- La Auditoría de Protección de Datos
- El Proceso de Auditoría. Cuestiones generales y aproximación a la Auditoría. Características básicas de la Auditoría
- Elaboración del Informe de Auditoría. Aspectos básicos e importancia del Informe de Auditoría
- Ejecución y seguimiento de Acciones Correctoras
- La función de la Auditoría en los Sistemas de Información. Conceptos básicos. Estándares y Directrices de Auditoría de SI
- Control interno y mejora continua. Buenas prácticas. Integración de la auditoría de protección de datos en la auditoría de SI
- Planificación, ejecución y seguimiento
- Esquema Nacional de Seguridad, ISO/IEC 27001:2013 (Actualización a la norma UNE-EN ISO/IEC 27001:2017 Requisitos de sistemas de Gestión de Seguridad de la Información, SGSI)
- Gestión de la Seguridad de los Activos. Seguridad lógica y en los procedimientos. Seguridad aplicada a las TI y a la documentación
- Recuperación de desastres y continuidad del Negocio. Protección de activos técnicos y documentales. Planificación y gestión de la Recuperación de Desastres
- Conceptos generales de gestión de incidentes, detección de intrusiones y su prevención
- Identificación y caracterización de los datos de funcionamiento del sistema
- Arquitecturas más frecuentes de los IDS
- Relación de los distintos tipos de IDS/IPS por ubicación y funcionalidad
- Criterios de seguridad para el establecimiento de la ubicación de los IDS/IPS
- Análisis previo
- Definición de políticas de corte de intentos de intrusión en los IDS/IPS
- Análisis de los eventos registrados por el IDS/IPS
- Relación de los registros de auditoría del IDS/IPS
- Establecimiento de los niveles requeridos de actualización, monitorización y pruebas del IDS/IPS
- Sistemas de detección y contención de Malware
- Herramientas de control de Malware
- Criterios de seguridad para la configuración de las herramientas de protección frente a Malware
- Determinación de los requerimientos y técnicas de actualización de las herramientas de protección frente a Malware
- Relación de los registros de auditoría de las herramientas de protección frente a Malware
- Establecimiento de la monitorización y pruebas de las herramientas de protección frente a Malware
- Análisis de Malware mediante desensambladores y entornos de ejecución controlada
- Procedimiento de recolección de información relacionada con incidentes de seguridad
- Exposición de las distintas técnicas y herramientas utilizadas para el análisis y correlación de información y eventos de seguridad
- Proceso de verificación de la intrusión
- Naturaleza y funciones de los organismos de gestión de incidentes tipo CERT nacionales e internacionales
- Establecimiento de las responsabilidades
- Categorización de los incidentes derivados de intentos de intrusión
- Establecimiento del proceso de detección y herramientas de registro de incidentes
- Establecimiento del nivel de intervención requerido en función del impacto previsible
- Establecimiento del proceso de resolución y recuperación de los sistemas
- - Respaldo y recuperación de los datos
- - Actualización del Plan de Recuperación
- - Errores comunes al formular un DRP
- Proceso para la comunicación del incidente a terceros
- Plan de implantación del SGSI
- Análisis de riesgos
- - Análisis de riesgos: Aproximación
- - Principales tipos de vulnerabilidades, fallos de programa, programas maliciosos y su actualización permanente, así como criterios de programación segura
- - Particularidades de los distintos tipos de código malicioso
- - Principales elementos del análisis de riesgos y sus modelos de relaciones
- - Metodologías cualitativas y cuantitativas de análisis de riesgos
- - Identificación de los activos involucrados en el análisis de riesgos y su valoración
- - Identificación de las amenazas que pueden afectar a los activos identificados previamente
- - Análisis e identificación de las vulnerabilidades existentes en los sistemas de información que permitirían la materialización de amenazas, incluyendo el análisis local
- - Optimización del proceso de auditoría y contraste de vulnerabilidades e informe de auditoría
- - Identificación de las medidas de salvaguarda existentes en el momento de la realización del análisis de riesgos y su efecto sobre las vulnerabilidades y amenazas
- - Establecimiento de los escenarios de riesgo entendidos como pares activo-amenaza susceptibles de materializarse
- - Determinación de la probabilidad e impacto de materialización de los escenarios
- - Establecimiento del nivel de riesgo para los distintos pares de activo y amenaza
- - Determinación por parte de la organización de los criterios de evaluación del riesgo, en función de los cuales se determina si un riesgo es aceptable o no
- - Relación de las distintas alternativas de gestión de riesgos
- - Guía para la elaboración del plan de gestión de riesgos
- - Exposición de la metodología NIST SP 800-30
- - Exposición de la metodología Magerit
- Gestión de riesgos
- - Aplicación del proceso de gestión de riesgos y exposición de las alternativas más frecuentes
- - Metodologías comúnmente aceptadas de identificación y análisis de riesgos
- - Aplicación de controles y medidas de salvaguarda para obtener una reducción del riesgo
- Criterios Generales en la Auditoría de Seguridad de la Informática
- - Código deontológico de la función de auditoría
- - Relación de los distintos tipos de auditoría en el marco de los sistemas de información
- - Criterios a seguir para la composición del equipo auditor
- - Tipos de pruebas a realizar en el marco de la auditoría, pruebas sustantivas y pruebas de cumplimiento
- - Tipos de muestreo a aplicar durante el proceso de auditoría
- - Utilización de herramientas tipo CAAT (Computer Assisted Audit Tools)
- - Explicación de los requerimientos que deben cumplir los hallazgos de auditoría
- - Aplicación de criterios comunes para categorizar los hallazgos como observaciones o no conformidades
- - Relación de las normativas y metodologías relacionadas con la auditoría de sistemas de información comúnmente aceptadas
- Aplicación de la normativa de protección de datos de carácter personal
- - Normativa de referencia: Reglamento General de Protección de Datos y Ley Orgánica de Protección de Datos 3/2018
- - Principios generales de la protección de datos de carácter personal
- - Legitimación para el tratamiento de datos personales
- - Medidas de responsabilidad proactiva
- - Los derechos de los interesados
- - Delegado de Protección de Datos
- Herramientas para la auditoría de sistemas
- - Herramientas del sistema operativo tipo Ping, Traceroute, etc.
- - Herramientas de análisis de red, puertos y servicios tipo Nmap, Netcat, NBTScan, etc.
- - Herramientas de análisis de vulnerabilidades tipo Nessus
- - Analizadores de protocolos tipo WireShark, DSniff, Cain & Abel, etc.
- - Analizadores de páginas web tipo Acunetix, Dirb, Parosproxy, etc
- - Ataques de diccionario y fuerza bruta tipo Brutus, John the Ripper, etc.
- Descripción de los aspectos sobre cortafuego en auditorías de sistemas de información
- - Principios generales de cortafuegos
- - Componentes de un cortafuegos de red
- - Relación de los distintos tipos de cortafuegos por ubicación y funcionalidad
- - Arquitecturas de cortafuegos de red
- Guías para la ejecución de las distintas fases de la auditoría de sistemas de información
- - Normas para la implantación de la auditoría de la documentación
- - Instrucciones para la elaboración del plan de auditoría
- - Pruebas de auditoría
- - Instrucciones para la elaboración del informe de auditoría
- Seguridad a nivel físico
- - Tipos de ataques
- - Servicios de Seguridad
- - Medidas de seguridad a adoptar
- Seguridad a nivel de enlace
- - Tipos de ataques
- - Medidas de seguridad a adoptar
- Seguridad a nivel de red
- - Datagrama IP
- - Protocolo IP
- - Protocolo ICMP
- - Protocolo IGMP
- - Tipos de Ataques
- - Medidas de seguridad a adopta
- Seguridad a nivel de transporte
- - Protocolo TCP
- - Protocolo UDP
- - Tipos de Ataques
- - Medidas de seguridad a adoptar
- Seguridad a nivel de aplicación
- - Protocolo DNS
- - Protocolo Telnet
- - Protocolo FTP
- - Protocolo SSH
- - Protocolo SMTP
- - Protocolo POP
- - Protocolo IMAP
- - Protocolo SNMP
- - Protocolo HTTP
- - Tipos de Ataques
- - Medidas de seguridad a adoptar
