5. Analysis of the BM of Koskamp
5.3 Business Model Advice
5.3.1 Value proposition
De conformidad con los criterios anteriores se establece el nivel de riesgo el cual se sustenta con el siguiente mapa de calor:
Tabla 4. Nivel de riesgo
MAPA DE CALOR PRO BA BILI DA D (P)
Alto 3 Medio Alto Alto
Medio 2 Bajo Medio Alto
Bajo 1 Bajo Bajo Medio
NIVEL DE RIESGO
1 2 3
Bajo Medio Alto
IMPACTO (I) Fuente: Propia
66
7.2.2. Perfilamiento de activos críticos e identificación de contenedores de activos de información
Se prioriza los activos que son parte esencial dentro del proceso de las pasarelas de pagos en los que se derivan los siguientes activos críticos:
A. Sistema o Servicio CORE: Correspondiente al servicio que se expone en Internet (plataforma e-commerce) para que interconecte con el comercio muestre el sitio web de la pasarela de pagos para consumo de los tarjetahabientes y que a su vez realice el proceso transaccional con la red de operador de franquicias o procesador de pagos en función de la pasarela de pagos.
B. Los controles de seguridad críticos: Estos se asocian acorde al requisito 10.8 de la PCI DSS entre los que se destacan el Firewall, antivirus, IDS/IPS, entre otros.
C. Códigos fuentes de aplicaciones/servicio Core: Corresponde a los programas desarrollados que están expuestos en el entorno productivo para funcionamientos del Sistema o servicio Core.
D. Canal de comunicaciones: Son los mecanismos como MPLS (Multiprotocol Label Switching), VPN (Virtual Private Network) Site to Site, entre otros; que permiten la conexión con los comercios como también de forma separada interconecta con la Red de operador de franquicias o procesadores de pagos como Redeban Multicolor, CrediBanco, entre otras; permitiendo protocolizar el proceso de autorización de la transacción.
E. Áreas confidenciales: Corresponde al centro de datos o DataCenter donde se aloja la infraestructura física que hacen parte del CDE (Entorno de datos del titular de la tarjeta).
F. Recursos tecnológicos o componentes TI del CDE: Son los activos tecnológicos, componentes del CDE que permiten la funcionalidad integrada del sistema o servicio CORE, entre los que se destacan servidores, switches, router, equipos de cómputos, entre otros.
67
7.2.3. Identificación de vulnerabilidades, escenarios de amenazas y riesgos
Se realiza la identificación de las vulnerabilidades, escenarios de amenazas y riesgos aplicables de forma genérica a las pasarelas de pagos que están asociados directamente con el cumplimiento del estándar PCI DSS; teniendo en cuenta tanto las exigencias o recomendaciones que establece el estándar, la información suministradas por algunas pasarelas de pagos (Pagos Inteligentes, Place to Pay, MyChoice2Pay, PayU) como unas fuentes de referencias asociadas a riesgo operacional en los sistemas de pagos44 y de ataques de las pasarelas de pago en los últimos años45,46; de los cuales se obtuvieron los siguientes resultados:
Tabla 5. Identificación de vulnerabilidades, escenarios de amenazas y riesgos
VULNERABILIDADES ESCENARIOS DE AMENAZAS RIESGOS
• Tener firewalls obsoletos, sin la configuraciones y actualizaciones pertinentes para el CDE.
• Carecer de los controles de seguridad críticos para el CDE
• Desconocimiento técnico en la configuración y administración de los recursos tecnológicos del CDE y los controles de seguridad críticos por parte del personal encargado
• Falla o daño de los equipos firewall
• Inadecuado gestión de la restricciones y acciones filtrado por parte del firewall • Ataques externos o internos contra las redes y canales de comunicaciones (Hombre en el medio, Sniffing, Spoofing, entre otros)
Las Infiltraciones a las redes y/o canales
de comunicaciones que conforman el
CDE
• Carecer de los controles de seguridad críticos y seguridad física/ambiental para el CDE
• Usar Hardening con estándares de configuraciones desactualizados para los componentes del CDE y los controles de seguridad críticos
• Uso de recursos tecnológicos obsoletos para el CDE
• Tener valores predeterminados en los recursos tecnológicos que componen el CDE
• Carencias en la capacidad de la comunicaciones y recursos para el servicio Core
• Ataques externos o internos contra los componentes del CDE (DoS, Botnet, Malware, Desastres
Naturales/industriales, entre otros)
• Falla o daño de los recursos, suministros o de cualquier dispositivo TI crítico para el sistema Core. • Saturación del sistema o Servicio Core
Denegación de los servicios CORE y/o suspensión/daño de
los recursos tecnológicos
44 Rodríguez, Ana Cecilia; Rodríguez, Ana Karina & Liñares, Verónica. Riesgo operacional en los sistemas de pagos - Metodología VaR. 2013. Disponible en: http://www.bvrie.gub.uy/local/File/doctrab/2013/4.2013.pdf
45 Malca, Solange. Los 5 mayores ataques de seguridad en los medios de pagos digitales durante el 2016. Alignet. 2017. Disponible en: https://www.alignet.com/blog/seguridad/los-5-mayores-ataques-de-seguridad-en-los-medios-de-pagos- digitales-durante-el-2016/
46 Towers Watson, Willis. “E-commerce-riesgos-ciberneticos”. 2018. Disponible en: https://willistowerswatsonupdate.es/ciberseguridad/e-commerce-riesgos-ciberneticos/
68
Tabla 5. (Continuación)
VULNERABILIDADES ESCENARIOS DE AMENAZAS RIESGOS
• No tener vigente o activos los controles de seguridad física y sistemas de control de acceso • Los controles de acceso físico existente son manuales o están desactualizados con los usuarios autorizados para el acceso al CDE.
• Las áreas confidenciales están ubicadas en zonas de mucha circulación de personas
• Carecer de zonas restringidas para el personal que gestiona el procesamiento de datos CHD
• Circulación de personas cercanamente al entorno CDE
• Falla o daño de uno o varios de los controles de seguridad física y sistemas de control de acceso
• Cambio continuo del personal autorizado para acceder al CDE
Acceso físico no autorizado a las zonas del CDE
• Uso de Códigos fuentes de aplicaciones/servicio Core desactualizados o en ambiente productivo inefectivo
• No ejecutar análisis de vulnerabilidades y pruebas de intrusión a los sistemas de forma continua, remediando inmediatamente las brechas • Desconocimiento técnico y del proceso para la configuración y administración de los recursos tecnológicos del CDE incluido el servicio Core por parte del personal encargado
• Errores en el ciclo de vida del desarrollo y administración del sistema (Bugs)
• Carencias en las funcionalidades del servicio Core incluyendo acciones manuales o de gestión humana
• Generación continua de nuevos códigos maliciosos y métodos ataques contra los servicios web y sistemas transaccional-financiero • Renovación permanente de las tecnologías de la
información y parches de seguridad para los sistemas • Error Humano
Falla funcional del sistema o servicio
Core
• Definición de procesos inadecuados o equipos para el ciclo de vida del desarrollo y administración del sistema (Bugs)
• Inadecuada protección y/o debilidad en el cifrado de los datos CHD durante la transmisión y/o el almacenamiento
• Desconocimiento técnico y del proceso para la configuración y administración de los recursos tecnológicos del CDE incluido el servicio Core por parte del personal encargado
• Carencias en la capacidad de las BD y esquemas de almacenamientos para el sistema Core
• Debilidades o falencias en los controles de acceso físico o lógico al CDE
• Carencias en las funcionalidades del servicio Core incluyendo acciones manuales o de gestión humana
• Ataques externos o internos contra el servicio Core y las BD (Malware, Inyección de código, entre otros) • Error humano y/o del sistema Core en la gestión del procesamiento y custodia de los datos CHD y las transacciones
• Llenado de los registros en las BD o de los esquemas de almacenamiento del sistema Core
• Acceso físico o lógico no autorizado al CDE
Alteración/ Supresión de los datos CHD
69
Tabla 5. (Continuación)
VULNERABILIDADES ESCENARIOS DE AMENAZAS RIESGOS
• No tener debidamente segmentadas las redes y el ambiente CDE que usara el servicio CORE.
• Carecer de los controles de seguridad críticos para el CDE a nivel de seguridad física y tecnológica. • Inadecuada protección y/o debilidad en el cifrado de los datos CHD durante la transmisión y/o el almacenamiento
• Uso de contraseñas débiles y sin la debida parametrización para su gestión
• Errores en el ciclo de vida del desarrollo y administración del sistema (Bugs)
• Ataques externos o internos contra los componentes del CDE (Malware, Drown, Heartbleed, entre otros) • Acceso físico o lógico no autorizado al CDE • Mal funcionamiento del sistema Core y demás los componentes del CDE • Error humano y/o del sistema Core en la gestión transmisión y
almacenamiento de los datos CHD y las transacciones
Exposición de los datos CHD
• No tener establecido o debidamente configurado el borrado seguro de los datos SAD para después de una autorización
• Inadecuada protección y/o debilidad en el cifrado de los datos SAD durante la transmisión
• Carencias en las funcionalidades del servicio Core incluyendo acciones manuales o de gestión humana • Desconocimiento técnico y del proceso para la configuración y administración de los recursos tecnológicos del CDE incluido el servicio Core por parte del personal encargado
• Error Humano • Fallas en el proceso transaccional y del sistema para el borrado seguro de datos SAD
• Ataques externos o internos contra las redes y canales de comunicaciones (Hombre en el medio, Sniffing, Spoofing, entre otros)
Exposición o almacenamiento de datos SAD después de una autorización
transaccional
Fuente: Propia
7.2.4. Análisis de los riesgos
Para realizar el análisis de los riesgos se tuvieron en cuenta las mismas referencias que permitieron la identificación de los riesgos obtenidos en el subcapítulo 6.2.3 de la guía adicionando circunstancialmente las evaluaciones de las pasarelas de pago47 y los ataque recibidos en Colombia asociados al sector financiero48; los cuales en cierta medida permiten determinar el siguiente análisis para los riesgos:
47 MYCHOICE2PAY. “Guía para saber elegir una pasarela de pago adaptada a tu negocio en 2019”. 2019. Disponible en: https://www.mychoice2pay.com/es/blog/elegir-una-pasarela-de-pago
48 COLPRENSA. Colombia fue uno de los países con más ataques cibernéticos el año pasado. En: LA REPUBLICA. 2019. Disponible en: https://www.larepublica.co/empresas/colombia-fue-uno-de-los-paises-con-mas-ataques-ciberneticos-el-ano- pasado-2887401
70 Tabla 6. Análisis de riesgos en las pasarelas de pagos
RIESGOS PROBABILIDAD IMPACTO NIVEL DE
RIESGOS