Seguridad Gestionada Telefónica Data España Marzo de 2003

1. Seguridad GestionadaTelefónica Data EspañaMarzo de 2003 Juan Miguel Velasco López-Urda Subdirector Ingeniería de Proyectos y Servicios Dirección de Servicios de Protección de la Información UN Hosting y ASP 04 de Marzo de 2003

2. Comunicaciones Ocio y Entretenimiento Gestión Digital del Hogar Home Networking Diseño de soluciones Aplicaciones Gestión, soporte y seguridad Red Multiservicio Evolución de los servicios para cubrir las necesidades del cliente digital HOGARES EMPRESAS PERSONAS y VEHICULOS Soluciones ADSL para PYMEs Red Global (GSM, GPRS, UMTS) SEGURIDAD • e-comercio • Net-LAN • e-gestión • Web WiFi Corporativo/Hogar • Intranet • Acceso • Plataforma Soluciones e-BA para Grandes Empresas Bluetooth Personal 10 metros 100 metros Cobertura 2G/3G

3. Propuesta de Valor de la Oferta eBA (BANDA ANCHA) eBA • Diseño de soluciones (e-Business, e-Administración) 3 4 Aplicaciones • Gestión, soporte y seguridad 2 2B Servicios avanzados de comunicación/colaborativos Teletrabajo (móvil, fijo) Multivideo-conferencia Servicios avanzados de voz Otros servicios • Gestión integrada 4A Servicios informáticos en red • Consolidación de servidores (LAN/correo) • Informática personal en red (“SBC – server based computing”) • Servicios TIC/Servicios Hosting 2A • Seguridad 4B • Conectividad • Servicios de banda ancha (circuitos de alta velocidad/fibra, xDSL) • Servicios móviles 1 1 3 Acceso de banda ancha en todas las ubicaciones del cliente Apoyo en el diseño de soluciones integrando aplicaciones gestionadas por Telefónica Evolución hacia una nueva arquitectura tecnológica de consolidación de mayor eficiencia apalancando la banda ancha 2A 4A Gestión integrada de servicios y usuarios bajo un interfaz común Oferta de nuevos servicios de comunicación/colaborativos que aumentan la productividad y maximizan el retorno de la infraestructura existente 2B 4B Elevados estándares de seguridad

4. Definición • Nuestro objetivo es proveer todos los servicios necesarios para que las comunicaciones y transacciones electrónicas se ejecuten de manera confiable garantizando con los medios técnicos y humanos necesarios las 4 claves de la seguridad (P-A-I-N): • 1.Privacidad • 2.Autenticación • 3.Integridad • 4.No Repudio Secreto de la información intercambiada, mediante técnicas de cifrado. Identificación fuerte e inequivoca (Certificados digitales), emisor y receptor son quien dicen ser, garantizado en el proceso 100 % on-line. La información enviada es la información recibida, cualquier alteración o modificación es automáticamente detectada. Dado que los pasos previos son ciertos y demostrables, la transacción no podrá ser repudiada por ninguna de las partes.

5. Infraestructura externalizada... Confianza Digital – P.A.I.N Privacidad Autenticación Integridad No Repudio Servicios y Consultoría Servicios Campo de Aplicación Servicios - E-mail seguro (Ms Exchange y Lotus Notes) - Securización de VPN, Certificación IPSec - Acceso seguro ERP mediante certificados (SAP R/3) - Acceso seguro a aplicaciones web (Certificados SSL) - Firma electrónica legal (Procesos de Aprobación) - Servicios de certificado para Wireless (mCommerce) - Factura telemática, y muchos otros... Consultoría y Auditoría- Técnica - Legal - Procedimientos - Metodología de seguridad Adecuación Ley/Estandars: - Identrus - LOPD - SAS 70 - WebTrust • PKI Pública (VTN) / Privada - Single Sign On - Roaming de Certificados - Certificado SSL Servidor 40/128bit - Notarización electrónica - DocSigner, firma de e-documentos - IPSEC, L2TP, WEP, VPNs,....

6. Variables de Contexto • Protección de la información: protección de la Organización. • Expansión de actividades, nuestros clientes demandan el poder realizar sus actividades a través de la red y los servicios de información. • Imagen: generar confianza mediante políticas y prácticas de seguridad robustas. • Ofrecer garantías respecto a la seguridad (SLA´s). • Ofrecer servicios de seguridad y posicionarse como proveedor de soluciones de seguridad (MSSP). • Ser competitivos frente a los servicios ofrecidos por otros. Negocio • Crecimiento del número y tipos de ataques. • Crecimiento del número potencial de atacantes. • Disponibilidad de herramientas de libre acceso. • Aumento del número de brechas de seguridad en el software y los servicios • ISO/UNE 17799 – RFC 2126 – Securtiy Handbook Técnica / Normas • Ley Orgánica 15/1999, de 13 de Diciembre, de Protección de Datos de Carácter Personal. (LOPD). • Ley 34/2002, de 11 de Julio, de Servicios de la Sociedad de la Información y Comercio electrónico. (LSSI) • Real Decreto-Ley 14/1999, de 17 de septiembre, sobre Firma Electrónica. Pendiente elaboración de una nueva ley por contradicciones de la actual con la Directiva Europea (actualmente Segundo Borrador de Anteproyecto 26/07/2002). • Real Decreto 994/1999 del Ministerio de Justicia por el que se aprueba el Reglamento de Medidas de Seguridad de los ficheros automatizados que contengan datos de carácter personal. • 2º Borrador de Anterproyecto de Ley de Firma Electrónica – Dic 2002 Legal

7. IMPLANTACIÓN SEGURIDAD LÓGICA Auditorías internas y externas, revisiones e inspecciones periódicas SEGURIDAD FÍSICA Revisión ANÁLISIS Y DISEÑO EXPLOTACIÓN Y SOPORTE POLÍTICAS DE SEGURIDAD INFORMES Y CUADROS DE MANDO Administración, soporte y gestión de incidentes Mantenimiento Conocimiento Concienciación, formación, entrenamiento y divulgación AUDITORIA Y CONTROL Herramientas e infraestructuras, asignación de responsabilidades Construcción y automatización Procedimientos y procesos Plan de Seguridad (PdS) Métodos INCIDENCIAS Definición Definición de la estrategia, Políticas de seguridad, normas y procedimientos operativos y de control, aplicación de medidas organizativas Construyendo la seguridad... FASES DE LA SEGURIDAD

8. Objetivo El objetivo de la seguridad de la UN de Hosting & ASP es definir los procedimientos de trabajo y herramientas que deben utilizarse en la Organización de forma que ayuden a soportar sus actividades de Negocio aportando una seguridad suficiente a dichas actividades, así como la buena imagen de la marca y la fidelización de los clientes. Objetivo • Eliminar riesgos. • Mejorar técnicas de trabajo. • Método de tratamiento de información. • Mejorar la calidad de los servicios. • Adecuación Normativa y Legislativa

9. Disminuye Aumenta El dilema – Vulnerabilidad Accesibilidad

10. ¿Por dónde empezar? • Elementos proporcionados por los DataCenters (TICs): • Seguridad Física • Interna • Detectores volumétricos. • Sistema de vigilancia mediante CCTV. • Sistema de centralización de video. • Sistema de control de acceso. • Sistema de interfonía. • Sistema de control de rondas • Inspección de mercancías. • Redundancia en el suministro eléctrico / UPS / etc. • Redundancia en las Comunicaciones (Sin puntos de fallo). • Redundancia de la conexión en los módulos de servicio • Sistemas anti-incendios, HVAC, etc. • Realización de copias de respaldo: Armarios ignífugos y búnker. • Centros de Respaldo (TIC Madrid – TIC Barcelona). • Externa • Control de entradas y salidas de vehiculos y personas. • Barreras perimetrales de microondas e infrarrojos. • Rondas de vigilancia. • Iluminación sorpresiva. • Cámaras de CCTV en el exterior del recinto. • Seguridad Lógica • Cortafuegos y ACL´s en routers (Módulo de Acceso, Módulo de Distribución, Módulo de Servicio) • Herramientas de Monitorización y Gestión • Redes de servicio y gestión independientes • Seguimiento de las últimas vulnerabilidades detectadas • Antivirus en red (herramienta de carácter interno) • Detección de Intrusos (herramienta de carácter interno) • Chequeos de Integridad (herramienta de carácter interno)

11. Seguridad de Red Seguridad adaptativa Seguridad de SSOO Seguridad de aplicaciones Capas de vulnerabilidad • Cortafuegos. • ACL’s. • Análisis de tráfico • VPN’s • SSL • ----------------------------- • Linux • Solaris • NT • W2000 • HP/UX • ---------------------------- • Servidores web. • Bases de Datos. • Lenguajes de programación. • Aceleradores criptograf. Monitorizar + Responder MONITORIZAR + RESPONDER

12. Parámetros - Internos Servicios Protección Ataques Ley ProtecciónDatos Necesidades Seguridad estática insuficiente Organización de seguridad adaptativa Debilidades Resistencia al cambio Respaldo de la organización Escasa mentalización Falta de recursos Falta de normas Políticas de seguridad, IDS,Revisión de vulnerabilidades Chequeos de integridad Auditorias, gestión de la seguridad Comunicación cifrada SSO …..

13. Nivel de Red – IP Backbone Nivel Físico - DataCenter Seguridad n-tiers Usuarios - Clientes Aplicaciones - Servicios – Security Backbone

14. VPN IP Mensajería Segura Comercio Electrónico Aplicaciones Web/ERP Intranet Extranet Red IP - Backbone & DataCenters Una solución modular... Aspectos Legales Security - Backbone

15. Las piezas básicas imprescindibles Infraestructuras Seguras Políticas& Prácticas Autenticación PKI Software & Hardware Performance & SLAs Aplicaciones Consultoría – Auditoría Gestión de Riesgos -DR Informes

16. Servicio Seguridad Gestionada Proxy en Red Firewall en Red eBA Gestión Detección Intrusos eDirectorio eMonitor Presentación Filtrado Contenidos GPRS UMTS eReport eSeguridad Antivirus Internet Seguro -PKI Chequeo Vulnerab. Intranet Segura - PKI Servicios de Content Delivery Chequeo Integridad Firewall Aplicación Análisis Forense Akamai CDN Autenticación Token Private CDN Certificados Enterprise CDN VPN Segura Presentación Aplicación/Proceso Almanacen. Servicios Continuidad de Negocio Hoja Gastos SAP, RRHH,... PC Disco Duro Navegador/Emulad. Aplicac.Ofimáticas Aplic.Corporativas Cliente Correo Acceso Remoto Aplicaciones (SBC) Acceso Aplic.Ofimáticas Acceso Aplic.Corporativas Disco Virtual Consolidación Servidores Servicios de Aplicación en Red Servidor Servid.Red (Lan) Serv.Impresión Serv.Emulación Serv.Acceso Inet Serv.Correo Serv.Ficheros Serv.Back Up Acceso Remoto Aplicac. Servidor de Ficheros Correo Colaborativo Servidor de Correo Multivideoconferencia Servidor Impresión eLearning Serv.Gestionados 3.0 PC Back Up La Red como Centro de ServiciosConectividad, Capacidad de Proceso y Almacenamiento Accesibilidad/Movilidad Multidispositivo eDirectorio Portal Corportivo

17. SSL WTLS IPSec PKI Seguridad Red – Nivel II – Nivel III Confidencialidad de Datos - Identidad IPSec PKI IPSec sobre MPLS o Nivel 2 Wireless Access Wireless LAN MPLS o Nivel 2 Bucle Local Core Network Redes externas (Internet ) Escenarios

18. Routers & Firewalls Aplicaciones web Aplicaciones de empresa 90 80 70 60 50 East West 40 sage 30 20 10 0 1st Qtr 2nd Qtr 3rd Qtr 4th Qtr Autenticación Confidencialidad Integridad No-repudio IP Backbone Security Backbone Email Aplicaciones E-Commerce Aplicaciones Directorios Visión Integral de la Seguridad eBA Seguridad PC -Cliente Acceso Cliente Datacenter - TICs Otras localizaciones • Extensión puesto de cliente • FW personal gestionado • Autenticación token • Securización puesto cliente • Extensión de los Servicios de Seguridad • Filtrado de contenidos • VPN segura gestionada • Certificación • Análisis Forense • Estandarización de proyectos especiales de seguridad • Proxy en red • Firewall gestionado • Detección de intrusiones • Antivirus • Certificación SSL • Extensión de los Servicios de Seguridad • Escáner de vulnerabilidades • Correlación y almacenamiento de logs • Chequeo de Integridad • Acceso seguro a aplicaciones (SSO) MegaLan Frame Relay ATM InterLan

19. Servicios e infraestructuras PKI Almacenamiento claves privadas Autoridad de Certificación (CA) Backend Frontend Directorio público LDAP Autoridad de Registro (RA) Frontend web/aplicaciones Entorno de alta seguridad y disponibilidad

20. Detección de Vulnerabilidades Servicios de Seguridad Gestionada Normativas – Prácticas – Legislación Proxy Gestionado Firewall Gestionado VPN’s Gestionadas Servicios Gestionados de Seguridad (MSS) SSO Correlación - Avanzada PKI Chequeo de Integridad Firewall de Aplicaciones Detección de Intrusiones Antivirus Gestionado Filtrado de Contenidos Auditoría – Análisis Forense Gestión de Logs

21. Telefonica Internet Data Center (TIC) Servicio al Cliente Soporte especializado 24x7 Soluciones PersonalizadasFlexibilidad & Escalabilidad AcondicionamientoControl constante de temperatura y humedad ComodidadSala de reuniones & Webbar SeguridadServicio de vigilancia 24 horasCircuito Cerrado de TelevisiónEl personal autorizado tiene acceso 24x7 FiabilidadSistemas redundante de alimentación, UPS, AC, etc

22. Climatización 2.800.000 frigorías / hora Refrigeración directa a bastidores Planta enfriadora de reserva Protección contra incendios Muros cortafuegos Detección y extinción automática Suministro eléctrico Seguridad Alimentación Ininterrumpida 20.000 Voltios / 4,800 KVA SAI / 3 generadores diésel de BU Barreras microondas e infrarrojos Iluminación sorpresiva Cámaras CCTV perimetrales TIC: Infraestructuras y Disponibilidad Comunicaciones 1.2 Gigabytes Escalabilidad asegurada Redundancia de HW de Comunicaciones Redundancia de rutas

23. Secure Data Centers

24. Descripción Técnica (IV)

25. Certificados para acceso remoto extranets Certificados para terminales web intranets Certificados IPSec routers RPVs IP Certificados para aplicaciones S/MIME, SAP Administrador del Cliente Administración y Gestión en Outsourcing Usuarios y dispositivos Internet SSL v3 – IPSEC - VPN Cliente

26. Cliente 1 Cliente 2 APPS SERVER APPS SERVER APPS SERVER APPS SERVER SENSOR RED SENSOR RED SENSOR RED SENSOR RED SENSOR RED SENSOR RED SENSOR RED SENSOR RED SENSOR RED SENSOR RED Cliente 3 Cliente 4 SSL SOC Escenarios del servicioIDS Sensor Host Sensor Host Internet Red Multiservicio WEB SERVER TIC FTP SERVER MAIL SERVER Sensor Red Sensor Host Sensor Host Sensor Host Gestor eventos Recogedor eventos Sensor Host Sensor Host Sensor Host Sensor Host

27. Cliente 1 Cliente 2 APPS SERVER APPS SERVER APPS SERVER APPS SERVER Cliente 4 Cliente 3 SSL SOC Escenarios del servicioFW Gestionado Internet Red Multiservicio WEB SERVER TIC FTP SERVER MAIL SERVER Gestor eventos Recogedor eventos

28. Teletrabajadores TIC Servicios ServerProtect + OfficeScan VirusWall ScanMail Correo Lotus/Exchange Internet Citrix Pasarela Red TDE SOC Cliente 1 Cliente 2 Housing&Hosting ServerProtect ServerProtect Escenarios del servicio Antivirus

29. Equilibrio : Operaciones – Servicios Personas – TEP (Trusted) Infraestructuras, HW, SW Comunicaciones Tecnológía - Productos Operación Segura Auditoría / Planes – Políticas - Legal

30. Influencia Normativa – Prácticas y Políticas • Definición de Políticas y Prácticas (RFC 2527) : CPS, CPS, VPS, • Diseño y definición de centro de proceso seguros (ISO 17799 / BS 7799 / UNE 717799) • RFC 2126 – Security Handbook • Integración de logon único (Single Sign-on – SSO) • Integración de Meta-Directorio y unificación de autenticación LDAP. • Recopilación, gestión, filtrado, correlación y análisis de logs de sistemas informáticos. • Disaster Recovery – Continuidad de negocio • Aplicaciones de la firma digital (RDL 19/1999, Directiva EU, Borrador Anteproyecto Ley de Firma, Factura telemática)

31. Coordinación – Seguridad a nivel Grupo Telefónica Comité Telefónica S.A (Definición) Empresas del Grupo (Particularización) Resp. en TData Dirección de Servicios de Protección de la Información Resp. Comité Seguridad Corporativa Telefónica S.A.

32. Coordinación de Seguridad - Grupo

33. Certificaciones TICs Madrid Barcelona LATAM

34. - Nuevos Retos a la seguridad - Redes Móviles Dispositivos Contenidos Protocolos WiFi / IPv6 Otros – Legal LSSI Domótica Acceso Global