Seguridad y Riesgos de la

aplicación móvil YAPE

Lunes 09 de diciembre del 2019

Contenido
1. LA EMPRESA 3
1.1. DESCRIPCIÓN DE LA EMPRESA 3
1.2. MISIÓN 3
1.3. VISIÓN 3
2. PROBLEMÁTICA 4
3. SOLUCIÓN 4
4. ARQUITECTURA DEL SISTEMA 5
5. RIESGOS Y SEGURIDAD DEL SISTEMA 5
6. ANÁLISIS DE SEVERIDAD DE RIESGOS 11
7. CONTROL DE RIESGOS 14

Índice de Tablas
Tabla 1 Matriz de riesgos...............................................................................................7
Tabla 2. Análisis de riesgos..........................................................................................14
Tabla 3. Tabla de valoración de riesgos.....................................................................16

Índice de Figuras
Figura 1 Arquitectura del sistema de YAPE...........................................................................6
Figura 2 Riesgos en aplicaciones móviles..............................................................................7
1. LA EMPRESA

1.1. DESCRIPCIÓN DE LA EMPRESA

El 9 de abril de ese año, comenzaba a escribirse la historia del mejor

banco. Cambio de nombre, pasó de ser Banco Italiano, a ser Banco de
Crédito del Perú. Como mejora de sus servicios se instala una extensa red
de cajeros automáticos en las diversas oficinas.

Se expandió a Bolivia, donde adquirieron el Banco Popular de Bolivia, hoy

Banco de Crédito de Bolivia. Actualmente cuentan con 375 Agencias, más
de 1,800 cajeros y más de 5,600 Agentes BCP.

Figura 1 Logo del BCP

1.2. MISIÓN

“Estar siempre contigo, alentando y transformando tus sueños y planes

en realidad y con el Perú, construyendo su historia de desarrollo y
superación.”

1.3. VISIÓN

 Ser la empresa peruana que brinda la mejor experiencia a los clientes.

Simple, cercana y oportuna.
  Ser la comunidad laboral de preferencia en el Perú, que inspira,
potencia y dinamiza a los mejores profesionales.
 Ser referentes regionales en gestión empresarial potenciando nuestro
liderazgo histórico y transformador de la industria financiera en el
Perú.

2. PROBLEMÁTICA //CONTEXTO

La actual problemática que enfrenta el banco es la incomodidad que

presentan los clientes, debido a las siguientes causas:

 Escribir largos números de cuenta al querer realizar una operación de

transferencia.
 No existen agentes cercanos a todos los clientes.
 El cliente gasta tiempo en el proceso de transacciones de bajo monto.
 Cobro de comisión en algunos agentes.
 El reducido número de agentes en zonas rurales del Perú.
 La creciente demanda de un aplicativo móvil.

3. SOLUCIÓN// TRATAMIETO DE RIESGO

La solución propuesta por el banco consiste en la creación de un aplicativo

móvil que estará al alcance de todos sus clientes, esta aplicación se llama
YAPE, y beneficia al cliente de la siguiente manera:

 No se necesitará conocer el número de cuenta del destinatario.

 Las transacciones se pueden realizar desde cualquier lugar.
 Las transacciones son rápidas y seguras.
 No existe cobro de comisiones.

La aplicación funcionará de la siguiente manera:

 Obtener la app: Descarga la app de Play Store o App Store.

 Registrar tu cuenta: Llena los campos solicitados (nro. De cuenta y
datos personales).
 Personalizar cuenta: La cuenta debe ser personalizada para un mejor
uso.
 Realizar transacciones: Ingresa el número de teléfono del destinatario y
elegir monto a transferir.
4. ARQUITECTURA DEL SISTEMA

Figura 2 Arquitectura del sistema de YAPE

5. ISO 310000//NORMATIVA

Esta norma fue publicada en noviembre del 2009 por la Organización

Internacional de Normalización (ISO) en colaboración con IEC, y tiene por
objetivo que organizaciones de todos los tipos y tamaños puedan gestionar
los riesgos en la empresa de forma efectiva, por lo que recomienda que las
organizaciones desarrollen, implanten y mejoren continuamente un marco
de trabajo cuyo objetivo es integrar el proceso de gestión de riesgos en
cada una de sus actividades.

Según la norma ISO31000, los principios para la gestión de riesgos son los

siguientes:

 Crear y proteger el valor. Contribuye a la consecución de objetivos, así

como la mejora de ciertos aspectos tales como la seguridad y salud
laboral, cumplimiento de los requisitos legales, protección ambiental,
etc.
  Estar integrada en los procesos de una organización. No debe ser
entendida como una actividad aislada sino como parte de las
actividades y procesos principales de una organización.
 Formar parte de la toma de decisiones. La gestión del riesgo ayuda a
la toma de decisiones evaluando la información sobre las distintas
alternativas.
 Tratar explícitamente la incertidumbre. La gestión del riesgo trata
aquellos aspectos de la toma de decisiones que son inciertos, la
naturaleza de esa incertidumbre y como puede tratarse.
 Ser sistemática, estructurada y adecuada. Contribuye a la eficiencia y,
consecuentemente, a la obtención de resultados fiables.
 Basarse en la mejor información disponible. Los inputs del proceso de
gestión del riesgo están basados en fuentes de información como la
propia experiencia, la observación y la opinión de expertos.
 Estar hecha a medida. La gestión del riesgo está alineada con el
contexto externo e interno de la organización y con su perfil de
riesgo.
 Tener en cuenta factores humanos y culturales. Reconoce la
capacidad y percepción de los empleados y personas interesadas,
esto puede facilitar o dificultar la consecución de los objetivos de la
organización.
 Ser transparente e inclusiva. La apropiada y oportuna participación de
los grupos de interés (stakeholders) y, en particular, de los
responsables a todos los niveles, asegura que la gestión del riesgo
permanece relevante y actualizada.
 Ser dinámica, iterativa y sensible al cambio. La organización debe
velar para que la gestión del riesgo detecte y responda a los cambios
de la empresa y de su entorno.
 Facilitar la mejora continua de la organización. Las organizaciones
deberían desarrollar e implementar estrategias para mejorar
continuamente, tanto en la gestión del riesgo como en cualquier otro
aspecto de la organización.

6. DEFINICIÓN DE OBJETIVOS

Con el siguiente sistema de gestión de riesgos, en el cual estamos aplicando

la ISO 31000, se busca identificar, reconocer, evaluar y mitigar los riesgos
asociados a la aplicación YAPE como los servidores de la arquitectura.
La ISO 31000 es una norma internacional que ofrece las directrices y
principios para gestionar el riesgo de las organizaciones.
7. RIESGOS Y SEGURIDAD DEL SISTEMA

Tabla 1 Matriz de riesgos

RIESGO
Id DESCRIPCIÓN CATEGORÍA CAUSAS
IDENTIFICADO
El uso de http y
telnet como
protocolos de red,
harían que el
sistema este
Antigüedad de
Uso de expuesto a
R0 Dispositivos los sistemas de
protocolos de ataques
1 de red red utilizados
red inseguros informáticos dado
por la empresa.
que es conocido
que no usan un
mecanismo de
encriptación de
información
La falta de
Falta de licencias
actualizacion del
de software
Falta de sistema operativo
impide la
R0 actualización en o el antivirus de
Software actualización
2 el software de los los servidores los
autorizada por
servidores deja expuestos a
parte del
malware o
proveedor
software malicioso
La caida del
servidor incumple
Falta de
uno de los
mantenimiento
principios como lo
R0 Caida del Dispositivos al servidor y el
es la
3 servidor de red entorno en el
disponibilidad de
que se
servicios, esto
encuentra.
afectaria al
servicio ofrecido.
R0 Falta de La falta de Software Falta de
4 actualización en actualizacion del conocimiento
el firewall firewall permite la especializado
entrada de necesario para
atacantes actualizar y
informaticos que mantener un
buscarian el robo firewall
de informacion
 confidencial.
El no tener un
firewall haria que Falta de
cualquiera pudiera conocimiento de
R0 La carencia de un entrar a la red Procesos de la importancia
5 firewall interna, lo cual negocio del firewall por
como parte de la
organización no gerencia.
sería seguro.
De manera similar
a una falta de
Equipo de Politicas poco
Configurar de actualización una
R0 trabajo de la adecuadas para
forma incorrecta mala
6 oficina de la configuración
el firewall configuracion es
tecnologías del firewall
una ventana de
riesgos.
De acuerdo a la
Ley de Proteccion
Tener problemas
de Datos
legales debido a
Personales, la Poca protección
pérdida o
R0 informacion de los Procesos de brindada a la
secuestro de
7 clientes es negocio información de
información de
fundamental, su los clientes.
datos personales
incumplimiento
de los clientes
llevaria a costosas
penalidades.
La actualizacion
del firmware
influye
directamente
sobre los
dispositivos de Falta de
Poca o nula hardware, una conocimiento
R0
actualizacion del falta de Software especializado
8
firmware actualización relacionado con
llevaria a fallas en el firmware
el funcionamiento
de este hardware,
lo que afectaria a
la disponibilidad
del servicio.
R0 No haber Esto permitiria Dispositivos Falta de
9 cambiado la que cualquier de red conocimiento de
 la importancia de
configuracion de
persona pudiera las
inicio de sesion
acceder al sistema configuraciones
por default del
del router. de inicio de
router
sesion
El SSID de acceso
a la red
configurado por
defecto es
accesible para
cualquier persona,
Falta de
dentro de la red
R1 No haber Dispositivos conocimiento de
de la organización
0 cambiado el SSID de red la importancia
se almacena
del SSID
información
valiosa, de esta
manera no
cambiarla haria
que cualquiera
pudiera acceder.
De manera similar
al router, la Falta de
No renombrar configuracion por conocimiento de
R1 los metodos de defecto del switch Dispositivos la importancia de
1 mitigación de expondria al de red los metodos de
acceso. sistema a ataques mitigacion de
dentro de una acceso
misma red.
Los cables
deteriorados o
viejos pueden
ocasionar caidas o Equipo de
Cables
R1 subidas del trabajo de la Falta de
deteriorados o
2 voltaje, lo que se oficina de mantenimiento
viejos.
traduce en tecnologías
perdida de la
disponibilidad del
servicio.
Cuando se realice Carencia de
No establecer el mantenimiento politicas
R1 Procesos de
etiquetas para de este tipo de orientadas a
3 negocio
los cables. equipos, cables, se apoyar a los
requiere conocer tecnicos de
 la funcion que
cumple cada
cable, en este
contexto se usan
las etiquetas, no
tenerlo
correctamente mantenimiento
etiquetado
dificulta el
mantenimiento y
podria ocasionar
fallas en
conexiones
La fuga de
energía,
dependiendo en
donde se de,
Fuga de energia ocasiona que se Equipo de Falta de
R1 que eleve los eleven los costos trabajo de la mantenimiento
4 costos de de energia, pero oficina de del sistema de
energia electrica tambien puede tecnologías energia electrica.
ocasionar
accidentes como
cortos circuitos,
incendios, etc.
Una mala
instalacion del
sistema de
energia de
Mala instalacion
respaldo, puede
del Sistema de Mala
hacer que ante un
energia de planificación de
R1 evento no Procesos de
respaldo, que la ubicación de
5 previsto, no se negocio
desemboque en los equipos
pueda responder
una caida en el electrónicos
con la medida
desempeño
mas adecuada lo
que se traduce en
perdida de
informacion.
R1 Poco De no realizarse el Equipo de Falta de tecnicos
6 mantenimiento mantenimiento trabajo de la especializados
de sistema de del sistema de oficina de para realizar este
energía de respaldo no sea tecnologías control.
 realizado puede
hacer que el
sistema no este
respaldo disponible cuando
mas sea necesario,
ante la caida de la
corriente electrica.
Dada la ubicación
geografica del
datacenter, es
frecuente las altas
temperaturas, de
R1 Fallas en la no tener una Dispositivos Falta de
7 refrigeracion refrigeracion de red mantenimiento
adecuada expone
a los
componentes a
corto circuitos o
su deterioro.
Los operarios de
los equipos
electronicos,
pueden ocasionar
daños a los Equipo de
Carencia de un
R1 equipos trabajo de la
Errores humanos reglamento para
8 involuntariamente, oficina de
el datacenter
esto puede tecnologías
ocasionar perdida
de informacion o
de disponibilidad
de servicio
Los equipos no
preparados para
la humedad de no
Humedad que
tomar las medidas
R1 daña a los Áreas de Condiciones
adecuadas
9 componentes trabajo climaticas
pueden averiarse
electronicos
afectando la
disponibilidad del
sistema.
R2 Robo de Se puede filtrar Equipo de Desconocimiento
0 información a información clave trabajo de la por parte de los
traves de de los clientes o oficina de operarios de las
 incluso de la
misma empresa a tecnicas de
ingeniería social tecnologías
personas no ingenieria social
autorizadas.
Puede afectar al
robo o secuestro Ataques
R2 de información e Base de informaticos de
Ciberataques
1 incluso la Datos hackers mas
disponibilidad del sofisticados.
sistema.
El sabotaje al
software con
intereses Falta de politicas
R2 Sabotaje de
personales puede Software de control de
2 software
llevar a la perdida acceso
de información y
disponibilidad.
Permitiria el
Baja frecuencia acceso de virus no
No poseer
R2 de actualizacion registrados, lo que
Software licencias de
3 de base de datos llevaria a la
antivirus
de virus perdida de
información

8. ANÁLISIS DE SEVERIDAD DE RIESGOS

En el presente apartado se evalúa el grado de criticidad de

los riesgos a un nivel cuantitativo y cualitativo. Para el primer tipo
de análisis se utiliza el mapa de calor que se presenta a
continuación:
 Figura 3. Mapa de calor de riesgos

Como se observa, los riesgos menos críticos – poca probabilidad de ocurrencia

e impacto leve- se colorearán de azul e irá subiendo la tonalidad a rojo en el
caso de los riesgos críticos o clave – gran probabilidad de ocurrencia y gran
impacto. En el presente informe solo se mitigarán los riesgos con coloraciones
rojizas debido al grado de criticidad y con fines de reducir costos.

Finalmente, los resultados del análisis cuantitativo y cualitativo se observan en la

tabla presentada a continuación.
Tabla 2. Análisis de riesgos.

RIESGO
PROBABILIDA CALIFICACIÓ PRIORIDA
Id IDENTIFICAD IMPACTO
D N D
O (*)
Uso de
R01 protocolos de Media Extrema 15 5
red inseguros
Falta de
actualización
R02 en el software Baja Alta 8 3
de los
servidores
Caida del
R03 Baja Extrema 10 4
servidor
 Falta de
R04 actualización Media Alta 12 4
en el firewall
La carencia de
R05 Baja Media 6 3
un firewall
Configurar de
forma
R06 Baja Alta 8 3
incorrecta el
firewall
Tener
problemas
legales debido
a perdida o
R07 secuestro de Baja Extrema 10 4
información
de datos
personales de
los clientes

Poca o nula
R08 actualizacion Insignificante Alta 4 2
del firmware

No haber
cambiado la
configuracion
R09 de inicio de Baja Media 6 3
sesion por
default del
router

No haber
R10 cambiado el Baja Media 6 3
SSID

No renombrar
los metodos
R11 Baja Baja 4 2
de mititgación
de acceso.
Cables
R12 deteriorados o Media Alta 12 4
viejos.

No establecer
Insignificant
R13 etiquetas para Media 3 2
e
los cables.
 Fuga de
energia que
eleve los
R14 Baja Extrema 10 4
costos de
energia
electrica
Mala
instalacion del
Sistema de
energia de
R15 respaldo, que Baja Alta 8 3
desemboque
en una caida
en el
desempeño
Poco
mantenimient
R16 o de sistema Baja Alta 8 3
de energía de
respaldo

Fallas en la
R17 Media Extrema 15 5
refrigeracion

Errores
R18 Baja Alta 8 3
humanos

Humedad que
daña a los
R19 Media Alta 12 4
componentes
electronicos
Robo de
información a
R20 traves de Baja Media 6 3
ingeniería
social
R21 Ciberataques Baja Alta 8 3

Sabotaje de
R22 Baja Alta 8 3
software
Baja
frecuencia de
R23 actualizacion Baja Media 6 3
de base de
datos de virus
 9. CONTROL DE RIESGOS

Una vez evaluados los riesgos, es necesario aplicar controles para reducir su
probabilidad e impacto, esto será realizado para aquellos que tengan una
prioridad 4 y 5, así tenemos los riesgos residuales al aplicar estos controles:

Tabla 3. Tabla de valoración de riesgos

RIESGO RIESGO RIESGO

PROBABILID IMPACT
Id IDENTIFICA CONTROL INHEREN RESIDU
AD O
DO (*) TE AL
Implementaci
ón de
protocolos
seguros
Uso de como HTTPS
R0 protocolos y
15 Baja Media 6
1 de red encriptación
inseguros de
información
sensible en la
base de
datos.
Tener más de
un servidor
dedicado a
desplegar el
sistema, de
R0 Caída del modo que en
10 Baja Media 6
3 servidor caso que uno
caiga el otro
se mantenga
en
funcionamie
nto.
R0 Falta de Actualizar el 12 Insignificante Alta 4
4 actualización firewall
en el firewall constanteme
nte y contar
con un
profesional
dedicado a
asegurar su
 correcto
funcionamie
nto.
Encriptar
Tener información
problemas sensible de
legales los datos
debido a personales
pérdida o del cliente,
R0
secuestro de hacer uso de 10 Insignificante Media 3
7
información protocolos
de datos de red
personales seguros y
de los restringir el
clientes acceso a la
información.
Periodicame
nte realizar
mantenimien
to a las
instalaciones
Cables
R1 eléctricas y
deteriorados 12 Insignificante Alta 4
2 cableados a
o viejos.
fin de
garantizar el
correcto
estado de
este.
Periodicame
nte mantener
Fuga de
el sistema de
energia que
suministro de
R1 eleve los
energía para 10 Insignificante Extrema 5
4 costos de
garantizar
energia
que este en
electrica
las mejores
condiciones.
Mantener los
sistemas de
refrigeración
periodicame
R1 Fallas en la nte para
15 Insignificante Extrema 5
7 refrigeracion garantizar
que los
equipos se
encuentren a
una
 temperatura
adecuada.
Inspeccionar
las
condiciones
Humedad del
que daña a datacenter
R1 los para
12 Insignificante Alta 4
9 componente asegurar que
s los equipos
electronicos no reciban
daños por la
humedad del
clima.

10.CONCLUSIONES

 Se encontraron los riesgos

 Se clasificaron los riegos
 Se aplicaron control para los riesgos de mayor prioridad
