Caso de estudio 1

Amigo lector te invito a que veas el siguiente vídeo:

Luego de haber visto el vídeo, a continuación se presenta una serie de aspectos relevantes a tener en cuenta para contrarrestar este tipo de problemas:

1. Planteamiento de una matriz que abarca la evaluación de amenazas y vulnerabilidades identificadas, impacto en la organización y sus posibles soluciones.

Amenaza / Vulnerabilidad	Impacto(s)	Solución(es) sugerida(s)
Obtención de información sensible de la organización por parte de la competencia.	-Perdida de clientes potenciales -Mala imagen institucional -Perdida de credibilidad	-Definir e implementar estándares y políticas de seguridad de la información. -Controles de acceso y salida de los recursos físicos y lógicos de la organización.
Accesos no autorizados y fraudulentos a los sistemas informáticos de la organización por parte de hackers o atacantes	-Alteración y perdida de información sensible -Perdida de clientes potenciales -Mala imagen institucional -Perdida de credibilidad -Violación a los principios de seguridad de la información como la confidencialidad, integridad y disponibilidad de la misma -Alteración a los recursos informáticos de la organización	-Definir e implementar estándares y políticas de seguridad de la información. -Controles de acceso y salida de los recursos físicos y lógicos de la organización. -Controles de acceso y privilegios a los sistemas informáticos. -Evaluaciones periódicas a la integridad de información almacenada. -Revisión de logs de los sistemas informáticos para realizar acciones inmediatas y contundentes. -Implementar y configurar adecuadamente sistemas de detección y prevención de intrusos.
Fugas de información por infección de virus	-Alteración y perdida de información sensible -Violación a los principios de seguridad de la información como la confidencialidad, integridad y disponibilidad de la misma	-Definir e implementar estándares y políticas de seguridad de la información. -Instalar, configurar y actualizar constantemente los antivirus de los dispositivos interconectados a la red de información. -Configurar adecuadamente la arquitectura de protección antivirus -Generar y revisar periódicamente los reportes de virus detectados y las acciones ejecutadas.
Ausencia de inventario de perfiles de acceso y controles ejecutados	-Violación a los principios de seguridad de la información como la confidencialidad, integridad y disponibilidad de la misma -Ausencia de controles idóneos para seguimientos a las actividades ejecutadas por parte de los usuarios.	-Definir e implementar estándares y políticas de seguridad de la información. -Realizar un inventario de los accesos, privilegios y controles de acceso de los usuarios sobre las aplicaciones de la organización.
Falta de conciencia y educación en seguridad de la información por parte de los usuarios de la organización	-Alteración y perdida de información sensible -Perdida de clientes potenciales -Mala imagen institucional -Perdida de credibilidad -Violación a los principios de seguridad de la información como la confidencialidad, integridad y disponibilidad de la misma -Alteración a los recursos informáticos de la organización	-Definir e implementar estándares y políticas de seguridad de la información. -Implementar un programa de capacitación constante y actualizado a los usuarios finales de la organización
Ausencia de conocimientos técnicos y profesionales por parte del personal encargado de la administración integral y seguridad de la información	-Alteración y perdida de información sensible -Perdida de clientes potenciales -Mala imagen institucional -Perdida de credibilidad -Violación a los principios de seguridad de la información como la confidencialidad, integridad y disponibilidad de la misma. -Falta de atención e incumplimiento a los objetivos organizacionales.	-Definir e implementar estándares y políticas de seguridad de la información. -Implementar un programa de capacitación constante y actualizado a los usuarios administradores y aseguradores de la información al interior de la organización
Ausencia de controles para el envío de recepción de información desde y hacia Internet	-Alteración y perdida de información sensible -Perdida de clientes potenciales -Mala imagen institucional -Perdida de credibilidad -Violación a los principios de seguridad de la información como la confidencialidad, integridad y disponibilidad de la misma. -Falta de atención e incumplimiento a los objetivos organizacionales.	-Definir e implementar estándares y políticas de seguridad de la información. -Configuración adecuada de sistemas de control de trafico y monitoreo de la información en la red tales como Antivirus, Antimalware, Proxys, Firewalls e IDS/IPS. -Implementación adecuada de arquitecturas de red
Acceso no autorizado a enlaces inalámbricos	-Alteración y perdida de información sensible -Perdida de clientes potenciales -Mala imagen institucional -Perdida de credibilidad -Violación a los principios de seguridad de la información como la confidencialidad, integridad y disponibilidad de la misma. -Alteración a los recursos informáticos de la organización	-Definir e implementar estándares y políticas de seguridad de la información. -Evaluar periódicamente los enlaces de la red inalámbrica. -Configuración adecuada de los segmentos de red. -Utilizar métodos de encriptación de la información transmitida a través de estas tecnologías. -Implementar y configurar adecuadamente sistemas de detección y prevención de intrusos.
Ausencia de controles adecuados para el manejo de la información almacenada en computadores personales (Portátiles, Smarphone, Iphone entre otros)	-Alteración y perdida de información sensible -Perdida de clientes potenciales -Mala imagen institucional -Perdida de credibilidad -Violación a los principios de seguridad de la información como la confidencialidad, integridad y disponibilidad de la misma. -Alteración a los recursos informáticos de la organización	-Definir e implementar estándares y políticas de seguridad de la información. -Establecer mecanismos de recuperación de la información almacenada en los dispositivos mediante sistemas de backup. -Implementar un programa de capacitación constante y actualizado a los usuarios y administradores de la información al interior de la organización. -Controles de acceso y salida de los recursos físicos y lógicos de la organización.

1. Políticas de Seguridad, que se deberían implementar en la empresa para todo el personal que en ella labora.

Se plantea una serie de políticas que abarcan tres niveles de seguridad:

• SEGURIDAD FISICA
  • Acceso físico
    Se establecerá un área especifica y especial que servirá como centro de computo y telecomunicaciones en la organización, esta sera debidamente protegida ante accesos no autorizados de entes físicos por medio de restricciones y controles que velen por la salvaguarda de los recursos allí alojados.
  • Protección física
    El área destinada para el alojamiento de la infraestructura informática necesaria para el adecuado funcionamiento de la organización, cumplirá con los estándares mínimos requeridos en materia de seguridad, disponibilidad, funcionamiento y salvaguarda de los bienes allí alojados. Se deberá velar por que estos sean vigilados y constantemente actualizados frente a las nuevas exigencias del mercado informático.
  • Instalaciones de equipos de computo
    Las instalaciones de los equipos de computo deberán cumplir con los requerimiento mínimos de seguridad industrial e informática, para este fin; se deberá contar con la asesoría, auditoría y seguimiento continuo de terceros contratados previamente validados en su experiencia en el diseño, implementación y mejora continua de instalaciones informáticas.
  • Control
    Cumplir los procedimientos y demás normas impartidas al interior de la organización con el fin de asegurar un control total y sistematizado de los recursos administrados.

• Respaldos
  Las BD han de ser respaldadas periódicamente, al interior de la organización se deberán contemplar un plan de contingencia que mitigue posibles fallas en los servidores de BD, desastres entre otros factores que repercuten directamente en el adecuado funcionamiento y desempeño de la organización.
• Recursos de los usuarios
  Implementar acciones tendientes al uso adecuado y racional de los recursos asignados a los usuarios, estas acciones deberán ir encaminadas al uso óptimo de estos factores y deberán ser orientados al cumplimiento de los objetivos de la organización.
• SEGURIDAD LOGICA
  • Red
    Se prohíbe la instalación de software orientado a la obtención del trafico red, recursos disponibles y vulnerables tales como sniffers, analizadores de vulnerabilidades entre otras herramientas de testeo en la red.
  • Servidores
    La instalación, configuración y administración de los servidores conectados a la red de información, sera única y exclusivamente responsabilidad del personal dedicado a TI de la organización.
  • Recursos de computo
    Los recursos de computo asignados a los usuarios finales, serán debidamente inventariados, monitorizados por personal de TI y debidamente auditados en sus esquemas de integridad y seguridad de la información.
  • Uso de servicios de red
    El personal de TI sera el directamente responsable de la asignación de recursos y servicios de red a todos y cada uno de los involucrados en el manejo de información al interior de la organización, se deberá velar por que se cumpla con todos los procedimiento, normas y demás estándares definidos al interior de la organización con el fin de dar uso óptimo y racional de los servicios de red.
  • Antivirus
    El personal de TI sera el directamente responsable de velar porque todos y cada uno de los nodos de la red, este debidamente configurados en sus parches o actualizaciones de seguridad, firmas de virus y monitoreo constante ante las ultimas amenazas de red existentes y circulantes en la red. Los usuarios finales en ningún momento podrán deshabilitar, desconfigurar o desinstalar las soluciones de protección antivirus en sus equipos.
• SEGURIDAD PERIMETRAL
• Firewall
  El personal de TI sera el responsable de realizar una configuración detallada y minuciosa a todas y cada una de las reglas de acceso al trafico entrante o saliente en la red, estas deberán enfocarse en el bloqueo pertinente y acertado de amenazas latentes en la red.
• Sistemas de Detección de Intrusos (IDS)
  Se debe implementar un sistema confiable que permita prever posibles ataques a vulnerabilidades presentes en los recursos de red, deberán funcionar de forma 24/7/365 con el fin de asegurar el funcionamiento idóneo de la organización en el mercado informático.
• Redes privadas virtuales
  El personal de TI sera el responsable de realizar una adecuada y correcta configuración de redes privadas virtuales en los terminales de los usuarios finales hacia la red de la organización.
• Conectividad a Internet
  Todos y cada uno de los usuarios finales de la red, en compañía de su jefe de departamento, deberán justificar el uso de este recurso al interior de la red. El personal de TI deberá velar porque se de el uso adecuado y racional de este recurso en la organización, adicional; deberá configurar el acceso a ciertos contenidos que pueden afectar el funcionamiento y desempeño de los equipos en la organización.
• Red inalámbrica (Wifi)
  El personal de TI sera el directamente encargado de velar porque se realice una configuración acorde y justificada para el funcionamiento de los nodos que se conecten a la red inalámbrica de la organización. Estos últimos se acogerán a los principios, normas, metodologías y objetivos de la empresa.

1. Recomendaciones técnicas para el personal involucrado en el caso.
• 1. No conectar dispositivos extraíbles encontrados en la calle, al PC: Esto es un riesgo muy alto porque desconocemos el contenido de estos dispositivos (Memorias USB, CD, DVD entre otros) y en casi todos los casos estos contienen software o código malicioso auto-ejecutable, que pone en riesgo la información almacenada en nuestros equipos. Aunque es una ganga difícil de no aprovechar, el precio por usar algo gratis y que no nos ha costado, puede salirnos altamente costoso en referencia a la información que nos han robado.
  2. No anunciar desmesuradamente a todos nuestros compañeros de trabajo, afines, amigos entre otros, me nos vamos de vacaciones por un mes: Esto aunque parezca un hecho poco relevante, paranoico o exagerado a tener en cuenta en seguridad de la información, puede ser un factor altamente provechoso y beneficioso para un atacante, sea desde el interior de una organización como desde afuera de esta. Esta noticia significa para el atacante que tiene un mes para poder entrar al equipo víctima y hacer de sus fechorías, este ataque se puede perpetrar antes de la fecha de salida a vacaciones de la víctima, enviando un virus con malware auto-ejecutable adjunto en un e-mail o robando información para lograr obtener acceso al PC víctima. Los mensajes de respuesta automática que ofrecen algunos servicios de correo, también son un punto a tener en cuenta para evitar este tipo de ataque; basta con limitar la información a presentar en este para hacer mas difícil el trabajo al atacante.
  3. No aceptar solicitudes de amistad de personas extrañas en la red: Este fenómeno es muy común en redes sociales. El hecho de aceptar una solicitud de este tipo, hace que posteriormente seamos víctimas de propagación de virus, inclusión de nuestras PC a botnets, distribución de spam y phishing entre otras técnicas de obtención de información sensible. Es recomendable no prestar atención a solicitudes tentadoras de personajes que muestran facetas eróticas, sensuales, ingenuas entre otras, que pueden afectar gravemente la seguridad de nuestra información; detrás de estos perfiles se pueden enmascarar diversas intenciones que no sabemos y tal vez estos personajes no son quienes dicen ser.
  4. Bloquear con seguridad de contraseña las pantallas de nuestros dispositivos: Este es un ejercicio poco realizado por nosotros desde nuestro hogar con nuestros dispositivos móviles como smartphone, tables, PC portátiles y de mesa, además; es igual cuando trabajamos en nuestras empresas. Para un posible atacante es altamente provechoso este factor ya que un descuido de este tipo pone en riesgo nuestros dispositivos víctima, haciendo que la información contenida en estos puede ser accedida fácilmente. Es recomendable siempre bloquear la pantalla de estos dispositivos con seguridad de contraseña.
  5. No descargar e instalar APPs en nuestros dispositivos de manera desmedida: Con el boom de los dispositivos inteligentes y configurables en estos tiempos, es uno de los factores que permiten la propagación de virus, malware entre otros ataques en la red. Es necesario leer la letra chiquita de las condiciones de uso de estas APPs y tener conciencia de lo que realmente vamos a necesitar en estos dispositivos, su importancia y su utilidad frente a nuestras exigencias, pues; los recursos disponibles en estos son limitados y la seguridad de nuestra información depende de nuestra visión responsable ante las amenazas latentes.
  6. No conectar nuestros dispositivos informáticos a una red publica gratuita: Es muy común que este tipo de redes estén fácilmente disponibles en sitios públicos de gran afluencia, es tentador conectarnos a esta para obtener acceso ilimitado y gratuito a recursos de Internet, además; puede salvarnos de una necesidad urgente como enviar un e-mail u otra información a nuestra empresa, pero el coste de usar este tipo de recursos puede poner en alto riesgo información sensible en la red. Mediante uso de herramientas de software un atacante puede ver o fisgonear el trafico de la red, ver nuestra información y acceder a ella para cometer sus delitos. Es recomendable utilizar este tipo de redes siempre y cuando se usen técnicas de encriptado de información y herramientas de aseguramiento en conexiones, estas pueden ser mediante el uso túneles VPN entre otras.
  7. No sacar información de nuestras empresas para trabajar en casa: La facilidad de adelantar trabajo en nuestros hogares, hace que sea posible cumplir con los objetivos organizacionales y metas establecidas. Este factor es viable desde el punto de vista de cumplimiento con nuestros deberes, pero; se pone en riesgo la perdida de información sensible de la empresa cuando en dispositivos externos se almacena esta y en el camino posiblemente se extravíe. Esta labor se puede realizar con recomendaciones al caso como lo son: 1. Obtener autorización escrita que permita sacar la información para realizar labores extra en casa. 2. Codificar o encriptar la información. 3. Usar medios estériles de almacenamiento, y por ultimo 4. Abstenerse de realizar transferencia de dicha información procesada desde redes externas no seguras.
  8. No visitar URL sospechosas o hacer click en estas: Es muy común que a nuestros correos lleguen avisos publicitarios (Spam) con URL que nos invitan a ingresar y suministrar información para obtener un premio que nos hemos ganado, o también cuando abrimos nuestros navegadores y salen ventanas emergentes invitando a dar click en estos y seguir los pasos para obtener también premios o recompensas. También se dan u ofrece la descarga de archivos que nos indican que a nuestro navegador le faltan plugins para funcionar adecuadamente, actualizaciones o el ofrecimiento de programas utilitarios que no necesitamos para acceder a recursos de Internet. Estas técnicas fraudulentas de obtención de información son ofertas tentadoras para los incautos, pero; es recomendable que en caso tal cuando llegue un mensaje de confirmación de un vuelo que no se ha reservado o un mensaje tentador que suena sospechoso, no abrirlo, ni pinchar en este.
  9. Realizar copias de seguridad de acuerdo a las políticas establecidas: Hacer esta tarea en muchas ocasiones resulta un trabajo dispendioso y engorroso. Es necesario tomar conciencia que nuestros sistemas de información pueden ser vulnerados en cualquier momento tanto física como lógicamente. Es necesario realizar copias de seguridad, comprobando con frecuencia el correcto funcionamiento de los sistemas de recuperación de datos y así con estas medidas, disminuir los efectos devastadores para nuestra integridad como usuarios de sistemas de información y la organización en la que estemos laborando.
  10. No utilizar nombres de mascota, nombres o fechas importantes de familiares u otros datos relacionados con estos para configurar contraseñas de acceso a servicios informáticos: Es habitual que los usuarios por facilidad en la recordación de estas contraseñas, acudan al uso de nombres conocidos de su entorno personal y familiar. Un ataque de fuerza bruta puede ser empleado por un atacante que previamente mediante técnicas de ingeniería social, ha obtenido algunos datos que pueden ser muy importantes para la formación de diccionarios de password y así lograr perpetrar sus ataques sin que el usuario lo sepa. Para evitar este tipo de ataques es necesario usar contraseñas seguras y únicas, no repetirlas, de 8 caracteres o más, con letras, números y símbolos, y ante todo no cometer el error de escribirlas en un post it que se deje pegado al ordenador o en un cuaderno que puede ser accedido por el atacante.
      ¡Siempre es mejor, memorizar nuestras contraseñas y con esto ejercitamos un poco nuestro cerebro!.