Contenidos del Diplomado Anual

AGASSI-DIPLOMADO

Temario

El temario responderá principalmente a los dominios de las certificaciones CISA, CRISC y CISM y CISSP, complementado con algunas otras disciplinas de interés para las empresas de hoy. Así tendremos que el programa a desarrollar debería involucrar a las siguientes disciplinas:

  • Seguridad de la Información
  • Gobierno de TI
  • Gestión de Riesgos de TI
  • Auditoría de TI
  • Aspectos Legales y Regulatorios
  • Análisis Forense Informático
  • Comportamiento organizacional
U01. GOBIERNO DE TI.

La planeación estratégica de TI. Su alineación al Plan de Negocios. El plan táctico de TI. La arquitectura de la información. La Dirección tecnológica. Los procesos y organización de TI. La inversión en TI. Los recursos. La calidad. Lo riesgos. Los proyectos. El monitoreo y evaluación del Desempeño de TI; del Control Interno. Garantizar el Cumplimiento Regulatorio y Proporcionar Gobierno de TI. Metas y métricas de TI; procesos y actividades relacionadas.

U02.- GOBIERNO DE SEGURIDAD DE LA INFORMACIÓN.

Establecer y mantener un marco de referencia para asegurar que las estrategias de seguridad de información están alineadas con los objetivos del negocio y son consistentes con las leyes y regulaciones aplicables. Prácticas de Gestión de la Seguridad: Identificación de los activos de una organización y desarrollo, documentación e implementación de políticas, estándares, procedimientos y guías: Conceptos y objetivos; Gestión del riesgo; Procedimientos y políticas; Clasificación de la información; Responsabilidades y roles en la seguridad de la información; Concienciación en la seguridad de la información.

U03.- GESTIÓN DE RIESGOS DE TI y AUDITORIA.

Identificar y gestionar los riesgos de seguridad de la información para lograr los objetivos del negocio. Marco de Trabajo de Administración de Riesgos; Identificación / clasificación de activos. Evaluación del Riesgo inherente. Controles mitigantes. Riego residual. Plan de acción. Modelo de madurez/Mejor continua. Marco de Gestión de Riesgos de ISCA, ISO 27005:2008.
Prácticas de control. Estándares de auditoría. Objetivos de Control. Realización de auditorías. Organización y administración de sistemas de información. Estrategias. Políticas y procedimientos. Prácticas gerenciales. Estructura organizativa. Procesamiento de los sistemas de información. Hardware, Software y redes. Integridad, confidencialidad y disponibilidad de la información. Desarrollo, adquisición y mantenimiento de los sistemas de información y tecnología asociada. Técnicas y Herramientas de Auditoría Asistida por Computadora (CAATTs).

U04.- DESARROLLO/GESTIÓN DEL PROGRAMA DE SEGURIDAD DE LA INFORMACIÓN.

Crear y mantener un programa para implementar la estrategia de seguridad de información. Estrategia. Política. Concientización. Implementación. Monitoreo. Auditoría. Supervisar y dirigir las actividades de seguridad de información para ejecutar el programa de seguridad de información.

U05.- CRIPTOGRAFÍA.

Los principios, medios y métodos de protección de la información para asegurar su integridad, confidencialidad y autenticidad: Historia y definiciones; Aplicaciones y usos de la criptografía; Protocolos y estándares; Tecnologías básicas; Sistemas de encriptación; Criptografía simétrica / asimétrica; Firma digital; Seguridad en el correo electrónico e Internet empleando encriptación; Gestión de claves; Public key infrastructure (PKI); Ataques y criptoanálisis; Cuestiones legales en la exportación de criptografía.

U06.- SISTEMAS Y METODOLOGÍAS DE CONTROL DE ACCESO.

Conjunto de mecanismos que permiten crear una arquitectura segura para proteger los activos de los sistemas de información: Conceptos y tópicos; Identificación y autenticación; Equipo de e-security; Single sign-on; Acceso centralizado / descentralizado / distribuido; Metodologías de control; Monitorización y tecnologías de control de acceso

U07.- DESARROLLO DE SISTEMAS Y APLICACIONES. MALWARE.

Define el entorno donde se diseña y desarrolla el software y engloba la importancia crítica del software dentro de la seguridad de los sistemas de información: Definiciones; Amenazas y metas de seguridad
Ciclo de vida; Arquitecturas seguras; Control de cambios; Medidas de seguridad y desarrollo de aplicaciones; Bases de datos y data warehousing; Knowledge-based Systems.
Malware (del inglés malicious software), también llamado badware, código maligno, software malicioso o software malintencionado, es un tipo de software que tiene como objetivo infiltrarse o dañar una computadora sin el consentimiento de su propietario. El término malware incluye virus, gusanos, troyanos, la mayor parte de los rootkits, scareware, spyware, adware intrusivo, crimeware y otros softwares maliciosos e indeseables. Malware no es lo mismo que software defectuoso; este último contiene bugs peligrosos, pero no de forma intencionada.

U08.- SEGURIDAD FÍSICA.

Técnicas de protección de instalaciones, incluyendo los recursos de los sistemas de información: Gestión de las instalaciones; Seguridad del personal; Defensa en profundidad; Controles físicos.

U09.- SEGURIDAD DE LAS OPERACIONES I.

Seguridad y disponibilidad operativa. Redundancias. Contingencias. Monitoreo. Separación de ambientes operativos. Filtrado Web/Mail/Spam. Autenticación de máquinas/dispositivos. Diseño de políticas de accesos remotos. Soluciones de acceso a redes basadas en infraestructura PKI, OTP, 802.1x.

U10.- SEGURIDAD EN REDES, INTERNET Y TELECOMUNICACIONES.

Incluye los dispositivos de la red, los métodos de transmisión, formatos de transporte, medidas de seguridad y autenticación: Gestión de la seguridad en la comunicaciones: Protocolos de red; Identificación y autenticación; Comunicación de datos; Seguridad de Internet y Web; Métodos de ataque; Seguridad en Multimedia

U11.- RECUPERACION DE DESASTRES (DRP)

Recuperación ante Desastres y Planificación de la Continuidad del Negocio: Dirige la preservación del negocio en el caso de producirse situaciones de parada para la restauración de las operaciones: Panificación de la recuperación; Gestión del software; Análisis de Vulnerabilidades; Desarrollo, mantenimiento y testing de planes; Prevención de desastres.

U12.- PRACTICA FORENSE.

Prácticas de control. Estándares de auditoría. Objetivos de Control. Realización de auditorías. Organización y administración de sistemas de información. Estrategias. Políticas y procedimientos. Prácticas gerenciales. Estructura organizativa. Procesamiento de los sistemas de información. Hardware, Software y redes. Integridad, confidencialidad y disponibilidad de la información. Desarrollo, adquisición y mantenimiento de los sistemas de información y tecnología asociada. Técnicas y Herramientas de Auditoría Asistida por Computadora (CAATTs).
El cibercrimen: El cibercriminal. Delitos informáticos. El derecho y la informática. Lo que un investigador debe conocer de derecho. La evidencia digital. La cadena de custodia. La escena del crimen. Incautación de equipos. La informática forense: Metodología de análisis. La línea de tiempo (timeline). Identificación de la evidencia. Preservación de la evidencia. Hash md5, sha1. Extrayendo imágenes de discos duros. Extrayendo imágenes de la memoria ram.

U13.- LEYES, INVESTIGACIÓN Y ÉTICA. HABEAS DATA

Engloba las leyes y regulaciones de los crímenes informáticos, las técnicas y medidas de investigación, recuperación de evidencias y códigos éticos: Leyes y regulaciones; Gestión de incidentes; Gestión de la respuesta ante incidentes; Conducción de investigaciones; Ética en la seguridad de la información; Código ético del (ISC)². La legislación y requisitos aplicables para las empresas derivados de la Seguridad de la información, Sociedad de la Información, las nuevas tecnologías, Los contratos informáticos. Los contratos electrónicos, la Firma electrónica.
La Ley de PROTECCIÓN DE DATOS PERSONALES (Habeas Data) es el derecho, en ejercicio de una acción constitucional o legal, que tiene cualquier persona que figura en un registro o banco de datos, de acceder a tal registro para conocer qué información existe sobre su persona, y de solicitar la corrección de esa información si le causara algún perjuicio. Existen en diversos países (como España Francia, Argentina y Uruguay) organismos de control que tienen por misión supervisar el tratamiento de datos personales por parte de empresas e instituciones públicas.

U14.- COMPORTAMIENTO ORGANIZACIONAL.

Negociación. Coaching. Presentación de proyectos. Gestión de crisis. Interrelación con las personas y el contexto. Cultura y comportamiento organizacional. Concientización.

U15.- SEGURIDAD DE LAS OPERACIONES II.

ABM de usuarios y perfiles de acceso. Definiciones, controles básicos para mantener una adecuada segregación de funciones y minimizar el riesgo del fraude interno/externo y/o impactos en los procesos debido a errores involuntarios. Manejo de solicitudes de alta, modificación y/o eliminación de cuentas de usuarios comunes, especiales, cuentas con máximos privilegios; cuentas de servicio; etc. Política de claves de acceso. Reguardo de usuarios y claves.

U16.- GESTIÓN DE INCIDENTES

Planificar, desarrollar y gestionar la capacidad para detectar, responder y recuperarse de incidentes de seguridad de información. Análisis de las causas que generan los incidentes, para determinar identificar la solución de fondo. Monitoreo de la Gestión de incidentes.

TRABAJO DE EVALUACIÓN FINAL