Mostrando entradas con la etiqueta buenas prácticas. Mostrar todas las entradas
Mostrando entradas con la etiqueta buenas prácticas. Mostrar todas las entradas

viernes, 31 de octubre de 2014

Tu Otra Identidad - Identidad 2.0

Afirmar que las redes sociales hayan llegado para quedarse es hoy en día indiscutible. Las propias cifras lo demuestran claramente: 700 millones de usuarios en Facebook, 200 millones en Twitter y más de 7 millones para la española Tuenti hacen que el no estar en una red social sea cada vez más la excepción a la regla. Esta irrupción de las redes sociales en nuestras vidas presenta nuevos e importantes retos desde el punto de vista de la privacidad o la protección de datos y la seguridad en general.

La Identidad 2.0 o también conocida como identidad digital, es el nuevo concepto de identidad. Por definición es el rastro que cada usuario de internet deja en la red como resultado de su interrelación con otros usuarios o con la generación de contenidos en portales web y redes sociales. Es decir, estamos hablando de una consecuencia directa de la evolución tecnológica y de comunicación, concretamente del término bautizado como comunicación 2.0.


Los elementos que integran la identidad digital, y que por tanto permiten a las personas diferenciarse frente a otras en ámbitos concretos, son los rasgos de identidad o atributos informativos. Forman parte de estos datos tu nombre y apellidos, la dirección de correo electrónico, los datos de contacto, las fotografías o vídeos, tu información laboral, aficiones o incluso preferencias políticas, religiosas o sexuales. En definitiva, es un rasgo de identidad cualquier pieza de información personal que forme  parte del puzle de la identidad online.  

En general, hay dos categorías principales que componen tu identidad digital:
  • Categoría Profesional – es tu huella profesional  y es fácil de entender, se refiere a tu trabajo, tu profesión, tu puesto, y es información que compartes en lugares como LinkedIn, tu blog o el sitio web de tu empresa. 
  • Categoría Personal – en este caso es un poco más complicado de identificar, cuando pensamos ‘personal’ lo relacionamos tal vez con privado,. Sin embargo redes sociales como Facebook y Google+, hacen que el concepto de   vida privada lo sea un poco menos, aun sin ser conscientes de los riesgos que esto conlleva desde el punto de vista de la seguridad y el tratamiento de nuestros datos.
Por tanto es muy importante  tener en cuenta que tu identidad digital la vas definiendo tú mismo con lo que compartes, tu presencia e interacción en las diferentes redes sociales, blogs, foros, sitios web, etc. El quién eres, es una pregunta que vas contestando incluso en ocasiones sin darte cuenta, realmente al final del camino somos nosotros como usuarios quien determinamos a través de la información que publicamos que tanto de privacidad queremos tener en la red.

Hoy en día ya es todo un habito “Googlear” el nombre de alguien para conocer quién es, por eso es importante cuidar tu identidad online.

Es de lógica entonces que nuestra identidad digital también conlleve una reputación digital, que nos va a ser difícil separar de nuestro yo. Los problemas se pueden agravar aún más por la propia persistencia de la información en Internet. Todo lo que se hace, bueno o malo, queda grabado casi para siempre. Y, asumiendo que Internet se extiende cada vez más a todos los ámbitos, sin duda este será otro de los aspectos que provoque que el “derecho al olvido” vaya a ser uno de los caballos de batalla de la privacidad en Internet durante la próxima década.

Gestionar este término conocido también como Reputación 2.0 para una persona física ya se ha visto que puede ser complicado, pero si hablamos de una entidad u organización empresarial el tema se complica en exceso.

Una entidad jurídica tiene, por descontado, su propia identidad en la red y con ello su consecuente reputación, pero ¿hasta qué punto está reputación se puede ver afectada por la reputación de un usuario que en su categoría profesional tenga indicaciones de la entidad para la que trabaja?

Es algo difícil de evaluar y actualmente también prácticamente imposible de gestionar sin un adecuado marco de gobierno. Todo lo expuesto invita a reflexionar en la inminente necesidad de crear procedimientos para gestión de la identidad digital en el ámbito corporativo con a finalidad de garantizar la protección de la imagen o reputación. 

La solución pasa por controlar mediante la aplicación de políticas corporativas el uso que los empleados puedan hacer de su identidad en el ámbito laboral dentro de las redes sociales, para evitar con ello problemas de imagen sobre la empresa para la cual una persona física presta sus servicios.

Por eso se debe tener en mente que lo que se comparta online y firmes con tu persona, tarde o temprano puede ser visto por cualquiera. Así hay que procurar no compartir nada que realmente no se quiera compartir con TODO el mundo y que por tanto desde ese momento  sea de dominio público.


Se puede afirmar que aprender a interactuar con terceros y manejar aspectos básicos de personal  o construcción de una marca personal puede convertirse en algo esencial para el desarrollo de la personalidad y el futuro social y profesional.

Sin duda la conclusión que mejor se adapta al mensaje que se quiere transmitir es una frase de Julio Alonso, fundador y Director General de Weblogs SL, una de las principales empresas españolas de contenidos especializados en Internet donde dice: “Dedicar esfuerzo a construir tu propia identidad digital ya no es opcional. Es un acto de pura responsabilidad”.


lunes, 20 de octubre de 2014

Seguridad en las redes sociales del negocio



“Social Media" se define como el uso de aplicaciones basadas en Internet o las capacidades de difusión para difundir y / o colaborar en la información.

... Cualquier persona con un dispositivo conectado a Internet puede, con (casi) un anonimato y sin responsabilidad, participar en la compartición de información pública o privada o inclusive en la  desinformación, en función de los privilegios de acceso a un sitio web de Social Media.

Perspectiva general de la gestión de las redes sociales en el negocio



Riesgos claves

  1. Divulgación de información sensible (privilegiada) accesible a personas no autorizadas.
  2. Incumplimiento de requisitos legales y reglamentarios.
  3. Pérdida de la ventaja competitiva.
  4. Pérdida de confianza de los clientes.
  5. Pérdida de la reputación.
  6. Difusión de información falsa o fraudulenta.
  7. Uso inapropiado o no autorizado de la propiedad intelectual de la compañía, como logotipos o material de marca registrada.

Gestión de las redes sociales



Gobierno
  • Realizar un análisis de riesgos antes de iniciar el proyecto de social media.
  • Re-ejecutar el análisis de riesgos cuando los recursos o infraestructura  social media sean modificados.
  • Incluir la información de social media en el esquema de clasificación de la información de la compañía.

Políticas y procedimientos
  • La dirección debe definir políticas claras para social media que cubran áreas como:
    • Empleados: Uso de social media para fines de negocio.
    • Procedimientos de gestión para las cuentas social media de la compañía.
    • Uso de dispositivos móviles de la compañía para acceder a los canales social media.
  • Revisiones legales de los acuerdos de usuario de programas de social media.

Personas
  • Incluir aspectos relacionados a social media en los programas de formación y concienciación de seguridad.
  • Definir la responsabilidad de RRHH para ejecutar políticas relacionadas con social media.
  • RRHH debe establecer y distribuir las consecuencias definidas para la violación de las políticas de social media.

Tecnología
  • Antimalware y el software antivirus debe utilizarse para proteger a la organización, incluyendo los procedentes de sitios de social media comprometidos.
  • Respuesta a incidentes de riesgos  de social media deben ser incluidos en el plan de respuesta de seguridad de la información.
  • Implementar herramientas de filtrado de contenidos y de monitorización y revisarlas periódicamente.
  • Monitorizar la infraestructura de social media.


martes, 1 de julio de 2014

“Indisponibilidad Personal Crítico” Un Escenario de Continuidad en Desarrollo

Desde hace años los profesionales de la continuidad llevamos tiempo tratando escenarios de desastre de todo tipo en las diferentes organizaciones: indisponibilidad sede, indisponibilidad sistemas TI, indisponibilidad proveedores… De todos estos escenarios y en base a la experiencia y al trabajo realizado, se ha conseguido establecer  un know how  que permite a las organizaciones no partir de cero, siendo el escenario más contemplado y trabajado en las empresas el Plan de Recuperación frente a Desastres (que aborda la indisponibilidad de los sistemas TI).


Sin embargo en relación con el personal clave de las empresas no hay mucho trabajo realizado. Son numerosos los países que en los últimos años han sufrido algún tipo de pandemia, o países en los cuales hay revueltas importantes que implican huelgas severas con duraciones prolongadas. Las personas son activos muy importantes en las empresas y en algunos casos la indisponibilidad de ciertos roles críticos puede suponer la interrupción de actividades vitales para el negocio o la pérdida de know how para la organización.


Actualmente muchas organizaciones disponen de Planes de Sucesiones en los cuales se tiene identificado el personal clave de cada departamento y donde para cada uno de ellos se ha definido un sucesor de emergencia (para bajas de hasta 6 meses) y un sucesor primario (para bajas más prolongadas en el tiempo). En estos planes de sucesión se analiza:

§  si a nivel individual se tienen identificadas las competencias que cada empleado necesita desarrollar para ejecutar el trabajo y asegurar una carrera a largo plazo
§  Si a nivel de negocio se tiene identificadas las competencias  y el diseño organizacional  para soportar los procesos requeridos por el negocio
§  Los aspectos de formación necesarios para desempeñar futuras tareas de determinados roles/cargos (críticos)
§  Identificación de las áreas con conocimiento compartido y multidisciplinar (entre roles de la misma área y entre diferentes áreas)

Sin duda este Plan de Sucesión es un gran primer paso  que permite a la organización disponer de una estrategia de recuperación formalizada ante bajas puntuales de personal clave. Sin embargo este plan no cubre el escenario de una indisponibilidad de personal más generalizada  como por ejemplo la baja simultánea de varias personas clave en una misma área o en varias, o la indisponibilidad de un departamento entero… Las causas pudieran ser variopintas, una pandemia, una huelga generalizada, una sucesión de casuísticas, un accidente en un viaje corporativo… Para estos escenarios es imprescindible disponer de políticas y de controles que permitan mitigar estos riesgos (políticas sanitarias, políticas de viajes, etcétera…) pero el siguiente reto que la organización debe abordar es la elaboración de un Plan de Indisponibilidad Generalizada de Personal Crítico que garantice la existencia de una estrategia clara para un escenario de este tipo (poco probable pero con consecuencias que pudieran ser muy importantes). Debido a la alta dependencia que las organizaciones desarrollan del personal, no es sencillo definir estrategias robustas que permitan cubrir este escenario, pero en base a nuestra experiencia, los pilares sobre los que se sustenta este plan y que permiten alcanzar la resiliencia en el capital humano de una organización son:

§  Políticas y Comunicaciones: Definición de políticas específicas como baja por enfermedad, política de viajes y formalizarlas a fin de establecer canales de comunicación en caso de desastre
§ Educación de los empleados y soporte: Formar y capacitar a los empleados en la continuidad de negocio y en los planes existente que abordan escenarios.
§  Infraestructura Virtual / Teletrabajo: Establecer vías alternativas de trabajo remoto.
§  Formación Profesional: Redundar el know-how y preparar al personal para asumir roles de más responsabilidad.
§  Gestión del Talento: Plan de Sucesiones a corto y largo plazo.
§  Sistema de RRHH: preparar al departamento de RRHH para dar soporte durante una crisis y activar los procesos críticos del área, pago de nóminas, subcontratación durante la crisis…
§ Cultura de Organización: Involucrar a los empleados en la cultura de continuidad de negocio, dándoles las herramientas a los empleados para que vean que en caso de desastre es su responsabilidad ejecutar en modo degradado su trabajo. 


Sin duda, este es un escenario muy importante a contemplar y en el que todavía nos queda un largo camino que recorrer a muchas organizaciones, pero la implantación de estos pilares nos debe hacer dar un paso más hacia la resiliencia.


jueves, 12 de junio de 2014

Cómo resolver el problema de la ejecución


Uno de los grandes problemas de los CIOs, sino el más importante, consiste en ser capaces de generar cambios en el comportamiento y forma de trabajar de su equipo. Muchas veces, la Dirección de TI se encuentra con la necesidad o el objetivo de implementar metodologías, mejores prácticas que “profesionalicen” el funcionamiento del departamento y permitan hacer un uso más eficaz y eficiente de los recursos de TI.


Estamos hablando, por ejemplo, de proyectos encaminados a mejorar el gobierno y gestión de los servicios de TI que soporta y ofrece el Departamento de TI, o de proyectos asociados a la mejora, también, del gobierno y gestión de la seguridad de TI tanto en el ámbito de riesgos como en el de cumplimiento.

Algunas veces la escasez de personal, otras la exigente operativa diaria y muchas veces la propia resistencia al cambio de las organizaciones, hacen muy difícil la puesta en marcha de estos proyectos de mejora. En estos casos el reto está en la ejecución, es decir, en cómo ejecutar estos proyectos de manera que puedan convivir con el día a día y obtener, a su vez, los resultados esperados.

Al ser este un problema más común de lo habitual he querido compartir con vosotros una aproximación que descubrí hace tiempo y que recuperé últimamente. Se trata de “The 4 Disciplines of Execution” (4DX) de Chris McChesney, Sean Covey y Jim Huling. Al final os dejo un par de enlaces donde podréis encontrar información.

Básicamente 4DX trata de explicar cómo conseguir alcanzar objetivos importantes efectuando el cambio necesario en el comportamiento del personal que permita su consecución. Las 4 disciplinas son:
  1. Focalizarse en lo realmente importante.
  2. Actuar sobre los indicadores de rendimiento (KPIs).
  3. Utilizar un cuadro de mando que garantice el compromiso contínuo.
  4. Crear una cadencia de rendición de cuentas.

http://www.franklincovey.com/tc/solutions/business-execution-solutions

martes, 20 de mayo de 2014

Aspectos a tener en cuenta en proyectos de Gestión de Identidades


El acceso a la información es de primordial importancia. Tras muchos años intentando facilitar y automatizar el acceso a la información, también se han generado otra clase de problemas:
  • Accesos no permitidos a información confidencial.
  • Usuarios activos eternamente en los sistemas.
Los sistemas aumentan y el número de usuarios también. Pero no solo aumentan en número sino también en diversidad.
  • Se diversifican los sistemas de control de privilegios de accesos, mecanismos de seguridad, repositorios e interfaces.
  • La diversificación de usuarios y sistemas provoca, entre otros:
    •  un aumento en la plantilla de IT para la administración y mantenimiento de los sistemas,
    • experiencias poco satisfactorias de los usuarios al tener credenciales distintas en sistemas distintos.
  • Se tiene que conseguir homogeneizar los mecanismos de control de acceso a la información.
En la actualidad las entidades, ante los nuevos avances y requisitos de interconexión, se encuentran con:
  • Sus usuarios necesitan múltiples contraseñas para acceder a sus aplicaciones.
  • Otros proveedores deben permitir el acceso a los usuarios de las entidades.
  • El tiempo medio para que un empleado empiece a trabajar con los sistemas internos es 5 días. (en el mejor de los casos).
  • La información de los usuarios está distribuida en multitud de repositorios.
  • Los sistemas se vuelven complejos y heterogéneos.
  • Aumentan los costes de los departamentos de IT.



Problemática a resolver:
  • Disminución de costes de administración IT.
  • Mejora de la visión de seguridad de nuestros sistemas.
  • Flexibilidad en la interacción con otros proveedores.
  • Mejora de la satisfacción de los usuarios/clientes al interactuar en nuestros sistemas.
  • Robustez en la arquitectura de seguridad.
  • Disminución de los costes de desarrollo de nuevas aplicaciones de negocio.
Los objetivos de un marco de gestión de identidades deben estar basados en un enfoque de seguridad centrado en los procesos que identifican, crean, capturan y mantienen el valor de la seguridad en la compañía.

Ahora el objetivo de un sistema de gestión de identidades es cubrir:
  • Autenticación
  • Control de acceso
  • Gestión de usuarios
  • Repositorio central de usuarios 
Este marco da respuesta a la siguiente ecuación: Usuarios + Gestión de Identidades + Aplicaciones
  • Usuarios= Externos, Proveedores, Empleados
  • Gestión de identidades= Autenticación, Control de acceso, Gestión de Usuarios, repositorio de usuarios
  • Aplicaciones= ERP, WEB, CRM, Legacy, Correo electrónico



Elementos de la ecuación:

    1. Autenticación: Algo que sé, algo que tengo, algo que son
  • Autenticación de factor único:
    • Identificador de usuario y contraseña.
    • Contraseñas robustas.
    • PINs.
  • Autenticación multi-factor (autenticación fuerte):
    • Contraseñas de un sólo uso.
    • Dispositivos hardware de autenticación (smartcards, tokens).
    • Certificados Digitales (PKI).
    • Sistemas desafío-respuesta.
    • Dispositivos Biométricos (de reconocimiento de huella dactilar, reconocimiento de retina e iris, reconocimiento de voz, escáner facial, escáner de la palma de la mano, escáner de firma).
    • Combinaciones de los anteriores.
  •  Enfoque tradicional:
    • Cada aplicación ha de contemplar mecanismos de autenticación
    • Los controles sobre contraseñas no son homogéneos entre aplicaciones
    • La definición del concepto usuario no corresponde con el de identidad
    • Soporta un único esquema de autenticación
  • Gestión de identidades:
    • Proporciona capacidades de Single-Sign-On (web)
    • El nivel de autenticación varía en función de la criticidad de la información
    • Soporta múltiples esquemas de autenticación
    • Los accesos se gestionan entorno al concepto identidad
   2. Control de acceso:
  • Una Infraestructura que posibilita un enfoque común para la autenticación y autorización entre múltiples plataformas.
  • Proporciona Single Sign-On para aplicaciones Web (y otras aplicaciones).
  • Permite varias aproximaciones de control de acceso: basadas en usuarios (ACLs, control de acceso por reglas o de niveles de seguridad jerárquicos), en roles y en políticas.
  • Reduce los costes de operación asociados con el control de acceso de usuario.
  • Reduce los costes de desarrollo de nuevas aplicaciones y agiliza su implantación.
  •  Enfoque tradicional:
    • La definición del control de acceso es propio de cada aplicación
    • Existen múltiples herramientas de control de acceso
    • Nivel de acceso no homogéneo
    • Altos costes de administración
  • Gestión de Identidades:
    • El control de acceso se independiza de las aplicaciones
    • Se reduce el tiempo y coste necesario para la incorporación de nuevas aplicaciones
    • Los controles y perfiles definidos son aplicables a múltiples aplicaciones
   3. Gestión de Usuarios
  • Workflows automatizados para la creación y modificación de usuarios y perfiles con los derechos de acceso a los usuarios y aprovisionamiento de los elementos necesarios
  • Eliminación automática de los derechos de acceso cuando un usuario deja la organización o cambia de funciones
  • Posibilita el uso de capacidades de autoservicio (autoregistro de usuarios, modificación de información de identidad e inicialización de contraseñas) y administración delegada
  • Enfoque tradicional:
    • Costes aumentan más que proporcionalmente
    • El modelo no escala bien al aumentar el número de aplicaciones o usuarios
    • Se acumulan usuarios en desuso
    • No responde ante cambios organizativos o de funciones
  • Gestión de identidades:
    • Aprovisionamiento de usuarios
    • Automatización del proceso a través de workflow
   4. Repositorio de Usuarios
  • Repositorio centralizado, seguro y fiable para los perfiles de usuario
  • Capacidad de escalabilidad a millones de usuarios
  • Posibilidad de integración mediante el uso de estándares con gran número de aplicaciones
  • Se consiguen tiempos de respuesta razonables con peticiones concurrentes




Hoja de ruta de la Gestión de Identidades:
  • Repositorio corporativo de identidades
  • Definición e integración de fuentes autoritativas
  • Definición de roles y políticas
  • Establecimiento de mecanismos de control de acceso
  • Automatización del aprovisionamiento de cuentas
  • Implementación de mecanismos de autenticación robusta
  • Portal del empleado (Self-provisioning)
  • Federación de identidades
  • Seguridad integrada (física y lógica)
Beneficios:
  • Reducción de Costes
  • Incremento de la Seguridad
  • Cumplimiento Legal
  • Mejoras para usuario final
  • Incremento de Productividad
  • Escalabilidad y Flexibilidad


lunes, 12 de mayo de 2014

Marco de seguridad de datos accedidos por terceros en 5 pasos

La seguridad de los datos ha estado entre las tareas prioritarias del responsable de seguridad. En la actualidad esta tarea ha cobrado mayor importancia debido a los siguientes factores:

  • Incremento de los requerimientos de cumplimiento de la legislación vigente sobre protección de datos personales, protección de datos de tarjetas de debido y crédito, blanqueo de capitales, entre otros requerimientos regulatorios.
  • Los datos del negocio son accedidos desde distintos puntos, distintos repositorios y por diferentes tipos de usuario empleados, operadores/administradores/programadores de las compañías de servicios TI contratadas.
  • La creciente externalización de servicios a proveedores de TI (comunicaciones, alojamiento de servidores, explotación de sistemas, etc).
  • Incidentes de pérdida de datos,  sanciones e investigaciones de  organismos reguladores locales y Europeos.



Para construir un Marco de gestión de la seguridad de datos accedidos por terceros, aconsejamos seguir los siguientes pasos:

1. Definir el enfoque global para la identificación y categorización de proveedores:
  • Crear un inventario de proveedores.
  • Evaluar el riesgo de seguridad de datos.
  • Priorizar y clasificar los proveedores por el nivel de seguridad de datos.
  • Desarrollar e implementar un programa para mitigar los riesgos identificados.

2. Estandarizar el procesos de gestión de la seguridad del acceso a datos por terceros:
  • Revisión anual de contratos.
  • Definición obligaciones contractuales basadas en requerimientos de seguridad.
  • Desarrollar e implementar indicadores de seguimiento y revisar de forma periódica dichos indicadores.
  • Definir reuniones de seguimiento de los requerimientos de seguridad con los proveedores.
  • Definir un calendario de visitas anuales/regulares según el tipo de proveedor.
  • Realizar auditorias a las operaciones del proveedor.
  • Establecer requerimientos adicionales de seguridad a los proveedores de riesgo alto.

3. Definir el marco de seguridad de datos:
  • Desarrollar e implementar las políticas y procedimientos con los requerimientos de seguridad dirigidos a terceros que acceden datos personales y del negocio.
  • Definir controles técnicos para el control de accesos, caducidad de conexiones remotas, registros de auditoria para la descarga de datos, traspaso de programas al entorno de producción, etc.
  • Definición de roles de usuario con accesos específicos, asignación de privilegios basados en funciones específicas.
  • Revisión mensual de accesos asignados, supervisar la rotación de personal del proveedor
  • Establecer un programa de concienciación del personal interno y del proveedor.

4. Definir roles y responsabilidades:
  • Establecer el rol de responsable del servicio en ambas partes (tanto en la compañía como en el proveedor).
  • Establecer responsabilidades a los responsables.
  • Definir una matriz RACI incluyendo a todos los niveles que intervienen en la prestación del servicio.
  • Establecer el proceso de revisión de los roles cuando se realicen cambios en el servicio.

5. Monitorizar la ejecución del marco de gestión:
  • Revisión de la ejecución de indicadores de seguimiento.
  • Revisión de la ejecución de los controles técnicos, registros de auditoria, cambios de claves de acceso, etc.
  • Revisión de la aplicación de las políticas y procedimientos definidos, revisiones de accesos, autorizaciones, actas de reuniones con el proveedor.




lunes, 31 de marzo de 2014

Gobierno de la Seguridad de la Información

El marco de Gobierno de la Seguridad de la Información es el sistema mediante el cual se dirigen y controlan las actividades de seguridad de la información de la organización.

La Gobernanza de la seguridad busca alinear los objetivos y estrategias para la seguridad de la información con los objetivos y estrategias del negocio …
… teniendo en cuenta la legislación vigente, regulaciones y contratos …
… mediante la guía e implementación de una aproximación basada en riesgos …
… soportada por un sistema de control interno.

Los principios que establece la norma ISO 27014 establecen una buena base para la implementación de los procesos de gobierno de la seguridad de la información:

1. Establecer responsabilidad con respecto a la seguridad de la información en toda la organización. En este sentido:
  • ¿La seguridad de la información se gestiona a un nivel de la organización que permita la toma de decisiones?
  • ¿Las actividades asociadas a la seguridad lógica y física se realizan de forma coordinada?.
  • ¿La responsabilidad y rendición de cuentas con respecto a la seguridad se establece a través del ciclo completo de las actividades de la organización incluidos terceros?.

2. Adoptar una aproximación basada en el riesgo. En este sentido:
  • ¿Las decisiones se toman en función del riesgo?.
  • El nivel aceptable de seguridad ¿se basa en el apetito al riesgo de la organización?, ¿se incluye en él la posible pérdida de ventaja competitiva, riesgos de cumplimiento y responsabilidad, interrupciones operativas, pérdida financiera y daño a la reputación?.
  • ¿Se asignan los recursos apropiados para implementar la gestión de riesgos en la organización?.

3. Establecer la dirección de las decisiones de inversión en seguridad de la información. En este sentido:
  • ¿La estrategia de inversiones en seguridad de la información se establece en función de los resultados de negocio alcanzados?.
  • ¿Las inversiones en seguridad se integran con los procesos generales existentes para las inversiones y gastos de la organización?.

4. Asegurar conformidad con los requerimientos internos y externos. En este sentido:
  • ¿Se garantiza que las políticas y prácticas son conformes con la regulación y legislación existente, con los compromisos y contratos de la organización y con otros requerimientos internos o externos?.
  • ¿Se realizan auditorías de seguridad independientes?.

5. Fomentar un entorno positivo respecto de la seguridad. En este sentido:
  • A la hora de implementar la gobernanza de la seguridad, ¿se tiene en cuenta el comportamiento humano, incluyendo la evolución de las necesidades de las partes interesadas?
  • ¿Se exige, promueve y apoya la coordinación de las actividades de las partes interesadas para alcanzar una dirección coherente de la seguridad (educación, formación y programas de concienciación)?.

6. Revisar el rendimiento en relación a los resultados de negocio. En este sentido:
  • ¿La aproximación tomada para proteger la información es adecuada al propósito de apoyar la organización proporcionando niveles acordados de seguridad de la información?.
  • ¿Se mantiene la seguridad en los niveles requeridos para alcanzar los requerimientos actuales y futuros del negocio?.
  • ¿Se evalúa la seguridad en relación a su impacto en el negocio y no sólo en base a la eficacia y eficiencia de los controles?.

El modelo para la implementación del gobierno de la seguridad de la información, según la norma ISO 27014 es el siguiente:




jueves, 20 de marzo de 2014

IT shadow (I) : BYOD – Seis Prácticas de seguridad


Ya sea que su organización tenga una Política Bring Your Own Device (BYOD) establecida o no, no es menos cierto que los usuarios (empleados, estudiantes)  ya están trayendo sus propios dispositivos bien sea a la oficina o instalaciones de trabajo. Mientras que los teléfonos inteligentes y las tabletas son los sospechosos de siempre, la " consumerización " de TI se extiende a ordenadores portátiles personales e incluso los ordenadores de casa.

Las empresas que se resistían a esta tendencia se están dando cuenta de que hay muchos beneficios al dejar que los empleados  utilicen sus propios ordenadores portátiles y dispositivos de mano, incluido el reducido costo y aumento de la productividad de los usuarios.

Retos de seguridad relacionados a programas BYOD:

  • ¿Puede TI gestionar y dar soporte eficazmente a dispositivos de propiedad auto- configurados por los empleados y contratistas?
  • ¿Cómo se proporcionará a estos empleados y contratistas acceso seguro a las redes corporativas, aplicaciones y datos utilizando los “endpoints”?
  • ¿Cómo proteger los datos corporativos y aplicaciones de malware y acceso no autorizado a través de los “endpoints”?
  • ¿Se puede aislar con eficacia las aplicaciones y los datos personales y de la empresa en el mismo dispositivo? 



Consideraciones
Descripción
Empleados
Interés en BYOD
Porcentaje de empleados interesados en adoptar BYOD
Porcentaje de empleados que utilizan dispositivos personales para trabajar hoy por hoy
Expectativas
Identificar las expectativas alrededor del BYOD (dispositivos o plataformas específicas)
Derechos actuales
Usuarios que tienen derecho actualmente a los dispositivos propiedad de las empresas. ¿Por qué?
¿Cuáles son los costos (hardware, software, servicios, etc)?
Procesos

Gestión de dispositivos
Procesos implementados para la gestión de dispositivos (backup, gestión de software/aplicaciones)
Gestión de dispositivos perdidos o robados (bloqueo/borrado remoto)
Tecnología
Seguridad
¿Cuáles son las políticas y prácticas actuales de seguridad en la actualidad?  (gestión centralizada de datos locales, cifrado y  copia de seguridad)
¿En qué medida las prácticas de seguridad existentes pueden limitar las oportunidades BYOD?
Herramientas
¿Qué herramientas / soluciones se utilizan hoy en día para la gestión de dispositivos?
¿Cuáles son los costos? (hardware, software, servicios, apoyo)?


Riesgos del BYOD

Que los usuarios consulten el correo electrónico y el calendario desde su propio teléfono o tableta es una cosa, pero trabajar con aplicaciones críticas de negocio es otra.
Con los dispositivos personales, la fuga de datos (data leakage) es una preocupación importante. Muchos de estos dispositivos almacenan datos en la nube, donde los datos se pueden duplicar fácilmente entre las aplicaciones y otros dispositivos.

Además, debido a sus características de tamaño y forma, los teléfonos inteligentes y las tabletas pueden ser fácilmente perdidos o robados o colocados en lugares no custodiados apropiadamente,  creando la oportunidad a usuarios malintencionados.

Dispositivos personales no administrados accediendo a aplicaciones empresariales introducen el riesgo añadido de “endpoints” de no confianza en la red interna. Para minimizar el riesgo de infección por malware o la fuga de datos, las empresas deben establecer políticas sobre quién tiene permiso de acceso a qué datos y aplicaciones corporativas a través de la red.

Tabla resumen de riesgos

Tipo de riesgo
Riesgo
Internos
Los empleados pueden estar insatisfechos por la limitada selección de dispositivos compatibles.
Las organizaciones pueden estar expuestas a problemas de responsabilidad derivados de uso de los dispositivos o las implicaciones que plantean los reembolsos (ayudas para la compra de dispositivos) proporcionados a los empleados.
Costos incrementales por dar soporte a demasiados dispositivos con procesos de soporte ineficientes.
Uso no adecuados de los dispositivos por parte de los empleados pueden originar riesgos de seguridad adicionales.

 Externos
Los competidores pueden tener ventajas de productividad si su programa BYOD no está definido y ejecutado adecuadamente.
La organización puede estar expuesta a riesgos regulatorios que resultan de las violaciones de datos personales, pérdida de información, etc.
Mal manejo de la información personal puede convertirse rápidamente en conocimiento público e impactar en la reputación.
El aumento del nivel de diversidad y complejidad de los dispositivos puede impactar en las capacidades técnicas para la gestión de estos dispositivos.

Seis prácticas de seguridad

1. Establecer políticas y expectativas claras

  • Su política debe cubrir por lo menos los siguientes aspectos:
  • Opciones del dispositivo
  • Participación
  • Condiciones de uso
  • Cancelación
  • E-discovery/Forensics
  • Soporte

2. Crear un espacio de trabajo separado seguro
Los beneficios de la contenerización para entornos BYOD / PC son:
  • Cumplimiento de las políticas.
  • Borrado remoto de datos.
  • Separación de datos y aplicaciones personales y de trabajo.
  • Cifrado de datos.
  • Gestión de contenedores vs gestión de múltiples dispositivos.
  • Única consola para gestionar las políticas en función del perfil del usuario.

3. Proteger la red
  • Segmentar y asegurar la red para que coincida con la estrategia BYOD / PC.
  • Los empleados que usan dispositivos personales sólo deben tener acceso a la red de invitados.
  • Sólo deben aceptarse conexiones desde aplicaciones que se ejecutan en los espacios de trabajo seguros.

4. Hacer cumplir las políticas de contraseñas 
  • Utilizar el enfoque de espacios seguros, para hacer cumplir las políticas de acceso específicas del espacio.
  • Utilizar  autenticación de dos factores.
  • Establecer políticas de contraseñas no demasiado complejas.

5. Direccionar los mandatos de cumplimiento y gestión de riesgos
  • Minimizar los riesgos de negocio asociados a la instalación de aplicaciones y datos corporativos en los dispositivos que no son propiedad de la compañía.
  • Implementar funcionalidades de eliminar los datos corporativos en un ordenador o un dispositivo que se pierde o es robado, o cuando un empleado o contratista deja el negocio.
  • Implementar acuerdos BYOD firmados por los empleados, proveedores, etc.
  • Mantener los datos empresariales y aplicaciones claramente segregados en el dispositivo personal.

6. Comenzar con un grupo piloto
  • Iniciar la iniciativa de BYOD / PC, con un grupo limitado dentro de la empresa.  
  • Trabajar con un grupo reducido permite identificar diversos aspectos de tipo legal, de aplicación, seguridad y de usuario que puedan surgir.
  • Considerar el grupo de  o proveedores como marco de prueba donde puede " exigir " la práctica BYOD / PC.
  • Una vez que se haya ejecutado el piloto y resuelto cualquier problema, se debe iniciar el despliegue de las políticas BYOD / PC a otros grupos.