7. Gestión de eventos e incidentes:
7.1 Diferencias entre un evento e incidente.
7.2 Relación de eventos e incidentes de SI y CS.
7.3 Reportando eventos e incidentes.
7.4 Diferencias entre incidentes e incidencias.
7.5 Lecciones aprendidas de los eventos e incidentes.

Facilitador

Ing. Raúl Rivera Méndez

Ingeniero en Sistemas, Máster en Administración de Empresas con Énfasis en Finanzas, Máster en Telemática, Máster en Ciberseguridad Industrial.
Certificado internacionalmente CISA, CISM, CRISC, CGEIT, CDPSE, CSXF, CSXA, Cobit 5F, ITILF v2, AL ISO27000, DFIR y es instructor acreditado por ISACA para los cursos oficiales de CSXF y CSXA.
Cuenta con más de 29 años de carrera profesional y experiencia en el sector financiero, servicios y de las tecnologías de la información y comunicación, el cual ha laborado para importantes empresas transnacionales como Acer, Unisys, PwC, BAC Credomatic y Mastercard.
Ha sido miembro de la Junta Directiva de ISACA Costa Rica, asesor y vocero en ciberseguridad para la Asociación Bancaria Costarricense.
Lidera para Costa Rica el programa de Cybersecurity Nexus de ISACA y el Centro de Ciberseguridad Industrial de España. Ha colaborado para la
Organización de Estados Americanos capacitando en Ciberseguridad a personal de gobiernos latinoamericanos, así como en el desarrollo de propuestas de políticas públicas para parlamentos latinoamericanos.
Además, cuenta con más de 19 años de experiencia como conferencista internacional en Seguridad de la Información y Ciberseguridad, además de ser instructor acreditado por APMG Internacional para cursos oficiales de ISACA Global.