En la clase en vivo, el profesor muestra el contexto y panorama mundial asociado a la ciberdelincuencia, dando a conocer los principales conceptos y marcos de referencia asociados a la gestión de la ciberseguridad, y la importancia del gobierno corporativo en su administración a nivel estratégico.

Además, permite conocer los principales aspectos legales claves de la ciberseguridad y su aplicación en casos de estudio en el contexto de delitos informáticos, protección de datos y confidencialidad de la información.

A lo largo del curso los participantes realizarán un trabajo grupal de investigación aplicado a la realidad de la empresa y conceptos analizados en clases.

• Conceptos, dominios y controles de seguridad de la información y ciberseguridad
• Dominios de la seguridad de la información
• Controles de seguridad crítica del CIS (Center for Internet Security®)
• Estándares y organizaciones referentes de la industria

• Indicadores como elementos de control
• Riesgos
• Vulnerabilidades
• Amenazas

• Visión ejecutiva del gobierno corporativo de la ciberseguridad
• Impactos del gobierno corporativo de la ciberseguridad
• Rol de los diferentes actores involucrados
• Gobierno y gestión de la ciberseguridad

• Aspectos claves del marco legal de la ciberseguridad
• Política Nacional de la Ciberseguridad (Chile)
• Experiencias de casos latinoamericanos
• Tratados internacionales (Acuerdo de cibercrimen)

• Legislación nacional: Ley de delitos informáticos y proyecto de reforma
• Trabajo y regulación: Aspectos del teletrabajo Ley 21.220 y nuevas reformas en materia de medios de pago, portabilidad financiera, facultades del regulador CMF
• ¿Hacia una ley marco general en ciberseguridad?
• Compliance interno en la organización y ciberseguridad

• Aspectos críticos de la protección de datos
• Reglamento General de Protección de Datos (GDPR) y estándar ISO 27.701
• Ley nacional de protección de datos (19.628) y reforma de la protección de datos en Chile.
• Gobierno de los datos en la organización: Responsabilidad del gobierno corporativo, inteligencia artificial y aspectos normativos claves

La clase en vivo se centra en la identificación y aplicación del proceso de gestión de riesgos en ciberseguridad, en las técnicas que se aplican en su ejecución y en la utilización de estándares y marcos de trabajos, principalmente ISO 27032, NIST, CSF y CIC CSS 20.

El trabajo final consiste en describir y desarrollar una técnica de gestión de riesgos a través de un caso de uso y la utilización del estándar ISO 31010 para generar un informe, y crear una guía de evaluación de cumplimiento de directrices y controles de la ISO 27032.

• Estándares y técnicas de gestión de riesgos
• El proceso de gestión de riesgos
• Levantamiento de procesos
• Mejoramiento continuo

• Identificación y valorización de activos críticos
• Amenazas y vulnerabilidades
• Riego inherente y evaluación de controles
• Matriz de riesgos de ciberseguridad y evaluación

• Conceptos de infraestructura crítica
• Ciberseguridad industrial
• La infraestructura crítica de la información (ICI)
• Lecciones aprendidas a partir de estándares (NIST CSF, PCI-DSS y SWIFT)

• Estándares de evaluación de cumplimiento
• Revisión de estándares específicos (ISO 27001, ISO 27032, CIS 20, NIST CSF)
• Aspectos legales
• Otras consideraciones para evaluar el cumplimiento

• El contexto del estándar ISO 27032
• Evaluación utilizando el estándar ISO 27032
• Directrices y controles principales
• Uso de NIST CSF (Core)

• 20 controles para reducción de brecha de seguridad (CIS CSC 20)
• Contexto de CIS por grupo de empresas
• Ciberseguridad para pequeñas empresas
• Fundamentos en seguridad en la nube basada en CSA (Cloud Service Alliance)

La clase en vivo consiste en revisar la ejecución de un levantamiento y mejora de la situación en ciberseguridad de una empresa de referencia, de forma tal que los participantes puedan detectar brechas y proponer mejoras respecto al caso planteado. Además se mostrarán dos factores claves para aplicarlos en la construcción de metas cruciales en ciberseguridad.

El trabajo grupal consiste en que los participantes deberán presentar una propuesta de mejoramiento de una problemática en ciberseguridad de una empresa en referencia, para proponer adecuaciones a la estructura organizacional, de proceso e identificación de servicios tercerizados. La propuesta también deberá incluir la definición de un conjunto de metas que sean claves para mejorar la situación problema abordada.

• Gobierno, riesgo y cumplimiento (COBIT, ISO 38000, ISO 27014)
• Modelos de gobiernos y seguridad de la información
• Descripción, implementación y herramientas (ISO 27014)
• Modelos de referencia de protección y servicios cloud

• Gestión de vulnerabilidades, monitoreo y comunicación de incidentes
• Formación y concientización
• Gestión de usuarios y accesos
• Inventario de activos

• Definición de una línea base de organización
• Identificación de la estructura organizacional
• Proposición de una nueva estructura organizacional
• Identificación de roles asociados a los procesos

• Definir una línea base de procesos de gestión
• Identificar los procesos existentes
• Proposición de nuevos procesos de gestión
• Identificación de roles asociados a los procesos

• Identificar riesgos asociados a los servicios tercerizados
• Valor los riesgos identificados
• Construcción de mapa de riesgos
• Realizar una evaluación de criticidad de servicios tercerizados

• Metas cruciales
• Mediciones de predicción
• Tableros de resultados
• Mejores prácticas de seguimiento

El curso cuenta con dos clases en vivo (streaming) de 1,5 h c/u, en las cuales los alumnos podrán reforzar las materias y resolver dudas.

De forma transversal al curso los estudiantes tendrán que abordar un proyecto grupal, que tiene una preentrega y entrega final.

El trabajo final consiste en desarrollar un plan cuyo objetivo es robustecer la gestión para afrontar eventuales incidentes de ciberseguridad en su organización, basándose en alguna normativa o estándar visto en clases. Se aplicará a un caso real los marcos referenciales de un incidente de ciberseguridad.

• Revisión de conceptos y definiciones incluidos en la norma ISO/IEC 27035
• Metodología de trabajo propuesta por la norma ISO/IEC 27035
• Análisis de plantillas para los reportes de manejo de incidente propuestos por la norma ISO/IEC 27035
• Conceptos y metodologías principales de desarrollo de software seguro
• Evaluación de la ejecución de prácticas de desarrollo de software seguro y sus metodologías
• Conceptos y metodologías principales de ethical hacking
• Evaluación de la ejecución de la técnica de ethical hacking y sus metodologías
  o Conceptos y metodologías principales de análisis forense
• Evaluación de la ejecución de la técnica de análisis forense y sus metodologías

• Historia, evolución y panorama actual de los incidentes de ciberseguridad
• Conceptos de gestión de incidentes de ciberseguridad y marcos de trabajo recomendados
• Análisis de las etapas en la metodología propuesta por el Computer Security Incident Handling Guide basado en NIST SP 800-61 revisión 2
• Descripción de las actividades post incident y retroalimentación a otros procesos de ciberseguridad
• Conceptos CERT, CSIRT, y su interacción en el ecosistema de la ciberseguridad
• Análisis de algunos CSIRT existentes a nivel mundial
• Revisión de las mejores prácticas para la planificación e implementación de un CSIRT
• Descripción de securitity operation center (SOC) y las herramientas necesarias para monitoreo de indicadores de compromiso