Calidad en las TIC

Ciberamenazas 2015

noreply@blogger.com (Carles Garcia) — Thu, 04 Jun 2015 11:34:00 +0000

El pasado abril Websense publicó el “2015 Threat Report”, en el cual se dan a conocer las diferentes ciberamenazas para el 2015, los factores que se deben tener en cuenta y cómo estamos preparados para afrontarlas.

El análisis incorpora 2 secciones:

Una primera sección basada en comportamientos humanos, donde se explica cómo afecta el comportamiento humano en diferentes ciberataques.
Una segunda sección de tendencias basadas en técnicas, donde trata los nuevos comportamientos que se están aplicando a los ciberataques.

A continuación presentamos un resumen con los aspectos más relevantes de la citada publicación:

SECCIÓN 1: COMPORTAMIENTOS HUMANOS

Cómo los ciberatacantes pueden disponer más fácilmente de aplicaciones para poder provocar ciberataques.

Aparición del nuevo fenómeno Malware as a service: la capacidad de que un ciberatacante o una organización que quiere perpetrar un ciberataque le sea muy fácil, ya que cada vez se dispone de más infraestructura, herramientas y troyanos personalizados para cometer este tipo de ataques.
Cada vez se disponen de mayores capacidades de ataque a un precio muy asequible para cualquier persona. Se están utilizando alrededor de un 90% de las url’s utilizadas en ataques anteriores. El ciberatacante ya no necesita disponer de sus recursos propios.

Atribución de un ataque

Capacidad de elevar el conocimiento en ciberseguridad

Usuario interno

Alguien que para seguir trabajando en casa sube información confidencial en Gmail, Dropbox o algún disco duro virtual, y con eso facilita que otro usuario o atacante infiltrado en los sistemas pueda acceder fácilmente.
Usuarios que cogen información de forma malintencionada, normalmente personas que están a punto de abandonar la organización.

SECCIÓN 2: TENDENCIAS BASADAS EN TECNOLOGÍA

Vulnerabilidades presentes en la infraestructura

Tener presente las revisiones de seguridad en los sistemas con el objetivo de detectar las vulnerabilidades lo antes posible.
Estar pendiente de las actualizaciones.
Mejorar los procesos de parcheado para reducir el nivel de exposición de esta vulnerabilidad.
Disponer de otras herramientas capaces de bloquear la comunicación el control con los servidores.

¿Se trata de algo nuevo o algo que hemos visto?

Internet of Things

Evolución de las amenazas

Para concluir, remarcar los siguientes aspectos más relevantes del documento:

Cada vez se disponen de mayores capacidades de ataque a un precio muy asequible para cualquier persona.
El usuario interno es el principal riesgo para la fuga de información.
Se han descubierto nuevas vulnerabilidades en sistemas estables y seguros que llevan muchos años en las organizaciones.
Se está volviendo a utilizar el correo como fuente de ataque informático.
El objetivo del ataque informático pasa a ser puramente económico y dirigido a una víctima en concreto.

Fuente consultada:
Threat Report Identifies 8 High-Risk Cyber Threats For 2015

3 Pilares de la Seguridad: Negocio, Tecnología y Capacidades, Economía

noreply@blogger.com (Unknown) — Tue, 13 Jan 2015 11:24:00 +0000

En nuestra entrada titulada cómo el CISO y el CEO pueden hablar el mismo idioma acabamos diciendo que la seguridad no es una persona al lado de un firewall, es desarrollar programas de gestión de riesgos que estén alineados con las necesidades del negocio.

A la hora de analizar cómo abordar el reto de la seguridad en una organización es importante tener en cuenta estos 3 elementos o aspectos:

1. Las principales 4 preocupaciones del negocio desde el punto de vista de la seguridad

Ante un incidente de seguridad, las principales preocupaciones para el Director General, el Director Financiero o el Director de Operaciones son que se produzca:

Una pérdida de reputación, confianza de los clientes.
Una parada en la operativa del negocio.
Una violación de cumplimiento.
Una una pérdida financiera.

2. Los 3 aspectos que debemos tener en cuenta para disponer de un nivel adecuado (responsable) de la seguridad en nuestra organización:

Nuestro negocio. Permitirá conocer qué riesgos corremos y qué leyes (riesgos legales) genéricas o específicas de nuestro sector debemos cumplir.
Nuestra madurez tecnológica. Permitirá conocer qué medidas técnicas, organizativas y procedimentales tenemos implementadas, y qué medidas no, que permitan eliminar o reducir dichos riesgos y cumplir con los requisitos legales que debemos cumplir.
Nuestras capacidades disponibles. Permitirá conocer si tenemos los recursos necesarios, capaces de gestionar los riesgos existentes y futuros.

3. El entorno económico global o particular en el que se mueve nuestra organización

Este entorno determinará que las medidas que tomemos para gestionar adecuadamente los riesgos TIC que afectan a nuestro negocio sean más o menos conservadoras o innovadoras. Introducir la variable económica es fundamental para saber de qué estamos hablando. Es fundamental para poder comparar el impacto económico asociado al riesgo, con el coste necesario para reducirlo o eliminarlo. De esta manera podemos decidir focalizarnos en implementar aquellas medidas y disponer de aquellas capacidades mínimas que traten aquellos riesgos (incluidos los legales) más importantes, o intentar proporcionar valor a la organización a través de medidas y capacidades más robustas y mejoradas.

Para hablar de todo ello, ofrecemos 3 workshops formativos que combinan la parte teórica con la aplicación práctica en tu organización.

El objetivo es formar y analizar a alto nivel, cómo complementar los objetivos de negocio con un nivel adecuado (responsable) del riesgo y de la seguridad de los sistemas y tecnologías de la información, que considere el impacto económico asociado.

Descárgate el siguiente pdf en el que encontraras el detalle y precio de estos workshops:

Workshopos formativos sobre seguridad.pdf

Cumplimiento: Principios y Políticas

noreply@blogger.com (Unknown) — Thu, 18 Dec 2014 11:52:00 +0000

Recientemente la Organización Internacional de Normalización (the International Organization for Standardization - ISO) publico la ISO 19600:2014, la cual proporciona una orientación para establecer, desarrollar, ejecutar, evaluar, mantener y mejorar un sistema eficaz y sensible de gestión de cumplimiento dentro de una organización.

Las directrices sobre los sistemas de gestión de cumplimiento son aplicables a todo tipo de organizaciones. El alcance de la aplicación de estas directrices depende del tamaño, la estructura, la naturaleza y complejidad de la organización. Esta norma internacional se basa en los principios de buena gobernanza, proporcionalidad, transparencia y sostenibilidad.

Los principios en los que se basa la gestión del Sistema de Gestión del Cumplimiento son los siguientes:

Compromiso de liderazgo de la dirección
Independencia de la función de Cumplimiento
Definición de Responsabilidades a todos los niveles y
Soporte de las funciones de negocio

La función de Cumplimiento se dedica a promover un alto nivel de integridad, ética y cumplimiento de la normativa en toda la organización. Las Políticas de Cumplimiento de una compañía o grupo ayudan a promover una cultura basada en la ética y la atención a los principios definidos y establecidos por la empresa o grupo.

Estas Políticas se deben articular con las normas de conducta para asegurar que llevar a cabo las actividades de negocio de acuerdo con los requerimientos legales y profesionales, así como con los estándares éticos existentes.

El Sistema de Gestión del Cumplimiento planteado en la ISO19600, comprende los siguientes elementos:

Determinación del alcance del sistema de gestión del cumplimiento

Identificar los factores internos y externos
Identificación de los requerimientos de las partes interesadas
Principios de buenas prácticas de gobernanza

Establecimiento de la política
Identificación de las obligaciones de cumplimiento y evaluación de los riesgos de cumplimiento
Planificación para dirigir los riesgos de cumplimiento y lograr los objetivos
Definir el plan operacional y controles los riesgos de cumplimiento
Evaluación del desempeño y reporting del cumplimiento
Gestión de los no cumplimientos y mejora continua

Las políticas son aplicables y de cumplimiento obligatorio para todos los empleados de la empresa o grupo.

En consecuencia, todas las localidades, dependencias o sedes deben incorpora las directivas de Cumplimiento como un estándar obligatorio en el desempeño de las tareas de todos sus empleados.

Sin embargo, puede pasar que existan dentro del grupo compañías que debido a su actividad específica no requieran cumplir con todas las políticas de Cumplimiento. Estas compañías o entidades deberán recibir consideración especial, en lo relacionado a concienciación en el cumplimiento de las políticas.

Algunas políticas de Cumplimento de especial consideración son:

Gestión de los Registros (Records Retention)
Competencia Leal y Antitrust (Competition and anti-trust)
Protección, Seguridad y Confidencialidad de los Datos (Protection and Privacy of Employee Data)
Reporting Concerns
Conflictos de Intereses (Conflicts of Interest and)
Comuncación con determinados Externos (External Engagements)
Antosoborno, Anticorrupción (Anti bribery – anti corruption)

En particular, las normas internas relacionadas con la protección y privacidad de datos de empleados deben ser cuidadosamente cumplidas, siempre que el tratamiento de datos se realice en dicha compañía. Si se realiza un tratamiento de datos personales de empleados se requerirá el asesoramiento específico de las áreas de Riesgos, Seguridad y Cumplimiento.

Las políticas de Cumplimiento deben ser publicadas bien en medios electrónicos o medios impresos como por ejemplo, intranets, correos electrónicos, posters, etc.

La concienciación continua de los empleados es muy importante para lograr el conocimiento y de las Políticas de Cumplimiento por lo que debe establecerse un calendario con las jornadas de concienciación en el que se definan aspectos como regularidad, Política de Cumplimiento, medio de comunicación a utilizar (E-learning, Jornada presencial) para la concienciación.

Por último es igualmente importante informar los mecanismos y cabales a través de los cuales los empleados pueden comunicar dudas relacionadas con las políticas de Cumplimiento.

SAP y La Segregación de funciones

noreply@blogger.com (Unknown) — Fri, 28 Nov 2014 09:22:00 +0000

El pasado 12 de noviembre, Abast Systems organizó con éxito el evento “Gestión de Perfiles y Segregación de Funciones en Entornos SAP” en conjunto con @pliRH (empresa Española especializada en la consultoría técnica y funcional en SA).

Al evento asistieron y participaron directores, responsables y administradores de SAP de importantes empresas de los sectores servicios, juegos online y casinos y alimentación, entre otros.

En el evento se realizaron demostraciones de herramientas automatizadas que permiten al negocio mejorar la gestión de los roles y autorizaciones minimizando los esfuerzos humanos.

La demostración de las herramientas fue complementada con la metodología a seguir para llevar con éxito un proyecto de segregación de funciones.

SARC (GRC SAP) à Herramienta para la gestión de riesgos.
SFS à Solución en SAP de ayuda para la segregación de funciones.
SMU à Sistema de monitorización de usuarios, control de accesos de cada uno de los usuarios, configuraciones de alerta, etc.
SCMC à Herramienta de ayuda para la gestión del cambio.
AAM à solución SAP para la gestión automática de redes

Con participación de los asistentes, se realizaron múltiples ejemplos de cómo solucionar varias problemáticas relacionadas con la gestión de roles y autorizaciones en SAP:

Longevidad en las autorizaciones otorgadas a los perfiles / roles desde la instalación y personalización del sistema SAP.
Crecimiento de las operaciones de la compañía e incremento de autorizaciones añadidas a los perfiles / roles existentes para afrontar las tareas del día a día
Consultorías poco eficientes a la hora de la entrega de los resultados, hojas Excel con los roles-transacciones-autorizaciones sobre objetos + usuarios-funciones y tareas.

Otro de los aspectos más relevantes del evento fue la demostración de la metodología para afrontar un proyecto de segregación de funciones:

1) Identificación de riesgos y adaptación de la empresa. Es muy importante comenzar la implantación con una matriz estable.

2) Segmentar las estructuras en base a criterios:

Agrupación de usuarios homogéneos en actividad (empresarial y/o territorial).
Aprobación de la agrupación por el líder del área.

3) Monitorizar las transacciones que utilizan realmente los usuarios durante un periodo de tiempo. Construir el modelo de segregación (matriz de funciones y tareas) en simulación para cada modelo de manera independiente.

4) Definir y construir el modelo:

Asignar directamente los roles previstos al usuario en base a roles pre configurados.
Automatizar los roles desde la estructura organizativa OM estándar de SAP

5) Planificar la fecha de limitación de los roles.

En la mesa de opinión, los aspectos de más interés comentados por los asistentes al evento, fueron:

Afectación sobre el control de los usuarios SAP_ALL.
Gestión de alertas y tipos de alertas (asignación de transacciones incompatibles a roles de usuario)
Control de las transacciones “Z” (transacciones creadas para operativas específicas)
Creación de roles “Padre” y no funcionales (utilizados para copiar y crear nuevos roles)
Fomentar cambios a nivel organizativo para implementar las modificaciones de los roles

Aunque a priori pueda suponer la segregación de funciones un proyecto complejo, la implantación ofrece la oportunidad de mejorar la organización de la empresa, poniendo en marcha mecanismos de re-ingeniería de procesos ofreciendo múltiples beneficios.

Por tanto la segregación de funciones será una consecuencia directa de la implantación de sistemas de control de riegos (GRC) como sistema para prevenir y mitigar riesgos en la organización.

Propuesta Nuevo Reglamento LOPD – El DPO (Data Protection Officer)

noreply@blogger.com (Unknown) — Fri, 21 Nov 2014 12:06:00 +0000

En junio de 2014 se organizó una ponencia de trabajo en la que el Coordinador de Auditoria y Seguridad de la información en la Autoridad Catalana de Protección de Datos, expuso las novedades de la propuesta de Reglamento UE de Protección de Datos y anticipó los puntos que probablemente formarán parte de la nueva norma.

En este artículo se va a profundizar sobre uno de los principales puntos que serán susceptibles de aplicación para la mayoría de entidades, en el momento de la aprobación del reglamento de la Unión Europea de Protección de Datos.

El Reglamento será de aplicación directa a todos los Estados miembros. Todas las empresas que traten datos de carácter personal y dispongan de un establecimiento en un Estado miembro deberán aplicarlo, aunque las operaciones materiales de tratamiento de la información se lleven a cabo fuera de la Unión Europea.

El objetivo del Reglamento es alcanzar un mayor nivel de protección de los datos de carácter personal, especialmente en el medio digital, alineando la gestión de la protección de datos con el resto de actividades ordinarias y cotidianas que conforman la estructura organizativa y las reglas de negocio de las empresas, a lo que se une la obligación de ofrecer una mayor transparencia respecto del tratamiento de datos que llevan a cabo, en base a informar más y mejor sobre las operaciones de tratamiento.

Este nuevo Reglamento está considerado por las instituciones europeas como uno de los pilares del mercado único digital europeo, que debería estar ultimado, al menos conceptualmente, en el 2015.

Aunque no será de cumplimiento obligatorio para todas las Organizaciones, unos de los mayores cambios es el de disponer de la figura del DPO.

Se establece el perfil del DPO como un profesional conocedor de la materia (legislación y buenas prácticas) y capacitado para desarrollar todas las funciones que describe el Reglamento (ej. supervisión, información, asesoramiento, formación, comunicación al Comité de empresa sobre el tratamiento de datos de los empleados, auditorías, seguridad, etc.), aunque por el momento no se detalla la obligación de acreditar una formación determinada.

No obstante, muy probablemente se establecerán mecanismos de acreditación, ya sean a nivel europeo o local, respecto de la formación o capacitación requerida.

Entre las funciones que habrá de desarrollar las más destacadas serian:

El DPO deberá ser el punto de enlace entre la Autoridad de Control y el responsable o encargado tratamiento, aunque la responsabilidad por el incumplimiento de la normativa recaerá siempre sobre la empresa.
Ha de ser una persona física y su identidad y datos de contacto deberán ser comunicados a la Autoridad competente y al público en general. Podrá ser interno (el mandato mínimo será de 4 años) o externo (el mandato mínimo será de 2 años), En cualquier caso el DPO deberá contar con los recursos humanos y materiales necesarios para desarrollar sus funciones de forma adecuada.
El cargo de DPO no reviste exclusividad por lo que el profesional podrá desarrollar otras funciones y competencias, siempre que le permitan garantizar los principios de independencia (no parece por tanto que esta función pueda ser asignada, por ejemplo, al Responsable de Seguridad) y deber de secreto que rigen su actividad. Se deberán considerar los aspectos legales pertinentes en el contrato al momento de externalizar esta función.
Deberá estar presente en la toma de decisiones sobre los procesos que vayan a implicar el tratamiento de datos personales, y disponer de una interlocución directa con la Dirección Ejecutiva, si bien no es necesario que pertenezca a ella.

Se expone la figura del DPO por estar calificado como uno de los cambios más sustanciales de la normativa, pero no será de aplicación para todas las entidades que traten datos de carácter personal.

Los supuestos en que se determina la obligatoriedad del DPO son:

Tratamiento de datos de más de 5.000 personas durante 12 meses consecutivos.
Tratamiento de categorías especiales de datos (ej. Hospitales).
Tratamiento de datos de localización (ej. geolocalización).
Tratamiento que consista en la monitorización del interesado (ej. navegación).
Tratamiento de datos de menores y empleados a gran escala.
Administraciones Públicas.

El Plan de Gestión de Crisis, punto de partida de la continuidad de negocio

noreply@blogger.com (Unknown) — Mon, 17 Nov 2014 12:43:00 +0000

El último precedente acontecido de la crisis del Ébola y la deficiente gestión que los Estados del “primer mundo” afectados han hecho de la misma, ha provocado que muchas organizaciones hagan autocrítica y se planteen si realmente disponen de niveles de madurez suficientes en materia de continuidad de negocio que les permitan gestionar cierto tipo de incidentes tan graves como inesperados. La actualidad habla del ébola, pero los expertos en continuidad de negocio hace tiempo que hablamos de la Pandemia como un escenario de riesgo al que las organizaciones deben enfrentarse, protegiendo en primer lugar la salud de sus empleados y en segundo lugar a sus procesos de negocio (indisponibilidad simultánea de empleados que ponga en peligro la operativa de la compañía).

A pesar de que el riesgo de un caso de ébola en España existe desde hace tiempo y era factible, ha quedado evidenciado que no se disponía ni de los procedimientos / protocolos adecuados ni de las medidas de seguridad necesarias. En el caso del Estado esto no es de recibo, sin embargo también opino que las organizaciones no son responsables de no estar preparadas para un escenario tan específico como este, si bien si deberían estar trabajando escenarios genéricos como “Indisponibilidad Personal / Pandemia”. Todo lo acontecido (decisiones que aumentan el riesgo de contagio de la población, ausencia de comunicación formal…) es un ejemplo claro de que cuando ocurre una crisis, o un escenario de desastre es vital gestionar correctamente la situación desde el inicio, desde la “toma de decisiones”, ya que son estas las que van a minimizar o magnificar la crisis en función de lo acertadas que sean. Está claro que la clave es decidir correctamente, pero para ello las organizaciones deben preocuparse en primer lugar por definir un Plan de Gestión de Crisis adecuado, el cual sea interiorizado, comunicado y simulado en la organización y que permita gestionar la crisis acontecida desde la capa estratégica.

Determinar y poner en marcha una respuesta es un elemento clave para el éxito o fracaso de un programa de gestión de la Continuidad y el punto de partida para definir esta respuesta es el Plan de Gestión de Crisis, el cual ofrece un marco de acción que permite a una Organización que la toma de decisiones y las directrices a ejecutar (planes operativos o estrategias de recuperación que deben activarse) permitan conseguir una reacción eficiente ante cualquier contingencia. Este Plan establece el flujo de notificación y escalado de los incidentes hasta los niveles en los que existe “poder de decisión” y establece el momento y el papel que debe jugar cada rol.

La estructura organizativa del Plan de Gestión de Crisis se define en tres ámbitos principales de actuación:

Un nivel ejecutivo de valoración y toma de decisiones.
Un nivel táctico de procedimientos, protocolos, asignación de funciones, responsabilidades y grado de autoridad.
Un nivel operativo de gestión de la emergencia y evaluación de la gravedad de la situación.

Por tanto, es muy importante tener en cuenta que una vez que se haya definido e interiorizado el Plan de Gestión de Crisis en la compañía, será cuando esta estará preparada para definir los Planes Operativos que incluyan protocolos específicos para abordar escenarios detallados de pandemia, de indisponibilidad de tecnología, de indisponibilidad de proveedores… o incluso la activación de un Protocolo Corporativo ante Enfermedades Infecciosas.

Tu Otra Identidad - Identidad 2.0

noreply@blogger.com (Unknown) — Fri, 31 Oct 2014 11:31:00 +0000

Afirmar que las redes sociales hayan llegado para quedarse es hoy en día indiscutible. Las propias cifras lo demuestran claramente: 700 millones de usuarios en Facebook, 200 millones en Twitter y más de 7 millones para la española Tuenti hacen que el no estar en una red social sea cada vez más la excepción a la regla. Esta irrupción de las redes sociales en nuestras vidas presenta nuevos e importantes retos desde el punto de vista de la privacidad o la protección de datos y la seguridad en general.

La Identidad 2.0 o también conocida como identidad digital, es el nuevo concepto de identidad. Por definición es el rastro que cada usuario de internet deja en la red como resultado de su interrelación con otros usuarios o con la generación de contenidos en portales web y redes sociales. Es decir, estamos hablando de una consecuencia directa de la evolución tecnológica y de comunicación, concretamente del término bautizado como comunicación 2.0.

Los elementos que integran la identidad digital, y que por tanto permiten a las personas diferenciarse frente a otras en ámbitos concretos, son los rasgos de identidad o atributos informativos. Forman parte de estos datos tu nombre y apellidos, la dirección de correo electrónico, los datos de contacto, las fotografías o vídeos, tu información laboral, aficiones o incluso preferencias políticas, religiosas o sexuales. En definitiva, es un rasgo de identidad cualquier pieza de información personal que forme parte del puzle de la identidad online.

En general, hay dos categorías principales que componen tu identidad digital:

Categoría Profesional – es tu huella profesional y es fácil de entender, se refiere a tu trabajo, tu profesión, tu puesto, y es información que compartes en lugares como LinkedIn, tu blog o el sitio web de tu empresa.

Categoría Personal – en este caso es un poco más complicado de identificar, cuando pensamos ‘personal’ lo relacionamos tal vez con privado,. Sin embargo redes sociales como Facebook y Google+, hacen que el concepto de vida privada lo sea un poco menos, aun sin ser conscientes de los riesgos que esto conlleva desde el punto de vista de la seguridad y el tratamiento de nuestros datos.

Por tanto es muy importante tener en cuenta que tu identidad digital la vas definiendo tú mismo con lo que compartes, tu presencia e interacción en las diferentes redes sociales, blogs, foros, sitios web, etc. El quién eres, es una pregunta que vas contestando incluso en ocasiones sin darte cuenta, realmente al final del camino somos nosotros como usuarios quien determinamos a través de la información que publicamos que tanto de privacidad queremos tener en la red.

Hoy en día ya es todo un habito “Googlear” el nombre de alguien para conocer quién es, por eso es importante cuidar tu identidad online.

Es de lógica entonces que nuestra identidad digital también conlleve una reputación digital, que nos va a ser difícil separar de nuestro yo. Los problemas se pueden agravar aún más por la propia persistencia de la información en Internet. Todo lo que se hace, bueno o malo, queda grabado casi para siempre. Y, asumiendo que Internet se extiende cada vez más a todos los ámbitos, sin duda este será otro de los aspectos que provoque que el “derecho al olvido” vaya a ser uno de los caballos de batalla de la privacidad en Internet durante la próxima década.

Gestionar este término conocido también como Reputación 2.0 para una persona física ya se ha visto que puede ser complicado, pero si hablamos de una entidad u organización empresarial el tema se complica en exceso.

Una entidad jurídica tiene, por descontado, su propia identidad en la red y con ello su consecuente reputación, pero ¿hasta qué punto está reputación se puede ver afectada por la reputación de un usuario que en su categoría profesional tenga indicaciones de la entidad para la que trabaja?

Es algo difícil de evaluar y actualmente también prácticamente imposible de gestionar sin un adecuado marco de gobierno. Todo lo expuesto invita a reflexionar en la inminente necesidad de crear procedimientos para gestión de la identidad digital en el ámbito corporativo con a finalidad de garantizar la protección de la imagen o reputación.

La solución pasa por controlar mediante la aplicación de políticas corporativas el uso que los empleados puedan hacer de su identidad en el ámbito laboral dentro de las redes sociales, para evitar con ello problemas de imagen sobre la empresa para la cual una persona física presta sus servicios.

Por eso se debe tener en mente que lo que se comparta online y firmes con tu persona, tarde o temprano puede ser visto por cualquiera. Así hay que procurar no compartir nada que realmente no se quiera compartir con TODO el mundo y que por tanto desde ese momento sea de dominio público.

Se puede afirmar que aprender a interactuar con terceros y manejar aspectos básicos de personal o construcción de una marca personal puede convertirse en algo esencial para el desarrollo de la personalidad y el futuro social y profesional.

Sin duda la conclusión que mejor se adapta al mensaje que se quiere transmitir es una frase de Julio Alonso, fundador y Director General de Weblogs SL, una de las principales empresas españolas de contenidos especializados en Internet donde dice: “Dedicar esfuerzo a construir tu propia identidad digital ya no es opcional. Es un acto de pura responsabilidad”.

Seguridad en las redes sociales del negocio

noreply@blogger.com (Unknown) — Mon, 20 Oct 2014 08:16:00 +0000

“Social Media" se define como el uso de aplicaciones basadas en Internet o las capacidades de difusión para difundir y / o colaborar en la información.

... Cualquier persona con un dispositivo conectado a Internet puede, con (casi) un anonimato y sin responsabilidad, participar en la compartición de información pública o privada o inclusive en la desinformación, en función de los privilegios de acceso a un sitio web de Social Media.

Perspectiva general de la gestión de las redes sociales en el negocio

Riesgos claves

Divulgación de información sensible (privilegiada) accesible a personas no autorizadas.
Incumplimiento de requisitos legales y reglamentarios.
Pérdida de la ventaja competitiva.
Pérdida de confianza de los clientes.
Pérdida de la reputación.
Difusión de información falsa o fraudulenta.
Uso inapropiado o no autorizado de la propiedad intelectual de la compañía, como logotipos o material de marca registrada.

Gestión de las redes sociales

Gobierno

Realizar un análisis de riesgos antes de iniciar el proyecto de social media.

Re-ejecutar el análisis de riesgos cuando los recursos o infraestructura social media sean modificados.

Incluir la información de social media en el esquema de clasificación de la información de la compañía.

Políticas y procedimientos

La dirección debe definir políticas claras para social media que cubran áreas como:

Empleados: Uso de social media para fines de negocio.
Procedimientos de gestión para las cuentas social media de la compañía.
Uso de dispositivos móviles de la compañía para acceder a los canales social media.

Revisiones legales de los acuerdos de usuario de programas de social media.

Personas

Incluir aspectos relacionados a social media en los programas de formación y concienciación de seguridad.

Definir la responsabilidad de RRHH para ejecutar políticas relacionadas con social media.

RRHH debe establecer y distribuir las consecuencias definidas para la violación de las políticas de social media.

Tecnología

Antimalware y el software antivirus debe utilizarse para proteger a la organización, incluyendo los procedentes de sitios de social media comprometidos.

Respuesta a incidentes de riesgos de social media deben ser incluidos en el plan de respuesta de seguridad de la información.

Implementar herramientas de filtrado de contenidos y de monitorización y revisarlas periódicamente.

Monitorizar la infraestructura de social media.

Planes de Continuidad. 10 aspectos clave

noreply@blogger.com (Unknown) — Tue, 09 Sep 2014 08:20:00 +0000

Ya sea que hablemos de la continuidad de los procesos de negocio en general o de la continuidad de los servicios de TI en particular (equivalentes a los planes de contingencia de TI), hay una serie de aspectos clave a la hora de abordar estos proyectos que es necesario tener en cuenta para garantizar su éxito:

Mapa de procesos y/o catálogo de servicios de TI

Conseguir disponer de un mapa de procesos de negocio y/o un catálogo de servicios de TI suficientemente detallado.

Participación de la Dirección

Conseguir la participación y/o involucración de la Dirección en el proyecto. En caso de abordar un Plan de Continuidad de Negocio la participación debe quedar plasmada en el compromiso de involucrarse de forma continua y participativa en la ejecución del proyecto. Dicha participación es clave, por no decir absolutamente imprescindible. Un Plan de continuidad de Negocio es un proyecto estratégico para la organización.

Análisis de Impacto en el Negocio (BIA)

Conseguir que la Dirección y los interlocutores se ubiquen dentro del alcance de este tipo de proyectos y tengan claro la diferencia entre una incidencia y un desastre. Para ello es muy importante explicar el concepto de análisis de impacto en el negocio (BIA). El BIA introduce en el análisis la variable temporal que permite evaluar, precisamente, cuando un incidente puede llegar a convertirse en un desastre si no se soluciona a tiempo.

Valoración tangible vs intangible

Poder valorar de forma tangible – económicamente - el impacto asociado a la no disponibilidad de un proceso crítico de negocio (PCN) o de un servicio de TI (PCTI).

Análisis de Riegos

Disponer de un análisis de riesgos creado con criterios homogéneos a lo largo de toda la organización. Esto puede ser complicado cuando la organización decide abordar este tipo de proyectos de forma interna y no dispone o designa a un responsable del proyecto que marque las pautas.

Plan de Tratamiento de Riesgos

Establecer el Plan de Tratamiento de Riesgos como un entregable básico del proyecto. En realidad no nos gustaría llegar a tener que activar nuestro Plan.

Estrategias de Recuperación

Conseguir que quede clara la diferencia entre lo que son las medidas de reducción, eliminación del riesgo (o del impacto asociado) con respecto a lo que son las estrategias de recuperación a implementar para conseguir cumplir con los requisitos de continuidad del negocio (RTOs).

Riesgo vs Coste

Valorar económicamente, con el nivel de detalle necesario, las medidas de reducción del riesgo y estrategias de recuperación planteadas. Los análisis de riesgo vs coste y RTO vs coste permitirán a la Dirección decidir en base a criterios de negocio. La experiencia demuestra que casi siempre, para algunos procesos de negocio o servicios de TI, la primera valoración de los RTO es demasiado restrictiva. Suele ser necesario un segundo análisis.

Escenarios de Indisponibilidad

Agrupar los riesgos residuales inaceptables para la organización en una serie de escenarios de indisponibilidad que se puedan tratar a posteriori con planes operativos de recuperación específicos para cada escenario (planes de recuperación ante desastres).

Oficina de Continuidad

La definición e implementación de una Oficina de Continuidad constituida por una estructura de roles y responsabilidades que velen en la organización por la continuidad y sean asumidas por personal capacitado (definiendo la estructura y seleccionando a las personas adecuadas para ejercer cada rol). Roles que pueden ser internos, externos o una mezcla de ambos.

Cómo el CISO y el CEO pueden hablar el mismo idioma

noreply@blogger.com (Unknown) — Thu, 24 Jul 2014 11:33:00 +0000

Desde hace 10 años el CEO (Chief Executive Officer) ha comenzado a entender como la seguridad TI y los responsables de seguridad pueden convertirse en habilitadores de negocio.

Esto se debe a que los responsables de la seguridad TI han conseguido el camino para traducir los problemas de seguridad a un lenguaje de negocio que el CEO puede entender.

Tradicionalmente el negocio cuida la caída de la línea de producción (ensamblado de coches, empaquetado de productos, procesamiento de materia prima) y no cuida la caída de TI.

Es importante hacer ver al negocio que detrás de las operaciones de producción del negocio hay una serie de elementos de TI que necesitan ser reparados, cambiados y configurados de forma segura.

Los responsables de seguridad deben ser capaces de conectar el impacto actual de la caída del negocio con los fallos de seguridad que impacten en la caída del negocio. En este punto se unen la línea de protección del negocio y la de reducción del riesgo del negocio.

El CEO debe tener claro que 1 hora de caída de TI tiene como resultado 40 coches menos ensamblados por caída de la línea de ensamblado. El problema está cuando el CEO reporta en su inventario 40 coches menos y no una caída de TI, en esta caso el CEO está preocupado por la producción del coche y no por los servicios TI.

En todo caso si se reporta una perdida en el inventario estamos hablando de un problema de negocio. Si hay un problema de negocio, el área de TI y de seguridad deben informar las cosas que necesitan ser corregidas cada uno desde su ámbito. Al equiparar el problema de negocio con los elementos TI y de seguridad necesarios y que impactan en el problema estamos habilitando a la empresa a ser más eficiente, aumentar la producción y, como consecuencia, aumentar los beneficios.

Hay que eliminar la cultura de desconectar, que consiste en que la seguridad es un problema técnico que puede ser resuelto por TI, los problemas técnicos deben ser resueltos por los administradores u operadores de TI y los de seguridad deben ser resueltos por los responsables de seguridad TI.

Hay que direccionar dentro de la gestión del riesgo la seguridad TI, se estima que sólo el 30% por ciento de las organizaciones adoptan un enfoque basado en riesgos para la seguridad TI. En lugar de ser los defensores de la organización, los administradores de seguridad de TI están interesados en ser facilitadores de ese equilibrio entre la necesidad de proteger y las necesidades para ejecutar el negocio.

Un responsable de seguridad no se preocupa de si un hacker hará un ataque a la página de la compañía, un responsable de seguridad se preocupa de preparar la compañía para afrontar riesgos mediante la implementación de medidas y prácticas.

La seguridad no es una persona al lado de un firewall, la seguridad es desarrollar programas de riesgos alineados con las necesidades del negocio.

“Indisponibilidad Personal Crítico” Un Escenario de Continuidad en Desarrollo

noreply@blogger.com (Unknown) — Tue, 01 Jul 2014 15:29:00 +0000

Desde hace años los profesionales de la continuidad llevamos tiempo tratando escenarios de desastre de todo tipo en las diferentes organizaciones: indisponibilidad sede, indisponibilidad sistemas TI, indisponibilidad proveedores… De todos estos escenarios y en base a la experiencia y al trabajo realizado, se ha conseguido establecer un know how que permite a las organizaciones no partir de cero, siendo el escenario más contemplado y trabajado en las empresas el Plan de Recuperación frente a Desastres (que aborda la indisponibilidad de los sistemas TI).

Sin embargo en relación con el personal clave de las empresas no hay mucho trabajo realizado. Son numerosos los países que en los últimos años han sufrido algún tipo de pandemia, o países en los cuales hay revueltas importantes que implican huelgas severas con duraciones prolongadas. Las personas son activos muy importantes en las empresas y en algunos casos la indisponibilidad de ciertos roles críticos puede suponer la interrupción de actividades vitales para el negocio o la pérdida de know how para la organización.

Actualmente muchas organizaciones disponen de Planes de Sucesiones en los cuales se tiene identificado el personal clave de cada departamento y donde para cada uno de ellos se ha definido un sucesor de emergencia (para bajas de hasta 6 meses) y un sucesor primario (para bajas más prolongadas en el tiempo). En estos planes de sucesión se analiza:

§ si a nivel individual se tienen identificadas las competencias que cada empleado necesita desarrollar para ejecutar el trabajo y asegurar una carrera a largo plazo

§ Si a nivel de negocio se tiene identificadas las competencias y el diseño organizacional para soportar los procesos requeridos por el negocio

§ Los aspectos de formación necesarios para desempeñar futuras tareas de determinados roles/cargos (críticos)

§ Identificación de las áreas con conocimiento compartido y multidisciplinar (entre roles de la misma área y entre diferentes áreas)

Sin duda este Plan de Sucesión es un gran primer paso que permite a la organización disponer de una estrategia de recuperación formalizada ante bajas puntuales de personal clave. Sin embargo este plan no cubre el escenario de una indisponibilidad de personal más generalizada como por ejemplo la baja simultánea de varias personas clave en una misma área o en varias, o la indisponibilidad de un departamento entero… Las causas pudieran ser variopintas, una pandemia, una huelga generalizada, una sucesión de casuísticas, un accidente en un viaje corporativo… Para estos escenarios es imprescindible disponer de políticas y de controles que permitan mitigar estos riesgos (políticas sanitarias, políticas de viajes, etcétera…) pero el siguiente reto que la organización debe abordar es la elaboración de un Plan de Indisponibilidad Generalizada de Personal Crítico que garantice la existencia de una estrategia clara para un escenario de este tipo (poco probable pero con consecuencias que pudieran ser muy importantes). Debido a la alta dependencia que las organizaciones desarrollan del personal, no es sencillo definir estrategias robustas que permitan cubrir este escenario, pero en base a nuestra experiencia, los pilares sobre los que se sustenta este plan y que permiten alcanzar la resiliencia en el capital humano de una organización son:

§ Políticas y Comunicaciones: Definición de políticas específicas como baja por enfermedad, política de viajes y formalizarlas a fin de establecer canales de comunicación en caso de desastre

§ Educación de los empleados y soporte: Formar y capacitar a los empleados en la continuidad de negocio y en los planes existente que abordan escenarios.

§ Infraestructura Virtual / Teletrabajo: Establecer vías alternativas de trabajo remoto.

§ Formación Profesional: Redundar el know-how y preparar al personal para asumir roles de más responsabilidad.

§ Gestión del Talento: Plan de Sucesiones a corto y largo plazo.

§ Sistema de RRHH: preparar al departamento de RRHH para dar soporte durante una crisis y activar los procesos críticos del área, pago de nóminas, subcontratación durante la crisis…

§ Cultura de Organización: Involucrar a los empleados en la cultura de continuidad de negocio, dándoles las herramientas a los empleados para que vean que en caso de desastre es su responsabilidad ejecutar en modo degradado su trabajo.

Sin duda, este es un escenario muy importante a contemplar y en el que todavía nos queda un largo camino que recorrer a muchas organizaciones, pero la implantación de estos pilares nos debe hacer dar un paso más hacia la resiliencia.

TrueCrypt - Tus archivos podrían no estar seguros

noreply@blogger.com (Unknown) — Mon, 23 Jun 2014 09:39:00 +0000

TrueCrypt se ha convertido en la herramienta de cifrado de datos a nivel local que más usuarios y empresas ha utilizado hasta la fecha. No obstante, en los últimos meses esta herramienta se ha visto envuelta en una nube de conspiraciones que han acabado con el proyecto. Si hoy en día entramos en su página web, veremos un cartel que nos anuncia:

"WARNING: Using TrueCrypt is not secure as it may contain unfixed security issues"

Seguido de una guía para migrar todo el contenido que tengamos en nuestro TrueCrypt hacia la plataforma de cifrado de Microsoft, BitLocker. La teoría de su caída que más peso ha tomado hasta la fecha es la existencia de backdoors en su código producidos por la N.S.A. y la auditoría realizada a dicha herramienta.

La Unidad de Auditoría y Consultoría de Seguridad TI de Abast Systems ha realizado una prueba de concepto para determinar hasta qué punto es posible acceder a datos encriptados en un ordenador ajeno. Para ello necesitaremos un ordenador en caliente (hibernado, suspendido, en funcionamiento) o una captura de la memoria ram, en caso de que el ordenador se haya apagado. Esta prueba no es posible realizarla si el ordenador se encuentra completamente apagado.

Con un análisis exhaustivo de una captura de RAM es posible detectar programas en funcionamiento, sesiones abiertas a memoria, conexiones establecidas y otro tipo de información que puede complementar o ayudar a detectar nuevas evidencias. Una de las herramientas más potentes para realizar esta tarea es el framework Volatility.

Figura 1 - Volatility descubre un TrueCrypt en uso

Figura 2 - Devicetree de Volatility muestra el contenedor

En las imágenes superiores se puede apreciar la existencia de la herramienta de encriptación de unidades TrueCryp. El alto nivel de seguridad que conlleva esta herramienta está reconocido internacionalmente. No obstante, el hecho de tener una captura de la memoria RAM puede ayudar a descifrar o, al menos identificar qué unidad es la que se encuentra cifrada.

Con el módulo volshell de Volatility abre una consola y se miran las propiedades del Device_object situado en la dirección de memoria 0x856f37a0, que es la que se ha devuelto en la imagen anterior.

Figura 3 - Propiedades del objeto situado en 0x856f37a0

Con estos datos ahora es posible mostrar todo lo que hay en esta parte de la memoria. Se mostrará 1416 (size) unidades de memoria, a partir del offset 0x856f37a0.

Figura 4 - Obtención del "container"/archivo encriptado: Mine

Ahora se intentará obtener la clave de desencriptación del archivo. El próximo paso necesitará de la ayuda del Driver_object del TrueCrypt, mostrado previamente a la imagen de las propiedades del Device_object.

Figura 5 - Información del driver_object

Para realizar esta tarea expulsaremos toda la memoria que hay desde la posición DriverStart hasta DriverStart + DriverSize. El problema de esto es que nos devuelve un trozo demasiado grande como para hacer búsquedas manualmente. Así que, automatizar el proceso restante usando herramientas como CryptoScan (con Volatily1.3), aeskeyfind o alguna más "user-friendly" como Elcomsoft Forensic Disk Decryptor.

Figura 6 - Ejemplo de extracción de keys AES

Con estas claves se permite descifrar el archivo previamente comentado (mine) y montarlo. De esta manera se puede acceder a su interior, y ver toda la información que creíamos tener guardada de manera segura.

Cómo resolver el problema de la ejecución

noreply@blogger.com (Unknown) — Thu, 12 Jun 2014 13:35:00 +0000

Uno de los grandes problemas de los CIOs, sino el más importante, consiste en ser capaces de generar cambios en el comportamiento y forma de trabajar de su equipo. Muchas veces, la Dirección de TI se encuentra con la necesidad o el objetivo de implementar metodologías, mejores prácticas que “profesionalicen” el funcionamiento del departamento y permitan hacer un uso más eficaz y eficiente de los recursos de TI.

Estamos hablando, por ejemplo, de proyectos encaminados a mejorar el gobierno y gestión de los servicios de TI que soporta y ofrece el Departamento de TI, o de proyectos asociados a la mejora, también, del gobierno y gestión de la seguridad de TI tanto en el ámbito de riesgos como en el de cumplimiento.

Algunas veces la escasez de personal, otras la exigente operativa diaria y muchas veces la propia resistencia al cambio de las organizaciones, hacen muy difícil la puesta en marcha de estos proyectos de mejora. En estos casos el reto está en la ejecución, es decir, en cómo ejecutar estos proyectos de manera que puedan convivir con el día a día y obtener, a su vez, los resultados esperados.

Al ser este un problema más común de lo habitual he querido compartir con vosotros una aproximación que descubrí hace tiempo y que recuperé últimamente. Se trata de “The 4 Disciplines of Execution” (4DX) de Chris McChesney, Sean Covey y Jim Huling. Al final os dejo un par de enlaces donde podréis encontrar información.

Básicamente 4DX trata de explicar cómo conseguir alcanzar objetivos importantes efectuando el cambio necesario en el comportamiento del personal que permita su consecución. Las 4 disciplinas son:

Focalizarse en lo realmente importante.
Actuar sobre los indicadores de rendimiento (KPIs).
Utilizar un cuadro de mando que garantice el compromiso contínuo.
Crear una cadencia de rendición de cuentas.

http://www.franklincovey.com/tc/solutions/business-execution-solutions

http://www.aumc.org/pdf/The_4_Disciplines_of_Execution.pdf

Análisis de Riesgo TIC

noreply@blogger.com (Unknown) — Wed, 28 May 2014 11:15:00 +0000

La provisión de servicios TIC pasa por el correcto funcionamiento de una serie de activos, cada uno de ellos con su función específica. Si alguno de estos activos se ve comprometido por la materialización de una determinada amenaza, el propio servicio se verá afectado. Para determinar el nivel de riesgo real de una entidad hay que realizar un análisis de riesgo.

La primera actividad a realizar en un análisis de riesgos es identificar cuáles son los activos que soportan los sistemas de información de la organización.

Un activo es cualquier elemento que tenga valor para la entidad, desde un PC concreto, a un recurso de red o una persona física necesaria para el desarrollo de una actividad.

Con el objetivo de estructurar la información de forma coherente, los activos han de estar clasificados en función de su naturaleza, intentado usar un modelo por capas. Esto permitirá clasificar los sistemas diferenciando la funcionalidad de los activos entre sí, y además facilitará próximos pasos, como definir sus dependencias.

El análisis puede empezar a estructurarse según necesidades específicas, los activos pueden ser des del tipo proceso de negocio, pasando por el personal que trabaja y hasta una ubicación física. Por ejemplo, en el siguiente grafico se representa cada tipo de activo según su tipo y funcionalidad:

Se ha de desglosar el análisis bajando hasta los niveles más básico de la estructura, es decir dentro de Sistemas de Información en el apartado de Comunicaciones se debería profundizar mucho más, por ejemplo separando los activos de hardware necesario para soportar el sistema de comunicaciones, de los propios servicios de redes que puedan existir en la entidad.

Con la creación de dichas dependencias el cálculo del nivel de ruido tendrá en consideración que en el caso de materializarse una amenaza sobre un determinado activo, todos los elementos que dependan de él también sufrirán sus consecuencias.

Un ejemplo de dependencias de un proceso genérico podría ser el siguiente:

De esta forma se introducen una a una todas las dependencias entre los elementos que soportan los sistemas de información, obteniendo como resultado una base de datos de configuración de tipo relacional de los servicios TIC de la entidad.

A nivel conceptual es fácilmente apreciable que no todos los elementos son igual de críticos. No supondrá el mismo impacto la indisponibilidad de un servicio crítico para la actividad diaria que la de un entorno de pruebas, por ejemplo.

La anterior lógica se aplica a todas las dimensiones de un mismo servicio. La indisponibilidad temporal de un servicio puede no tener consecuencias graves, y sin embargo, un escape de la información que se trata pudiera suponer un impacto enorme para la organización.

Cuando se habla de valorar los activos, intuitivamente se piensa en el coste de sustitución de un determinado elemento físico, pero esta es solo una de las variables que se han de considerar cuando se han de valorar los activos informáticos, y normalmente no acostumbra a ser más significativa. En este sentido la valoración de activos trata de mostrar cual sería el impacto global en una organización en caso de que alguna de las dimensiones de seguridad se viera comprometida.

Un ejemplo sería, si un servicio automatizado no se encuentra disponible para la operativa diaria, en este caso se tendrá que valorar cual es el impacta económico que genera la paralización (tiempo de parada del personal, esfuerzo necesario para recuperar el tiempo perdido, posible pérdida de producto generada por la incapacidad logística, penalizaciones debidas a incumplimientos de compromisos contractuales…) pero también hay que medir aspectos intangibles, como por ejemplo los daños en la imagen de la organización. La suma de todas estas variables da como resultado la valoración del activo en cuestión.

Utilizando estos criterios para valorar los activos identificados, el resultado es una matriz con todos los servicios de la organización y una valoración de estos para cada una de las dimensiones de seguridad.

D: Disponibilidad
I: Integridad
C: Confidencialidad
A: Autenticidad
T: Trazabilidad

Una vez identificados y valorados los activos, el siguiente paso es identificar cuáles son las amenazas que, es caso de materializarse, pudieran comprometer la seguridad.

Bajo este concepto está el análisis de las particularidades de la organización, es decir, quienes pueden ser los posibles atacantes y su interés, como trabajan los usuarios, cual es el entorno físico y lógico donde se encuentran los sistemas, etc. Con esta información será posible identificar como es de probable que una determinada amenaza acabe materializándose sobre un servicio.

Algunos ejemplos de amenazas que pueden afectar a un CPD o componente electrónico son:

Una vez analizados todos estos aspectos es el momento de analizar qué protecciones hay aplicadas de cara a reducir el riesgo potencial existente. Estas medidas de protección son las conocidas como salvaguardas.

En términos generales, las salvaguardas se caracterizan, además de por su existencia, por su eficacia delante del riesgo que han de mitigar. De manera ideal, la salvaguarda es 100% eficaz, ya que combina dos factores:

· Des del punto de vista técnico:

ü Es técnicamente idónea para afrontar el riesgo que protege.

ü Se utiliza siempre.

· Des del punto de vista de operación de salvaguarda:

ü Esta perfectamente desplegada, configurada i mantenida.

ü Existen procedimientos de uso normal.

ü Los usuarios están formados y concienciados

ü Existen controles de aviso para posibles fallos.

Identificadas todas las salvaguardas que resultan de aplicación en función del tipo de activos existentes, es el momento de valorar qué medidas de protección se encuentran implementadas i que nivel de madurez tienen.

Para realizar este último proceso de medidas de protección es recomendable valorar los controles de la ISO 27002.

La norma incluye 114 controles divididos en 35 objetivos de control y en 14 dominios. Lo que se pretende es obtener el nivel de madurez de la organización con respecto a cada uno de los dominios de seguridad. Entre ellos, por ejemplo, el de políticas de seguridad establecidas, o la organización de la seguridad de la información en la compañía, la protección de los recursos humanos, también sobre continuidad de negocio o el cumplimiento normativo, entre otros aspectos.

Una vez analizados todos los puntos expuestos ya se puede extraer como conclusión el valor de riesgo real al que la organización está expuesta. Este siempre es mitigable con unas buenas estrategias de recuperación en caso de desastre.

Aspectos a tener en cuenta en proyectos de Gestión de Identidades

noreply@blogger.com (Unknown) — Tue, 20 May 2014 11:05:00 +0000

El acceso a la información es de primordial importancia. Tras muchos años intentando facilitar y automatizar el acceso a la información, también se han generado otra clase de problemas:

Accesos no permitidos a información confidencial.
Usuarios activos eternamente en los sistemas.

Los sistemas aumentan y el número de usuarios también. Pero no solo aumentan en número sino también en diversidad.

Se diversifican los sistemas de control de privilegios de accesos, mecanismos de seguridad, repositorios e interfaces.
La diversificación de usuarios y sistemas provoca, entre otros:

un aumento en la plantilla de IT para la administración y mantenimiento de los sistemas,
experiencias poco satisfactorias de los usuarios al tener credenciales distintas en sistemas distintos.

Se tiene que conseguir homogeneizar los mecanismos de control de acceso a la información.

En la actualidad las entidades, ante los nuevos avances y requisitos de interconexión, se encuentran con:

Sus usuarios necesitan múltiples contraseñas para acceder a sus aplicaciones.
Otros proveedores deben permitir el acceso a los usuarios de las entidades.
El tiempo medio para que un empleado empiece a trabajar con los sistemas internos es 5 días. (en el mejor de los casos).
La información de los usuarios está distribuida en multitud de repositorios.
Los sistemas se vuelven complejos y heterogéneos.
Aumentan los costes de los departamentos de IT.

Problemática a resolver:

Disminución de costes de administración IT.
Mejora de la visión de seguridad de nuestros sistemas.
Flexibilidad en la interacción con otros proveedores.
Mejora de la satisfacción de los usuarios/clientes al interactuar en nuestros sistemas.
Robustez en la arquitectura de seguridad.
Disminución de los costes de desarrollo de nuevas aplicaciones de negocio.

Los objetivos de un marco de gestión de identidades deben estar basados en un enfoque de seguridad centrado en los procesos que identifican, crean, capturan y mantienen el valor de la seguridad en la compañía.

Ahora el objetivo de un sistema de gestión de identidades es cubrir:

Autenticación
Control de acceso
Gestión de usuarios
Repositorio central de usuarios

Este marco da respuesta a la siguiente ecuación: Usuarios + Gestión de Identidades + Aplicaciones

Usuarios= Externos, Proveedores, Empleados
Gestión de identidades= Autenticación, Control de acceso, Gestión de Usuarios, repositorio de usuarios
Aplicaciones= ERP, WEB, CRM, Legacy, Correo electrónico

Elementos de la ecuación:

1. Autenticación: Algo que sé, algo que tengo, algo que son

Autenticación de factor único:

Identificador de usuario y contraseña.
Contraseñas robustas.
PINs.

Autenticación multi-factor (autenticación fuerte):

Contraseñas de un sólo uso.
Dispositivos hardware de autenticación (smartcards, tokens).
Certificados Digitales (PKI).
Sistemas desafío-respuesta.
Dispositivos Biométricos (de reconocimiento de huella dactilar, reconocimiento de retina e iris, reconocimiento de voz, escáner facial, escáner de la palma de la mano, escáner de firma).
Combinaciones de los anteriores.

Enfoque tradicional:

Cada aplicación ha de contemplar mecanismos de autenticación
Los controles sobre contraseñas no son homogéneos entre aplicaciones
La definición del concepto usuario no corresponde con el de identidad
Soporta un único esquema de autenticación

Gestión de identidades:

Proporciona capacidades de Single-Sign-On (web)
El nivel de autenticación varía en función de la criticidad de la información
Soporta múltiples esquemas de autenticación
Los accesos se gestionan entorno al concepto identidad

2. Control de acceso:

Una Infraestructura que posibilita un enfoque común para la autenticación y autorización entre múltiples plataformas.
Proporciona Single Sign-On para aplicaciones Web (y otras aplicaciones).
Permite varias aproximaciones de control de acceso: basadas en usuarios (ACLs, control de acceso por reglas o de niveles de seguridad jerárquicos), en roles y en políticas.
Reduce los costes de operación asociados con el control de acceso de usuario.
Reduce los costes de desarrollo de nuevas aplicaciones y agiliza su implantación.

Enfoque tradicional:

La definición del control de acceso es propio de cada aplicación
Existen múltiples herramientas de control de acceso
Nivel de acceso no homogéneo
Altos costes de administración

Gestión de Identidades:

El control de acceso se independiza de las aplicaciones
Se reduce el tiempo y coste necesario para la incorporación de nuevas aplicaciones
Los controles y perfiles definidos son aplicables a múltiples aplicaciones

3. Gestión de Usuarios

Workflows automatizados para la creación y modificación de usuarios y perfiles con los derechos de acceso a los usuarios y aprovisionamiento de los elementos necesarios
Eliminación automática de los derechos de acceso cuando un usuario deja la organización o cambia de funciones
Posibilita el uso de capacidades de autoservicio (autoregistro de usuarios, modificación de información de identidad e inicialización de contraseñas) y administración delegada

Enfoque tradicional:

Costes aumentan más que proporcionalmente
El modelo no escala bien al aumentar el número de aplicaciones o usuarios
Se acumulan usuarios en desuso
No responde ante cambios organizativos o de funciones

Gestión de identidades:

Aprovisionamiento de usuarios
Automatización del proceso a través de workflow

4. Repositorio de Usuarios

Repositorio centralizado, seguro y fiable para los perfiles de usuario
Capacidad de escalabilidad a millones de usuarios
Posibilidad de integración mediante el uso de estándares con gran número de aplicaciones
Se consiguen tiempos de respuesta razonables con peticiones concurrentes

Hoja de ruta de la Gestión de Identidades:

Repositorio corporativo de identidades
Definición e integración de fuentes autoritativas
Definición de roles y políticas
Establecimiento de mecanismos de control de acceso
Automatización del aprovisionamiento de cuentas
Implementación de mecanismos de autenticación robusta
Portal del empleado (Self-provisioning)
Federación de identidades
Seguridad integrada (física y lógica)

Beneficios:

Reducción de Costes
Incremento de la Seguridad
Cumplimiento Legal
Mejoras para usuario final
Incremento de Productividad
Escalabilidad y Flexibilidad

Marco de seguridad de datos accedidos por terceros en 5 pasos

noreply@blogger.com (Unknown) — Mon, 12 May 2014 06:46:00 +0000

La seguridad de los datos ha estado entre las tareas prioritarias del responsable de seguridad. En la actualidad esta tarea ha cobrado mayor importancia debido a los siguientes factores:

Incremento de los requerimientos de cumplimiento de la legislación vigente sobre protección de datos personales, protección de datos de tarjetas de debido y crédito, blanqueo de capitales, entre otros requerimientos regulatorios.

Los datos del negocio son accedidos desde distintos puntos, distintos repositorios y por diferentes tipos de usuario empleados, operadores/administradores/programadores de las compañías de servicios TI contratadas.

La creciente externalización de servicios a proveedores de TI (comunicaciones, alojamiento de servidores, explotación de sistemas, etc).

Incidentes de pérdida de datos, sanciones e investigaciones de organismos reguladores locales y Europeos.

Para construir un Marco de gestión de la seguridad de datos accedidos por terceros, aconsejamos seguir los siguientes pasos:

1. Definir el enfoque global para la identificación y categorización de proveedores:

Crear un inventario de proveedores.
Evaluar el riesgo de seguridad de datos.
Priorizar y clasificar los proveedores por el nivel de seguridad de datos.
Desarrollar e implementar un programa para mitigar los riesgos identificados.

2. Estandarizar el procesos de gestión de la seguridad del acceso a datos por terceros:

Revisión anual de contratos.
Definición obligaciones contractuales basadas en requerimientos de seguridad.
Desarrollar e implementar indicadores de seguimiento y revisar de forma periódica dichos indicadores.
Definir reuniones de seguimiento de los requerimientos de seguridad con los proveedores.
Definir un calendario de visitas anuales/regulares según el tipo de proveedor.
Realizar auditorias a las operaciones del proveedor.
Establecer requerimientos adicionales de seguridad a los proveedores de riesgo alto.

3. Definir el marco de seguridad de datos:

Desarrollar e implementar las políticas y procedimientos con los requerimientos de seguridad dirigidos a terceros que acceden datos personales y del negocio.
Definir controles técnicos para el control de accesos, caducidad de conexiones remotas, registros de auditoria para la descarga de datos, traspaso de programas al entorno de producción, etc.
Definición de roles de usuario con accesos específicos, asignación de privilegios basados en funciones específicas.
Revisión mensual de accesos asignados, supervisar la rotación de personal del proveedor
Establecer un programa de concienciación del personal interno y del proveedor.

4. Definir roles y responsabilidades:

Establecer el rol de responsable del servicio en ambas partes (tanto en la compañía como en el proveedor).
Establecer responsabilidades a los responsables.
Definir una matriz RACI incluyendo a todos los niveles que intervienen en la prestación del servicio.
Establecer el proceso de revisión de los roles cuando se realicen cambios en el servicio.

5. Monitorizar la ejecución del marco de gestión:

Revisión de la ejecución de indicadores de seguimiento.
Revisión de la ejecución de los controles técnicos, registros de auditoria, cambios de claves de acceso, etc.
Revisión de la aplicación de las políticas y procedimientos definidos, revisiones de accesos, autorizaciones, actas de reuniones con el proveedor.

El Departamento de TI: Eficiencia y Eficacia

noreply@blogger.com (Unknown) — Thu, 24 Apr 2014 07:55:00 +0000

No es objeto de esta entrada discutir sobre lo que estas palabras significan y su interpretación en diferentes ámbitos. Partiré, de cara a la posterior “discusión” de la siguiente definición:

“La eficiencia es hacer las cosas bien, la eficacia es hacer las cosas correctas” – Peter Drucker considerado el padre del management como disciplina y el mayor filósofo de la administración en el siglo XX (Wikipedia).

Aceptando esta definición, la primera conclusión a la que llegamos es obvia: la eficacia precede a la eficiencia. No tiene sentido hacer las cosas bien si lo que estamos haciendo no es lo correcto, es decir, no nos lleva a nuestros objetivos. Podemos incluso decir que ser eficaz equivaldría a responder al ¿Qué he de hacer? mientras que ser eficiente equivaldría a responder al ¿Cómo he de hacerlo de manera que maximice el valor de lo que hago, o lo que es lo mismo, obtenga el máximo provecho con los mínimos recursos?

Simplificando, podríamos incluso llegar a decir, desde el punto de vista del departamento de TI, que cumplir con los requerimientos del negocio nos hace ser eficaces. Por otro lado, proporcionar al negocio nuevas formas de trabajar o trabajar mejor en base al uso de nuevas tecnologías y sistemas de información o en base al uso diferente de las ya existentes, les hace a ellos (el negocio) ser más eficientes.

Si intentamos responder a la pregunta de la eficacia dentro del ámbito de un departamento de TI (¿Qué hemos de hacer?), las respuestas podrían ser las siguientes:

En el ámbito de la seguridad de la información, el qué, se obtiene de los riesgos del negocio y de las obligaciones legales, regulatorias y contractuales a las que éste debe hacer frente. Si las medidas técnicas, organizativas y procedimentales que implementemos en nuestra organización no provienen de dar cumplimiento a estos dos requerimientos, simplemente no seremos eficaces.

En el ámbito más general de los servicios de TI que dan soporte a los procesos de negocio, el qué, se obtiene de la utilidad y garantía esperada por el negocio y del equilibrio existente entre ambas. La utilidad viene de cumplir con las necesidades específicas del negocio y la garantía de asegurar que dicho servicio estará disponible cuando el negocio lo necesite. No conocer o presuponer estas necesidades y niveles de servicio requeridos o presuponer cómo darles cumplimiento, de nuevo, nos puede hacer ser ineficaces.

La Oficina de Continuidad “La estructura clave en el camino hacia la resiliencia”

noreply@blogger.com (Unknown) — Tue, 22 Apr 2014 10:40:00 +0000

Hoy en día, como consecuencia de la creciente preocupación en las organizaciones por garantizar la continuidad de las operaciones críticas del negocio, cada vez más empresas (y en algunos sectores la gran mayoría: banca, seguros…) disponen de planes de continuidad o incluso sistemas de gestión que tienen como objetivo dotar a las organizaciones de una respuesta que les permita recuperarse eficazmente en caso del acontecimiento de un desastre.

En este camino hacia la “continuidad” en el que se encuentran inmersas las organizaciones, es necesario evolucionar gradualmente gestionando la transición por los diferentes niveles de madurez. Inicialmente se realiza una gestión reactiva de los riesgos, donde se gestiona la crisis con un alto nivel de improvisación, posteriormente, y una vez implementado un sistema de gestión de continuidad, se alcanza la gestión proactiva de los mismos, donde se realizan tareas planificadas enfocadas hacia la continuidad, y finalmente con el mantenimiento y optimización de este sistema de gestión, se consigue que la continuidad esté embebida en los procesos de negocio, llegando al ideal de la continuidad, la denominada resiliencia.

La evolución de una gestión reactiva de los la continuidad hacia una proactiva requiere de un importantísimo esfuerzo por parte de la organización, que incluye el análisis del impacto al negocio, el análisis de riesgos, la definición e implementación de roles y responsabilidades, de estrategias de recuperación, de planes operativos… Este es sin duda un paso importante que supondrá el nacimiento del concepto continuidad en la organización, pero es justo en ese preciso momento en el que es vital instaurar la piedra angular que permita mantenerla, mejorarla y optimizarla, acercándonos poco a poco al concepto resiliencia: la Oficina de Continuidad.

Esta Oficina se encargará de garantizar la vigencia, adecuación y eficacia de los planes de continuidad existentes gracias a un proceso continuado de mantenimiento y revisión que debe incluir:

1 Mantenimiento del Sistema de Gestión

Coordinar y realizar el seguimiento de las tareas planificadas anualmente
Revisión periódica de los procesos de negocio y el análisis de impacto
Actualizar la valoración de riesgos vigente y las estrategias definidas
Validar los planes a través de los resultados de las simulaciones o cambios internos o de estrategias.
Definir nuevos planes en base a los riesgos
Gestionar la capacitación del personal implicado (equipos de recuperación)
Mantener indicadores de Seguimiento (Evolución del Sistema)

2 Gestión de la Continuidad

Participar y liderar las simulaciones de los planes
Coordinar las tareas dentro de un escenario de desastre (apoyo al Responsable de Continuidad)

Para que la organización alcance los niveles de madurez deseados será necesario establecer correctamente el “modus operandi” de esta Oficina y dotarla de los recursos idóneos. En base a nuestra experiencia recomendamos que la Oficina de Continuidad esté conformada por un representante de cada área de negocio, que liderará la actualización y soporte de los riesgos, procesos críticos, estrategias y planes que se desarrollen para su área y a su vez planifique conjuntamente con el resto de miembros las pruebas y simulaciones de los planes desarrollados. Esta Oficina realizará las tareas definidas anualmente por el Responsable de Continuidad y le reportará periódicamente, estableciendo una estructura sólida que velará por la mejora continua en materia de continuidad de negocio.

En la actualidad muchas organizaciones debido a las dificultades iniciales que acontecen cuando una organización arranca una oficina de este tipo, están optando por rodear a los miembros de la oficina de “consultores expertos” que les guíen inicialmente en sus tareas y les permitan evolucionar en el camino hacia la excelencia/resiliencia.

5 aspectos destacables del Reglamento Europeo de Protección de Datos

noreply@blogger.com (Unknown) — Mon, 14 Apr 2014 06:53:00 +0000

El 12 de marzo de 2014 es aprobada la propuesta de Reglamento del Parlamento Europeo y del Consejo, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (Reglamento general de protección de datos).

Visión general del contenido del reglamento:

Objetivos del Reglamento:

Adaptar la protección de datos a las nuevas demandas del mundo digital.

Evitar las actuales divergencias en la aplicación de las normas (de 1995) por parte de los diferentes Estados miembros y velar por los derechos fundamentales a la protección de datos personales y la aplicación de manera uniforme en todos los ámbitos de las actividades de la Unión.

Aumentar la confianza del consumidor en los servicios en línea facilitando una mejor información con respecto a los derechos y a la protección de datos mediante la introducción del derecho a la rectificación, al olvido y a la supresión, derecho a la portabilidad de datos y de oposición.

Impulsar el mercado único digital reduciendo la fragmentación actual y las cargas administrativas.

Aspectos destacables del reglamento:

1. Los negocios que manejen datos personales de más de 5000 usuarios, deberán efectuar evaluaciones de impacto sobre la privacidad con carácter obligatorio para cualquier operación de procesamiento de datos que entrañe riesgo, considerándose procesamiento arriesgado el efectuado con datos personales de 5000 o más individuos.

2. Sanciones desproporcionadas. La autoridad de control correspondiente impondrá al menos una de las siguientes sanciones:

(i) un aviso por escrito en casos de primer incumplimiento no deliberado;
(ii) auditorías regulares del sistema de protección de datos;
(iii) Las sanciones administrativas oscilarán entre1.000.000€ o el 2% del volumen de negocios total de la empresa, hasta 100.000.000 € o el 5% del volumen de negocios global, prevaleciendo la cantidad que resulte superior.

3. Figura del “Data Protection Officer” (DPO): Se modifican los casos en que será obligatoria la designación del DPO. Ahora será obligatoria para: una autoridad u organismo públicos, si el tratamiento lo lleva a cabo una persona jurídica con respecto a más de 5 000 interesados durante un periodo consecutivo de 12 meses, cuando las actividades principales del responsable o del encargado del tratamiento consistan en operaciones de tratamiento que, en razón de su naturaleza, alcance y/o fines, requieran un seguimiento periódico y sistemático de los interesados y cuando las actividades principales del responsable o del encargado del tratamiento consistan en el tratamiento de categorías especiales de datos con arreglo al artículo 9, apartado 1, datos de localización o datos relativos a niños o a empleados en ficheros a gran escala.

4. Obligaciones del Responsable del tratamiento: El Responsable del tratamiento estará obligado a enfrentarse a responsabilidades muy específicas tales como la obligación de elaborar y aplicar políticas internas de protección de datos que den cumplimiento a los principios del “Privacy by design” y el “Privacy by default” y las cuales deberán ir mucho más allá del mero hecho de disponer de un documento de seguridad.

Puesto que el Reglamento tiene como objetivo la protección de los datos personales de los ciudadanos europeos, las mejoras más destacables son las siguientes:

1. Dificultad para las transferencias de datos a terceros países, sobre todo en casos de transferencias requeridas por tribunales o autoridades administrativas de países terceros. Si un país tercero solicita a una empresa (por ejemplo, una red social o un buscador) información personal procesada en la UE, dicha empresa deberá obtener el permiso de la autoridad nacional de protección de datos e informar a la persona en cuestión antes de enviar la información.

2. Derecho de supresión (que sustituye al derecho al olvido), por el que cualquier persona podría solicitar que se borren sus datos sí;

(i) no se cumplen las normas de la UE,
(ii) los datos ya no son necesarios o
(iii) la persona retira o no da su consentimiento al almacenamiento de esa información. La invocación de este derecho quedará limitada cuando los datos en cuestión hayan sido recabados con fines estadísticos, para la investigación histórica o científica, por motivos de salud pública o para ejercer la libertad de expresión.

3. Datos que revelen creencias filosóficas, orientación o identidad sexual, sanciones administrativas, fallos judiciales y presuntos delitos no serán susceptibles de ser tratados.

4. Consentimiento explícito y lenguaje claro, será entendido como una “manifestación libre, específica e informada de la voluntad del interesado, ya sea mediante una declaración o una clara acción afirmativa”. Esto impediría, por ejemplo, prácticas como la de mantener marcada la casilla de “aceptar” en las políticas de privacidad.

5. Reforzamiento de los derechos individuales del titular de los datos. Esto es así a través de la definición del derecho al olvido, el derecho a la portabilidad (de extraordinaria relevancia en el sector de las redes sociales) y el principio de rendición de cuentas (Accountability), aspectos analizados en profundidad en nuestra formación, con vistas al impacto que tendrá en las empresas una vez que entre en vigor la norma.

Heartbleed – Vulnerabilidad crítica en OpenSSL (CVE-2014-0160)

noreply@blogger.com (Unknown) — Wed, 09 Apr 2014 14:58:00 +0000

En las últimas horas se ha hecho pública una vulnerabilidad que afecta a las conexiones consideradas seguras de tipo HTTPS. En concreto todas aquellas conexiones que usen OpenSSL como librería criptográfica. Se estima que aproximadamente dos tercios de las páginas web que existen en el mundo usan actualmente alguna de las versiones afectadas.

No obstante, la criticidad del esta vulnerabilidad se encuentra en el número de versiones a las cuales afecta: la vulnerabilidad se remonta a la versión OpenSSL 1.0.1 lanzada el 14 de marzo de 2012 y afecta también a la versión 1.0.1f (versión actual hasta el 7 de Abril del 2014). Por tanto, estamos hablando de un problema de seguridad en las conexiones HTTPS que existe desde hace 2 años. Aprovechando esta vulnerabilidad es posible acceder a los datos de sesión de los lugares considerados seguros que usen esta versión de OpenSSL.

Mark Loman, analista de software y malware, haciendo eco de la vulnerabilidad.

Los grandes portales de internet ya han confirmado que han actualizado sus librerías criptográficas. Google, Facebook, Twitter y Amazon son algunos de los grandes que se habían visto afectados.

Se recomienda a todas las empresas que utilicen esta librería en sus portales web que actualicen a la versión 1.0.1G. Por otra parte, a los particulares, la recomendación es cambiar en los próximos días las contraseñas de las cuentas que creamos que hayan podido ser vulneradas (dos años dan para mucho).

Enlaces de interés:

Gobierno de la Seguridad de la Información

noreply@blogger.com (Unknown) — Mon, 31 Mar 2014 13:33:00 +0000

El marco de Gobierno de la Seguridad de la Información es el sistema mediante el cual se dirigen y controlan las actividades de seguridad de la información de la organización.

La Gobernanza de la seguridad busca alinear los objetivos y estrategias para la seguridad de la información con los objetivos y estrategias del negocio …

… teniendo en cuenta la legislación vigente, regulaciones y contratos …

… mediante la guía e implementación de una aproximación basada en riesgos …

… soportada por un sistema de control interno.

Los principios que establece la norma ISO 27014 establecen una buena base para la implementación de los procesos de gobierno de la seguridad de la información:

1. Establecer responsabilidad con respecto a la seguridad de la información en toda la organización. En este sentido:

¿La seguridad de la información se gestiona a un nivel de la organización que permita la toma de decisiones?
¿Las actividades asociadas a la seguridad lógica y física se realizan de forma coordinada?.
¿La responsabilidad y rendición de cuentas con respecto a la seguridad se establece a través del ciclo completo de las actividades de la organización incluidos terceros?.

2. Adoptar una aproximación basada en el riesgo. En este sentido:

¿Las decisiones se toman en función del riesgo?.
El nivel aceptable de seguridad ¿se basa en el apetito al riesgo de la organización?, ¿se incluye en él la posible pérdida de ventaja competitiva, riesgos de cumplimiento y responsabilidad, interrupciones operativas, pérdida financiera y daño a la reputación?.
¿Se asignan los recursos apropiados para implementar la gestión de riesgos en la organización?.

3. Establecer la dirección de las decisiones de inversión en seguridad de la información. En este sentido:

¿La estrategia de inversiones en seguridad de la información se establece en función de los resultados de negocio alcanzados?.
¿Las inversiones en seguridad se integran con los procesos generales existentes para las inversiones y gastos de la organización?.

4. Asegurar conformidad con los requerimientos internos y externos. En este sentido:

¿Se garantiza que las políticas y prácticas son conformes con la regulación y legislación existente, con los compromisos y contratos de la organización y con otros requerimientos internos o externos?.
¿Se realizan auditorías de seguridad independientes?.

5. Fomentar un entorno positivo respecto de la seguridad. En este sentido:

A la hora de implementar la gobernanza de la seguridad, ¿se tiene en cuenta el comportamiento humano, incluyendo la evolución de las necesidades de las partes interesadas?
¿Se exige, promueve y apoya la coordinación de las actividades de las partes interesadas para alcanzar una dirección coherente de la seguridad (educación, formación y programas de concienciación)?.

6. Revisar el rendimiento en relación a los resultados de negocio. En este sentido:

¿La aproximación tomada para proteger la información es adecuada al propósito de apoyar la organización proporcionando niveles acordados de seguridad de la información?.
¿Se mantiene la seguridad en los niveles requeridos para alcanzar los requerimientos actuales y futuros del negocio?.
¿Se evalúa la seguridad en relación a su impacto en el negocio y no sólo en base a la eficacia y eficiencia de los controles?.

El modelo para la implementación del gobierno de la seguridad de la información, según la norma ISO 27014 es el siguiente:

IT shadow (I) : BYOD – Seis Prácticas de seguridad

noreply@blogger.com (Unknown) — Thu, 20 Mar 2014 10:22:00 +0000

Ya sea que su organización tenga una Política Bring Your Own Device (BYOD) establecida o no, no es menos cierto que los usuarios (empleados, estudiantes) ya están trayendo sus propios dispositivos bien sea a la oficina o instalaciones de trabajo. Mientras que los teléfonos inteligentes y las tabletas son los sospechosos de siempre, la " consumerización " de TI se extiende a ordenadores portátiles personales e incluso los ordenadores de casa.

Las empresas que se resistían a esta tendencia se están dando cuenta de que hay muchos beneficios al dejar que los empleados utilicen sus propios ordenadores portátiles y dispositivos de mano, incluido el reducido costo y aumento de la productividad de los usuarios.

Retos de seguridad relacionados a programas BYOD:

¿Puede TI gestionar y dar soporte eficazmente a dispositivos de propiedad auto- configurados por los empleados y contratistas?

¿Cómo se proporcionará a estos empleados y contratistas acceso seguro a las redes corporativas, aplicaciones y datos utilizando los “endpoints”?

¿Cómo proteger los datos corporativos y aplicaciones de malware y acceso no autorizado a través de los “endpoints”?

¿Se puede aislar con eficacia las aplicaciones y los datos personales y de la empresa en el mismo dispositivo?

	Consideraciones	Descripción
Empleados	Interés en BYOD	Porcentaje de empleados interesados en adoptar BYOD Porcentaje de empleados que utilizan dispositivos personales para trabajar hoy por hoy
	Expectativas	Identificar las expectativas alrededor del BYOD (dispositivos o plataformas específicas)
	Derechos actuales	Usuarios que tienen derecho actualmente a los dispositivos propiedad de las empresas. ¿Por qué? ¿Cuáles son los costos (hardware, software, servicios, etc)?
Procesos	Gestión de dispositivos	Procesos implementados para la gestión de dispositivos (backup, gestión de software/aplicaciones) Gestión de dispositivos perdidos o robados (bloqueo/borrado remoto)
Tecnología	Seguridad	¿Cuáles son las políticas y prácticas actuales de seguridad en la actualidad? (gestión centralizada de datos locales, cifrado y copia de seguridad) ¿En qué medida las prácticas de seguridad existentes pueden limitar las oportunidades BYOD?
Tecnología	Herramientas	¿Qué herramientas / soluciones se utilizan hoy en día para la gestión de dispositivos? ¿Cuáles son los costos? (hardware, software, servicios, apoyo)?

Riesgos del BYOD

Que los usuarios consulten el correo electrónico y el calendario desde su propio teléfono o tableta es una cosa, pero trabajar con aplicaciones críticas de negocio es otra.

Con los dispositivos personales, la fuga de datos (data leakage) es una preocupación importante. Muchos de estos dispositivos almacenan datos en la nube, donde los datos se pueden duplicar fácilmente entre las aplicaciones y otros dispositivos.

Además, debido a sus características de tamaño y forma, los teléfonos inteligentes y las tabletas pueden ser fácilmente perdidos o robados o colocados en lugares no custodiados apropiadamente, creando la oportunidad a usuarios malintencionados.

Dispositivos personales no administrados accediendo a aplicaciones empresariales introducen el riesgo añadido de “endpoints” de no confianza en la red interna. Para minimizar el riesgo de infección por malware o la fuga de datos, las empresas deben establecer políticas sobre quién tiene permiso de acceso a qué datos y aplicaciones corporativas a través de la red.

Tabla resumen de riesgos

Tipo de riesgo	Riesgo
Internos	Los empleados pueden estar insatisfechos por la limitada selección de dispositivos compatibles.
	Las organizaciones pueden estar expuestas a problemas de responsabilidad derivados de uso de los dispositivos o las implicaciones que plantean los reembolsos (ayudas para la compra de dispositivos) proporcionados a los empleados.
	Costos incrementales por dar soporte a demasiados dispositivos con procesos de soporte ineficientes.
	Uso no adecuados de los dispositivos por parte de los empleados pueden originar riesgos de seguridad adicionales.
Externos	Los competidores pueden tener ventajas de productividad si su programa BYOD no está definido y ejecutado adecuadamente.
	La organización puede estar expuesta a riesgos regulatorios que resultan de las violaciones de datos personales, pérdida de información, etc.
	Mal manejo de la información personal puede convertirse rápidamente en conocimiento público e impactar en la reputación.
	El aumento del nivel de diversidad y complejidad de los dispositivos puede impactar en las capacidades técnicas para la gestión de estos dispositivos.

Seis prácticas de seguridad

1. Establecer políticas y expectativas claras

Su política debe cubrir por lo menos los siguientes aspectos:
Opciones del dispositivo
Participación
Condiciones de uso
Cancelación
E-discovery/Forensics
Soporte

2. Crear un espacio de trabajo separado seguro

Los beneficios de la contenerización para entornos BYOD / PC son:

Cumplimiento de las políticas.
Borrado remoto de datos.
Separación de datos y aplicaciones personales y de trabajo.
Cifrado de datos.
Gestión de contenedores vs gestión de múltiples dispositivos.
Única consola para gestionar las políticas en función del perfil del usuario.

3. Proteger la red

Segmentar y asegurar la red para que coincida con la estrategia BYOD / PC.
Los empleados que usan dispositivos personales sólo deben tener acceso a la red de invitados.
Sólo deben aceptarse conexiones desde aplicaciones que se ejecutan en los espacios de trabajo seguros.

4. Hacer cumplir las políticas de contraseñas

Utilizar el enfoque de espacios seguros, para hacer cumplir las políticas de acceso específicas del espacio.
Utilizar autenticación de dos factores.
Establecer políticas de contraseñas no demasiado complejas.

5. Direccionar los mandatos de cumplimiento y gestión de riesgos

Minimizar los riesgos de negocio asociados a la instalación de aplicaciones y datos corporativos en los dispositivos que no son propiedad de la compañía.
Implementar funcionalidades de eliminar los datos corporativos en un ordenador o un dispositivo que se pierde o es robado, o cuando un empleado o contratista deja el negocio.
Implementar acuerdos BYOD firmados por los empleados, proveedores, etc.
Mantener los datos empresariales y aplicaciones claramente segregados en el dispositivo personal.

6. Comenzar con un grupo piloto

Iniciar la iniciativa de BYOD / PC, con un grupo limitado dentro de la empresa.
Trabajar con un grupo reducido permite identificar diversos aspectos de tipo legal, de aplicación, seguridad y de usuario que puedan surgir.
Considerar el grupo de o proveedores como marco de prueba donde puede " exigir " la práctica BYOD / PC.
Una vez que se haya ejecutado el piloto y resuelto cualquier problema, se debe iniciar el despliegue de las políticas BYOD / PC a otros grupos.

De la Continuidad Tecnológica a la Continuidad de Negocio

noreply@blogger.com (Unknown) — Thu, 06 Mar 2014 09:45:00 +0000

Es indudable que en los últimos años ha crecido la preocupación en las organizaciones por garantizar la continuidad de las operaciones críticas del negocio. Esta tendencia puede ser debida a diversos factores, como las numerosas normas o estándares que abordan esta problemática (ISO 27000, la BS 25999 o la ISO 22301…), los marcos metodológicos que aúnan buenas prácticas en la materia (COBIT, ITIL®…), organizaciones sin ánimo de lucro que tratan y fomentan la temática (ISACA, Business Continuity Institute…) o los numerosos antecedentes de eventos no deseados que han provocado impactos muy importantes en organizaciones muy conocidas. Todos recordareis el incidente del WindSord, el ataque sufrido por la plataforma PlayStationNetwork de Sony, el atentado a las Torres Gemelas, la reciente caída del servicio WhatsApp…

El problema que se encuentran muchas organizaciones que quieren proteger sus operaciones críticas es, dentro de la complejidad que tiene cada negocio, cómo comenzar a aplicar buenas prácticas en materia de continuidad de negocio. Lo recomendable en una situación de este tipo es comerse el elefante en pequeños trozos que permitan ir expandiendo el foco. Y justo en este momento nos acordamos de las tecnologías de la información y comunicaciones (en adelante TIC). Hay que tener en cuenta que gran parte de la operativa de las compañías está soportada por TICs y que la tendencia tecnológica al alza en la que vive el mundo actual ha hecho que haya aumentado la dependencia que el negocio tiene de ellas.

Nuestra experiencia nos dice que el departamento de TI es un excelente punto de partida para, partiendo de un plan de contingencia de TI (identificar procesos críticos, sistemas TI clave, tiempos de recuperación mínimos, puntos de recuperación objetivos, existencia de procesos manuales alternativos, definición de estrategias de recuperación, establecimiento de Roles y Responsabilidades y del Plan de Recuperación frente a Desastres…) extender el concepto de continuidad hacia los niveles superiores de la organización, dando un paso clave de madurez en una compañía… “de la continuidad tecnológica a la continuidad de negocio”.

Para dar este paso es muy importante que el CIO asuma tanto el liderazgo como el reto de transmitir a la Alta Dirección que “su” hoja de ruta simplifica las cosas, porque ya hay una estructura de roles y responsabilidades (Cultura de Comités, Equipos de Recuperación, Responsable de Continuidad…), ya se habla de riesgos, de cómo mitigarlos, de procesos críticos, de estrategias de recuperación, de planes de recuperación asociados…. y que si la organización aprovecha esa inercia obtenida a partir del plan de contingencia será más fácil impulsar y elevar el concepto de “continuidad”. En ese momento el CIO trasladará la “pelota” al techo de la Alta Dirección, que comenzará a pensar en términos de continuidad, identificando necesidades y fomentando la toma de decisiones. Si se consigue captar el interés de la Alta Dirección se percibirá la necesidad. A veces esto se consigue de manera curiosa, recuerdo una reunión en la que los miembros del Comité de Dirección no entendían la diferencia entre una incidencia normal y otra que diera lugar a la activación del plan de continuidad. El conocimiento que el CIO había obtenido le permitió explicarles que necesitaban el Análisis de Impacto en el Negocio (BIA) porque introducía un elemento fundamental, la variable temporal. Esta variable era lo que convertía una incidencia de un tipo en una de otro.

Esta hoja de ruta es la que aconsejamos seguir en clientes de muy diversos sectores y con problemáticas de muy diversos tipos. En próximas entradas explicaré cómo mantener el sistema de Gestión de Continuidad de Negocio a través de la implantación de una Oficina de Continuidad.

Seguridad y privacidad en WhatsApp. Ejemplo práctico nº1

noreply@blogger.com (Unknown) — Mon, 03 Mar 2014 10:00:00 +0000

En los últimos días se está hablando constantemente de WhatsApp por varios motivos. Mientras el ciudadano de a pie debate entre comprar pastas Gallo o marca blanca, Mark Zuckerberg compra WhatsApp por 16 Billones de Dólares Americanos. Se dice rápido. Pero éste no es el único motivo: a los pocos días de su compra, la compañía líder de mensajería sufre un corte en el servicio que afecta a millones de usuarios durante horas.

A pesar de esto, en la comunidad de Seguridad de las TIC se lleva ya mucho tiempo mirando con ojo escéptico a esta aplicación. La ausencia de encriptación en las transmisiones de datos de las primeras versiones hizo que muchas empresas se empezaran a plantear si su uso a nivel corporativo podría suponer un problema de seguridad. Poco a poco WhatsApp fue actualizando y blindando sus API con el objetivo de arreglar estos agujeros de seguridad. Pero el aroma y olor a intranquilidad que desprende esta aplicación se ha propagado incluso al ciudadano de a pie, dando fuerza a otras alternativas de mensajería como Line y Telegram.

Hace unas semanas, tras una tarde de tertulia con Emilio Alonso y otros compañeros del gremio, decidí adentrarme en una prueba de concepto con el objetivo de ver hasta qué punto WhatsApp había mejorado sus puntos más débiles: la seguridad y la privacidad.

INCISO: Febrero del 2014 -> La WhatsAPI de la que a continuación se habla ha sido retirada por infringir, supuestamente, la DCMA americana. Desconozco hasta qué punto su uso a partir de este momento puede ser cuestionable o incluso ilegal. Por otro lado y como comentario personal alegaré que WhatsApp está basado en el protocolo XMPP, de código abierto y extensible, por tanto el hecho de bloquear una aplicación basada también en el mismo protocolo libre no se sostiene por ningún lado.

El proceso consiste en instalar en un ordenador el cliente de mensajería Pidgin junto con un plugin que permite la ejecución de los comandos de la WhatsAPI e interactuar con los servidores de WhatsApp. El envío/recibo de mensajes usando una API externa no es ninguna novedad, pero el hecho de integrar muchas de las funcionalidades de WhatsApp en una interfaz de un cliente de mensajería de escritorio facilita la interacción con la herramienta y abre nuevas posibilidades. Algunas de ellas bastante alejadas de la línea de la moralidad.

Después de añadir una cuenta de usuario de WhatsApp con la ayuda de WARP para manejar el proceso de autenticación con SMS que utiliza Whatsapp la primera vez que se instala en un dispositivo, podremos ver una ventana de contactos vacía. A partir de este momento es posible añadir contactos a nuestra lista pero, he aquí la primera disyuntiva: Si la aplicación para Smartphones se alimenta de la lista de contactos de tu dispositivo, ¿de qué manera podremos seleccionar usuarios con los que interactuar en la aplicación de escritorio? Pues tan sólo necesitamos un número de teléfono. Cualquiera.

Esto puede ser un problema de privacidad, ya que a continuación podremos ver el estado de la persona, el nombre que tenga asocioado en WhatsApp e inclusive su foto de perfil. Esta violación de privacidad ya sucede actualmente en la aplicación de Smartphones, pero al portarla a una computadora, las posibilidades de usar este sistema como recopilación de información o incluso como envío masivo de mensajes de spam con fines ilícitos o propagandísticos aumenta considerablemente.

No contento con haber estado buscando números al azar y haber gastado alguna que otra broma a compañeros y amigos suplantando identidades (puede llegar a ser muy adictivo hablar con Scarlett Johansson), decidí ver cómo se gestionaba el tema de los grupos, el envío de imágenes, audio, situación…

Por ejemplo, en el caso del envío de fotos, WhatsApp codifica las imágenes mediante una función de hasheo y las almacena en sus servidores. De esta manera, cuando algún usuario comparte una imagen (o archivo multimedia), se verifica que ésta no exista previamente en sus servidores. Posteriormente se permite, o no, la subida de la foto para a continuación transmitir el enlace de descarga al destinatario.

Como se puede ver en la imagen superior, el enlace generado es una URL a los servidores multimedia de Whatsapp cuya dirección está formada por una función hash. Por tanto, he aquí la pregunta para la próxima entrada en el blog: ¿Sería posible autogenerar esta función de hash con el objetivo de encontrar fotos al azar enviadas a sus servidores?

Gestión del Riesgo

noreply@blogger.com (Unknown) — Fri, 21 Feb 2014 09:31:00 +0000

La seguridad de la información es el conjunto de medidas preventivas y reactivas de las organizaciones y de los sistemas tecnológicos que permiten resguardar y proteger la entidad buscando mantener la confidencialidad, la disponibilidad e integridad de la misma.

Para ello existen una serie de estándares, protocolos, métodos, reglas, herramientas y leyes concebidas para minimizar los posibles riesgos a la infraestructura o a la información.

Una de las técnicas para evaluar en una entidad su nivel de Seguridad es realizar un análisis de Riesgos. El estudio puede incluir la visión de negocio, si se realiza el estudio después de la realización del Análisis de Impacto sobre el Negocio BIA (Business Impact Analysis).

La realización del análisis de riesgos proporciona a las organizaciones una visión de la situación en cuanto al nivel de protección de los sistemas de información. Por este motivo, se constituye como uno de los pilares fundamentales a la hora de conocer de manera de detallada la infraestructura y el funcionamiento interno.

Con el análisis de riesgo sobre los sistemas de la organización se conseguirán los siguientes objetivos:

Identificar y valorar los procesos más críticos de negocio, con el propósito de identificar el nivel de protección adecuado.
Determinar i evaluar las amenazas existentes, determinando su grado de efectividad para hacer frente a los riesgos existentes.
Calcular el nivel de riesgo, existente, de forma que la organización conozca con detalle la probabilidad de materialización de cada una de las amenazas y el impacto que estas pueden ocasionar.

Para efectuar un análisis de riesgos con garantías, entre otras, se puede seleccionar la metodología MAGERIT, elaborada por el ‘Consejo Superior de Administración Electrónica’.

MAGERIT es el acrónimo de ‘Metodología de Análisis y Gestión del Riesgo de los Sistemas de Información’, y nace para minimizar los riesgo asociados al uso de los sistemas informáticos y telemáticos, garantizando su autenticidad, confidencialidad, integridad y disponibilidad de dichos sistemas y generando así la confianza en el usuario de los mismos.

A nivel conceptual, MAGERIT se basa en la evaluación y relación lógica de los siguientes conceptos:

Tal y como muestra el esquema, todo el análisis gira entorno de los conceptos:

Activo: elemento que tiene un valor para la organización
Amenaza: acontecimiento que supone un impacto negativo sobre el activo y
Salvaguarda: medida implantada para proteger el propio activo

Los objetivos principales son:

Determinar los activos relevantes para la organización, su interrelación y su valor, en el sentido de qué perjuicio supondría su degradación.
Determinar a qué amenazas están expuestos dichos activos
Determinar qué salvaguardas hay dispuestas y cuán eficaces son frente al riesgo.
Estimar el impacto, definido como el daño sobre el activo derivado de la materialización de la amenaza.
Estimar el riesgo, definido como el impacto ponderado con la tasa de ocurrencia (o expectación de materialización de la amenaza).

Llegando finalmente a un concepto MEDIBLE que es el riesgo al que la entidad queda expuesta, es decir a una vulnerabilidad provocada por una amenazada.

Conviene aclarar la existencia de dos variables de riesgo diferenciadas. La primera de ellas se acostumbra a nombrar RIESGO POTENCIAL, es decir el riesgo al que estaría expuesta la organización sino existiera ningún tipo de salvaguarda implantada. Todo y ser un valor de riesgo ‘ficticio’ es un valor muy práctico en el momento de implementar nuevas salvaguardas en la entidad, ya que permite simular la evolución del nivel de riesgo a medida que se introducen nuevas medidas de seguridad. En cambio, el RIESGO RESIDUAL se ha de considerar como el nivel de riesgo actual, y por tanto la base sobre la cual se estructuraran los planes de continuidad de los servicios prestados.

Existen herramientas, como el software EAR/PILAR, diseñadas para gestionar de manera eficiente los riesgos según la metodología expuesta.

Con esta información, juntamente con los requisitos de las normativas aplicables, la organización/entidad podrá seleccionar y priorizar aquellas medidas técnicas que permitan mejorar de manera eficiente el nivel de seguridad de sus sistemas de información.