Ciberamenazas 2015

El pasado abril Websense publicó el “2015 Threat Report”, en el cual se dan a conocer las diferentes ciberamenazas para el 2015, los factores que se deben tener en cuenta y cómo estamos preparados para afrontarlas.

El análisis incorpora 2 secciones:

• Una primera sección basada en comportamientos humanos, donde se explica cómo afecta el comportamiento humano en diferentes ciberataques.
• Una segunda sección de tendencias basadas en técnicas, donde trata los nuevos comportamientos que se están aplicando a los ciberataques.

A continuación presentamos un resumen con los aspectos más relevantes de la citada publicación:


SECCIÓN 1: COMPORTAMIENTOS HUMANOS

1. Cómo los ciberatacantes pueden disponer más fácilmente de aplicaciones para poder provocar ciberataques.
• Aparición del nuevo fenómeno Malware as a service: la capacidad de que un ciberatacante o una organización que quiere perpetrar un ciberataque le sea muy fácil, ya que cada vez se dispone de más infraestructura, herramientas y troyanos personalizados para cometer este tipo de ataques.
• Cada vez se disponen de mayores capacidades de ataque a un precio muy asequible para cualquier persona. Se están utilizando alrededor de un 90% de las url’s utilizadas en ataques anteriores. El ciberatacante ya no necesita disponer de sus recursos propios.


2. Atribución de un ataque
Cuando una compañía sufre un ciberataque lo primero que suele interesar a la gerencia es quién ha sido. Se pueden cometer muchos errores en la atribución indebida de un ataque. Cuando se sufre un ciberataque se invierte mucho tiempo en saber quién está detrás de ese ataque, lo que se recomienda es dejar eso a las agencias oportunas, y ocuparse de la contención.


3. Capacidad de elevar el conocimiento en ciberseguridad
Cada vez es más fácil para un ciberatacante disponer de más herramientas, incluso dentro el mercado negro hay cursos para aprender a realizar ciberataques. Con tal de poder hacer frente a los ciberataques las empresas deben desarrollar cursos de información, pero debido a los pocos recursos, tanto a nivel humano como económico, se hace necesario también que las herramientas utilizadas puedan proporcionar una inteligencia que permita tomar una decisión a la hora de hacer frente a estos ciberataques.


4. Usuario interno
Ha sido el principal riesgo para la fuga de información y podemos diferenciar dos tipos:

• Alguien que para seguir trabajando en casa sube información confidencial en Gmail, Dropbox o algún disco duro virtual, y con eso facilita que otro usuario o atacante infiltrado en los sistemas pueda acceder fácilmente.
• Usuarios que cogen información de forma malintencionada, normalmente personas que están a punto de abandonar la organización.

SECCIÓN 2: TENDENCIAS BASADAS EN TECNOLOGÍA

1. Vulnerabilidades presentes en la infraestructura
Se han descubierto nuevas vulnerabilidades en sistemas (estables y seguros) que llevan muchos años en las organizaciones. Este tipo de vulnerabilidades de productos que existen en las organizaciones han estado presentes en 2014 y lo estarán en 2015.
A continuación se detallan una serie de recomendaciones de como mitigar las amenazas:

• Tener presente las revisiones de seguridad en los sistemas con el objetivo de detectar las vulnerabilidades lo antes posible.
• Estar pendiente de las actualizaciones.
• Mejorar los procesos de parcheado para reducir el nivel de exposición de esta vulnerabilidad.
• Disponer de otras herramientas capaces de bloquear la comunicación el control con los servidores.


2. ¿Se trata de algo nuevo o algo que hemos visto?
En algunos casos se han utilizado herramientas sofisticadas, pero una de las vías más habituales para los ataques e infecciones vuelve a ser el correo electrónico. El 81% de los correos se han clasificado como spam, lo que representa un aumento del 25% de los correos no deseados, y los correos maliciosos no son detectados por las firmas (el origen es bueno, el destinatario existe, el fichero no es un ejecutable). Se tienen que dotar a los sistemas de algo más para poder ser capaces de detectar este tipo de ataques.

Las técnicas van evolucionando para no ser detectadas. El malware es capaz de utilizar la nueva tecnología para conseguir el éxito. Se siguen utilizando este tipo de técnicas para introducir malware a los sistemas.


3. Internet of Things
Este concepto hace referencia a pequeños dispositivos, como sensores de temperatura o sistemas de video vigilancia con información, conectados a la red para poder ser controlados remotamente, tanto en uso doméstico como industrial. Alrededor de 2020 puede haber entre 20 y 50 billones de dispositivos conectados. A medida que las organizaciones vayan introduciendo estos dispositivos para control industrial, el riesgo va a aumentar considerablemente. Nadie piensa que pueden ser explotados pero el impacto es altísimo ya que estos sistemas llegan a controlar refinerías de petróleo o centrales nucleares y por lo tanto hay que tener muy presente este nuevo fenómeno.


4. Evolución de las amenazas
Se ha detectado que normalmente el objetivo del ataque ya no pretende destruir un pc o servidor sino que pasa a ser económico. El malware se va orientando a este tipo de objetivo puramente económico y dirigido a una víctima en concreto. Se han dado cuenta en la potencia de los ciberataques para conseguir un objetivo económico.

Se observa una sofisticación tanto a nivel de componentes como en las técnicas. El malware es capaz de detectar si está en un entorno virtual, y no activarse, y activarse cuando esté en un entorno de cliente

Para concluir, remarcar los siguientes aspectos más relevantes del documento:

• Cada vez se disponen de mayores capacidades de ataque a un precio muy asequible para cualquier persona.
• El usuario interno es el principal riesgo para la fuga de información.
• Se han descubierto nuevas vulnerabilidades en sistemas estables y seguros que llevan muchos años en las organizaciones.
• Se está volviendo a utilizar el correo como fuente de ataque informático.
• El objetivo del ataque informático pasa a ser puramente económico y dirigido a una víctima en concreto.

Fuente consultada:
Threat Report Identifies 8 High-Risk Cyber Threats For 2015

3 Pilares de la Seguridad: Negocio, Tecnología y Capacidades, Economía

En nuestra entrada titulada cómo el CISO y el CEO pueden hablar el mismo idioma acabamos diciendo que la seguridad no es una persona al lado de un firewall, es desarrollar programas de gestión de riesgos que estén alineados con las necesidades del negocio.

A la hora de analizar cómo abordar el reto de la seguridad en una organización es importante tener en cuenta estos 3 elementos o aspectos:

1. Las principales 4 preocupaciones del negocio desde el punto de vista de la seguridad

Ante un incidente de seguridad, las principales preocupaciones para el Director General, el Director Financiero o el Director de Operaciones son que se produzca:

• Una pérdida de reputación, confianza de los clientes.
• Una parada en la operativa del negocio.
• Una violación de cumplimiento.
• Una una pérdida financiera.

2. Los 3 aspectos que debemos tener en cuenta para disponer de un nivel adecuado (responsable) de la seguridad en nuestra organización:

• Nuestro negocio. Permitirá conocer qué riesgos corremos y qué leyes (riesgos legales) genéricas o específicas de nuestro sector debemos cumplir.
• Nuestra madurez tecnológica. Permitirá conocer qué medidas técnicas, organizativas y procedimentales tenemos implementadas, y qué medidas no, que permitan eliminar o reducir dichos riesgos y cumplir con los requisitos legales que debemos cumplir.
• Nuestras capacidades disponibles. Permitirá conocer si tenemos los recursos necesarios, capaces de gestionar los riesgos existentes y futuros.

3. El entorno económico global o particular en el que se mueve nuestra organización

Este entorno determinará que las medidas que tomemos para gestionar adecuadamente los riesgos TIC que afectan a nuestro negocio sean más o menos conservadoras o innovadoras. Introducir la variable económica es fundamental para saber de qué estamos hablando. Es fundamental para poder comparar el impacto económico asociado al riesgo, con el coste necesario para reducirlo o eliminarlo. De esta manera podemos decidir focalizarnos en implementar aquellas medidas y disponer de aquellas capacidades mínimas que traten aquellos riesgos (incluidos los legales) más importantes, o intentar proporcionar valor a la organización a través de medidas y capacidades más robustas y mejoradas.

Para hablar de todo ello, ofrecemos 3 workshops formativos que combinan la parte teórica con la aplicación práctica en tu organización.

El objetivo es formar y analizar a alto nivel, cómo complementar los objetivos de negocio con un nivel adecuado (responsable) del riesgo y de la seguridad de los sistemas y tecnologías de la información, que considere el impacto económico asociado.

Descárgate el siguiente pdf en el que encontraras el detalle y precio de estos workshops:

Workshopos formativos sobre seguridad.pdf

Seguridad en las redes sociales del negocio

“Social Media" se define como el uso de aplicaciones basadas en Internet o las capacidades de difusión para difundir y / o colaborar en la información.

... Cualquier persona con un dispositivo conectado a Internet puede, con (casi) un anonimato y sin responsabilidad, participar en la compartición de información pública o privada o inclusive en la  desinformación, en función de los privilegios de acceso a un sitio web de Social Media.

Perspectiva general de la gestión de las redes sociales en el negocio

Riesgos claves

1. Divulgación de información sensible (privilegiada) accesible a personas no autorizadas.
2. Incumplimiento de requisitos legales y reglamentarios.
3. Pérdida de la ventaja competitiva.
4. Pérdida de confianza de los clientes.
5. Pérdida de la reputación.
6. Difusión de información falsa o fraudulenta.
7. Uso inapropiado o no autorizado de la propiedad intelectual de la compañía, como logotipos o material de marca registrada.

Gestión de las redes sociales

Gobierno

• Realizar un análisis de riesgos antes de iniciar el proyecto de social media.

• Re-ejecutar el análisis de riesgos cuando los recursos o infraestructura  social media sean modificados.

• Incluir la información de social media en el esquema de clasificación de la información de la compañía.

Políticas y procedimientos

• La dirección debe definir políticas claras para social media que cubran áreas como:
• Empleados: Uso de social media para fines de negocio.
• Procedimientos de gestión para las cuentas social media de la compañía.
• Uso de dispositivos móviles de la compañía para acceder a los canales social media.
• Revisiones legales de los acuerdos de usuario de programas de social media.

Personas

• Incluir aspectos relacionados a social media en los programas de formación y concienciación de seguridad.

• Definir la responsabilidad de RRHH para ejecutar políticas relacionadas con social media.

• RRHH debe establecer y distribuir las consecuencias definidas para la violación de las políticas de social media.

Tecnología

• Antimalware y el software antivirus debe utilizarse para proteger a la organización, incluyendo los procedentes de sitios de social media comprometidos.

• Respuesta a incidentes de riesgos  de social media deben ser incluidos en el plan de respuesta de seguridad de la información.

• Implementar herramientas de filtrado de contenidos y de monitorización y revisarlas periódicamente.

• Monitorizar la infraestructura de social media.

Cómo el CISO y el CEO pueden hablar el mismo idioma

Desde hace 10 años el CEO (Chief Executive Officer) ha comenzado a entender como la seguridad TI y los responsables de seguridad pueden convertirse en habilitadores de negocio.

Esto se debe a que los responsables de la seguridad TI han conseguido el camino para traducir los problemas de seguridad a un lenguaje de negocio que el CEO puede entender.

Tradicionalmente el negocio cuida la caída de la línea de producción (ensamblado de coches, empaquetado de productos, procesamiento de materia prima) y no cuida la caída de TI.

Es importante hacer ver al negocio que detrás de las operaciones de producción del negocio hay una serie de elementos de TI que necesitan ser reparados, cambiados y configurados de forma segura.

Los responsables de seguridad deben ser capaces de conectar el impacto actual de la caída del  negocio con los fallos de seguridad que impacten en la caída del negocio. En este punto se unen la línea de protección del negocio y la de reducción del riesgo del negocio.

El CEO debe tener claro que 1 hora de caída de TI tiene como resultado 40 coches menos ensamblados por caída de la línea de ensamblado. El problema está cuando el CEO reporta en su inventario 40 coches menos y no una caída de TI, en esta caso el CEO está preocupado por la producción del coche y no por los servicios TI.

En todo caso si se reporta una perdida en el inventario estamos hablando de un problema de negocio. Si hay un problema de negocio,  el área de TI y de seguridad deben informar las cosas que necesitan ser corregidas cada uno desde su ámbito. Al equiparar el problema de negocio con los elementos TI y de seguridad necesarios y que impactan en el problema estamos habilitando a la empresa a ser más eficiente, aumentar la producción y, como consecuencia, aumentar los beneficios.

Hay que eliminar la cultura de desconectar, que consiste en que la seguridad es un problema técnico que puede ser resuelto por TI, los problemas técnicos deben ser resueltos por los administradores u operadores de TI y los de seguridad deben ser resueltos por los responsables de seguridad TI.

Hay que direccionar dentro de la gestión del riesgo la seguridad TI, se estima que sólo el 30% por ciento de las organizaciones adoptan un enfoque basado en riesgos para la seguridad TI. En lugar de ser los defensores de la organización, los administradores de seguridad de TI están interesados ​​en ser facilitadores de ese equilibrio entre la necesidad de proteger y las necesidades para ejecutar el negocio.

Un responsable de seguridad no se preocupa de si un hacker hará un ataque a la página de la compañía, un responsable de seguridad se preocupa de preparar la compañía para afrontar riesgos mediante la implementación de medidas y prácticas.

La seguridad no es una persona al lado de un firewall, la seguridad es desarrollar programas de riesgos alineados con las necesidades del negocio.

Análisis de Riesgo TIC

La provisión de servicios TIC pasa por el correcto funcionamiento de una serie de activos, cada uno de ellos con su función específica. Si alguno de estos activos se ve comprometido por la materialización de una determinada amenaza, el propio servicio se verá afectado. Para determinar el nivel de riesgo real de una entidad hay que realizar un análisis de riesgo.

La primera actividad a realizar en un análisis de riesgos es identificar cuáles son los activos que soportan los sistemas de información de la organización.

Un activo es cualquier elemento que tenga valor para la entidad, desde un PC concreto, a un recurso de red o una persona física necesaria para el desarrollo de una actividad.

Con el objetivo de estructurar la información de forma coherente, los activos han de estar clasificados en función de su naturaleza, intentado usar un modelo por capas. Esto permitirá clasificar los sistemas diferenciando la funcionalidad de los activos entre sí, y además facilitará próximos pasos, como definir sus dependencias.

El análisis puede empezar a estructurarse según necesidades específicas, los activos pueden ser des del tipo proceso de negocio, pasando por el personal que trabaja y hasta una ubicación física. Por ejemplo, en el siguiente grafico se representa cada tipo de activo según su tipo y funcionalidad:

Se ha de desglosar el análisis bajando hasta los niveles más básico de la estructura, es decir dentro de Sistemas de Información en el apartado de Comunicaciones se debería profundizar mucho más, por ejemplo separando los activos de hardware necesario para soportar el sistema de comunicaciones, de los propios servicios de redes que puedan existir en la entidad.

Con la creación de dichas dependencias el cálculo del nivel de ruido tendrá en consideración que en el caso de materializarse una amenaza sobre un determinado activo, todos los elementos que dependan de él también sufrirán sus consecuencias.

Un ejemplo de dependencias de un proceso genérico podría ser el siguiente:

De esta forma se introducen una a una todas las dependencias entre los elementos que soportan los sistemas de información, obteniendo como resultado una base de datos de configuración de tipo relacional de los servicios TIC de la entidad.

A nivel conceptual es fácilmente apreciable que no todos los elementos son igual de críticos. No supondrá el mismo impacto la indisponibilidad de un servicio crítico para la actividad diaria que la de un entorno de pruebas, por ejemplo.

La anterior lógica se aplica a todas las dimensiones de un mismo servicio. La indisponibilidad temporal de un servicio puede no tener consecuencias graves, y sin embargo, un escape de la información que se trata pudiera suponer un impacto enorme para la organización.

Cuando se habla de valorar los activos, intuitivamente se piensa en el coste de sustitución de un determinado elemento físico, pero esta es solo una de las variables que se han de considerar cuando se han de valorar los activos informáticos, y normalmente no acostumbra a ser más significativa. En este sentido la valoración de activos trata de mostrar cual sería el impacto global en una organización en caso de que alguna de las dimensiones de seguridad se viera comprometida. 

Un ejemplo sería, si un servicio automatizado no se encuentra disponible para la operativa diaria, en este caso se tendrá que valorar cual es el impacta económico que genera la paralización (tiempo de parada del personal, esfuerzo necesario para recuperar el tiempo perdido, posible pérdida de producto generada por la incapacidad logística, penalizaciones debidas a incumplimientos de compromisos contractuales…) pero también hay que medir aspectos intangibles, como por ejemplo los daños en la imagen de la organización. La suma de todas estas variables da como resultado la valoración del activo en cuestión.

Utilizando estos criterios para valorar los activos identificados, el resultado es una matriz con todos los servicios de la organización y una valoración de estos para cada una de las dimensiones de seguridad.

• D: Disponibilidad
• I: Integridad
• C: Confidencialidad
• A: Autenticidad
• T: Trazabilidad

Una vez identificados y valorados los activos, el siguiente paso es identificar cuáles son las amenazas que, es caso de materializarse, pudieran comprometer la seguridad.

Bajo este concepto está el análisis de las particularidades de la organización, es decir, quienes pueden ser los posibles atacantes y su interés, como trabajan los usuarios, cual es el entorno físico y lógico donde se encuentran los sistemas, etc. Con esta información será posible identificar como es de probable que una determinada amenaza acabe materializándose sobre un servicio.

Algunos ejemplos de amenazas que pueden afectar a  un CPD o componente electrónico son:

Una vez analizados todos estos aspectos es el momento de analizar qué protecciones hay aplicadas de cara a reducir el riesgo potencial existente. Estas  medidas de protección son las conocidas como salvaguardas.

En términos generales, las salvaguardas se caracterizan, además de por su existencia, por su eficacia delante del riesgo que han de mitigar. De manera ideal, la salvaguarda es 100% eficaz, ya que combina dos factores:

·         Des del punto de vista técnico:

ü  Es técnicamente idónea para afrontar el riesgo que protege.

ü  Se utiliza siempre.

·         Des del punto de vista de operación de salvaguarda:

ü  Esta perfectamente desplegada, configurada i mantenida.

ü  Existen procedimientos de uso normal.

ü  Los usuarios están formados y concienciados

ü  Existen controles de aviso para posibles fallos.

Identificadas todas las salvaguardas que resultan de aplicación en función del tipo de activos existentes, es el momento de valorar qué medidas de protección se encuentran implementadas  i que nivel de madurez tienen.

Para realizar este último proceso de medidas de protección es recomendable valorar los controles de la ISO 27002.

La norma incluye 114 controles divididos en  35 objetivos de control y en 14 dominios. Lo que se pretende es obtener el nivel de madurez  de la organización con respecto a cada uno de los dominios de seguridad. Entre ellos, por ejemplo, el de políticas de seguridad establecidas, o la organización de la seguridad de la información en la compañía, la protección de los recursos humanos, también sobre  continuidad de negocio o el  cumplimiento normativo, entre otros aspectos.

Una vez analizados todos los puntos expuestos ya se puede extraer como conclusión el valor de riesgo real al que la organización está expuesta. Este siempre es mitigable con unas buenas estrategias de recuperación en caso de desastre.

Marco de seguridad de datos accedidos por terceros en 5 pasos

La seguridad de los datos ha estado entre las tareas prioritarias del responsable de seguridad. En la actualidad esta tarea ha cobrado mayor importancia debido a los siguientes factores:

• Incremento de los requerimientos de cumplimiento de la legislación vigente sobre protección de datos personales, protección de datos de tarjetas de debido y crédito, blanqueo de capitales, entre otros requerimientos regulatorios.

• Los datos del negocio son accedidos desde distintos puntos, distintos repositorios y por diferentes tipos de usuario empleados, operadores/administradores/programadores de las compañías de servicios TI contratadas.

• La creciente externalización de servicios a proveedores de TI (comunicaciones, alojamiento de servidores, explotación de sistemas, etc).

• Incidentes de pérdida de datos,  sanciones e investigaciones de  organismos reguladores locales y Europeos.

Para construir un Marco de gestión de la seguridad de datos accedidos por terceros, aconsejamos seguir los siguientes pasos:

1. Definir el enfoque global para la identificación y categorización de proveedores:

• Crear un inventario de proveedores.
• Evaluar el riesgo de seguridad de datos.
• Priorizar y clasificar los proveedores por el nivel de seguridad de datos.
• Desarrollar e implementar un programa para mitigar los riesgos identificados.

2. Estandarizar el procesos de gestión de la seguridad del acceso a datos por terceros:

• Revisión anual de contratos.
• Definición obligaciones contractuales basadas en requerimientos de seguridad.
• Desarrollar e implementar indicadores de seguimiento y revisar de forma periódica dichos indicadores.
• Definir reuniones de seguimiento de los requerimientos de seguridad con los proveedores.
• Definir un calendario de visitas anuales/regulares según el tipo de proveedor.
• Realizar auditorias a las operaciones del proveedor.
• Establecer requerimientos adicionales de seguridad a los proveedores de riesgo alto.

3. Definir el marco de seguridad de datos:

• Desarrollar e implementar las políticas y procedimientos con los requerimientos de seguridad dirigidos a terceros que acceden datos personales y del negocio.
• Definir controles técnicos para el control de accesos, caducidad de conexiones remotas, registros de auditoria para la descarga de datos, traspaso de programas al entorno de producción, etc.
• Definición de roles de usuario con accesos específicos, asignación de privilegios basados en funciones específicas.
• Revisión mensual de accesos asignados, supervisar la rotación de personal del proveedor
• Establecer un programa de concienciación del personal interno y del proveedor.

4. Definir roles y responsabilidades:

• Establecer el rol de responsable del servicio en ambas partes (tanto en la compañía como en el proveedor).
• Establecer responsabilidades a los responsables.
• Definir una matriz RACI incluyendo a todos los niveles que intervienen en la prestación del servicio.
• Establecer el proceso de revisión de los roles cuando se realicen cambios en el servicio.

5. Monitorizar la ejecución del marco de gestión:

• Revisión de la ejecución de indicadores de seguimiento.
• Revisión de la ejecución de los controles técnicos, registros de auditoria, cambios de claves de acceso, etc.
• Revisión de la aplicación de las políticas y procedimientos definidos, revisiones de accesos, autorizaciones, actas de reuniones con el proveedor.

Gobierno de la Seguridad de la Información

El marco de Gobierno de la Seguridad de la Información es el sistema mediante el cual se dirigen y controlan las actividades de seguridad de la información de la organización.

La Gobernanza de la seguridad busca alinear los objetivos y estrategias para la seguridad de la información con los objetivos y estrategias del negocio …

… teniendo en cuenta la legislación vigente, regulaciones y contratos …

… mediante la guía e implementación de una aproximación basada en riesgos …

… soportada por un sistema de control interno.

Los principios que establece la norma ISO 27014 establecen una buena base para la implementación de los procesos de gobierno de la seguridad de la información:

1. Establecer responsabilidad con respecto a la seguridad de la información en toda la organización. En este sentido:

• ¿La seguridad de la información se gestiona a un nivel de la organización que permita la toma de decisiones?
• ¿Las actividades asociadas a la seguridad lógica y física se realizan de forma coordinada?.
• ¿La responsabilidad y rendición de cuentas con respecto a la seguridad se establece a través del ciclo completo de las actividades de la organización incluidos terceros?.

2. Adoptar una aproximación basada en el riesgo. En este sentido:

• ¿Las decisiones se toman en función del riesgo?.
• El nivel aceptable de seguridad ¿se basa en el apetito al riesgo de la organización?, ¿se incluye en él la posible pérdida de ventaja competitiva, riesgos de cumplimiento y responsabilidad, interrupciones operativas, pérdida financiera y daño a la reputación?.
• ¿Se asignan los recursos apropiados para implementar la gestión de riesgos en la organización?.

3. Establecer la dirección de las decisiones de inversión en seguridad de la información. En este sentido:

• ¿La estrategia de inversiones en seguridad de la información se establece en función de los resultados de negocio alcanzados?.
• ¿Las inversiones en seguridad se integran con los procesos generales existentes para las inversiones y gastos de la organización?.

4. Asegurar conformidad con los requerimientos internos y externos. En este sentido:

• ¿Se garantiza que las políticas y prácticas son conformes con la regulación y legislación existente, con los compromisos y contratos de la organización y con otros requerimientos internos o externos?.
• ¿Se realizan auditorías de seguridad independientes?.

5. Fomentar un entorno positivo respecto de la seguridad. En este sentido:

• A la hora de implementar la gobernanza de la seguridad, ¿se tiene en cuenta el comportamiento humano, incluyendo la evolución de las necesidades de las partes interesadas?
• ¿Se exige, promueve y apoya la coordinación de las actividades de las partes interesadas para alcanzar una dirección coherente de la seguridad (educación, formación y programas de concienciación)?.

6. Revisar el rendimiento en relación a los resultados de negocio. En este sentido:

• ¿La aproximación tomada para proteger la información es adecuada al propósito de apoyar la organización proporcionando niveles acordados de seguridad de la información?.
• ¿Se mantiene la seguridad en los niveles requeridos para alcanzar los requerimientos actuales y futuros del negocio?.
• ¿Se evalúa la seguridad en relación a su impacto en el negocio y no sólo en base a la eficacia y eficiencia de los controles?.

El modelo para la implementación del gobierno de la seguridad de la información, según la norma ISO 27014 es el siguiente:

IT shadow (I) : BYOD – Seis Prácticas de seguridad

Ya sea que su organización tenga una Política Bring Your Own Device (BYOD) establecida o no, no es menos cierto que los usuarios (empleados, estudiantes)  ya están trayendo sus propios dispositivos bien sea a la oficina o instalaciones de trabajo. Mientras que los teléfonos inteligentes y las tabletas son los sospechosos de siempre, la " consumerización " de TI se extiende a ordenadores portátiles personales e incluso los ordenadores de casa.

Las empresas que se resistían a esta tendencia se están dando cuenta de que hay muchos beneficios al dejar que los empleados  utilicen sus propios ordenadores portátiles y dispositivos de mano, incluido el reducido costo y aumento de la productividad de los usuarios.

Retos de seguridad relacionados a programas BYOD:

• ¿Puede TI gestionar y dar soporte eficazmente a dispositivos de propiedad auto- configurados por los empleados y contratistas?

• ¿Cómo se proporcionará a estos empleados y contratistas acceso seguro a las redes corporativas, aplicaciones y datos utilizando los “endpoints”?

• ¿Cómo proteger los datos corporativos y aplicaciones de malware y acceso no autorizado a través de los “endpoints”?

• ¿Se puede aislar con eficacia las aplicaciones y los datos personales y de la empresa en el mismo dispositivo? 

	Consideraciones	Descripción
Empleados	Interés en BYOD	Porcentaje de empleados interesados en adoptar BYOD Porcentaje de empleados que utilizan dispositivos personales para trabajar hoy por hoy
	Expectativas	Identificar las expectativas alrededor del BYOD (dispositivos o plataformas específicas)
	Derechos actuales	Usuarios que tienen derecho actualmente a los dispositivos propiedad de las empresas. ¿Por qué? ¿Cuáles son los costos (hardware, software, servicios, etc)?
Procesos	Gestión de dispositivos	Procesos implementados para la gestión de dispositivos (backup, gestión de software/aplicaciones) Gestión de dispositivos perdidos o robados (bloqueo/borrado remoto)
Tecnología	Seguridad	¿Cuáles son las políticas y prácticas actuales de seguridad en la actualidad?  (gestión centralizada de datos locales, cifrado y  copia de seguridad) ¿En qué medida las prácticas de seguridad existentes pueden limitar las oportunidades BYOD?
	Herramientas	¿Qué herramientas / soluciones se utilizan hoy en día para la gestión de dispositivos? ¿Cuáles son los costos? (hardware, software, servicios, apoyo)?

Riesgos del BYOD

Que los usuarios consulten el correo electrónico y el calendario desde su propio teléfono o tableta es una cosa, pero trabajar con aplicaciones críticas de negocio es otra.

Con los dispositivos personales, la fuga de datos (data leakage) es una preocupación importante. Muchos de estos dispositivos almacenan datos en la nube, donde los datos se pueden duplicar fácilmente entre las aplicaciones y otros dispositivos.

Además, debido a sus características de tamaño y forma, los teléfonos inteligentes y las tabletas pueden ser fácilmente perdidos o robados o colocados en lugares no custodiados apropiadamente,  creando la oportunidad a usuarios malintencionados.

Dispositivos personales no administrados accediendo a aplicaciones empresariales introducen el riesgo añadido de “endpoints” de no confianza en la red interna. Para minimizar el riesgo de infección por malware o la fuga de datos, las empresas deben establecer políticas sobre quién tiene permiso de acceso a qué datos y aplicaciones corporativas a través de la red.

Tabla resumen de riesgos

Tipo de riesgo	Riesgo
Internos	Los empleados pueden estar insatisfechos por la limitada selección de dispositivos compatibles.
	Las organizaciones pueden estar expuestas a problemas de responsabilidad derivados de uso de los dispositivos o las implicaciones que plantean los reembolsos (ayudas para la compra de dispositivos) proporcionados a los empleados.
	Costos incrementales por dar soporte a demasiados dispositivos con procesos de soporte ineficientes.
	Uso no adecuados de los dispositivos por parte de los empleados pueden originar riesgos de seguridad adicionales.
Externos	Los competidores pueden tener ventajas de productividad si su programa BYOD no está definido y ejecutado adecuadamente.
	La organización puede estar expuesta a riesgos regulatorios que resultan de las violaciones de datos personales, pérdida de información, etc.
	Mal manejo de la información personal puede convertirse rápidamente en conocimiento público e impactar en la reputación.
	El aumento del nivel de diversidad y complejidad de los dispositivos puede impactar en las capacidades técnicas para la gestión de estos dispositivos.

Seis prácticas de seguridad

1. Establecer políticas y expectativas claras

• Su política debe cubrir por lo menos los siguientes aspectos:
• Opciones del dispositivo
• Participación
• Condiciones de uso
• Cancelación
• E-discovery/Forensics
• Soporte

2. Crear un espacio de trabajo separado seguro

Los beneficios de la contenerización para entornos BYOD / PC son:

• Cumplimiento de las políticas.
• Borrado remoto de datos.
• Separación de datos y aplicaciones personales y de trabajo.
• Cifrado de datos.
• Gestión de contenedores vs gestión de múltiples dispositivos.
• Única consola para gestionar las políticas en función del perfil del usuario.

3. Proteger la red

• Segmentar y asegurar la red para que coincida con la estrategia BYOD / PC.
• Los empleados que usan dispositivos personales sólo deben tener acceso a la red de invitados.
• Sólo deben aceptarse conexiones desde aplicaciones que se ejecutan en los espacios de trabajo seguros.

4. Hacer cumplir las políticas de contraseñas 

• Utilizar el enfoque de espacios seguros, para hacer cumplir las políticas de acceso específicas del espacio.
• Utilizar  autenticación de dos factores.
• Establecer políticas de contraseñas no demasiado complejas.

5. Direccionar los mandatos de cumplimiento y gestión de riesgos

• Minimizar los riesgos de negocio asociados a la instalación de aplicaciones y datos corporativos en los dispositivos que no son propiedad de la compañía.
• Implementar funcionalidades de eliminar los datos corporativos en un ordenador o un dispositivo que se pierde o es robado, o cuando un empleado o contratista deja el negocio.
• Implementar acuerdos BYOD firmados por los empleados, proveedores, etc.
• Mantener los datos empresariales y aplicaciones claramente segregados en el dispositivo personal.

6. Comenzar con un grupo piloto

• Iniciar la iniciativa de BYOD / PC, con un grupo limitado dentro de la empresa.  
• Trabajar con un grupo reducido permite identificar diversos aspectos de tipo legal, de aplicación, seguridad y de usuario que puedan surgir.
• Considerar el grupo de  o proveedores como marco de prueba donde puede " exigir " la práctica BYOD / PC.
• Una vez que se haya ejecutado el piloto y resuelto cualquier problema, se debe iniciar el despliegue de las políticas BYOD / PC a otros grupos.

Gestión del Riesgo

La seguridad de la información es el conjunto de medidas preventivas y reactivas de las organizaciones y de los sistemas tecnológicos que permiten resguardar y proteger la entidad buscando mantener la confidencialidad, la disponibilidad e integridad de la misma.

Para ello existen una serie de estándares, protocolos, métodos, reglas, herramientas y leyes concebidas para minimizar los posibles riesgos a la infraestructura o a la información.

Una de las técnicas para evaluar en una entidad su nivel de Seguridad es realizar un análisis de Riesgos. El estudio puede incluir la visión de negocio, si se realiza el estudio después de la realización del Análisis de Impacto sobre el Negocio BIA (Business Impact Analysis).

La realización del análisis de riesgos proporciona a las organizaciones una visión de la situación en cuanto al nivel de protección de los sistemas de información. Por este motivo, se constituye como uno de los pilares fundamentales a la hora de conocer de manera de detallada la infraestructura y el funcionamiento interno.

Con el análisis de riesgo sobre los sistemas de la organización se conseguirán los siguientes objetivos:

• Identificar y valorar los procesos más críticos de negocio, con el propósito de identificar el nivel de protección adecuado.
• Determinar i evaluar las amenazas existentes, determinando su grado de efectividad para hacer frente a los riesgos existentes.
• Calcular el nivel de riesgo, existente, de forma que la organización conozca con detalle la probabilidad de materialización de cada una de las amenazas y el impacto que estas pueden ocasionar.

Para efectuar un análisis de riesgos con garantías, entre otras, se puede seleccionar la metodología MAGERIT, elaborada por el ‘Consejo Superior de Administración Electrónica’.

MAGERIT es el acrónimo de ‘Metodología de Análisis y Gestión del Riesgo de los Sistemas de Información’, y nace para minimizar los riesgo asociados al uso de los sistemas informáticos y telemáticos, garantizando su autenticidad, confidencialidad, integridad y disponibilidad de dichos sistemas y generando así la confianza en el usuario de los mismos.

A nivel conceptual, MAGERIT se basa en la evaluación y relación lógica de los siguientes conceptos:

Tal y como muestra el esquema, todo el análisis gira entorno de los conceptos:

• Activo: elemento que tiene un valor para la organización
• Amenaza: acontecimiento que supone un impacto negativo sobre el activo y
• Salvaguarda: medida implantada para proteger el propio activo

Los objetivos principales son:

1. Determinar los activos relevantes para la organización, su interrelación y su valor, en el sentido de qué perjuicio supondría su degradación.
2. Determinar a qué amenazas están expuestos dichos activos
3. Determinar qué salvaguardas hay dispuestas y cuán eficaces son frente al riesgo.
4. Estimar el impacto, definido como el daño sobre el activo derivado de la materialización de la amenaza.
5. Estimar el riesgo, definido como el impacto ponderado con la tasa de ocurrencia (o expectación de materialización de la amenaza).

Llegando finalmente a un concepto MEDIBLE que es el riesgo al que la entidad queda expuesta, es decir a una vulnerabilidad provocada por una amenazada.

Conviene aclarar la existencia de dos variables de riesgo diferenciadas. La primera de ellas se acostumbra a nombrar RIESGO POTENCIAL, es decir el riesgo al que estaría expuesta la organización sino existiera ningún tipo de salvaguarda implantada. Todo y ser un valor de riesgo ‘ficticio’ es un valor muy práctico en el momento de implementar nuevas salvaguardas en la entidad, ya que permite simular la evolución del nivel de riesgo a medida que se introducen nuevas medidas de seguridad. En cambio, el RIESGO RESIDUAL se ha de considerar como el nivel de riesgo actual, y por tanto la base sobre la cual se estructuraran los planes de continuidad de los servicios prestados.

Existen herramientas, como el software EAR/PILAR, diseñadas para gestionar de manera eficiente los riesgos según la metodología expuesta.   

Con esta información, juntamente con los requisitos de las normativas aplicables, la organización/entidad podrá seleccionar y priorizar aquellas medidas técnicas que permitan mejorar de manera eficiente el nivel de seguridad de sus sistemas de información.