Temario

El Diplomado en Seguridad Informática consta de 30 modulos de diferente duración


  1. Introducción a la Seguridad Informática 
  2. La función del Oficial de Seguridad de la Información
  3. Arquitectura de Seguridad
  4. Stack de Protocolos TCP/Ip v4 y v6
  5. Criptologia
  6. Seguridad Perimetral 
  7. Seguridad Nodal
  8. Seguridad en Redes Inalámbricas 
  9. Seguridad Dispositivos Móviles y Telefonía
  10. Métricas, monitoreo, correlación y visualización de la seguridad informática 
  11. Políticas de Seguridad
  12. Compliance 
  13. Seguridad en Ambientes Mainframes
  14. Seguridad en Sistemas Operativos Windows
  15. Seguridad en Sistemas Operativos Unix
  16. IDS: Sistemas de Detección de Intrusos
  17. Herramientas de Seguridad
  18. Computación Forense
  19. Seguridad en las Operaciones
  20. BCP/DRP
  21. Seguridad Física
  22. Aspectos legales y éticos
  23. Software malicioso
  24. Seguridad en Aplicaciones Web
  25. Seguridad en Base de Datos
    26.
  26. Seguridad en Aplicaciones y Desarrollo de Sistemas
  27. Auditoria de Seguridad de la Información 
  28. Outsourcing
  29. Análisis de Riesgos
  30. Práctica FRAP

I Introducción a la Seguridad Informática

Objetivo:  Presentar al usuario el diplomado, así como un panorama general de la seguridad Informática, en el cual se expliquen los conceptos básicos de la seguridad Informática así como todo lo relacionado con el tópico de control de acceso.
1. Antecedentes y conceptos de seguridad informática
2. Estadísticas relacionadas a la seguridad informática
3. Opciones académicas
4. Certificaciones y estándares en seguridad informática
5. Control de acceso
6. Etapas del control de acceso
7. Mecanismos de autenticación
8. Tipos de control de acceso
9. Control centralizado de acceso
10. Control descentralizado de acceso
11. Single sign on
12. Identity management


II La función del Oficial de Seguridad de la Información

Objetivo: Conocer los aspectos relacionados con los requerimientos de la Función de Seguridad así como la interrelación de sus componentes, la visión y skills del CISO actual.
1. Conceptos Generales
2. Ubicación de la Función de Seguridad en el Organigrama
3. Estructura Organizacional
4. Propósito, Visión, Objetivos, Metas y Planes de la Función de Seguridad
5. Componentes de la Función de Seguridad y su Interrelación
6. La Seguridad como Función de Negocio
7. Como Vender la Seguridad
8. El presupuesto de la Seguridad
9. Visión y Skills del CISO Actual


III Arquitectura de la Seguridad

Objetivo: Proveer una guía de los pasos a seguir para establecer una Arquitectura de Seguridad basados en los CBK de CISSP; de forma ordenada y que ofrezca un panorama general del  establecimiento de la misma en una organización. Identificar los conceptos y principios claves y críticos para asegurar la infraestructura. Conocer los principales frameworks de arquitecturas de seguridad.
1. Introducción a la Arquitectura de Seguridad (AS)
2. Elementos
3. Arquitectura del sistema
    3.1. Arquitectura del Hardware
    3.2. Arquitectura del Sistema Operativo
4. Arquitectura del Sistema de Seguridad
5. Análisis de Riesgos
6. Política de Seguridad
7. Requerimientos de la AS
    7.1. Trusted Computing Base
    7.2. Seguridad Perimetral
    7.3. Reference Monitor
    7.4. Seguridad del Kernel
8. Modelos de Seguridad
9. Operación de los Modos de Seguridad
    9.1. Modo de Seguridad dedicado
    9.2. Sistema en modo de alta Seguridad
    9.3. Modo de Seguridad compartido
    9.4. Modo de Seguridad multinivel
10. Confianza y Aseguramiento
11. Frameworks Arquitectura de Seguridad
     11.1. Zachman Framework
     11.2. SABSA Framework Sherwood
     11.3. TOGAF Framework
12. Sistemas abiertos y cerrados

IV Stack de ProtocolosTCP/IP V4 Y V6

Objetivo: Proveer los fundamentos de la familia de protocolos TCP/IP para la futura comprensión de firewalls, IDS/IPS, y distintas herramientas como sniffers y scanners.
1. El protocolo ARP
    1.1. Header.
    1.2. Funcionamiento.
    1.3. Vulnerabilidades y ataques.
    1.4. Soluciones a ataques.
2. El protocolo IPv4
    2.1. Header.
    2.2. Funcionamiento.
    2.3. Direccionamiento.
    2.4. Fragmentación.
    2.5. Opciones.
    2.6. Vulnerabilidades y ataques.
    2.7. Soluciones a ataques.
3. El protocolo TCP
    3.1. Header.
    3.2. Demultiplexación de puertos.
    3.3. Three way handshake.
    3.4. Control de error.
    3.5. Control de flujo.
    3.6. Control de congestión.
    3.7. Vulnerabilidades y ataques.
    3.8. Soluciones a ataques
4. El protocolo UDP
    4.1. Header.
    4.2. Demultiplexación de puertos.
    4.3. Servicios no orientados a conexión.
    4.4. Vulnerabilidades y ataques.
    4.5. Soluciones a ataques.
5. El protocolo ICMPv4
    5.1. Header.
    5.2. Tipos de mensajes.
    5.3. Vulnerabilidades y ataques.
    5.4. Solución a ataques.
6. El protocolo IPv6
    6.1. Header.
    6.2. Encabezados de extensión.
    6.3. Direccionamiento.
    6.4. Autenticación y cifrado.
    6.5. Vulnerabilidades y ataques.
    6.6. Solución a ataques.
7. ICMPv6
    7.1. Header.
    7.2. Tipos de mensajes.
    7.3. Vulnerabilidades y ataques.
    7.4. Solución a ataques.


V Criptologia

Objetivo:  Conocer los principios básicos de la esteganografía, la criptografía y el criptoanálisis. Comprender como se pueden utilizar estos conceptos para asegurar los activos de una organización.
1. Introducción a la esteganografía
2. Criptografía vs criptoanálisis
3. Conceptos básicos de criptografía
4. Criptografía clásica: transposición y substitución
5. Máquinas criptográficas
6. Criptografía moderna
7. Criptografía simétrica de bloques
8. Criptografía simétrica de flujo
9. Criptografía asimétrica
10. Diffie-Hellman.
11. Introducción a la teoría de números
12. El criptosistema RSA
13. Los algoritmos hash
14. La firma digital.
15. Códigos de autenticación de mensaje
16. Certificados digitales y autoridades certificadoras
17. Infraestructura de llave pública
18. Ciclo de vida de una llave
19. Criptoanálisis
20. Estándares criptográficos
21. Cifrado de correo electrónico
22. Cifrado de dispositivos de almacenamiento


VI Seguridad Perimétral

Objetivo: Conocer los dispositivos y arquitecturas existentes para proteger y monitorear los dispositivos que definen el perímetro de los activos informáticos de una organización.
1. Anatomía típica de un ataque a nivel red
2. Importancia de las seguridad a nivel red
3. Control de acceso a nivel red: firewalls
4. Arquitecturas de red: zonas de seguridad
5. Estrategia de monitoreo a nivel red
6. Redes privadas virtuales: VPN
7. Servicios de Directorio
8. Fortalecimiento de capa 2 modelo OSI
9. Fortalecimiento de capa 3 modelo OSI
10. Proceso de administración de vulnerabilidades
11. Seguridad en acceso remoto
12. Fortalecimiento de plataformas a nivel
13. Auditoria de la seguridad a nivel red

VII Seguridad Nodal

Objetivo: Conocer las características principales de los equipos intermedios (primordialmente switches y routers), su forma de rabajo, principales ataques a éstos y solución a los mismos.
1. Seguridad en equipos intermedios
2. Seguridad y ataques en dispositivos de capa 2
3. Seguridad y ataques en dispositivos de capa 3
4. Listas de control de acceso
5. Definición, justificación, logística y funcionamiento, sintaxis y configuración genérica
6. Wildcard Mask
7. Soporte de protocolos: IP, IPX, Appletalk
8. Tipos de listas de control de acceso
9. Estándar, extendidas, nombradas, extendidas basadas en tiempo, dinámicas. Lock-&-Key authentication, reflexivas
10. Control de acceso basado en contexto CBAC
11. Ubicación de una lista de control de acceso
12. La interface 0
13. Ejemplos de listas de control de acceso.


VIII Seguridad en redes inalámbricas

Objetivo: Conocer el funcionamiento y características de los dispositivos que conforman una red inalámbrica. Definir la  arquitectura, y mejores prácticas, de una red inalámbrica que proporcione funcionalidad y seguridad a una organización.
1. Introducción a tecnologías inalámbricas
2. IEEE 802.11
    2.1. Conceptos básicos
    2.2. Ubicación en modelo OSI de la ISO
    2.3. Análisis de protocolo a nivel capa de acceso al medio
    2.4. Antenas
    2.5. Interferencia
3. Análisis de mecanismos de seguridad
    3.1. Wired equivalent privacy (WEP)
    3.2. Wifi prrotected access (WPA/WPA2)
4. Ataque y defensa
    4.1. WARDriving
    4.2. Atacando WEP
    4.3. Atacando WPA
    4.4. Ataques explotando clientes
    4.5. Esquemas de defensa para redes inalámbricas


IX  Seguridad en dispositivos móviles y Telefonía

Objetivo: Conocer las características de los dispositivos móviles, las vulnerabilidades y amenazas de este tipo de dispositivos. Comprender las mejores prácticas para definir políticas para el uso seguro de dispositivos móviles.
1. Telefonía fija
    1.1. Ataques
    1.2. Contramedidas
2. Telefonía celular
    2.1. GSM
    2.2. 3G
3. Bluetooth
    3.1. Ataques
4. Dispositivos móviles
 


X Métricas, monitoreo, correlación y visualización de la seguridad informática

Objetivo: Proveer una guía para el desarrollo específico, selección e implementación de métricas para el área de tecnologías de información; para ser usadas en la medición del rendimiento de la información de las técnicas y  controles de seguridad. Proporcionar  las herramientas para el análisis, implementación y respuesta ante los hallazgos en un sistema de monitoreo automatizado y continuo de  seguridad. Mostrar cómo se realiza la correlación de eventos para su futura implementación y evaluación, así como enumerar las nuevas herramientas y procedimientos de visualización de eventos en redes empresariales con fines de seguridad.
1. Métricas
    1.1. Introducción.
    1.2. Definición e Historia.
    1.3. Beneficios.
    1.4. Aspectos de las Mediciones en la Seguridad.
    1.5. Tipos de Métricas
    1.6. Consideraciones organizacionales
    1.7. Manejabilidad (consideraciones en la administración)
    1.8. Factores de éxito (Correctness & Effectiveness)
    1.9. Indicadores líderes contra rezagados
    1.10. Propiedades cuantitativas y cualitativas (Mediciones pequeñas vs largas)
    1.11. Posibles áreas de aplicación
    1.12. Modelos formales de Mediciones y Métricas de Seguridad
    1.13. Recolección y análisis histórico de datos
    1.14. Técnicas de evaluación con Inteligencia Artificial
    1.15. Métodos de Medición concretos y prácticos
    1.16. Componentes intrínsecamente medibles
2. Monitoreo
    2.1. Definición e Historia
    2.2. Herramientas y sistemas pioneros
    2.3. Beneficios del Monitoreo moderno
    2.4. Qué, Cómo y Dónde Monitorear
    2.5. Panorama del ISCM
    2.6. Autorizaciones del sistema en curso
    2.7. Preponderancia de la automatización del  ISCM (Information security continuous)
    2.8. Funciones y responsabilidades
    2.9. El proceso de Monitoreo
    2.9.1. Definición de la estrategia
    2.9.2. Establecimiento del programa
    2.9.3. Implementación
    2.9.4. Análisis de los datos y los hallazgos del informe
    2.9.5. Respuesta a los hallazgos
    2.9.6. Revisión y actualización del programa y  las estrategia del Monitoreo
    2.9.7. Tecnologías asociadas para la habilitación del  Monitoreo
3. Correlación y visualización
    3.1. El problema de la Correlación de Eventos
    3.2. Análisis del patrón de Eventos
    3.3. Características  existentes de la Correlación de Eventos
    3.4. Especificaciones
    3.5. Implementación
    3.6. Evaluación y afinación
    3.7. Conclusiones
    3.8. Correlación visual
    3.9. Seguridad visual e interacción humano-computadora
    3.10. Visualización de la información
    3.11. Primer caso: Treemap
    3.12. Visualización para la defensa en las redes de computadoras
    3.13. Fuentes de datos para la defensa en las redes de computadoras
    3.14. Búsqueda visual de paquetes
    3.15. Visualización de flujos en red
    3.16. Alertas visuales
    3.17. Herramientas

XI Políticas de seguridad

Objetivo:  Entender y aplicar los conceptos teóricos de políticas de seguridad de la información en sistemas de cómputo institucionales y empresariales. Comprender los modelos y políticas de seguridad de la información para entender yestablecer el marco de referencia y normas o criterios que debe cumplir un sistema computacional seguro.

1. Modelos de seguridad
    1.1. Política de seguridad militar (Bell y LaPadula)
    1.2. Política de seguridad comercial (Clark y Wilson)
    1.3. Política de seguridad financiera (Brewer y Nash)
2. Políticas de seguridad del mundo real
    2.1. Consistencia de políticas
    2.2. Las políticas de seguridad en el contexto de un sistema de gestión de seguridad de la información
    2.3. Estructuración de políticas de seguridad de la información
    2.4. Proyecto de desarrollo de políticas de seguridad
    2.5. Misión, normas, políticas, procedimientos y mecanismos



XII  Compliance

Objetivo: Reconocer y comprender los elementos clave de la función de cumplimiento y su relación con Seguridad Informática. Conocer los principales organismos reguladores, estándares y mejores prácticas relacionados con seguridad informática.
1. Introducción a compliance
2. Función de compliance vs otras funciones de control
    2.1. Compliance vs seguridad informática
    2.2. Compliance vs risk management
3. Relación entre compliance y gobierno corporativo
4. Estructura de compliance: políticas, estándares, programas
    4.1. FISMA - risk based approach
5. Principales estándares, leyes, regulaciones y mejores prácticas relacionadas con seguridad informática


XIII Seguridad en ambientes mainframes

Objetivo: Conocer los fundamentos de diseño y tecnologías de seguridad relacionadas con sistemas tipo mainframes.
1. Introducción a la seguridad en mainframes
2. Breve historia de los mainframes y su arquitectura
3. La seguridad en los mainframes, historia y funcionalidad buscada
4. Como se lleva la seguridad en mainframe, administración y definiciones
5. Otros elementos de seguridad del sistema operativo
6. Operación y administración
7. Elementos de auditoría a la seguridad en mainframes
8. Auditoría de la seguridad



XIV Seguridad en sistemas operativos Windows

Objetivo: Conocer las ventajas y desventajas desde el punto de vista de seguridad de los sistemas operativos basados en Win32 y Win64 de Microsoft.
1. Orígenes e historia
2. Básicos Win32 y NT
3. Windows 2000
    3.1. Arquitectura de seguridad
    3.2. Ataques
    3.3. Defensas
4. Windows XP
    4.1. Arquitectura de seguridad
    4.2. Ataques
    4.3. Defensas
5. Windows 2003
    5.1. Arquitectura de seguridad
    5.2. Ataques
    5.3. Defensas
6. Windows Vista
    6.1. Arquitectura de seguridad
    6.2. Ataques
    6.3. Defensas
7. Windows 2008
    7.1. Arquitectura de seguridad
    7.2. Ataques
    7.3. Defensas
8. Windows 7
    8.1. Arquitectura de seguridad
    8.2. Ataques
    8.3. Defensas

XV Seguridad en sistemas operativos Unix

Objetivo: Conocer las características principales de los diferentes sistemas Unix. Definir una lista de mejores prácticas para fortalecer un sistema operativo Unix.
1. Historia de Unix
2. Tipos de Unix
3. Elementos principales de Unix
    3.1. El núcleo
    3.2. El ambiente
    3.3. El shell
4. Seguridad y Unix
5. Autenticación en Unix
    5.1. Los archivos /etc/password y /etc/shadow
    5.2. NIS: network information service
    5.3. PAM: pluggable authentication modules
    5.4. LDAP: lightweight directory access protocol
6. Los sistemas de archivos
7. Los archivos de inicialización
8. Monitoreo del sistema
9. Bitácoras en Unix
10. Los servicios de red
11. Los comandos r
12. Calendarización tareas
13. El RPC: remote procedure call
14. Servicio de nombres, mensajería y ftp
15. NFS: network file system
16. El servidor X Windows

XVI  IDS: Sistemas detección intrusos

Objetivo: Conocer los diversos paradigmas de operación de los sistemas de detección de intrusos (IDS). El participante conocerá las ventajas y desventajas de operación de esta tecnología.
1. El problema de la definición de las intrusiones
2. Definición de la tecnología de IDS
3. Definición de la tecnología de IPS
    3.1. Prevención vs detección
4. Paradigmas para el uso de un IDS
    4.1. Detección de ataques
    4.2. Detección de intrusiones
5. Paradigmas de correlación de datos
    5.1. IDES
    5.2. Arquitectura básica de sistemas prevención y detección de intrusiones
    5.3. Auditoría
    5.4. Inline
    5.5. Híbrido
6. Paradigmas de operación dependiendo de la fuente de los datos:
    6.1. Detección de anomalías o el enfoque de IA
    6.2. Detección de mal uso o el enfoque fácil y sencillo
    6.3. Alarmas contra robo o la detección basada en políticas
    6.4. Honey pots o el enfoque pásale a lo barrido
    6.5. Híbridos
7. Engañando a los IDS: ataques y defensas

XVII Herramientas de seguridad

Objetivo: Conocer el funcionamiento básico de herramientas relacionadas con seguridad informática.
1. Introducción
2. Escaneo de puertos TCP/UDP: Nmap
3. Analizador de vulnerabilidades: Nessus
4. Firewalls: IPtables
5. La utilería tcpwrappers
6. El detector de intrusos de red Snort
7. Sniffers: ethereal, etherape y ettercap
8. Software para inyección de paquetes: Hping
9. Crack de passwords: john de ripper, opchrack


XVIII Computación forense

Objetivo: Conocer qué es y para qué sirve el cómputo forense. Comprender la metodología de aplicación del cómputo forense.
1. Definición y principios
2. Necesidad de investigación
3. Tipos de análisis forense
4. Proceso forense: los 4 pasos
5. Preparándose para el incidente
6. La respuesta al incidente
7. Importancia de la evidencia
8. Cadena de custodia
9. Manejo de evidencia
10. Errores técnicos
11. Respuesta en vivo
12. Ejecución de análisis forense
13. Búsqueda de evidencia en diversas plataformas y sistemas operativos
14. Cómputo forense vs análisis forense clásico
15. Conclusiones
XIX Seguridad en las operaciones

Objetivo:  Proporcionar los principios y controles básicos necesarios para mantener a un sistema de información continuamente protegido conforme el nivel requerido por la organización. Reflexionar sobre los controles que deben incorporarse en la organización durante su operación diaria para no sobrecontrolar ni subcontrolar. Describir formas de evaluar la seguridad informática desde el punto de vista teórico y el práctico.
1. Generalidades del módulo
    1.1. Principios due care/due diligence
    1.2. Proceso de implantación de seguridad informática
    1.3. Controles de seguridad en la organización
2. Familia de estándares ISO 27000
    2.1. Antecedentes del estándar desde el BS7799
    2.2. Los 11 dominios de seguridad
    2.3. La serie de estándares de la familia del 27000
    2.4. Controles especificados en el ISO 27001
    2.5. Implantación de un sistema de gestión de seguridad de la información (SGSI)
    2.6. Proceso de certificación de las organizaciones
3. Controles administrativos
    3.1. Proceso de reclutamiento
    3.2. Separación de funciones
    3.3. Rotación de labores
    3.4. Menor privilegio
    3.5. Necesidad de saber
    3.6. Programas de concientización
4. Tipos de evaluación
    4.1. Regulaciones internacionales (SOX, Basilea II, HIPAA)
    4.2. Nacionales (Ley de Transparencia, Ley de Protección de Datos Personales en Posesión de Particulares, Código Penal)
    4.3. Organizacionales (políticas, normas y controles)
    4.4. Auditoría de escritorio
    4.5. Modelos de madurez
    4.6. Auditoría práctica (prueba de penetración, PenTest)
    4.7. Metodologías para PenTest
    4.8. Administración de un Pentest


XX BCP & DRP

Objetivo:  Revisar los conceptos utilizados en el DRP/BCP (Disaster Recovery Planning / Business Continuity Planning) y presentar una metodología para el desarrollo e implementación de un plan de recuperación del servicio informático y continuidad del negocio en casos de desastre.
1. Introducción al DRP/BCP
2. Metodología para desarrollar el DRP/BCP
3. Planeación y organización del proyecto de DRP/BCP
4. Análisis de riesgos para prevenir desastres
5. Análisis de impacto al negocio (BIA)
6. Requerimientos de recuperación de TI y de áreas usuarias
7. El esquema de respaldos
8. Costos del DRP/BCP
9. Estrategias de respaldo y recuperación
10. Manejo de la emergencia
11. El documento del DRP/BCP
12. Prueba y mantenimiento del DRP/BCP
13. Otros aspectos del DRP/BCP


XXI Seguridad Física

Objetivo: Conocer los fundamentos de diseño y tecnologías relacionadas con la seguridad física de un centro informático.
1. El rol de la seguridad física en la seguridad informática
2. Identificación de los activos a proteger
3. Control de acceso
    3.1. Requerimientos de instalaciones
    3.2. Áreas restringidas y áreas de trabajo
    3.3. Control de visitantes y requerimiento de escoltas
    3.4. Vallas, puertas, torniquetes y esclusas
    3.5. Guardias de seguridad / perros
    3.6. Identificaciones y gafetes
    3.7. Chapas de llave y de combinación
    3.8. Iluminación
    3.9. Selección de sitio, diseño de instalaciones y configuración
    3.10. Tarjetas inteligentes y tontas
    3.11. Bitácoras de auditoría y acceso
    3.12. Control de acceso biométrico
4. CCTV
    4.1. Equipamiento
    4.2. Cámaras
    4.3. DVR
    4.4. Aspectos específicos
5. Detección de intrusión
    5.1. Detectores de movimiento, sensores y alarmas
6. Consideraciones de suministro de energía y HVAC
    6.1. Plantas
    6.2. UPS
7. Detección y supresión de fuego
    7.1. Agentes limpios

XXII  Aspectos legales y éticos

Objetivo:  Conocer el aspecto ético y legal relacionado con seguridad informática.
1. Ética
2. Código de ética de ISC2
3. RFC 1087
4. Privacidad y datos personales
5. Protección jurídica del software
6. Delitos informáticos
7. Cómputo forense

XXIII  Software malicioso

Objetivo: Conocer las características principales del software malicioso, así como las amenazas de este tipo de software. Implementar las contramedidas necesarias para mitigar el riesgo provocado por el software malicioso.
1. Introducción
2. Características básicas del software malicioso
    2.1. Historia
3. Clasificación extensa.
    3.1. Ejemplos
4. Funcionamiento del software malicioso
    4.1. Conceptos básicos de arquitectura y sistema operativo
    4.2. Conceptos de arreglos y seguridad de arquitecturas
           4.2.1. Conceptos internos básicos de Windows
           4.2.2. Conceptos internos básicos de *nix
    4.3. Métodos de escalamiento y bypass de seguridad.
           4.3.1. Overflows (Buffer/Stack/Heap/Off-By-One)
           4.3.2. Fallos comunes de configuración
           4.3.3. Fallos en aplicaciones web / explotación del lado del cliente
    4.4. Escalamiento, deploy y errores comunes.
    4.5. Creación
    4.6. Replicación
    4.7. Métodos de ofuscación (stealth and obfuscation methods)
5. Daños que un virus puede generar
6. Análisis de software malicioso (ingeniería inversa)
    6.1. Assembly language 101
    6.2. Debugging (depuración) y debugging against disassembling (depuración en contra de desensamble)
    6.3. Desensamble fraccionado
    6.4. Problemas comunes
           6.4.1. Empaquetadores
           6.4.2. Polimorfismo / metamorfismo
           6.4.3. Código ofuscado (obfuscated code)
    6.5. Eliminación de problemas comunes
           6.5.1. Ejemplos
7. Detección y frenado
    7.1. Pattern matching (comparación de patrones)
    7.2. Model validation (validación de patrones)
    7.3. Heurística (heuristics)

XXIV  Seguridad en aplicaciones web

Objetivo: Conocer los puntos a tomar en cuenta para diseñar e implementar una aplicación segura, basada en las mejores prácticas propuestas por el proyecto OWASP.
1. Los hackers en la actualidad
    1.1. Contexto de seguridad empresarial
    1.2. Orígenes y causas del crecimiento de la inseguridad empresarial
    1.3. El atacante: white hat y black hat
    1.4. Motivaciones y formas de ataques
2. Proceso de código seguro
    2.1. El proceso de seguridad
    2.2. Seguridad en aplicaciones críticas
    2.3. Seguridad en aplicaciones web
    2.4. Arquitecturas aplicativas
    2.5. Puntos de protección en el ciclo de vida de una aplicación
3. Modelado de riesgos
    3.1. Introducción al modelado de riesgos tecnológicos
    3.2. Proceso del modelado
    3.3. Categorización de riesgos
    3.4. Desglose de riesgos
4. Mitigación de riesgos
    4.1. Aceptar
    4.2. Transferir
    4.3. Eliminar
    4.4. Mitigar/ reparar
5. La base del código seguro
    5.1. Minimizar privilegios
    5.2. Minimizar superficie de ataques
    5.3. Seguridad a profundidad
6. Criterios de OWASP
    6.1. Presentación de OWASP
    6.2. Revisión de código
    6.3. Estándar de seguridad aplicativa
7. OWASP top ten
    7.1. Presentación del top 10
    7.2. Explicación / ejemplos y demostraciones del top 10



XXV Seguridad en Base de Datos

Obejtivo:  Conocer los aspectos relacionados con la seguridad en base de datos y datawarehouse, así como las herramientas  y módulos de seguridad de las bases de datos y datawarehouse más utilizadas en la industria.
1. Tipos de bases de datos
2. Características de los DBMS´s
3. Arquitecturas de los DBMS´s
4. Lenguajes de los DBMS´S
5. Seguridad en base de datos
6. Modelos de seguridad
7. Confidencialidad en las bases de datos
    7.1. Control de acceso
    7.2. Agregación
    7.3. Inferencia
    7.4. Covers chanels
    7.5. Multilevel security databases
    7.6. Polistantation
    7.7. Auditoria
8. Integridad en las bases de datos
    8.1. Principios de seguridad en la integridad de las bases de datos
9. Disponibilidad en las bases de datos
    9.1. Propiedades de una transacción
    9.2. Log´s
10. Herramientas para el análisis de vulnerabilidades en bases de datos
11. Funciones del administrador de la base de datos
12. Datawarehouse
     12.1. Datamining
     12.2. Datamarts
     12.3. Seguridad en los datawarehouse

XXVI Seguridad en aplicaciones y desarrollo de sistemas

Objetivo: Conocer los aspectos relacionados con la seguridad en aplicaciones en  producción, desarrollo, y las metodologías y herramientas para analizar, diseñar, e implementar controles en el ciclo de vida del desarrollo de aplicaciones.
1. Controles en aplicaciones en producción
2. Controles en aplicaciones en desarrollo
3. CMM
4. Sistemas expertos
5. Redes neurales
6. Control del proyecto
7. Control del producto
8. Principios de auditabilidad
9. Estrategias para el desarrollo de aplicaciones
10. Metodología de seguridad para el desarrollo de aplicaciones
11. El rol del especialista de seguridad en el desarrollo de aplicaciones
12. Determinación del nivel de riesgo aceptable en las aplicaciones
13. Acreditación y certificación
14. Conversión de las aplicaciones
15. Change management
16. Configuration management


Módulo XXVII Auditoría Seguridad de la Información

Objetivo específico: Conocer los aspectos relacionados con la Auditoria de Seguridad así como los enfoques, paradigmas, guías,  herramientas y técnicas necesarios para realizar una auditoría.
1. Conceptos generales de la Auditoría
2. Ubicación de la Auditoria de la Seguridad en el Organigrama
3. Diferencias entre la Auditoria de Seguridad y la Auditoria de TI
4. Alcance de la Auditoría de Seguridad
5. Enfoques de la Auditoria de Seguridad
6. Paradigmas de la Auditoria de Seguridad
7. Tipos de Pruebas en la Auditoria de Seguridad
8. Guías, Técnicas y Herramientas de la Auditoria de Seguridad



XXVIII Outsourcing

Objetivo: Conocer las características, condiciones para el outsoursing de seguridad informática así como aspectos para la elaboración de RFP´s y acuerdos de niveles de servicio para la contratación de servicios de outsoursing de seguridad informática.
1. Antecedentes y origen del outsoursing
2. Introducción
3. Los managed security services providers ( MSSP´s )
4. Características del outsoursing de seguridad informática
5. Condiciones para el outsoursing de seguridad informática
6. RFP Para la contratación de servicios en outsoursing de seguridad Informática
7. Guías de contenido para la elaboración de acuerdos de niveles de servicio para el outsoursing de seguridad informática
8. Metodología para un convenio de servicios de outsourcing de seguridad informática
9. Mercado de los MSSP´s


XXXIX Análisis de riesgos

Objetivo: Conocer los aspectos básicos del análisis de riesgos, así como las herramientas, metodologías y técnicas usadas en esta área.


1. Antecedentes
2. Conceptos de los elementos del riesgo
3. Análisis de Riesgos
4. Manejo o administración de riesgos
5. Análisis de riesgos cuantitativo
6. Análisis de riesgos cualitativo
7. Drivers del manejo de riesgos
8. ISO/IEC TR 13335 como guía para la identificación y priorización de riesgos
9. Metodologías, estándares y herramientas:
    9.1. BS7799-3
    9.2. ISO27005
    9.3. ISO31100
    9.4. UNE71504
    9.5. OCTAVE
    9.6. CRAMM
    9.7. Threat risk assesment ( TRA )
    9.8. NIST
    9.9. GAO ( ISRM)
    9.10. MAGERIT
    9.11. COBRA
    9.12. CALLIO


XVI  Práctica FRAP

Objetivo:  Conocer, analizar y trabajar con la metodología de análisis de riesgos FRAP con un caso práctico donde los participantes tengan la experiencia de realizar un análisis de riesgos así como el poder utilizar todos los conocimientos obtenidos en el diplomado y así poder trazar una estrategia de seguridad informática basada en el análisis.
1. Antecedentes
2. Metodología FRAP
3. FRAP y otra metodologías
4. Caso práctico
5. Estrategia de seguridad basada en el análisis de riesgos