Encuesta Anual de Seguridad Deloitte 2010

Acaba de ser publicada la Encuesta Anual de Seguridad de la Información de Deloitte 2010 Global Financial Services Security Survey de la cual extraigo el Prefacio:

La nueva década marca un punto de inflexión en la industria de seguridad de la información. Vivimos en una época de guerra cibernética y el entorno es peligroso y siniestro. Los niños que hacían "travesuras" en sus sótanos fueron reemplazadas por la delincuencia organizada, los gobiernos y los individuos cometen fraudes informáticos a tiempo completo, ya sea para obtener beneficios económicos o para lograr ventajas competitivas y tecnológicas. Los países se acusan mutuamente de guerra cibernética. Cualquier red de tamaño considerable se ha visto comprometida de alguna manera y los gobiernos ya se centran en la guerra cibernética. Las apuestas nunca han sido mayores y la batalla se está librando en todos los rincones del mundo. Está todo allí: botnets, redes zombie, troyanos, malware, spam, phishing; muchos de ella tan sofisticados, que la mayoría de nosotros podría ser engañado.

Hablamos mucho acerca de la creciente sofisticación de las amenazas. Ahora tenemos algo más a lo cual hacerle frente: la disminución del nivel de conocimientos que supone una amenaza. Considere la posibilidad de Mariposa, el botnet que se originó en España e infectó millones de computadoras. Los autores tenían "conocimientos limitados de informática" y no necesitaron escribir su propio malware sino que simplemente lo descargaron de Internet. La nueva realidad es una creciente disponibilidad de herramientas en Internet, que permite a aquellos con menos conocimientos técnicos convertirse, en ciberdelincuentes.

Las respuestas obtenidas para el estudio realizado para este año demuestran que hemos llegado a un punto de inflexión en la seguridad de la información:

Por primera vez, las organizaciones son proactivas, adoptando nuevas tecnologías de manera temprana y no tardía como antes, dejando de lado su rol simplemente reactivo.

• Por primera vez, el porcentaje más bajo de los encuestados (36%) afirmó que "la falta de suficiente presupuesto", es el principal obstáculo para garantizar la seguridad de la información, comparado con el 56% el año pasado. Durante la peor crisis económica en la historia reciente cuando muchos presupuestos se están recortando, los presupuestos asignados a la seguridad de información están asegurados y muchos han aumentado.
• Por primera vez, el cumplimiento de seguridad de la información, y la mejora de resultados obtenidos en auditorias de seguridad es una iniciativa de las mas altas dentro de la seguridad, lo que permite a las organizaciones prepararse nuevas y mayores exigencias reglamentarias o legales.
• Por primera vez, más de la mitad de las organizaciones afirman que la información física, como el papel, está dentro del alcance del ejecutivo responsable de seguridad de la información. Esta respuesta (59%) sigue siendo demasiado baja - e indica un riesgo de seguridad - pero, en nuestra opinión, se está moviendo en la dirección correcta.

Esta es la séptima versión de la encuesta: resolver las preguntas de esta encuesta implican tiempo y esfuerzo por ocupados profesionales quienes dedicaron parte de su valioso tiempo para responderla (Yo entre ellos).

Ahora, que dice esta Encuesta sobre Latinoamérica? Veamos:

Latinoamérica & El Caribe (En ingles bajo el acrónimo LACRO)
Latinoamérica ha tenido un impresionante avance duramente el anterior año, colocándose a la delantera en muchas áreas. Sin embargo, han caído en áreas que lideraban el año previo. En esta región como en el resto del mundo, la mayoría de respuestas mostraron que el encargado de seguridad de la información reporta directamente el Gerente de la Compañía. Latinoamérica se encuentra cerca (54%) del promedio mundial (60%) en tener documentada y aprobada la estrategia de seguridad, lo cual es una sorpresa por que la región lideraba este campo el año pasado. Adicionalmente, la calificación obtenida del 48% por falta de compromiso y presupuesto, es segunda después de Japón y mucho mas baja que el promedio global del 62%. Latinoamérica se ubica entre los menores puntajes de alineación entre objetivos de negocio y seguridad de la información, lo cual es consistente con la falta de compromiso y presupuesto asignado.

Al igual que en Asia, la privacidad no es una prioridad en Latinoamérica, lo cual no es una sorpresa, debido casi a la inexistencia de Leyes de privacidad en la región, sumado a la cultura de "brazos abiertos" (recuerdan la ingeniería social?); de hecho la región tiene el peor índice de responsables de seguridad de la información (30% versos el 53% de promedio mundial), así como el de contar con una adecuada gestión de la privacidad de su información (24% versus el 50% de promedio mundial).

Latinoamérica también se encuentra entre los puntajes mas bajos de encriptación de información de equipos móviles (12% versus el 44% de promedio mundial), así como en mantener una base de datos de incidentes de seguridad de la información (43% versus el 54% de promedio mundial). Claramente, sin contar con una base de datos de incidentes de seguridad, resulta imposible contar con información útil desde el punto de vista de seguridad de la información.

Un punto brillante es que los encuestados de Latinoamérica (64%) indican que sus presupuestos seguridad de la información han aumentado. Esto es más alto que el promedio mundial de 56% y más alto que al menos otras tres regiones. Así, mientras que los encuestados en Latinoamérica superan solo a el Japón en la sensación de que no tienen compromiso y financiación, parece que hay un esfuerzo para corregir este problema a través de mayores presupuestos.

Que podemos interpretar de estos resultados? Veamos:

• Muy preocupante la falta de leyes especificas de seguridad de la información en toda la región.
• Falta de compromiso: la seguridad sigue siendo catalogada por prácticamente todos los empleados de cualquier empresa como responsabilidad de los vigilantes, del Circuito cerrado, de la tarjeta de acceso; se necesita un fuerte cambio cultural que anticipo no será visto en nuestro País por lo menos en una década, cuando el tema de privacidad, de seguridad de la información, de fortalecimiento de leyes, etc sea de amplio conocimiento publico.
• La cultura de "brazos abiertos" facilita muchísimo la acción de los delincuentes, hecho que se confirma por ejemplo con las múltiples noticias de tarjetas de crédito clonadas de prácticamente todas las entidades bancarias del País, esta región de momento es el paraíso para los "Ingenieros Sociales"
• Encriptación en dispositivos móviles: Cuantos de Uds. encriptan apropiadamente la información que tienen en los portátiles que les asignan en sus empleos? Cuantos de Uds. que cuentan con "teléfonos inteligentes" usan las herramientas de encriptación de datos con las que cuentan dichos aparatos?
• Interesante el crecimiento reportado en asignación de presupuestos, lo cual se traduce a largo plazo en el cambio cultural que mencione previamente, y claro esta en una mejora  en las calificaciones para las próximas encuestas de seguridad que se desarrollen en la región.

Para finalizar la entrada, los dejo con el link para descargar este informe: (Material disponible solamente en idioma ingles)

Amenazas por redes sociales

Colombia ha visto como las redes sociales han crecido de manera explosiva, convirtiéndose en un País clave en el avance de las redes sociales en América Latina siendo estas utilizadas mayoritariamente de forma positiva, como el caso del robo frustrado en Bogotá al usar Twitter pero Desafortunadamente este crecimiento ha tenido sus lunares con eventos tan lamentables como un asesinato que tuvo como origen facebook, o la amenaza a los hijos del ex-presidente Uribe (burla seria un calificativo mas preciso para este caso.)

La noticia del día  en diferentes medios como RCN, EL ESPECTADOR o a nivel internacional con la Agencia EFE es que las amenazas por redes sociales son muchísimo mas habituales de lo que nosotros escuchamos o se publica en las noticias.

Como eventualmente los links pueden perderse, transcribo aquí la noticia:

  

EL ESPECTADOR:

Amenazas por redes sociales afectan al menos a 70 personas

El director de la Policía, general Oscar Naranjo señaló que un grupo especial de la unidad de Delitos Informáticos de la Dijin está dirigiendo una investigación en los departamentos de Cundinamarca, Antioquia, Nariño y Putumayo, donde se registran las principales denuncias.

"Hemos detectado que en la última cerca de 60 a 70 personas que con nombre propio han sido amenazadas a través de este sistema", puntualizó el alto oficial al precisar que las autoridades no descartan que las Banda Emergentes estén detrás de esta nueva modalidad de intimidación.

El comandante de la Policía señaló que se espera en los próximos días determinar los responsables de estas conductas "que muchas veces comienza como una broma macabra y culminan con resultados lamentables como la muerte de civiles".

Así mismo, hizo un llamado a los colombianos que hacen parte de las redes sociales para que esta movilización no derive en conductas que vulneren los derechos de otros ciudadanos.

"La ofensiva contra bandas emergentes avanza de manera diaria y permanente, el número estimado de capturas semanales varía entre 70 y 100 copias, la verdad es que todos los miembros de la fuerza pública desde marzo de 2006 que terminó el proceso de desmovilización hasta la fecha las autoridades hemos capturado 9400 integrantes de estas organizaciones criminales"., dijo Naranjo.

El pronunciamiento de la Policía se produce luego de que en Puerto Asis, (Putumayo) fueran asesinadas tres personas que días antes habían recibido amenazas por Facebook.

Vanguardia Liberal

Crean grupo para investigar amenazas por redes sociales

Un grupo especial de la Unidad de Delitos Informáticos de la Dijin está investigando las denuncias de amenazas realizadas a cerca de 70 personas en los departamentos de Cundinamarca, Antioquia, Nariño y Putumayo, así lo informó el director de la Policía Nacional, general Óscar Naranjo.

El comandante de la Policía señaló que "han detectado amenazas con nombre propio a cerca de 60 a 70 personas", en las que podrían estar involucrados miembros de las denominadas bandas emergentes.

La Policía espera en los próximos días dar con el paradero de los responsables de los hostigamientos que si bien a veces empiezan como crueles bromas pueden terminar en muerte.

Naranjo informó que en Arbeláez, Cundinamarca, y Puerto Asis, Putumayo, donde fueron asesinados tres personas que habían sido amenazadas por Facebook, se desarrollaron consejos de seguridad para tomar medidas especiales.

Idealmente ninguno de nosotros debería recibir ningún tipo de amenaza, pero  tal y como estan las cosas actualmente, lo mínimo que puedo hacer es ofrecerles  recomendaciones básicas para tratar de proteger su información personal al utilizar las redes sociales:

• Antes de incluir su información en un sitio de redes sociales, piense y evalue las diferentes opciones de seguridad que estas ofrecen.
• Es necesario controlar la información que se coloque en una red social restringiendo el acceso a dicha página.
• No revelar nombre completo, número de Seguro Social, domicilio, número de teléfono ni información sobre los números de las cuentas bancarias o de tarjeta de crédito.
• Colocar en línea solamente la información que se desee que sea vista y conocida por otros.
• Control sobre la lista de contactos: hay que configurar la privacidad de la red social de acuerdo a la información que compartes en ella. Al agregar un nuevo usuario a tu red usuario, configura la privacidad de acuerdo a lo que quieres compartir con dicha persona.

Siendo en este momento facebook la red social mas ampliamente difundida y utilizada por todo tipo de personas, les recomiendo tomarse su tiempo ajustando las configuraciones de seguridad que salieron publicadas en EL TIEMPO en este link.

Para finalizar, no esta demas recomendarles las entradas previas sobre Ingeniería Social que ya existen en este blog para tratar de prevenir ser víctima de una amenaza por información que se haya podido filtrar por culpa nuestra en las redes sociales que utilizamos.

Alineando CobiT 4.1, ITIL V3 e ISO 27002 para beneficio del negocio

Como pudieron darse cuenta, las dos últimas entradas fueron sobre ITIL y CobiT respectivamente. Que relación tienen CobiT, ITIL e ISO 27000? La experiencia demuestra que resulta algo complicado implementar un SGSI sin tocar aunque sea tangencialmente a Cobit o ITIL por la gestión de la información que exista en una Organización. Así las cosas, Ud. puede estar implementando su SGSI pudiendo mejorar este sistema mediante la inclusión de indicadores de ITIL, o midiendo el estado de maduración de su SGSI a través de CobiT. Para cerrar este ciclo de CobiT, ITIL e ISO 27000, observemos brevemente que nos ofrece cada una de ellas:

CobiT
Marco de referencia para objetivos de control sobre la información y recursos tecnológicos asociados. Cobit fue creado por ISACA  (Information System Control Standard) la cual es una organización sin ánimo de lucro enfocada en el Gobierno y control de IT. La función principal de CobiT es ayudar a las Organizaciones a mapear sus procesos de acuerdo a las mejores prácticas recopiladas por ISACA. Cobit usualmente es implementado por compañías que realizan auditorías de sistemas de información, ya sea relacionadas con la auditoría financiera o auditoría de TI en general.

ITIL
Marco de referencia para Infraestructura de Tecnologías de Información. ITIL fue creado por la OGC (Office of Government Commerce), y es un marco de referencia para gestionar los diferentes niveles de servicios IT. Aunque ITIL es similar a CobiT en muchos aspectos, CobiT se enfoca en los procesos base y en riesgos, mientras que ITIL se enfoca en los servicios IT.

ISO 27000
Estándar enfocado exclusivamente en la seguridad, lo cual le hace muy diferente a los estándares manejados por CobiT o ITIL. Esta diferencia hace que la ISO 27000 tenga un alcance menor pero más profundo en el tema obviamente de seguridad comparándole con ITIL o CobiT

A continuación, una tabla de comparación de estos tres modelos:

Bien, por que entonces el titulo de esta entrada es Alineando CobiT 4.1, ITIL V3 e ISO 27002 para beneficio del negocio? Existe un excelente texto desarrollado por ITGI y OGC titulado Alineando COBIT® 4.1, ITIL® V3 e ISO/IEC 27002 en beneficio del negocio (ó de la empresa, dependiendo si miran la portada o el encabezado de todas las paginas del libro), que mediante un mapeo realizado a traves de tablas nos permite ver al implementar un control de ISO 27002, que estamos cumpliendo en ITIL y CobiT o en cualquier sentido: desde CobiT ,  ITIL ó ISO 27002 podemos verificar que cumplimos en cualquiera de los otros dos modelos.

Veamos el prefacio de este titulo:

Cada empresa necesita ajustar la utilización de estándares y prácticas a sus requerimientos individuales. En este sentido, los tres estándares/prácticas cubiertos en esta guía pueden desempeñar un papel muy útil, COBIT® e ISO/IEC 27002 para ayudar a definir lo que debería hacerse, e ITIL proporciona el cómo para los aspectos de la gestión de servicios.

La creciente adopción de mejores prácticas de TI se explica porque la industria de TI requiere mejorar la administración de la calidad y la confiabilidad de TI en los negocios y para responder a un creciente número de requerimientos regulatorios y contractuales. Sin embargo, existe el peligro de que las implementaciones de estas mejores prácticas, potencialmente útiles, puedan ser costosas y desenfocadas si son tratadas como guías puramente técnicas. 

Para ser más efectivos, las mejores prácticas deberían ser aplicadas en el contexto del negocio, enfocándose donde su utilización proporcione el mayor beneficio a la organización. La alta dirección, los gerentes, auditores, oficiales de cumplimiento y directores de TI, deberían trabajar en armonía para estar seguros que las mejores prácticas conduzcan a servicios de TI económicos y bien controlados.

Este libro que inicialmente fue lanzado en idioma ingles, ahora ya se encuentra disponible en español en este link: Aligning COBIT 4.1, ITIL V3 and ISO/IEC 27002 for Business Benefit  Espero que aprovechen este texto, ya que para mi fue una herramienta muy valiosa al momento de afrontar mi primera auditoría externa del SGSI. 

Que es ITIL?

Como ya mencione en la entrada anterior, un par de temas que se asocian frecuentemente con los Sistemas de Gestión de Seguridad de la Información son Cobit e ITIL. Por tal razón, hoy hablare de ITIL.

Que es ITIL? Su nombre viene de Information Technology Infrastructure Library (‘Biblioteca de Infraestructura de Tecnologías de Información’), frecuentemente abreviado como ITIL, el cual es un marco de trabajo de las mejores prácticas destinadas a facilitar la entrega de servicios de tecnologías de la información (TI) de alta calidad. ITIL resume un extenso conjunto de procedimientos de gestión ideados para ayudar a las organizaciones a lograr calidad y eficiencia en las operaciones de TI. Estos procedimientos son independientes del proveedor y han sido desarrollados para servir de guía para que abarque toda infraestructura, desarrollo y operaciones de TI. Aquí ya se ve entonces la relación inicial entre CobiT, ITIL y el Sistema de Gestión de Seguridad de la Información: cada uno de ellos es un marco de referencia que esta relacionado con IT.

Las Organizaciones actualmente dependen de IT para alcanzar sus objetivos, y cumplir con su promesa de valor a sus clientes. Para que esto ocurra de manera organizada, responsable y repetitiva, la Organización debe asegurarse de contar con servicios IT de alta calidad que le brinde:

• Alineación con las necesidades de la Organización y requerimientos de los usuarios.
• Cumplimiento de requisitos legales y reglamentarios
• Monitoreo y mejora continua de la Gestión de Servicios IT, la cual debe incluir planeación, suministros, diseño, implementación, operación, soporte y mejoramiento de los servicios IT que sean apropiados para las necesidades del negocio.

ITIL proporciona un marco de referencia consistente y coherente de mejores prácticas para la Gestión de Servicios IT y procesos conexos, promoviendo un enfoque de alta calidad para lograr altos estándares de efectividad en la Gestión IT. El rol de este marco de referencia es describir aproximaciones, funciones, roles y procesos sobre los cuales las organizaciones pueden basarse para establecer sus propias practicas.

El papel de ITIL es proporcionar una orientación en el nivel más bajo que seria de aplicación general. Por debajo de ese nivel, y para implementar ITIL en una organización, se requieren conocimientos específicos de los procesos de negocio tal organización para alinearse con ITIL y así obtener una efectividad optima.

Actualmente dentro del universo ISO, encontramos que existe una norma que rige el tema ITIL, que es la ISO 20000:2005, la cual es una especificación formal, con la cual las organizaciones pueden demostrar cumplimiento certificándose en dicha Norma.

ITIL soporta el cumplimiento del la ISO 20000 con su guia de buenas practicas, con lo cual se asegura y demuestra que los requisitos de la norma estan siendo cumplidos. De manera similar, los procesos de ITIL pueden ser utilizados igualmente para demostrar cumplimiento con los requisitos de control de CobiT

El marco de referencia de ITIL tiene como núcleos centrales cinco volúmenes, siendo estos:

1. Estrategia del Servicio
2. Diseño del Servicio
3. Transición del Servicio
4. Operación del Servicio
5. Mejora Continua del Servicio.

Para ITIL existe un esquema de certificación que ofrece un amplio rango de certificaciones para personas, desde aquellas que quieren familiarizarse con el tema hasta aquellas que quieren manejarlo profesionalmente. En Colombia existen ya numerosas instituciones que brindan esta certificación, y ya es frecuente encontrar convocatorias de empleo de personas que posean tal certificación, así que la recomendación obvia para todos Ustedes es obtener dicha certificación.

Qué es COBIT?

Un par de temas que se asocian frecuentemente con los Sistemas de Gestión de Seguridad de la Información son Cobit e ITIL. Por esta razón, voy a realizar una entrada independiente para cada uno de ellos, iniciando con Cobit.

Que es Cobit? Su sigla en ingles se refiere a Control Objectives for Information and Related Technology y es un conjunto de mejores prácticas para el manejo de información creado por la Asociación para la Auditoría y Control de Sistemas de Información (ISACA), y el Instituto de Administración de las Tecnologías de la Información (ITGI) en 1992.

Cobit es un marco de referencia para la dirección de IT, asi como también de herramientas de soporte que permite a la alta dirección reducir la brecha entre las necesidades de control, cuestiones técnicas y los riesgos del negocio. Cobit permite el desarrollo de políticas claras y buenas prácticas para el control de TI en las organizaciones. Cobit enfatiza el cumplimiento normativo, ayuda a las organizaciones a aumentar el valor obtenido de TI, facilita su alineación y simplifica la implementación del marco de referencia de Cobit.

El propósito de Cobit es brindar a la Alta Dirección de una compañía confianza en los sistemas de información y en la información que estos produzcan. Cobit permite entender como dirigir y gestionar el uso de tales sistemas así como establecer un codigo de buenas practicas a ser utilizado por los proveedores de sistemas. Cobit suministra las herramientas para supervisar todas las actividades relacionadas con IT.

Veamos que ventajas ofrece Cobit:

• Cobit es un marco de referencia aceptado mundialmente de gobierno IT basado en estándares y mejores prácticas de la industria. Una vez implementado, es posible asegurarse de que IT se encuentra efectivamente alineado con las metas del negocio, y orientar su uso para obtener ventajas competitivas.
• Suministra un lenguaje común que le permite a los ejecutivos de negocios comunicar sus metas, objetivos y resultados con Auditores, IT y otros profesionales.
• Proporciona las mejores prácticas y herramientas para monitorear y gestionar las actividades de IT. El uso de sistemas usualmente requiere de una inversión que necesita ser adecuadamente gestionada.
• Ayuda a los ejecutivos a entender y gestionar las inversiones en IT a través de sus ciclo de vida, así como también proporcionándoles métodos para asegurarse que IT entregara los beneficios esperados.

La diferencia entre compañías que gestionan adecuadamente sus recursos IT y las que no es enorme. Cobit permite el desarrollo de políticas claras y buenas prácticas para la gestión de IT. Su marco de referencia permite gestionar los riesgos de IT y asegurar el cumplimiento, la continuidad, seguridad y privacidad.

Al ser Cobit reconocida y aceptada internacionalmente como una herramienta de gestión, su implementación es un indicativo de la seriedad de una organización. Ayuda a Empresas y profesionales de IT a demostrar su competitividad ante las demás compañías. Así como existen procesos genéricos de muchos tipos de negocios, existen estándares y buenas practicas específicos para IT que deben seguirse por las compañías cuando se soportan en IT, en donde Cobit agrupa tales estándares y entrega un marco de referencia para su implementación y gestión.

Una vez se identifican e implementan los principios relevantes de Cobit para una compañía, se obtiene plena confianza en que todos los recursos de sistemas estan siendo gestionados efectivamente.

Que resultados se obtienen al implementar Cobit? Veamos:

• El ciclo de vida de costos de IT será mas transparente y predecible.
• IT entregara información de mayor calidad y en menor tiempo.
• IT brindara servicios con mayor calidad y todos los proyectos apoyados en IT serán mas exitosos.
• Los requerimientos de seguridad y privacidad serán más fácilmente identificados, y su implementación podrá ser mas fácilmente monitoreada.
• Todos los riesgos asociados a IT serán gestionados con mayor efectividad.
• El cumplimiento de regulaciones relacionadas a IT serán una práctica normal dentro de su gestión.

El marco de referencia Cobit en su versión 4 (a Julio de 2010), incluye lo siguiente:

• Marco de referencia: explica como Cobit organiza la Gestión de IT, los objetivos de control y buenas practicas del negocio por dominios y procesos de IT, relacionándolos directamente con los requerimientos del negocio. Este marco de referencia contiene un total de 34 niveles de objetivos de control, uno por cada proceso de IT, agrupados en cuatro dominios: Planeamiento y Organización, Adquisición e Implementación, Desarrollo y Soporte y Monitoreo y Evaluación (Que tal la coincidencia con el ciclo PHVA de las Normas ISO?)
• Descripción de procesos: Incluida para cada uno de los 34 procesos de IT, cubriendo todas las áreas y responsabilidades de IT de principio a fin.
• Objetivos de Control: Suministra objetivos de gestión basados en las mejores prácticas para los procesos de IT.
• Directrices de Gestión: Incluye herramientas para ayudar a asignar responsabilidades y medir desempeños.
• Modelos de madurez: proporciona perfiles de los procesos de IT describiendo para cada uno de ellos un estados actual y uno futuro.

Cobit 5:
Programado para salir en el 2011, Cobit 5 consolidara los marcos de referencia de Cobit 4.1, Val IT 2.0 (inversiones en TI) y riesgos en IT, aprovechando también el modelo de negocio de Seguridad de la Información (IMC) y ITAF.

Fuente: COBIT - IT Governance Framework

Gestión de Riesgos: ISO 31000

En esta entrada voy a hablarles sobre la Norma de gestión del riesgos ISO 31000:2009 que reemplaza a la norma australiana de riesgo AS/NZS 4360:2004.

La norma internacional ISO 31000:2009, de gestión de riesgos - Principios y directrices, ayudará a las organizaciones de todos los tipos y tamaños de gestión de riesgos efectiva. Establece los principios, el marco y un proceso para la gestión de cualquier tipo de riesgo en una forma transparente, sistemática y fiable en cualquier ámbito o contexto. Al mismo tiempo, la ISO publica la Guía ISO 73:2009, el vocabulario de gestión de riesgos, que complementa la norma ISO 31000, proporcionando una colección de términos y definiciones relativas a la gestión del riesgo. Kevin W. Knight AM, Presidente del grupo de trabajo ISO que ha desarrollado el estándar explica: "Todas las organizaciones, no importa cuán grande o pequeño, frente a factores internos y externos que generan incertidumbre sobre si serán capaces de alcanzar sus objetivos. El efecto de esta incertidumbre es el «riesgo» y es inherente a todas las actividades. "

"De hecho-continuó-" se puede argumentar que la crisis financiera mundial como resultado del fracaso de las juntas y de gestión ejecutiva para gestionar eficazmente los riesgos. La ISO 31000 se espera que ayude a la industria y el comercio, públicos y privados, con confianza salir de la crisis ". La norma recomienda que las organizaciones desarrollar, aplicar y mejorar continuamente un marco de gestión del riesgo como un componente integral de su sistema de gestión.

"ISO 31000 es un documento práctico que pretende ayudar a las organizaciones en el desarrollo de su propio enfoque de la gestión del riesgo. Pero esto no es un estándar que las organizaciones pueden solicitar la certificación al. Mediante la aplicación de la norma ISO 31000, las organizaciones pueden comparar sus prácticas de gestión de riesgo con un punto de referencia reconocido internacionalmente, establecen los principios racionales para la ordenación eficaz. La Guía ISO 73 más se asegurará de que todas las organizaciones están en la misma página cuando se habla de riesgo ", dijo Knight.

ISO 31000 está diseñado para ayudar a las organizaciones a:

• Incrementar la posibilidad de alcanzar los objetivos trazados.
• Fomentar una gestión proactiva
• Ser consciente de la necesidad de identificar y tratar los riesgos en toda la organización
• Mejorar la identificación de las oportunidades y amenazas
• Cumplir con las exigencias legales y reglamentarias y las normas internacionales
• Mejorar los informes financieros
• Mejorar la gobernabilidad
• Mejorar la confianza de los inversionistas
• Establecer una base confiable para la toma de decisiones y la planificación de resultados
• Mejorar los controles
• Efectivamente asignar y utilizar recursos para el tratamiento del riesgo
• Mejorar la eficacia y eficiencia operativa
• Mejorar la salud y de seguridad, así como la protección del medio ambiente
• Mejorar la prevención de pérdidas y de manejo de incidentes
• Reducir al mínimo las pérdidas
• Mejorar el aprendizaje organizacional
• Mejorar la capacidad de resistencia de la organización.

ISO 31000 y la Guía ISO 73 puede aplicarse a cualquier entidad pública, privada o empresa de la comunidad, asociación, grupo o individuo. Los documentos serán de utilidad para:

• Los responsables de la aplicación de la gestión del riesgo dentro de sus organizaciones
• Aquellas personas que necesitan para garantizar que una organización gestiona el riesgo
• Aquellos que necesitan para evaluar una organización de las prácticas en la gestión de riesgo
• Los desarrolladores de los estándares, guías de procedimientos y códigos de prácticas relativos a la gestión del riesgo.

Tomado de ISO - News - New ISO standard for effective management of risk

Como defenderse de la Ingeniería Social?

Esta es la segunda entrega sobre la Ingeniería Social, y en la primera se le definió como la manipulación de la tendencia humana a confiar en los demás con el propósito de obtener información que otorgue el acceso a información valiosa.

Por donde empezar? Definición de Políticas de Seguridad

Los ataques de ingeniería social pueden tener dos aspectos diferentes: el físico o el sitio donde se realiza el ataque, como los puestos de trabajo, en línea, al atender el teléfono, el Dumpster diving o búsqueda en la basura, la suplantación, y la amistad; así que para combatir la ingeniería social hay que fortalecer ambas debilidades, teniendo como uno de sus mayores componentes el entrenamiento a los empleados. La base de una buena defensa esta cimentada en la correcta definición de unas políticas y procedimientos de seguridad El error mas común de las organizaciones es planear únicamente como defenderse en el sitio de trabajo, lo cual deja abierta una brecha enorme que aprovechan los atacantes con la ingeniería social. Así las cosas, para empezar hay que entender desde la Gerencia o Dirección de la Organización que todo el dinero que se invierta en parches de seguridad, hardware de seguridad, auditorias, etc, serán una pérdida de dinero sino se acompaña de las mencionadas políticas y procedimientos de seguridad para proteger a la Organización. Una de las ventajas de establecer políticas de seguridad es eliminar responsabilidades de los usuarios para eventualmente atender una solicitud de un atacante. Si la acción solicitada por el atacante esta prohibida dentro de una política, el empleado no tiene alternativa diferente a ignorar tal solicitud.

Políticas adecuadas pueden ser generales o especificas, pero es ideal manejar un término medio, dando una flexibilidad para un adecuado desempeño de las actividades pero aun asi, buscando evitar que los empleados se relajen con las prácticas de seguridad que deben ejecutar diariamente. Las políticas de seguridad deben involucrar controles de acceso a la información, creación de cuentas de usuario, permisos de acceso, y cambios de contraseñas entre otras. Puertas aseguradas, utilización de carnets de la empresa y un destructor de papeles (inclusive de CDs y DVDs) tienen que ser implementados y utilizados. Cualquier violación que se presente de las políticas debe ser estudiada, publicada y eliminada.

Previniendo vulnerabilidades de Seguridad Física

En teoría la seguridad física debería impedir cualquier fuga de información, pero tratando de cumplir con dicho cometido, hay que tomar precauciones adicionales. Toda persona que ingrese a las instalaciones debe portar en un lugar visible su carnet de funcionario o de visitante SIN EXCEPCIONES. Todos los documentos que contengan información sensible deben ser almacenados bajo llave, y sus llaves deben ser también almacenadas en lugares seguros. Los documentos que contengan información sensible y que deban ser desechados deben ser procesados en una trituradora de papel. Todos los medios de almacenamiento digital que se vayan a desechar deben ser desechados quizás contratando una empresa que los destruya (claro esta, suscribiendo un acuerdo de confidencialidad). Las canecas de basura deben mantenerse bajo llave en aéreas que estén monitoreadas por los servicios de seguridad con que cuente la Organización.

Hablando sobre los equipos dentro de la Organización (incluyendo equipos remotos) necesitan estar protegidos con salvapantallas protegidos con contraseñas (Futura entrada del blog), y no esta de mas contar con programas de encriptación de datos para una teórica máxima protección.

Teléfonos y Conmutadores

Una estafa común es hacer llamadas a través de los teléfonos o conmutadores (PBX) de una organización. Los atacantes pueden realizar una llamada haciéndose pasar por un funcionario, pedir que sea transferido a una línea externa y desde esta hacer llamadas a todo el mundo las cuales tendrá que pagar la Organización que fue víctima del engaño. Esto puede ser prevenido con la implementación de políticas que prohíban la transferencia de llamadas, restringiendo las llamadas de larga distancia y rastreando llamadas sospechosas. Si se llega a recibir una llamada de una persona argumentando ser empleado de la empresa de teléfonos y que además solicita algún password para obtener acceso a la red de la Organización, CUIDADO, está mintiendo!!! Todos los empleados deben ser informados de esta modalidad de estafa para evitar ser víctimas de esta táctica.

Como se menciono en la entrada previa de Ingeniería Social, los Help Desk son las presas favoritas de los atacantes principalmente por que su trabajo es divulgar información de utilidad para los usuarios. La mejor manera de proteger un Help Desk es el entrenamiento. Los empleados de un Help Desk siempre deben rechazar cualquier solicitud de entregar un password por teléfono o email, únicamente en persona a las personas autorizadas. La devolución de llamadas, el uso de tokens de seguridad y el uso de passwords son recomendaciones que incrementaran los niveles de seguridad. Cuando se presenten dudas, a los empleados de los Help desk se les alienta a pedir apoyo, o también a decir simplemente "no".


Entrenar, Entrenar y Re-entrenar

La importancia de entrenar a los empleados no solo recae en el Help Desk sino en toda la organización. Los empleados tienen que ser entrenados en como identificar información que se deba considerar como confidencial, y entender por completo sus responsabilidades para protegerla. Una organización para ser exitosa debe involucrar la seguridad en todos los puestos de trabajo que genere. Todos los empleados de la Organización deben entender por que es crucial clasificar la información como confidencial, como esto beneficia a la Organización, y les da sentido de responsabilidad en la seguridad de la organización.

Todos los empleados deben ser entrenados en cómo mantener la información segura. Hay que involucrarlos en el alcance de la política de seguridad. Se debe exigir que todos los empleados nuevos asistan a una capacitación en seguridad. Actualizaciones anuales refrescan conocimientos y suministran actualizaciones en temas de seguridad. Otra manera de involucrar a los empleados es mediante la realización de boletines mensuales con reportes de los incidentes de seguridad que se puedan presentar, que hayan ocurrido o que se hayan evitado. Esto mantiene a los empleados informados sobre los peligros que representa bajar la guardia en la gestión de la seguridad. Una mezcla ideal de entrenamiento combina la realización de videos, boletines, afiches, señales, fondos de pantalla, pad mouse, emails, calcomanias e inclusive camisetas; pero hay algo importante al respecto: todo esto debe ser cambiado con cierta regularidad o de lo contrario dejara de tener valor para los empleados.

Detectar ataques de Ingeniería Social

Para frustrar un ataque de Ingeniería Social, es muy útil poder reconocer uno de ellos. Síntomas de que se está potencialmente siendo víctima de uno de estos ataques es rehusarse a dar información de contacto, pedir ser atendidos con la mayor rapidez posible, mencionar el nombre de algún funcionario de alto rango dentro de la organización, intimidación, pequeños errores de ortografía, preguntas inapropiadas, y claro está, pedir información confidencial. Hay que estar atento a situaciones que estén fuera de lugar, hay que intentar pensar como el atacante: para entender al enemigo, hay que pensar como el.

Las organizaciones pueden ayudar a incrementar la seguridad realizando programas de prevención, utilizando medios como la intranet para enviar emails informativos, juegos de entrenamiento en seguridad (sopa de letras, crucigramas, etc) y requerimientos obligatorios de cambios de contraseñas cada cierto periodo de tiempo. El mayor riesgo en seguridad es que los empleados se vuelvan complacientes en el tema y dejen de lado las prácticas de seguridad.

Defenderse de ataques de Ingeniería Social

En el evento de que un empleado detecte algo extraño, el o ella necesitara conocer los procedimientos para reportar el incidente. Es necesario que exista una persona que se responsabilice por la gestión de tales incidentes, por ejemplo un Oficial de Seguridad de la Información si la Organización cuenta con uno de ellos. También es importante que el empleado que detecte la situación la comunique a todos los demás empleados que tengan sus mismas funciones pues también podrían ser víctimas de ese ataque. De alli en adelante, el encargado de la seguridad de la información coordinara la respuesta adecuada al incidente detectado.

A continuación, un listado de los ataques más comunes y algunas estrategias para prevenirlos:

• Al teléfono: Suplantación de Identidad, para impedirla hay que entrenar a los empleados para que nunca entreguen información confidencial por teléfono.
• Acceso a las instalaciones: Acceso no autorizado, para prevenirlo hay que disponer de un equipo de vigilantes mezclado con entrenamiento en seguridad para todos los empleados
• En la oficina: Shoulder surfing, Se evita teniendo precaución al escribir usuarios y/o contraseñas cuando alguien este observando, o si hay que hacerlo, que sea muy rápido!!!
• En los Help Desk: Suplantación de identidad, para minimizar este riesgo hay que asignarle a cada empleado un PIN o token de seguridad que pueda utilizarse para comprobar la identidad de la persona que llama.
• En las instalaciones de la oficina: Visitantes sin acompañamiento de ningún funcionario, para evitar problemas se debe exigir acompañamiento en todo momento a los visitantes cuando estén en las instalaciones de la Organización.
• Centros de Cómputo: Intentos de acceso, de extraer equipos o de ingresar elementos que puedan capturar información confidencial. Se recomienda contar con un centro de cómputo bajo llave permanentemente, de preferencia con controles de acceso biométricos, y tener un inventario actualizado de todos los equipos que se encuentren allí almacenados.
• Canecas de basura: Se debe tener la basura en cuartos con llave, monitoreadas por las fuerzas de seguridad de la organización, se debe contar con trituradoras de papel, y de procedimientos de borrado de información adecuados.
• Intranet/Internet: Inserción de keyloggers para obtener nombres de usuario y contraseñas, para evitarlo hay que hacer rutinas de mantenimiento de las redes, así como dar entrenamientos a los empleados en la creación de contraseñas.

Prevención Realista

Como es de suponer, la prevención real es una tarea de enormes proporciones, y una gran cantidad de organizaciones no disponen de los recursos humanos o financieros para poseer todas las medidas de control mencionadas previamente. La amenaza es real, así que lo más recomendable es aprovechar los recursos con los que se cuente, manteniendo la moral alta y un buen ambiente de trabajo sin sacrificar la seguridad. Cambiando levemente las reglas del juego, los intrusos no podrán cumplir con su cometido.

Google fue hallado culpable de violar datos privados con aplicación de mapas en Australia

El gigante de internet Google ha sido encontrado culpable de violar las leyes de privacidad en Australia.

El Comisionado de privacidad investigo a Google por utilizar vehículos para mejorar su Google maps para recolectar información privada de las redes inalámbricas que iban detectando durante su recorrido. Lo increíble del asunto es que esta practica ya ha sido detectada en mas de 30 paises (ver LINK), por lo cual el Ministro de Comunicaciones de Australia no dudo en llamarle la violación de seguridad mas grande de la historia.

Afortunadamente para Google (y tristemente para todas las víctimas), la empresa puede escapar sin castigo alguno, pues no hay estipulada sanción alguna por romper las leyes de privacidad Australianas (las habran redactado con ayuda del Congreso de Colombia?). Sin embargo, existe una investigación federal paralela que de prosperar podria generarle a los empleados de Google multas o inclusive el encarcelamiento.

Vehículos utilizados por Google, los cuales después de todos estos antecedentes espero nunca ver en Colombia!!!