Roban y luego "aparece" USB con información CONFIDENCIAL de restitución de tierras

No deja aun de impactarme el alcance de una noticia que en otros países no dejaría de ser mas que una anécdota, pero que tristemente en el nuestro se interpreta de inmediato como la condena a muerte de los representantes de las miles de victimas existentes por el tema (y drama?) de la restitución de tierras. ¿Como es posible que esa información se manipule en una USB facilitando así su robo? Quizás no sea mas que un delincuente común que la robo, la formateo y hasta ahí llegue la noticia, pero por otro lado, ¿Que tal no sea así?

Denuncian robo de USB con información confidencial de restitución de tierras

Representantes de víctimas en Apartadó (Antioquia) temen por su seguridad. El Ministerio de Agricultura pidió al director de la Policía, general Óscar Naranjo, que investigue los hechos.
Jueves 20 Enero 2011

El proceso de restitución de tierras tiene muchos enemigos “legales e ilegales” ha dicho el investigador especialista en temas sociales Luis Jorge Garay. Por esta razón es previsible que las iniciativas del Gobierno, no sólo de hacer una ley que garantice la reparación de las víctimas, sino también de restituir por la vía administrativa a los campesinos despojados, se enfrenten a la reacción violenta de los grupos ilegales. Este jueves se conoció una carta dirigida al director de la Policía, el general Óscar Naranjo, en la que el Ministro de Agricultura, Juan Camilo Restrepo, da cuenta de esa preocupación.

En la carta Restrepo advierte que el pasado 17 de enero en Apartadó fue asaltada la sede de la Asociación de Víctimas para la Restitución y el Acceso a Tierras: tierra y vida. “Del lugar fue robada una memoria USB que contenía información confidencial del proceso de restitución de tierras”, informó la cartera de Agricultura a través de un comunicado.

Según la denuncia allegada al Ministerio: “un hombre irrumpió en las instalaciones de la Asociación de Víctimas para la Restitución y el Acceso a Tierra: tierra y vida, con sede en el municipio de Apartadó, y después de preguntar por la abogada de la Asociación, aprovechó que la secretaria se encontraba sola y le arrebató una memoria USB que contenía información confidencial del proceso de restitución de tierras”.

La denuncia fue presentada ante las autoridades. Sin embargo, los representantes de las víctimas temen por su seguridad. Algunos expresan que han sido amenazados. La ONG al servicio de las víctimas teme que la información contenida en la USB, datos personales, entre otros, pueda ser utilizada en contra de las víctimas.

El Ministerio recordó que “durante el 2010 fueron asesinados dos líderes de la Asociación de Víctimas para la Restitución de Tierras del Urabá: Alberto Valdez Martínez en mayo y Hernando Torres en septiembre”.

“Adicionalmente, otro líder, Fernando León Enamorado fue víctima de un serio atentado en la misma región en donde también fue asesinado Óscar Mausa, otro dirigente campesino”, agregó. 

 Por el bien de las victimas y sus representantes, esperemos que este fallo de seguridad de la información no haya sido mas que un robo de una memoria USB y no la condena a muerte de estas personas. 

LINKS A LA NOTICIA:

• Denuncian robo de USB con información confidencial de restitución de tierras
• Asaltan ONG y roban USB con lista de campesinos postulados a restitución de tierras
• Preocupación por ataque a líderes del programa de restitución de tierras 

UPDATE: La memoria USB apareció:

Encuentran USB robada con información sobre víctimas de 'paras'

La memoria fue encontrada en la casa de la secretaría de la ONG de donde fue hurtada.

Según el coronel Jaime Ávila Ramírez, comandante de la policía de Urabá, la memoria USB apareció en la casa de la secretaria de la Asociación de Víctimas para la Restitución y el Acceso a Tierras: Tierra y Vida, Apartadó (Antioquia), Ayineth Pérez Galán.

El oficial relató que Pérez Galán realizó una llamada este sábado a las 11:30 a.m. a funcionarios del CTI de Apartadó para que se dirigieran al barrio Los Fundadores, donde se encuentra la sede de la asociación, de donde robaron la memoria, el pasado 17 de enero.

Ávila dice que cuando comenzaron las pesquisas, la secretaria había mencionado que no podía reconocer, ni hacer un retrato hablado del agresor.

Cuando los funcionarios del CTI llegaron a Los Fundadores se encontraron con Carmen Palencia, directora de la asociación, en compañía de la  secretaria Ayineth. Informaron que el hijo de la secretaria encontró la USB abandonada en las escaleras de la casa.

La Fiscalía evalúa qué información fue sustraída o alterada en la USB, cuyo hallazgo era considerado una prioridad por el Gobierno y la Policía.

El hurto fue denunciado por el ministro de Agricultura, Juan Camilio Restrepo,  a través de una carta enviada al director de la Policía Nacional, general Oscar Naranjo.

Del lugar fue robada una memoria USB que contenía información confidencial del proceso de restitución de tierras y la identidad de todas las víctimas de los paramilitares que aspiran a recuperar sus parcelas.

El general Naranjo respondió que era "una altísima prioridad para las autoridades, capturar a los autores del hurto de la USB" y señaló que no permitiría que el proceso de restitución de tierras fuera obstruido por miembros de mafias y ex paramilitares.

Links a la noticia de la aparición:

• Encuentran USB robada con información sobre víctimas de 'paras'
• Hallan memoria USB con datos de beneficiarios de restitución de tierras

En una sola palabra: patético!!! Igual, solo el tiempo dirá si esa información cayo en manos de quien no debía y empiezan a aparecer las consecuencias de esta perdida: una lista de campesinos sin tierras y sin vida...

ADVERTENCIA: Extra precaución al usar cajeros automaticos

Les comparto una experiencia que tuve hoy en el centro comercial Santafe.

Estaba por sacar dinero de uno de los cajeros, pero había un empleado del aseo sacando la basura del cajero que iba a utilizar (3 piso cerca a la plazoleta de comidas). Hasta  allí nada raro, una persona haciendo aseo por que la caneca efectivamente estaba repleta. La sorpresa fue ver que el tipo sacaba manotadas de recibos, los revisaba y separaba un grupo de pocos recibos, y hacia esto una y otra vez hasta que desocupo la canequita del cajero. Una vez la termino, la cerro y se sentó al lado a seguir revisando los recibos del cajero.

¿Para que hace una persona eso? Sinceramente no se me ocurre ninguna idea aparte de planear algún robo, guardar los recibos con mayores saldos e intentar averiguar los números de la cuenta de esas personas. ¿O ustedes tienen alguna otra idea de por que una persona va a revisar los recibos de cajero que encuentra en la basura?

Intente grabar un vídeo pero mi celular resulto ser un desastre para ello, pero quedo grabado claramente el nombre de la empresa al a que supuestamente pertenece este sujeto: PROGRAMA DE SERVICIOS 333 8890

Esta foto es de uno de los momentos en los que el sujeto esta revisando y separando recibos, y lo mas curioso del asunto es que la gente desaprobaba la acción pero nadie decía nada. Una vez el sujeto se alejo del cajero, yo le comente el hecho a uno de los vigilantes quien me comento que ese personaje estaba autorizado por el centro comercial para entrar, a lo que le dije que si la autorización también le permitía escoger los recibos de cajero que mas le gustaran, por que eso solo lo hace un ladrón. Ahí llamo por radio a alguien mas, y realmente hasta ahí llegue yo, ¿Que mas podía hacer?

Por si les interesa el vídeo: http://www.youtube.com/watch?v=bgJh7Pejx6Y con mala calidad pero aun así se puede apreciar que el sujeto revisa y separa algunos de los recibos que saca de la basura.

Ahora, para salir completamente de dudas llame a la Compañía PROGRAMA DE SERVICIOS y pregunte por esa situación y esta fue la respuesta que me dieron:  Es normal que los empleados revisen UNO de los recibos ya que en estos sale impreso el código del cajero donde hicieron la limpieza, pero revisarlo en mas de uno ya no es normal. Gracias por su informe. Una respuesta razonable pero que igual deja abierta la duda de por que revisar y separar un buen numero de recibos de los demás,estaré siendo ya demasiado prevenido?

Paranoia o no, de todo esto solo sale una recomendación para quien no lo haga: JAMAS boten los recibos de sus retiros en las mismas canecas de los cajeros, quien sabe que nueva modalidad de robo se están inventando los delincuentes. 

Porque son necesarias las políticas de seguridad?

La planeación y administración de sistemas de seguridad son el lado humano de la seguridad electrónica. Inclusive en el más confiable sistema, la seguridad no es automática. Los administradores necesitan una guía escrita que especifique que pasos seguir y que procedimientos ejecutar para cumplir con los requerimientos planeados de seguridad. Los ataques con éxito a sistemas confiables son recurrentes, vulnerabilidades son descubiertas en todos los sistemas operativos, y los atacantes se encuentran dentro o fuera de las organizaciones. Si existe algo seguro en el cambiante mundo de la seguridad, no lo encontraremos en lo que el software o hardware puedan hacer por nosotros, sino en lo que hacemos por nosotros mismos. El primer paso en mantener los niveles de seguridad es desarrollar políticas de seguridad para nuestras organizaciones, y después promulgarlas y velar por su cumplimiento, lo cual tiene que realizarse de manera transversal a toda la Organización.

Asumiendo que estamos en una Organización que tiene una estructura de seguridad en la que se cuenta jerárquicamente con un Gerente y un Administrador de Seguridad (Donde no haya estos cargos se deben aclarar roles y responsabilidades entre las opciones disponibles), los administradores de seguridad cumplen con las políticas en términos de detección y protección, la Gerencia debe suscribir la política, y los usuarios cumplirla, siendo supervisados por el Líder de Seguridad quien detectara y sancionara a los infractores por su incumplimiento.

Por ejemplo, la política de seguridad de una Organización estipula que se requiere la realización periódica de backups, pero finalmente es el Administrador quien ejecuta esos backups. Una vez que los Administradores entrenan a los usuarios para copiar sus archivos a servidores o discos duros protegidos, el Gerente de Seguridad lidiara con los incumplimientos. De manera similar, los Administradores deben entrenar a los usuarios para que eviten escribir sus contraseñas y pegadas quizás debajo de su teclado, pero el Gerente de Seguridad tiene que sancionar a los infractores de dicha política.

El área mas critica de todas las capas de seguridad es unificar la respuesta a incidentes una vez que ocurre una violación de seguridad. Decisiones sobre la conservación de evidencias, notificación a las autoridades (cuales de ellas?), y que acción tomar tuvieron que ser analizadas antes de que se presentara cualquier falla. Todas estas acciones tuvieron que ser escritas y distribuidas a todo el personal que pueda afectar la ocurrencia de ese incidente.

La política de seguridad es un documento viviente que debe ser revisado y actualizado periódicamente. El entrenamiento de usuarios, contraseñas de administrador, sistema de backups para información crítica, programación de firewalls y sistemas de detección de intrusos, evaluación de logs, etc se encuentran dentro de las múltiples formas de traducir el contenido de una política en hechos reales y palpables por el Administrador de Seguridad.

La seguridad en una organización disminuye cuando se incumplen las políticas de seguridad. Administrativamente esto significa que la Gerencia debe crear y mantener la demanda de acciones que deben ser realizadas de acuerdo a ciertas normas y niveles. Esto requiere de la categorización y priorización de riesgos, así como una evaluación del costo de la infraestructura a proteger con respecto al costo de su protección.

Las políticas de seguridad requieren de procedimientos. Estos procedimientos deben incluir la realización de auditorias periódicas, así como la implementación de reglas de separación de funciones. Para asegurarse de que las personas conozcan claramente como ejecutar procedimientos de seguridad, debe realizarse un muy buen entrenamiento. Para asegurarse de que los empleados realmente cumplen con las políticas, se requiere de supervisión y llamados de atención por parte del Gerente de Seguridad, quien es el que inicialmente estableció las políticas de seguridad.

Top 10 de Sugerencias para seguridad al usar un Computador

Siendo tan frecuentes las noticias del incremento de fraudes online, saben Uds la principal razón de ese crecimiento? Aunque parezca mentira, es por que la gran mayoría de usuarios de PC no se protege adecuadamente.

1. Es un hecho que el 75% de los usuarios no tienen su antivirus actualizado a la fecha, software que revisa el PC buscando software malicioso, y cuando encuentra alguno, decide si tenerlo en cuarentena o eliminarlo. Hay inclusive antivirus que escanean las páginas que Uds visitan y detectan ataques de phishing. La oferta en el mercado de antivirus es tan amplia, que inclusive existe un gran catalogo de aplicaciones gratuitas.
2. Todos los usuarios de Internet necesitan un firewall para protegerse. Este es un software que previene ataques externos a su computador, ya sea en casa o en su puesto de trabajo, y que funciona en su PC en segundo plano. Básicamente su función es bloquear los puertos de nuestros computadores que son las puertas que usan los hackers para acceder a los computadores de sus victimas. Al igual que con los antivirus, existen muchos firewalls disponibles en el mercado.
3. Tiene el Sistema Operativo de su PC (Ej: Windows, Linux, Leopard) todas las actualizaciones disponibles hasta la fecha? Cuando realizo la ultima actualización? la respuesta de la gran mayoría de personas es “Nunca”. La principal razón por la que las empresas desarrolladoras de software como Microsoft o Mac realizan estas actualizaciones es para mejorar la seguridad de sus Sistemas Operativos, por este motivo es necesario aplicar las actualizaciones cuando estén disponibles. La mejor recomendación en este caso es activar la actualización automática de actualizaciones, así el PC descargara e instalara por si solo todas las actualizaciones que se vayan liberando para su Sistema Operativo. Aquí es importantísimo aclarar que estas actualizaciones están solamente disponibles para equipos cuyo software haya sido adquirido legalmente.
4. Las páginas de ataques de Phishing son páginas creadas para verse idénticas a las de un banco, o sitios de transacciones en línea como por ejemplo, PAYPAL. Lo mas probable es que todos nosotros alguna vez hayamos recibido un email de nuestro banco informándonos que hubo un riesgo de seguridad y que es necesario loguearnos para cambiar la clave o cualquier otra situación similar. El email viene de una vez con un link supuestamente al banco, pero conduce a una página falsa en la que ingenuamente podremos dar nuestro usuario y contraseña, completándose así el ataque por parte de estos delincuentes quienes harán uso de estos datos en la pagina real del banco y desocuparan la cuenta bancaria de la victima de turno. Como verificar la autenticidad de una pagina de un banco? Todas las paginas legales tienen un logo en forma de candado que se puede ver en la barra de navegación de cualquier navegador (Internet Explorer, Firefox, Safari, etc), el cual indica que la pagina es una pagina autentica y que no representa ningún riesgo para las personas que la utilicen. En cualquier caso de duda, contactar con el banco es quizás la solución mas acertada.
5. Si se ve en la obligación de utilizar un PC de un sitio publico, revíselo detalladamente con el fin de detectar posibles keyloggers que estén instalados en dicho aparato. Un Keylogger puede ser un software o un aparato diminuto que graba todas y cada una de las teclas que Ud utilice cuando usa ese computador, por lo que si ud accede a su banco, este Keylogger grabara su usuario y contraseña para la persona que lo haya instalado, quien solo tendrá que descargar la información grabada y podrá desocupar su cuenta bancaria con un par de clicks. Como ya mencione, pueden existir keyloggers en forma de aparatos diminutos, por lo que si el teclado del PC antes de estar conectado al PC como tal esta conectado a un aparato extraño, puede ser uno de estos indeseables aparatos. Adicionalmente, cuando utilice un equipo publico, siempre salga de las paginas con los links que allí se encuentren pues cerrar la ventana en algunos casos es insuficiente, y nunca guarde passwords en un equipo publico, Nunca!!!
6. Asegúrese de que las conexiones WiFi publicas son en verdad publicas!!! Verifique siempre que no es otro PC actuando como puerta de acceso a la red, pues de ser asi U destara entregando toda la información que utilice a ese PC, por lo que mientras Ud puede estar enviando emails, la persona dueña de ese PC puede estar haciendo compras online o transferencias desde su cuenta.
7. Evite compartir juegos, pues este es el medio favorito de transmisión de muchísimos virus de computador a computador. Siempre revise con un antivirus todos los CDs y Vds. Que introduzca en su PC.
8. No deje que cualquier desconocido introduzca una USB en su PC, pues tan pronto lo haga un virus puede contagiar su PC (aun sin la intención de infectarlo), pudiendo extraer información de su PC, o inclusive enviarla por email posteriormente.
9. La seguridad física en casa y en el trabajo es esencial para prevenir que su PC y la información allí almacenada caiga en manos equivocadas. Los PCs de escritorio tienen una estructura metálica cuyo diseño evita el recalentamiento, y además contribuye a su seguridad permitiendo que sean atornillados a los puestos de trabajo o paredes para evitar que sean extraídos de las instalaciones.
10. Para los equipos portátiles, siempre procure utilizar una guaya de seguridad asegurando el equipo a un mueble más grande con lo cual evitara también que su equipo e información caigan en manos equivocadas.

Siguiendo una a una estas recomendaciones, lo más probable es que Ud descubra cuales son sus riesgos y pueda minimizar el riesgo de que estos se materialicen.

Aumentan en 36% los reportes de incidentes de seguridad (IBM)

Acaba de ser publicado el informe 2010 X-Force Mid-Year Trend and Risk Report realizado por IBM, el cual revela como cifra mas relevante el incremento del 36% en incidentes de seguridad reportados. Veamos brevemente que mas incluye dicho informe:

Informe del Primer Semestre del 2010

El Grupo X-Force analizo 4.396 vulnerabilidades nuevas durante este semestre, un incremento del 36% comparado con el año anterior, siendo también la cifra mas alta desde el año 2000, año en el que se empezaron a guardar estos registros.

En el 2007, el conteo evidencio su primer descenso, pero en 2008 nuevamente las cifras se elevaron alcanzando un nuevo record. Las cifras del 2009 hacían pensar que se había alcanzado cierta estabilidad, el incremento dramático del primer semestre de este año demuestra que no fue así. Ahora parece que el 2009 fue una pausa en la serie de incrementos anuales de eventos de seguridad. De continuar la tendencia de este primer semestre, el 2010 traerá un nuevo record de incidentes de seguridad. 

 El equipo de investigación y desarrollo IBM X-Force® descubre, analiza, monitorea y registra un amplio rango de riesgos y vulnerabilidades en seguridad. De acuerdo al Grupo IBM X-Force, han surgido nuevas amenazas en este 2010, y el propósito de este informe es que las mismas sean tenidas en cuenta al momento de realizar nuevos esfuerzos en seguridad para el resto del año.

Aprovechamiento de vulnerabilidades

• Amenazas con mayor grado de sofisticación: Una de las mayores preocupaciones del Grupo X-Force es su habilidad para penetrar redes muy bien defendidas sin importar que tantos avances se sigan desarrollando en seguridad. Las mayores preocupaciones están con los ataques por ofuscación o los malwares encubiertos que no son detectados por los sistemas de seguridad actuales.
• Ofuscación, Ofuscación, y Ofuscación — Los atacantes continúan encontrando nuevas formas de camuflarse vía JavaScript y ofuscación de PDFs. La Ofuscación es una técnica utilizada tanto por desarrolladores de software como por atacantes para ocultar o enmascarar el código que utilizan para desarrollar sus aplicaciones. Seria muy fácil que los protocolos de seguridad de redes bloquearan cualquier Script de java que este ofuscado, pero desafortunadamente la ofuscación es utilizada por algunos sitios de manera legitima como un intento para prevenir que sus códigos sean robados. Precisamente estos sitios son los que aprovechan los atacantes como cubierta para realizar sus ataques.
• Ataques por PDF Estos ataques continúan incrementándose pues se siguen desarrollando maneras alternativas de realizarlos. Los archivos de extensión PDF son victima de ataques debido a que pueden ser utilizados como puntos de acceso a las redes de una Compañía.
• Las vulnerabilidades reportadas están en su punto mas alto: el año 2010 ha visto como se ha incrementado el volumen de reportes de incidentes de seguridad, debido a que ya se hacen públicos mas casos, y también a los esfuerzos realizados por industrias de seguridad para identificar y mitigar vulnerabilidades de seguridad.
• Las vulnerabilidades de aplicaciones web alcanzaron un 55%, mas de la mitad de todos los reportes de seguridad en el primer semestre del 2010.

El informe lo pueden descargar gratuitamente de ESTE LINK

Recomendaciones contra los riesgos del uso de Memorias USB

Las memorias USB, dispositivos de alta capacidad de almacenamiento que han sido como una bendición para todos los usuarios de un PC,  son también el elemento mas peligroso jamás creado para perjudicar cualquier organización. Actualmente, la seguridad de la información y la confidencialidad es de gran interés a nivel gubernamental y privado, sectores en los que una memoria USB se convierte en la herramienta preferida para el espionaje corporativo para extraer con facilidad información confidencial de una Organización.

Dentro de las amenazas que se ven con mayor frecuencia por el uso de estos dispositivos esta la transmisión de virus, principalmente por que la gran mayoría de antivirus falla al detectar virus en estas memorias, o en defender apropiadamente el PC al cual se conectan permitiendo así que los virus se propaguen rápidamente por ejemplo en una pequeña red domestica o inclusive, en una corporativa. Precisamente a nivel empresarial, las memorias USB de los empleados contienen virus, vídeos, juegos de PC, MP3 e inclusive pornografía que han descargado en sus estaciones de trabajo, lo cual viola en muchísimos casos los reglamentos de trabajo.

Aun con esta cruda realidad, restringir el uso de estos dispositivos resulta prácticamente imposible: son cada vez mas pequeñas lo que permite llevarlas consigo sin ser detectados, y su precio esta bajando día tras día, pero aun así es posible tomar algunas medidas para tratar con este serio inconveniente. Veamos algunas de ellas:

Educar los usuarios:
Ya que resulta imposible evitar que los empleados adquieran estos dispositivos, los cuales indudablemente resultan imprescindibles para muchísimos trabajadores, es necesario entonces que la Gerencia establezca reglas claras sobre la información que puede ser sacada de la Organización. Aquí la situación varia con el tipo de Organización, pues habrá algunas en las que por motivos de la información que manejen sea imposible extraer tal información, mientras que otras Organizaciones pueden permitir a sus empleados manipular tal información sin mayores problemas. Este tema se puede manejar desde el momento de firmar un contrato laboral entre la Organización y el empleado, en donde se expliquen las políticas de seguridad existente, y si esta acompañado de un acuerdo o cláusula de confidencialidad, mucho mejor.

Restricción de puertos USB
En algunos ambientes corporativos, los puertos USB de todas las estaciones de trabajo se encuentran deshabilitados para prevenir el uso de dispositivos de almacenamiento por personas ajenas a la Compañía. Este bloqueo se puede hacer mediante software, permitiendo inclusive restringir el acceso a otros dispositivos plug & play o un DVD-Burner.

Políticas rigurosas de antivirus
Los encargados de sistemas deben configurar los antivirus para que SIEMPRE que se detecte la conexión de un dispositivo de almacenamiento, se escanee de manera automática. Todos los usuarios deben entrenarse en escanear cada archivo antes de utilizarlo.

Bloqueo de las estaciones de trabajo
En muchas Compañías se convirtió en una obligación configurar los equipos para que sus pantallas se bloqueen automáticamente si no están en uso al cabo de unos pocos minutos., sin embargo el uso indebido de un dispositivo externo sigue siendo una posibilidad aun cuando el equipo se encuentre bloqueado. El intervalo de tiempo puede ser ajustado en ambientes con mayores riesgos involucrados. En estaciones de trabajo con acceso a información confidencial, este bloqueo del monitor puede reducir muchísimo el riesgo de descargas de información a dispositivos de información no autorizados.

Por difícil que pueda parecer, es posible trabajar en una Compañía sin el uso de una memoria USB pero seamos realistas, quien quiere hacerlo? Bajo este escenario, la adopción de algunas de las recomendaciones previas puede reducir el riesgo del mal uso de estos dispositivos.

Encuesta Anual de Seguridad Deloitte 2010

Acaba de ser publicada la Encuesta Anual de Seguridad de la Información de Deloitte 2010 Global Financial Services Security Survey de la cual extraigo el Prefacio:

La nueva década marca un punto de inflexión en la industria de seguridad de la información. Vivimos en una época de guerra cibernética y el entorno es peligroso y siniestro. Los niños que hacían "travesuras" en sus sótanos fueron reemplazadas por la delincuencia organizada, los gobiernos y los individuos cometen fraudes informáticos a tiempo completo, ya sea para obtener beneficios económicos o para lograr ventajas competitivas y tecnológicas. Los países se acusan mutuamente de guerra cibernética. Cualquier red de tamaño considerable se ha visto comprometida de alguna manera y los gobiernos ya se centran en la guerra cibernética. Las apuestas nunca han sido mayores y la batalla se está librando en todos los rincones del mundo. Está todo allí: botnets, redes zombie, troyanos, malware, spam, phishing; muchos de ella tan sofisticados, que la mayoría de nosotros podría ser engañado.

Hablamos mucho acerca de la creciente sofisticación de las amenazas. Ahora tenemos algo más a lo cual hacerle frente: la disminución del nivel de conocimientos que supone una amenaza. Considere la posibilidad de Mariposa, el botnet que se originó en España e infectó millones de computadoras. Los autores tenían "conocimientos limitados de informática" y no necesitaron escribir su propio malware sino que simplemente lo descargaron de Internet. La nueva realidad es una creciente disponibilidad de herramientas en Internet, que permite a aquellos con menos conocimientos técnicos convertirse, en ciberdelincuentes.

Las respuestas obtenidas para el estudio realizado para este año demuestran que hemos llegado a un punto de inflexión en la seguridad de la información:

Por primera vez, las organizaciones son proactivas, adoptando nuevas tecnologías de manera temprana y no tardía como antes, dejando de lado su rol simplemente reactivo.

• Por primera vez, el porcentaje más bajo de los encuestados (36%) afirmó que "la falta de suficiente presupuesto", es el principal obstáculo para garantizar la seguridad de la información, comparado con el 56% el año pasado. Durante la peor crisis económica en la historia reciente cuando muchos presupuestos se están recortando, los presupuestos asignados a la seguridad de información están asegurados y muchos han aumentado.
• Por primera vez, el cumplimiento de seguridad de la información, y la mejora de resultados obtenidos en auditorias de seguridad es una iniciativa de las mas altas dentro de la seguridad, lo que permite a las organizaciones prepararse nuevas y mayores exigencias reglamentarias o legales.
• Por primera vez, más de la mitad de las organizaciones afirman que la información física, como el papel, está dentro del alcance del ejecutivo responsable de seguridad de la información. Esta respuesta (59%) sigue siendo demasiado baja - e indica un riesgo de seguridad - pero, en nuestra opinión, se está moviendo en la dirección correcta.

Esta es la séptima versión de la encuesta: resolver las preguntas de esta encuesta implican tiempo y esfuerzo por ocupados profesionales quienes dedicaron parte de su valioso tiempo para responderla (Yo entre ellos).

Ahora, que dice esta Encuesta sobre Latinoamérica? Veamos:

Latinoamérica & El Caribe (En ingles bajo el acrónimo LACRO)
Latinoamérica ha tenido un impresionante avance duramente el anterior año, colocándose a la delantera en muchas áreas. Sin embargo, han caído en áreas que lideraban el año previo. En esta región como en el resto del mundo, la mayoría de respuestas mostraron que el encargado de seguridad de la información reporta directamente el Gerente de la Compañía. Latinoamérica se encuentra cerca (54%) del promedio mundial (60%) en tener documentada y aprobada la estrategia de seguridad, lo cual es una sorpresa por que la región lideraba este campo el año pasado. Adicionalmente, la calificación obtenida del 48% por falta de compromiso y presupuesto, es segunda después de Japón y mucho mas baja que el promedio global del 62%. Latinoamérica se ubica entre los menores puntajes de alineación entre objetivos de negocio y seguridad de la información, lo cual es consistente con la falta de compromiso y presupuesto asignado.

Al igual que en Asia, la privacidad no es una prioridad en Latinoamérica, lo cual no es una sorpresa, debido casi a la inexistencia de Leyes de privacidad en la región, sumado a la cultura de "brazos abiertos" (recuerdan la ingeniería social?); de hecho la región tiene el peor índice de responsables de seguridad de la información (30% versos el 53% de promedio mundial), así como el de contar con una adecuada gestión de la privacidad de su información (24% versus el 50% de promedio mundial).

Latinoamérica también se encuentra entre los puntajes mas bajos de encriptación de información de equipos móviles (12% versus el 44% de promedio mundial), así como en mantener una base de datos de incidentes de seguridad de la información (43% versus el 54% de promedio mundial). Claramente, sin contar con una base de datos de incidentes de seguridad, resulta imposible contar con información útil desde el punto de vista de seguridad de la información.

Un punto brillante es que los encuestados de Latinoamérica (64%) indican que sus presupuestos seguridad de la información han aumentado. Esto es más alto que el promedio mundial de 56% y más alto que al menos otras tres regiones. Así, mientras que los encuestados en Latinoamérica superan solo a el Japón en la sensación de que no tienen compromiso y financiación, parece que hay un esfuerzo para corregir este problema a través de mayores presupuestos.

Que podemos interpretar de estos resultados? Veamos:

• Muy preocupante la falta de leyes especificas de seguridad de la información en toda la región.
• Falta de compromiso: la seguridad sigue siendo catalogada por prácticamente todos los empleados de cualquier empresa como responsabilidad de los vigilantes, del Circuito cerrado, de la tarjeta de acceso; se necesita un fuerte cambio cultural que anticipo no será visto en nuestro País por lo menos en una década, cuando el tema de privacidad, de seguridad de la información, de fortalecimiento de leyes, etc sea de amplio conocimiento publico.
• La cultura de "brazos abiertos" facilita muchísimo la acción de los delincuentes, hecho que se confirma por ejemplo con las múltiples noticias de tarjetas de crédito clonadas de prácticamente todas las entidades bancarias del País, esta región de momento es el paraíso para los "Ingenieros Sociales"
• Encriptación en dispositivos móviles: Cuantos de Uds. encriptan apropiadamente la información que tienen en los portátiles que les asignan en sus empleos? Cuantos de Uds. que cuentan con "teléfonos inteligentes" usan las herramientas de encriptación de datos con las que cuentan dichos aparatos?
• Interesante el crecimiento reportado en asignación de presupuestos, lo cual se traduce a largo plazo en el cambio cultural que mencione previamente, y claro esta en una mejora  en las calificaciones para las próximas encuestas de seguridad que se desarrollen en la región.

Para finalizar la entrada, los dejo con el link para descargar este informe: (Material disponible solamente en idioma ingles)

Amenazas por redes sociales

Colombia ha visto como las redes sociales han crecido de manera explosiva, convirtiéndose en un País clave en el avance de las redes sociales en América Latina siendo estas utilizadas mayoritariamente de forma positiva, como el caso del robo frustrado en Bogotá al usar Twitter pero Desafortunadamente este crecimiento ha tenido sus lunares con eventos tan lamentables como un asesinato que tuvo como origen facebook, o la amenaza a los hijos del ex-presidente Uribe (burla seria un calificativo mas preciso para este caso.)

La noticia del día  en diferentes medios como RCN, EL ESPECTADOR o a nivel internacional con la Agencia EFE es que las amenazas por redes sociales son muchísimo mas habituales de lo que nosotros escuchamos o se publica en las noticias.

Como eventualmente los links pueden perderse, transcribo aquí la noticia:

  

EL ESPECTADOR:

Amenazas por redes sociales afectan al menos a 70 personas

El director de la Policía, general Oscar Naranjo señaló que un grupo especial de la unidad de Delitos Informáticos de la Dijin está dirigiendo una investigación en los departamentos de Cundinamarca, Antioquia, Nariño y Putumayo, donde se registran las principales denuncias.

"Hemos detectado que en la última cerca de 60 a 70 personas que con nombre propio han sido amenazadas a través de este sistema", puntualizó el alto oficial al precisar que las autoridades no descartan que las Banda Emergentes estén detrás de esta nueva modalidad de intimidación.

El comandante de la Policía señaló que se espera en los próximos días determinar los responsables de estas conductas "que muchas veces comienza como una broma macabra y culminan con resultados lamentables como la muerte de civiles".

Así mismo, hizo un llamado a los colombianos que hacen parte de las redes sociales para que esta movilización no derive en conductas que vulneren los derechos de otros ciudadanos.

"La ofensiva contra bandas emergentes avanza de manera diaria y permanente, el número estimado de capturas semanales varía entre 70 y 100 copias, la verdad es que todos los miembros de la fuerza pública desde marzo de 2006 que terminó el proceso de desmovilización hasta la fecha las autoridades hemos capturado 9400 integrantes de estas organizaciones criminales"., dijo Naranjo.

El pronunciamiento de la Policía se produce luego de que en Puerto Asis, (Putumayo) fueran asesinadas tres personas que días antes habían recibido amenazas por Facebook.

Vanguardia Liberal

Crean grupo para investigar amenazas por redes sociales

Un grupo especial de la Unidad de Delitos Informáticos de la Dijin está investigando las denuncias de amenazas realizadas a cerca de 70 personas en los departamentos de Cundinamarca, Antioquia, Nariño y Putumayo, así lo informó el director de la Policía Nacional, general Óscar Naranjo.

El comandante de la Policía señaló que "han detectado amenazas con nombre propio a cerca de 60 a 70 personas", en las que podrían estar involucrados miembros de las denominadas bandas emergentes.

La Policía espera en los próximos días dar con el paradero de los responsables de los hostigamientos que si bien a veces empiezan como crueles bromas pueden terminar en muerte.

Naranjo informó que en Arbeláez, Cundinamarca, y Puerto Asis, Putumayo, donde fueron asesinados tres personas que habían sido amenazadas por Facebook, se desarrollaron consejos de seguridad para tomar medidas especiales.

Idealmente ninguno de nosotros debería recibir ningún tipo de amenaza, pero  tal y como estan las cosas actualmente, lo mínimo que puedo hacer es ofrecerles  recomendaciones básicas para tratar de proteger su información personal al utilizar las redes sociales:

• Antes de incluir su información en un sitio de redes sociales, piense y evalue las diferentes opciones de seguridad que estas ofrecen.
• Es necesario controlar la información que se coloque en una red social restringiendo el acceso a dicha página.
• No revelar nombre completo, número de Seguro Social, domicilio, número de teléfono ni información sobre los números de las cuentas bancarias o de tarjeta de crédito.
• Colocar en línea solamente la información que se desee que sea vista y conocida por otros.
• Control sobre la lista de contactos: hay que configurar la privacidad de la red social de acuerdo a la información que compartes en ella. Al agregar un nuevo usuario a tu red usuario, configura la privacidad de acuerdo a lo que quieres compartir con dicha persona.

Siendo en este momento facebook la red social mas ampliamente difundida y utilizada por todo tipo de personas, les recomiendo tomarse su tiempo ajustando las configuraciones de seguridad que salieron publicadas en EL TIEMPO en este link.

Para finalizar, no esta demas recomendarles las entradas previas sobre Ingeniería Social que ya existen en este blog para tratar de prevenir ser víctima de una amenaza por información que se haya podido filtrar por culpa nuestra en las redes sociales que utilizamos.