Ciberamenazas 2015

El pasado abril Websense publicó el “2015 Threat Report”, en el cual se dan a conocer las diferentes ciberamenazas para el 2015, los factores que se deben tener en cuenta y cómo estamos preparados para afrontarlas.

El análisis incorpora 2 secciones:

• Una primera sección basada en comportamientos humanos, donde se explica cómo afecta el comportamiento humano en diferentes ciberataques.
• Una segunda sección de tendencias basadas en técnicas, donde trata los nuevos comportamientos que se están aplicando a los ciberataques.

A continuación presentamos un resumen con los aspectos más relevantes de la citada publicación:


SECCIÓN 1: COMPORTAMIENTOS HUMANOS

1. Cómo los ciberatacantes pueden disponer más fácilmente de aplicaciones para poder provocar ciberataques.
• Aparición del nuevo fenómeno Malware as a service: la capacidad de que un ciberatacante o una organización que quiere perpetrar un ciberataque le sea muy fácil, ya que cada vez se dispone de más infraestructura, herramientas y troyanos personalizados para cometer este tipo de ataques.
• Cada vez se disponen de mayores capacidades de ataque a un precio muy asequible para cualquier persona. Se están utilizando alrededor de un 90% de las url’s utilizadas en ataques anteriores. El ciberatacante ya no necesita disponer de sus recursos propios.


2. Atribución de un ataque
Cuando una compañía sufre un ciberataque lo primero que suele interesar a la gerencia es quién ha sido. Se pueden cometer muchos errores en la atribución indebida de un ataque. Cuando se sufre un ciberataque se invierte mucho tiempo en saber quién está detrás de ese ataque, lo que se recomienda es dejar eso a las agencias oportunas, y ocuparse de la contención.


3. Capacidad de elevar el conocimiento en ciberseguridad
Cada vez es más fácil para un ciberatacante disponer de más herramientas, incluso dentro el mercado negro hay cursos para aprender a realizar ciberataques. Con tal de poder hacer frente a los ciberataques las empresas deben desarrollar cursos de información, pero debido a los pocos recursos, tanto a nivel humano como económico, se hace necesario también que las herramientas utilizadas puedan proporcionar una inteligencia que permita tomar una decisión a la hora de hacer frente a estos ciberataques.


4. Usuario interno
Ha sido el principal riesgo para la fuga de información y podemos diferenciar dos tipos:

• Alguien que para seguir trabajando en casa sube información confidencial en Gmail, Dropbox o algún disco duro virtual, y con eso facilita que otro usuario o atacante infiltrado en los sistemas pueda acceder fácilmente.
• Usuarios que cogen información de forma malintencionada, normalmente personas que están a punto de abandonar la organización.

SECCIÓN 2: TENDENCIAS BASADAS EN TECNOLOGÍA

1. Vulnerabilidades presentes en la infraestructura
Se han descubierto nuevas vulnerabilidades en sistemas (estables y seguros) que llevan muchos años en las organizaciones. Este tipo de vulnerabilidades de productos que existen en las organizaciones han estado presentes en 2014 y lo estarán en 2015.
A continuación se detallan una serie de recomendaciones de como mitigar las amenazas:

• Tener presente las revisiones de seguridad en los sistemas con el objetivo de detectar las vulnerabilidades lo antes posible.
• Estar pendiente de las actualizaciones.
• Mejorar los procesos de parcheado para reducir el nivel de exposición de esta vulnerabilidad.
• Disponer de otras herramientas capaces de bloquear la comunicación el control con los servidores.


2. ¿Se trata de algo nuevo o algo que hemos visto?
En algunos casos se han utilizado herramientas sofisticadas, pero una de las vías más habituales para los ataques e infecciones vuelve a ser el correo electrónico. El 81% de los correos se han clasificado como spam, lo que representa un aumento del 25% de los correos no deseados, y los correos maliciosos no son detectados por las firmas (el origen es bueno, el destinatario existe, el fichero no es un ejecutable). Se tienen que dotar a los sistemas de algo más para poder ser capaces de detectar este tipo de ataques.

Las técnicas van evolucionando para no ser detectadas. El malware es capaz de utilizar la nueva tecnología para conseguir el éxito. Se siguen utilizando este tipo de técnicas para introducir malware a los sistemas.


3. Internet of Things
Este concepto hace referencia a pequeños dispositivos, como sensores de temperatura o sistemas de video vigilancia con información, conectados a la red para poder ser controlados remotamente, tanto en uso doméstico como industrial. Alrededor de 2020 puede haber entre 20 y 50 billones de dispositivos conectados. A medida que las organizaciones vayan introduciendo estos dispositivos para control industrial, el riesgo va a aumentar considerablemente. Nadie piensa que pueden ser explotados pero el impacto es altísimo ya que estos sistemas llegan a controlar refinerías de petróleo o centrales nucleares y por lo tanto hay que tener muy presente este nuevo fenómeno.


4. Evolución de las amenazas
Se ha detectado que normalmente el objetivo del ataque ya no pretende destruir un pc o servidor sino que pasa a ser económico. El malware se va orientando a este tipo de objetivo puramente económico y dirigido a una víctima en concreto. Se han dado cuenta en la potencia de los ciberataques para conseguir un objetivo económico.

Se observa una sofisticación tanto a nivel de componentes como en las técnicas. El malware es capaz de detectar si está en un entorno virtual, y no activarse, y activarse cuando esté en un entorno de cliente

Para concluir, remarcar los siguientes aspectos más relevantes del documento:

• Cada vez se disponen de mayores capacidades de ataque a un precio muy asequible para cualquier persona.
• El usuario interno es el principal riesgo para la fuga de información.
• Se han descubierto nuevas vulnerabilidades en sistemas estables y seguros que llevan muchos años en las organizaciones.
• Se está volviendo a utilizar el correo como fuente de ataque informático.
• El objetivo del ataque informático pasa a ser puramente económico y dirigido a una víctima en concreto.

Fuente consultada:
Threat Report Identifies 8 High-Risk Cyber Threats For 2015

3 Pilares de la Seguridad: Negocio, Tecnología y Capacidades, Economía

En nuestra entrada titulada cómo el CISO y el CEO pueden hablar el mismo idioma acabamos diciendo que la seguridad no es una persona al lado de un firewall, es desarrollar programas de gestión de riesgos que estén alineados con las necesidades del negocio.

A la hora de analizar cómo abordar el reto de la seguridad en una organización es importante tener en cuenta estos 3 elementos o aspectos:

1. Las principales 4 preocupaciones del negocio desde el punto de vista de la seguridad

Ante un incidente de seguridad, las principales preocupaciones para el Director General, el Director Financiero o el Director de Operaciones son que se produzca:

• Una pérdida de reputación, confianza de los clientes.
• Una parada en la operativa del negocio.
• Una violación de cumplimiento.
• Una una pérdida financiera.

2. Los 3 aspectos que debemos tener en cuenta para disponer de un nivel adecuado (responsable) de la seguridad en nuestra organización:

• Nuestro negocio. Permitirá conocer qué riesgos corremos y qué leyes (riesgos legales) genéricas o específicas de nuestro sector debemos cumplir.
• Nuestra madurez tecnológica. Permitirá conocer qué medidas técnicas, organizativas y procedimentales tenemos implementadas, y qué medidas no, que permitan eliminar o reducir dichos riesgos y cumplir con los requisitos legales que debemos cumplir.
• Nuestras capacidades disponibles. Permitirá conocer si tenemos los recursos necesarios, capaces de gestionar los riesgos existentes y futuros.

3. El entorno económico global o particular en el que se mueve nuestra organización

Este entorno determinará que las medidas que tomemos para gestionar adecuadamente los riesgos TIC que afectan a nuestro negocio sean más o menos conservadoras o innovadoras. Introducir la variable económica es fundamental para saber de qué estamos hablando. Es fundamental para poder comparar el impacto económico asociado al riesgo, con el coste necesario para reducirlo o eliminarlo. De esta manera podemos decidir focalizarnos en implementar aquellas medidas y disponer de aquellas capacidades mínimas que traten aquellos riesgos (incluidos los legales) más importantes, o intentar proporcionar valor a la organización a través de medidas y capacidades más robustas y mejoradas.

Para hablar de todo ello, ofrecemos 3 workshops formativos que combinan la parte teórica con la aplicación práctica en tu organización.

El objetivo es formar y analizar a alto nivel, cómo complementar los objetivos de negocio con un nivel adecuado (responsable) del riesgo y de la seguridad de los sistemas y tecnologías de la información, que considere el impacto económico asociado.

Descárgate el siguiente pdf en el que encontraras el detalle y precio de estos workshops:

Workshopos formativos sobre seguridad.pdf

Cumplimiento: Principios y Políticas

Recientemente la Organización Internacional de Normalización (the International Organization for Standardization - ISO) publico la ISO 19600:2014, la cual  proporciona una  orientación para establecer, desarrollar, ejecutar, evaluar, mantener y mejorar un sistema eficaz y sensible de gestión de cumplimiento dentro de una organización.

Las directrices sobre los sistemas de gestión de cumplimiento son aplicables a todo tipo de organizaciones. El alcance de la aplicación de estas directrices depende del tamaño, la estructura, la naturaleza y complejidad de la organización. Esta norma internacional se basa en los principios de buena gobernanza, proporcionalidad, transparencia y sostenibilidad.

Los principios en los que se basa la gestión del Sistema de Gestión del Cumplimiento son los siguientes:

• Compromiso de liderazgo de la dirección
• Independencia de la función de Cumplimiento
• Definición de Responsabilidades a todos los niveles y
• Soporte de las funciones de negocio

La función de Cumplimiento se dedica a promover un alto nivel de integridad, ética y cumplimiento de la normativa en toda la organización.  Las Políticas de Cumplimiento de una compañía o grupo ayudan a promover una cultura basada en la  ética y la atención a los principios definidos y establecidos por la empresa o grupo.

Estas Políticas se deben articular con las normas de conducta para asegurar que llevar a cabo las actividades de negocio de acuerdo con los requerimientos legales y  profesionales, así como con los estándares éticos existentes.

El Sistema de Gestión del Cumplimiento planteado en la ISO19600, comprende los siguientes elementos:

• Determinación del alcance del sistema de gestión del cumplimiento
•  Identificar los factores internos y externos
• Identificación de los requerimientos de las partes interesadas
•  Principios de buenas prácticas de gobernanza
• Establecimiento de la política
• Identificación de las obligaciones de cumplimiento y evaluación de los riesgos de cumplimiento
• Planificación para dirigir los riesgos de cumplimiento y lograr los objetivos
• Definir el plan operacional y controles los riesgos de cumplimiento
• Evaluación del desempeño y reporting del cumplimiento
• Gestión de los no cumplimientos y mejora continua

Las políticas son aplicables y de cumplimiento obligatorio para todos los empleados de la empresa o grupo.

En consecuencia, todas las localidades, dependencias o sedes deben incorpora las directivas de Cumplimiento como un estándar obligatorio en el desempeño de las tareas de todos sus empleados.

Sin embargo, puede pasar que existan dentro del grupo compañías que debido a su actividad específica no requieran cumplir con todas las políticas de Cumplimiento. Estas compañías o entidades deberán recibir consideración especial, en lo relacionado a concienciación en el cumplimiento de las políticas.

Algunas políticas de Cumplimento de especial consideración son:

• Gestión de los Registros (Records Retention)
• Competencia Leal y Antitrust (Competition and anti-trust)
• Protección, Seguridad y Confidencialidad de los Datos (Protection and Privacy of Employee Data)
• Reporting Concerns
• Conflictos de Intereses (Conflicts of Interest and)
• Comuncación con determinados Externos (External Engagements)
• Antosoborno, Anticorrupción (Anti bribery – anti corruption)

En particular, las normas internas relacionadas con la protección y privacidad de datos de empleados deben ser cuidadosamente cumplidas, siempre que el tratamiento de datos se realice en dicha compañía. Si se realiza un tratamiento de datos personales de empleados se requerirá el asesoramiento específico de las áreas de  Riesgos, Seguridad y Cumplimiento.

Las políticas de Cumplimiento deben ser publicadas bien en medios electrónicos o medios impresos como por ejemplo, intranets, correos electrónicos, posters, etc.

La concienciación continua de los empleados es muy importante para lograr el conocimiento y de las Políticas de Cumplimiento por lo que debe establecerse un calendario con las jornadas de  concienciación en el que se definan aspectos como regularidad, Política de Cumplimiento, medio de comunicación a utilizar (E-learning, Jornada presencial) para la concienciación. 

Por último es igualmente importante informar los mecanismos y cabales a través de los cuales los empleados pueden comunicar dudas relacionadas con las políticas de Cumplimiento.

SAP y La Segregación de funciones

El pasado 12 de noviembre, Abast Systems organizó con éxito el evento “Gestión de Perfiles y Segregación de Funciones en Entornos SAP” en conjunto con @pliRH (empresa Española especializada en la consultoría técnica y funcional en SA).

Al evento asistieron y participaron directores, responsables y administradores de SAP de importantes empresas de los sectores servicios, juegos online y casinos y alimentación, entre otros.

En el evento se realizaron demostraciones de herramientas automatizadas que permiten al  negocio mejorar la gestión de los roles y autorizaciones minimizando los esfuerzos humanos.

La demostración de las herramientas fue complementada con la metodología a seguir para llevar con éxito un proyecto de segregación de funciones. 

• SARC (GRC SAP) à Herramienta para la gestión de riesgos.
• SFS à Solución en SAP de ayuda para la segregación de funciones.
• SMU à Sistema de monitorización de usuarios, control de accesos de cada uno de los                     usuarios, configuraciones de alerta, etc.
• SCMC à Herramienta de ayuda para la gestión del cambio.
• AAM à solución SAP para la gestión automática de redes

Con participación de los asistentes, se realizaron múltiples ejemplos de cómo solucionar varias problemáticas relacionadas con la gestión de roles y autorizaciones en SAP:

• Longevidad en las autorizaciones otorgadas a los perfiles / roles desde la instalación y personalización del sistema SAP.
• Crecimiento de las operaciones de la compañía e incremento de autorizaciones añadidas a los perfiles / roles existentes para afrontar las tareas del día a día
• Consultorías poco eficientes a la hora de la entrega de los resultados, hojas Excel con  los roles-transacciones-autorizaciones sobre objetos + usuarios-funciones y tareas.

Otro de los aspectos más relevantes del evento fue la demostración de la metodología para afrontar un proyecto de segregación de funciones:

1) Identificación de riesgos y adaptación de la empresa.  Es muy importante comenzar la implantación con una matriz estable.

2) Segmentar las estructuras en base a criterios:

• Agrupación de usuarios homogéneos en actividad (empresarial y/o territorial).
• Aprobación de la agrupación por el líder del área. 

    3) Monitorizar las transacciones que utilizan realmente los usuarios durante un periodo de tiempo. Construir el modelo de segregación (matriz de funciones y tareas) en simulación para cada modelo de manera independiente. 

      4) Definir y construir el modelo:

• Asignar directamente los roles previstos al usuario en base a roles pre configurados.
• Automatizar los roles desde la estructura organizativa OM estándar de SAP

5) Planificar la fecha de limitación de los roles.

En la mesa de opinión, los aspectos de más interés comentados por los asistentes al evento, fueron:

• Afectación sobre el control de los usuarios SAP_ALL.
• Gestión de alertas y tipos de alertas (asignación de transacciones incompatibles a roles de usuario)
• Control de las transacciones “Z” (transacciones creadas para operativas específicas)
• Creación de roles “Padre” y no funcionales (utilizados para copiar y crear nuevos roles)
• Fomentar cambios a nivel organizativo para implementar las modificaciones de los roles

Aunque a priori pueda suponer la segregación de funciones un proyecto complejo, la implantación ofrece la oportunidad de mejorar la organización de la empresa, poniendo en marcha mecanismos de re-ingeniería de procesos ofreciendo múltiples beneficios.

Por tanto la segregación de funciones será una consecuencia directa de la implantación de sistemas de control de riegos (GRC) como sistema para prevenir y mitigar riesgos en la organización. 

Propuesta Nuevo Reglamento LOPD – El DPO (Data Protection Officer)

En junio de 2014 se organizó una ponencia de trabajo en la que el Coordinador de Auditoria y Seguridad de la información en la Autoridad Catalana de Protección de Datos, expuso las novedades de la propuesta de Reglamento UE de Protección de Datos y anticipó los puntos que probablemente formarán parte de la nueva norma.

En este artículo se va a profundizar sobre uno de los principales puntos que serán susceptibles de aplicación para la mayoría de entidades, en el momento de la aprobación del reglamento de la Unión Europea de Protección de Datos.

El Reglamento será de aplicación directa a todos los Estados miembros. Todas las empresas que traten datos de carácter personal y dispongan de un establecimiento en un Estado miembro deberán aplicarlo, aunque las operaciones materiales de tratamiento de la información se lleven a cabo fuera de la Unión Europea.

El objetivo del Reglamento es alcanzar un mayor nivel de protección de los datos de carácter personal, especialmente en el medio digital, alineando la gestión de la protección de datos con el resto de actividades ordinarias y cotidianas que conforman la estructura organizativa y las reglas de negocio de las empresas, a lo que se une la obligación de ofrecer una mayor transparencia respecto del tratamiento de datos que llevan a cabo, en base a informar más y mejor sobre las operaciones de tratamiento.

Este nuevo Reglamento está considerado por las instituciones europeas como uno de los pilares del mercado único digital europeo, que debería estar ultimado, al menos conceptualmente, en el 2015.

Aunque no será de cumplimiento obligatorio para todas las Organizaciones, unos de los mayores cambios es el de disponer de la figura del DPO. 

Se establece el perfil del DPO como un profesional conocedor de la materia (legislación y buenas prácticas) y capacitado para desarrollar todas las funciones que describe el Reglamento (ej. supervisión, información, asesoramiento, formación, comunicación al Comité de empresa sobre el tratamiento de datos de los empleados, auditorías, seguridad, etc.), aunque por el momento no se detalla la obligación de acreditar una formación determinada.

No obstante, muy probablemente se establecerán mecanismos de acreditación, ya sean a nivel europeo o local, respecto de la formación o capacitación requerida.

Entre las funciones que habrá de desarrollar las más destacadas serian:

• El DPO deberá ser el punto de enlace entre la Autoridad de Control y el responsable o encargado tratamiento, aunque la responsabilidad por el incumplimiento de la normativa recaerá siempre sobre la empresa.
• Ha de ser una persona física y su identidad y datos de contacto deberán ser comunicados a la Autoridad competente y al público en general. Podrá ser interno (el mandato mínimo será de 4 años) o externo (el mandato mínimo será de 2 años), En cualquier caso el DPO deberá contar con los recursos humanos y materiales necesarios para desarrollar sus funciones de forma adecuada.
• El cargo de DPO no reviste exclusividad por lo que el profesional podrá desarrollar otras funciones y competencias, siempre que le permitan garantizar los principios de independencia (no parece por tanto que esta función pueda ser asignada, por ejemplo, al Responsable de Seguridad) y deber de secreto que rigen su actividad. Se deberán considerar los aspectos legales pertinentes en el contrato al momento de externalizar esta función.
• Deberá estar presente en la toma de decisiones sobre los procesos que vayan a implicar el tratamiento de datos personales, y disponer de una interlocución directa con la Dirección Ejecutiva, si bien no es necesario que pertenezca a ella.

Se expone la figura del DPO por estar calificado como uno de los cambios más sustanciales de la normativa, pero no será de aplicación para todas las entidades que traten datos de carácter personal.

Los supuestos en que se determina la obligatoriedad del DPO son:

• Tratamiento de datos de más de 5.000 personas durante 12 meses consecutivos.
• Tratamiento de categorías especiales de datos (ej. Hospitales).
• Tratamiento de datos de localización (ej. geolocalización).
•  Tratamiento que consista en la monitorización del interesado (ej. navegación).
• Tratamiento de datos de menores y empleados a gran escala.
• Administraciones Públicas.

El Plan de Gestión de Crisis, punto de partida de la continuidad de negocio

El último precedente acontecido de la crisis del Ébola y la deficiente gestión que los Estados del “primer mundo” afectados han hecho de la misma, ha provocado que muchas organizaciones hagan autocrítica y se planteen si realmente disponen de niveles de madurez  suficientes en materia de continuidad de negocio que les permitan gestionar cierto tipo de incidentes tan graves como inesperados. La actualidad habla del ébola, pero los expertos en continuidad de negocio hace tiempo que hablamos de la Pandemia como un escenario de riesgo al que las organizaciones deben enfrentarse, protegiendo en primer lugar la salud de sus empleados y en segundo lugar a sus procesos de negocio (indisponibilidad simultánea de empleados que ponga en peligro la operativa de la compañía).

A pesar de que el riesgo de un caso de ébola en España existe desde hace tiempo y era factible, ha quedado evidenciado que no se disponía ni de los procedimientos / protocolos adecuados ni de las medidas de seguridad necesarias. En el caso del Estado esto no es de recibo, sin embargo también opino que las organizaciones no son responsables de no estar preparadas para un escenario tan específico como este, si bien si deberían estar trabajando escenarios genéricos como “Indisponibilidad Personal / Pandemia”. Todo lo acontecido (decisiones que aumentan el riesgo de contagio de la población, ausencia de comunicación formal…) es un ejemplo claro de que cuando ocurre una crisis, o un escenario de desastre es vital gestionar correctamente la situación desde el inicio, desde la “toma de decisiones”, ya que son estas las que van a minimizar o magnificar la crisis en función de lo acertadas que sean. Está claro que la clave es decidir correctamente, pero para ello  las organizaciones deben preocuparse en primer lugar por definir un Plan de Gestión de Crisis adecuado, el cual sea interiorizado, comunicado y simulado en la organización y que permita gestionar la crisis acontecida desde la capa estratégica.

Determinar y poner en marcha una respuesta es un elemento clave para el éxito o fracaso de un programa de gestión de la Continuidad y el punto de partida para definir esta respuesta es el Plan de Gestión de Crisis, el cual ofrece un marco de acción que permite a una Organización  que la toma de decisiones y las directrices a ejecutar (planes operativos o estrategias de recuperación que deben activarse)  permitan conseguir una reacción eficiente ante cualquier contingencia. Este Plan establece el flujo de notificación y escalado de los incidentes hasta los niveles en los que existe “poder de decisión” y establece el momento y el papel  que debe jugar cada rol.

La estructura organizativa del Plan de Gestión de Crisis se define en tres ámbitos principales de actuación:

•  Un nivel ejecutivo de valoración y toma de decisiones.
•   Un nivel táctico de procedimientos, protocolos,  asignación de funciones, responsabilidades y grado de autoridad.
•     Un nivel operativo de gestión de la emergencia y evaluación de la gravedad de la situación.

Por tanto, es muy importante tener en cuenta que una vez que se haya definido e interiorizado el Plan de Gestión de Crisis en la compañía, será cuando esta estará preparada para definir los Planes Operativos que incluyan protocolos específicos para abordar escenarios detallados de pandemia, de indisponibilidad de tecnología,  de indisponibilidad de proveedores… o incluso la activación de un Protocolo Corporativo ante Enfermedades Infecciosas.

Tu Otra Identidad - Identidad 2.0

Afirmar que las redes sociales hayan llegado para quedarse es hoy en día indiscutible. Las propias cifras lo demuestran claramente: 700 millones de usuarios en Facebook, 200 millones en Twitter y más de 7 millones para la española Tuenti hacen que el no estar en una red social sea cada vez más la excepción a la regla. Esta irrupción de las redes sociales en nuestras vidas presenta nuevos e importantes retos desde el punto de vista de la privacidad o la protección de datos y la seguridad en general.

La Identidad 2.0 o también conocida como identidad digital, es el nuevo concepto de identidad. Por definición es el rastro que cada usuario de internet deja en la red como resultado de su interrelación con otros usuarios o con la generación de contenidos en portales web y redes sociales. Es decir, estamos hablando de una consecuencia directa de la evolución tecnológica y de comunicación, concretamente del término bautizado como comunicación 2.0.

Los elementos que integran la identidad digital, y que por tanto permiten a las personas diferenciarse frente a otras en ámbitos concretos, son los rasgos de identidad o atributos informativos. Forman parte de estos datos tu nombre y apellidos, la dirección de correo electrónico, los datos de contacto, las fotografías o vídeos, tu información laboral, aficiones o incluso preferencias políticas, religiosas o sexuales. En definitiva, es un rasgo de identidad cualquier pieza de información personal que forme  parte del puzle de la identidad online.  

En general, hay dos categorías principales que componen tu identidad digital:

• Categoría Profesional – es tu huella profesional  y es fácil de entender, se refiere a tu trabajo, tu profesión, tu puesto, y es información que compartes en lugares como LinkedIn, tu blog o el sitio web de tu empresa. 

• Categoría Personal – en este caso es un poco más complicado de identificar, cuando pensamos ‘personal’ lo relacionamos tal vez con privado,. Sin embargo redes sociales como Facebook y Google+, hacen que el concepto de   vida privada lo sea un poco menos, aun sin ser conscientes de los riesgos que esto conlleva desde el punto de vista de la seguridad y el tratamiento de nuestros datos.

Por tanto es muy importante  tener en cuenta que tu identidad digital la vas definiendo tú mismo con lo que compartes, tu presencia e interacción en las diferentes redes sociales, blogs, foros, sitios web, etc. El quién eres, es una pregunta que vas contestando incluso en ocasiones sin darte cuenta, realmente al final del camino somos nosotros como usuarios quien determinamos a través de la información que publicamos que tanto de privacidad queremos tener en la red.

Hoy en día ya es todo un habito “Googlear” el nombre de alguien para conocer quién es, por eso es importante cuidar tu identidad online.

Es de lógica entonces que nuestra identidad digital también conlleve una reputación digital, que nos va a ser difícil separar de nuestro yo. Los problemas se pueden agravar aún más por la propia persistencia de la información en Internet. Todo lo que se hace, bueno o malo, queda grabado casi para siempre. Y, asumiendo que Internet se extiende cada vez más a todos los ámbitos, sin duda este será otro de los aspectos que provoque que el “derecho al olvido” vaya a ser uno de los caballos de batalla de la privacidad en Internet durante la próxima década.

Gestionar este término conocido también como Reputación 2.0 para una persona física ya se ha visto que puede ser complicado, pero si hablamos de una entidad u organización empresarial el tema se complica en exceso.

Una entidad jurídica tiene, por descontado, su propia identidad en la red y con ello su consecuente reputación, pero ¿hasta qué punto está reputación se puede ver afectada por la reputación de un usuario que en su categoría profesional tenga indicaciones de la entidad para la que trabaja?

Es algo difícil de evaluar y actualmente también prácticamente imposible de gestionar sin un adecuado marco de gobierno. Todo lo expuesto invita a reflexionar en la inminente necesidad de crear procedimientos para gestión de la identidad digital en el ámbito corporativo con a finalidad de garantizar la protección de la imagen o reputación. 

La solución pasa por controlar mediante la aplicación de políticas corporativas el uso que los empleados puedan hacer de su identidad en el ámbito laboral dentro de las redes sociales, para evitar con ello problemas de imagen sobre la empresa para la cual una persona física presta sus servicios.

Por eso se debe tener en mente que lo que se comparta online y firmes con tu persona, tarde o temprano puede ser visto por cualquiera. Así hay que procurar no compartir nada que realmente no se quiera compartir con TODO el mundo y que por tanto desde ese momento  sea de dominio público.

Se puede afirmar que aprender a interactuar con terceros y manejar aspectos básicos de personal  o construcción de una marca personal puede convertirse en algo esencial para el desarrollo de la personalidad y el futuro social y profesional.

Sin duda la conclusión que mejor se adapta al mensaje que se quiere transmitir es una frase de Julio Alonso, fundador y Director General de Weblogs SL, una de las principales empresas españolas de contenidos especializados en Internet donde dice: “Dedicar esfuerzo a construir tu propia identidad digital ya no es opcional. Es un acto de pura responsabilidad”.

Seguridad en las redes sociales del negocio

“Social Media" se define como el uso de aplicaciones basadas en Internet o las capacidades de difusión para difundir y / o colaborar en la información.

... Cualquier persona con un dispositivo conectado a Internet puede, con (casi) un anonimato y sin responsabilidad, participar en la compartición de información pública o privada o inclusive en la  desinformación, en función de los privilegios de acceso a un sitio web de Social Media.

Perspectiva general de la gestión de las redes sociales en el negocio

Riesgos claves

1. Divulgación de información sensible (privilegiada) accesible a personas no autorizadas.
2. Incumplimiento de requisitos legales y reglamentarios.
3. Pérdida de la ventaja competitiva.
4. Pérdida de confianza de los clientes.
5. Pérdida de la reputación.
6. Difusión de información falsa o fraudulenta.
7. Uso inapropiado o no autorizado de la propiedad intelectual de la compañía, como logotipos o material de marca registrada.

Gestión de las redes sociales

Gobierno

• Realizar un análisis de riesgos antes de iniciar el proyecto de social media.

• Re-ejecutar el análisis de riesgos cuando los recursos o infraestructura  social media sean modificados.

• Incluir la información de social media en el esquema de clasificación de la información de la compañía.

Políticas y procedimientos

• La dirección debe definir políticas claras para social media que cubran áreas como:
• Empleados: Uso de social media para fines de negocio.
• Procedimientos de gestión para las cuentas social media de la compañía.
• Uso de dispositivos móviles de la compañía para acceder a los canales social media.
• Revisiones legales de los acuerdos de usuario de programas de social media.

Personas

• Incluir aspectos relacionados a social media en los programas de formación y concienciación de seguridad.

• Definir la responsabilidad de RRHH para ejecutar políticas relacionadas con social media.

• RRHH debe establecer y distribuir las consecuencias definidas para la violación de las políticas de social media.

Tecnología

• Antimalware y el software antivirus debe utilizarse para proteger a la organización, incluyendo los procedentes de sitios de social media comprometidos.

• Respuesta a incidentes de riesgos  de social media deben ser incluidos en el plan de respuesta de seguridad de la información.

• Implementar herramientas de filtrado de contenidos y de monitorización y revisarlas periódicamente.

• Monitorizar la infraestructura de social media.

Planes de Continuidad. 10 aspectos clave

Ya sea que hablemos de la continuidad de los procesos de negocio en general o de la continuidad de los servicios de TI en particular (equivalentes a los planes de contingencia de TI), hay una serie de aspectos clave a la hora de abordar estos proyectos que es necesario tener en cuenta para garantizar su éxito:

Mapa de procesos y/o catálogo de servicios de TI

Conseguir disponer de un mapa de procesos de negocio y/o un catálogo de servicios de TI suficientemente detallado.

Participación de la Dirección

Conseguir la participación y/o involucración de la Dirección en el proyecto. En caso de abordar un Plan de Continuidad de Negocio la participación debe quedar plasmada en el compromiso de involucrarse de forma continua y participativa en la ejecución del proyecto. Dicha participación es clave, por no decir absolutamente imprescindible. Un Plan de continuidad de Negocio es un proyecto estratégico para la organización.

Análisis de Impacto en el Negocio (BIA)

Conseguir que la Dirección y los interlocutores se ubiquen dentro del alcance de este tipo de proyectos y tengan claro la diferencia entre una incidencia y un desastre. Para ello es muy importante explicar el concepto de análisis de impacto en el negocio  (BIA). El BIA introduce en el análisis la variable temporal que permite evaluar, precisamente, cuando un incidente puede llegar a convertirse en un desastre si no se soluciona a tiempo.

Valoración tangible vs intangible

Poder valorar de forma tangible – económicamente - el impacto asociado a la no disponibilidad de un proceso crítico de negocio (PCN) o de un servicio de TI (PCTI).

Análisis de Riegos

Disponer de un análisis de riesgos creado con criterios homogéneos a lo largo de toda la organización. Esto puede ser complicado cuando la organización decide abordar este tipo de proyectos de forma interna y no dispone o designa a un responsable del proyecto que marque las pautas.

Plan de Tratamiento de Riesgos

Establecer el Plan de Tratamiento de Riesgos como un entregable básico del proyecto. En realidad no nos gustaría llegar a tener que activar nuestro Plan.

Estrategias de Recuperación

Conseguir que quede clara la diferencia entre lo que son las medidas de reducción, eliminación del riesgo (o del impacto asociado) con respecto a lo que son las estrategias de recuperación a implementar para conseguir cumplir con los requisitos de continuidad del negocio (RTOs).

Riesgo vs Coste

Valorar económicamente, con el nivel de detalle necesario, las medidas de reducción del riesgo y estrategias de recuperación planteadas. Los análisis de riesgo vs coste y RTO vs coste permitirán a la Dirección decidir en base a criterios de negocio. La experiencia demuestra que casi siempre, para algunos procesos de negocio o servicios de TI, la primera valoración de los RTO es demasiado restrictiva. Suele ser necesario un segundo análisis.

Escenarios de Indisponibilidad

Agrupar los riesgos residuales inaceptables para la organización en una serie de escenarios de indisponibilidad que se puedan tratar a posteriori con planes operativos de recuperación específicos para cada escenario (planes de recuperación ante desastres).

Oficina de Continuidad

La definición e implementación de una Oficina de Continuidad constituida por una estructura de roles y responsabilidades que velen en la organización por la continuidad y sean asumidas por personal capacitado (definiendo la estructura y seleccionando a las personas adecuadas para ejercer cada rol). Roles que pueden ser internos, externos o una mezcla de ambos.

Cómo el CISO y el CEO pueden hablar el mismo idioma

Desde hace 10 años el CEO (Chief Executive Officer) ha comenzado a entender como la seguridad TI y los responsables de seguridad pueden convertirse en habilitadores de negocio.

Esto se debe a que los responsables de la seguridad TI han conseguido el camino para traducir los problemas de seguridad a un lenguaje de negocio que el CEO puede entender.

Tradicionalmente el negocio cuida la caída de la línea de producción (ensamblado de coches, empaquetado de productos, procesamiento de materia prima) y no cuida la caída de TI.

Es importante hacer ver al negocio que detrás de las operaciones de producción del negocio hay una serie de elementos de TI que necesitan ser reparados, cambiados y configurados de forma segura.

Los responsables de seguridad deben ser capaces de conectar el impacto actual de la caída del  negocio con los fallos de seguridad que impacten en la caída del negocio. En este punto se unen la línea de protección del negocio y la de reducción del riesgo del negocio.

El CEO debe tener claro que 1 hora de caída de TI tiene como resultado 40 coches menos ensamblados por caída de la línea de ensamblado. El problema está cuando el CEO reporta en su inventario 40 coches menos y no una caída de TI, en esta caso el CEO está preocupado por la producción del coche y no por los servicios TI.

En todo caso si se reporta una perdida en el inventario estamos hablando de un problema de negocio. Si hay un problema de negocio,  el área de TI y de seguridad deben informar las cosas que necesitan ser corregidas cada uno desde su ámbito. Al equiparar el problema de negocio con los elementos TI y de seguridad necesarios y que impactan en el problema estamos habilitando a la empresa a ser más eficiente, aumentar la producción y, como consecuencia, aumentar los beneficios.

Hay que eliminar la cultura de desconectar, que consiste en que la seguridad es un problema técnico que puede ser resuelto por TI, los problemas técnicos deben ser resueltos por los administradores u operadores de TI y los de seguridad deben ser resueltos por los responsables de seguridad TI.

Hay que direccionar dentro de la gestión del riesgo la seguridad TI, se estima que sólo el 30% por ciento de las organizaciones adoptan un enfoque basado en riesgos para la seguridad TI. En lugar de ser los defensores de la organización, los administradores de seguridad de TI están interesados ​​en ser facilitadores de ese equilibrio entre la necesidad de proteger y las necesidades para ejecutar el negocio.

Un responsable de seguridad no se preocupa de si un hacker hará un ataque a la página de la compañía, un responsable de seguridad se preocupa de preparar la compañía para afrontar riesgos mediante la implementación de medidas y prácticas.

La seguridad no es una persona al lado de un firewall, la seguridad es desarrollar programas de riesgos alineados con las necesidades del negocio.

“Indisponibilidad Personal Crítico” Un Escenario de Continuidad en Desarrollo

Desde hace años los profesionales de la continuidad llevamos tiempo tratando escenarios de desastre de todo tipo en las diferentes organizaciones: indisponibilidad sede, indisponibilidad sistemas TI, indisponibilidad proveedores… De todos estos escenarios y en base a la experiencia y al trabajo realizado, se ha conseguido establecer  un know how  que permite a las organizaciones no partir de cero, siendo el escenario más contemplado y trabajado en las empresas el Plan de Recuperación frente a Desastres (que aborda la indisponibilidad de los sistemas TI).

Sin embargo en relación con el personal clave de las empresas no hay mucho trabajo realizado. Son numerosos los países que en los últimos años han sufrido algún tipo de pandemia, o países en los cuales hay revueltas importantes que implican huelgas severas con duraciones prolongadas. Las personas son activos muy importantes en las empresas y en algunos casos la indisponibilidad de ciertos roles críticos puede suponer la interrupción de actividades vitales para el negocio o la pérdida de know how para la organización.

Actualmente muchas organizaciones disponen de Planes de Sucesiones en los cuales se tiene identificado el personal clave de cada departamento y donde para cada uno de ellos se ha definido un sucesor de emergencia (para bajas de hasta 6 meses) y un sucesor primario (para bajas más prolongadas en el tiempo). En estos planes de sucesión se analiza:

§  si a nivel individual se tienen identificadas las competencias que cada empleado necesita desarrollar para ejecutar el trabajo y asegurar una carrera a largo plazo

§  Si a nivel de negocio se tiene identificadas las competencias  y el diseño organizacional  para soportar los procesos requeridos por el negocio

§  Los aspectos de formación necesarios para desempeñar futuras tareas de determinados roles/cargos (críticos)

§  Identificación de las áreas con conocimiento compartido y multidisciplinar (entre roles de la misma área y entre diferentes áreas)

Sin duda este Plan de Sucesión es un gran primer paso  que permite a la organización disponer de una estrategia de recuperación formalizada ante bajas puntuales de personal clave. Sin embargo este plan no cubre el escenario de una indisponibilidad de personal más generalizada  como por ejemplo la baja simultánea de varias personas clave en una misma área o en varias, o la indisponibilidad de un departamento entero… Las causas pudieran ser variopintas, una pandemia, una huelga generalizada, una sucesión de casuísticas, un accidente en un viaje corporativo… Para estos escenarios es imprescindible disponer de políticas y de controles que permitan mitigar estos riesgos (políticas sanitarias, políticas de viajes, etcétera…) pero el siguiente reto que la organización debe abordar es la elaboración de un Plan de Indisponibilidad Generalizada de Personal Crítico que garantice la existencia de una estrategia clara para un escenario de este tipo (poco probable pero con consecuencias que pudieran ser muy importantes). Debido a la alta dependencia que las organizaciones desarrollan del personal, no es sencillo definir estrategias robustas que permitan cubrir este escenario, pero en base a nuestra experiencia, los pilares sobre los que se sustenta este plan y que permiten alcanzar la resiliencia en el capital humano de una organización son:

§  Políticas y Comunicaciones: Definición de políticas específicas como baja por enfermedad, política de viajes y formalizarlas a fin de establecer canales de comunicación en caso de desastre

§ Educación de los empleados y soporte: Formar y capacitar a los empleados en la continuidad de negocio y en los planes existente que abordan escenarios.

§  Infraestructura Virtual / Teletrabajo: Establecer vías alternativas de trabajo remoto.

§  Formación Profesional: Redundar el know-how y preparar al personal para asumir roles de más responsabilidad.

§  Gestión del Talento: Plan de Sucesiones a corto y largo plazo.

§  Sistema de RRHH: preparar al departamento de RRHH para dar soporte durante una crisis y activar los procesos críticos del área, pago de nóminas, subcontratación durante la crisis…

§ Cultura de Organización: Involucrar a los empleados en la cultura de continuidad de negocio, dándoles las herramientas a los empleados para que vean que en caso de desastre es su responsabilidad ejecutar en modo degradado su trabajo. 

Sin duda, este es un escenario muy importante a contemplar y en el que todavía nos queda un largo camino que recorrer a muchas organizaciones, pero la implantación de estos pilares nos debe hacer dar un paso más hacia la resiliencia.