OWASP presenta el borrador Top 10 de las principales amanezas para 2021

La lista Top 10 es una guía ampliamente utilizada sobre las amenazas de seguridad de las aplicaciones web actuales. El Proyecto de Código Abierto de Seguridad de Aplicaciones Web (OWASP) ha publicado su borrador de la lista Top 10 2021 que revela un cambio en la forma en que se clasifican las amenazas modernas.


El borrador del informe, disponible en línea (https://owasp.org/Top10/), contiene cambios importantes en la forma en que la organización sin fines de lucro categoriza las amenazas actuales de las aplicaciones web, teniendo en cuenta que la lista no se ha actualizado desde el año 2017.

OWASP ha actualizado la metodología empleada para generar la lista Top 10. Ocho de cada 10 categorías se basan en datos y dos se han seleccionado en función de las respuestas de las encuestas de la industria.

Cuando la organización analiza la información de amenazas, proporcionada por empresas de ciberseguridad, hay factores de datos específicos que se utilizan para generar la lista Top 10. Estos incluyen el mapeo de software y hardware en base a la Common Weakness Enumeration (CWE), el porcentaje de aplicaciones vulnerables a un CWE en particular y su impacto en las organizaciones.

OWASP también tiene en cuenta el peso del exploit y las métricas promedio de una vulnerabilidad, en función de las puntuaciones de CVSSv2 y CVSSv3 (Common Vulnerability Scoring System), y el número total de aplicaciones que tienen CWE asignadas a una categoría, así como el número total de Common Vulnerabilities and Exposures (CVE) atribuibles a un tipo particular de amenaza.

Se han incluído tres categorías nuevas: "Diseño inseguro", "Fallos de integridad de datos y software" y un grupo para ataques de "Falsificación de solicitudes del lado del servidor (SSRF)".

La categoría "Entidades externas XML (XXE)" de 2017 pasa a formar parte de la categoría de "Configuración errónea de seguridad" de 2021. Por otro lado, se ha añadido "Cross-Site Scripting (XSS)" a la sección "Inyección" y "Deserialización insegura" ahora forma parte de "Fallos en la integridad de los datos y software".

State of play: OWASP Top 10 changes in 2021 (draft edition)

OWASP se desplaza a la izquierda

La inclusión de "Diseño inseguro" y "Fallos en la integridad de datos y software" muestran cómo la industria del software continúa desplazándose hacia la izquierda (Shifts Left) al centrarse más en el diseño y la arquitectura seguros así como en el modelado de amenazas.

“A menudo, el diseño seguro y el modelado de amenazas se pasan por alto debido a la velocidad del desarrollo actual. También es importante ver finalmente a OWASP destacando la seguridad del desarrollo de software y la integración CI/CD de procesos como otra área de enfoque a tener en cuenta" ha destacado Tom Eston, director de práctica de seguridad de aplicaciones en Bishop Fox.

OWASP Top 10: la lista completa

1. A01:2021-Broken Access Control: 34 CWEs. Access control vulnerabilities include privilege escalation, malicious URL modification, access control bypass, CORS misconfiguration, and tampering with primary keys.

2. A02:2021-Cryptographic Failures: 29 CWEs. This includes security failures when data is in transit or at rest, such as the implementation of weak cryptographic algorithms, poor or lax key generation, a failure to implement encryption or to verify certificates, and the transmission of data in cleartext.

3. A03:2021-Injection: 33 CWEs. Common injections impact SQL, NoSQL, OS command, and LDAP, and may be caused by sanitization failures, XSS vulnerabilities, and a lack of protection for file paths.

4. A04:2021-Insecure Design: 40 CWEs. Insecure design elements vary widely, but are generally described by OWASP as “missing or ineffective control design”. Areas of concern include a lack of protection for stored data, logic programming problems, and displaying content that reveals sensitive information.

5. A05:2021-Security Misconfiguration: 20 CWEs. Applications may be considered vulnerable if they lack security hardening, if there are unnecessary features – such as a too-open hand when it comes to privileges – if default accounts are kept active, and if security features are not configured correctly.

6. A06:2021-Vulnerable and Outdated Components: Three CWEs. This category focuses on client and server-side components, failures to maintain components, out-of-date support systems – such as an OS, web servers, or libraries – as well as component misconfiguration.

7. A07:2021-Identification and Authentication Failures: 22 CWEs. Security issues include improper authentication, session fixation, certificate mismatches, permitting weak credentials, and a lack of protection against brute-force attacks.

8. A08:2021-Software and Data Integrity Failures: 10 CWEs. Integrity is the focal point of this category, and any failure to do so properly – such as the deserialization of untrusted data, or not checking code and updates when pulled from a remote source – may be in scope.

9. A09:2021-Security Logging and Monitoring Failures: Four CWEs. Issues that can hamper the analysis of a data breach or other form of attack, including logging problems, failing to record security-relevant information feeds, or only logging data locally come under this category.

10. A10:2021-Server-Side Request Forgery: One CWE. SSRF vulnerabilities occur when a server does not validate user-submitted URLs when they fetch remote resources. OWASP says that the adoption of cloud services and increasingly complex architectures have ramped up the severity of SSRF attacks.

Colaboradores

Las siguientes organizaciones (junto a algunas entidades anónimas) amablemente donaron datos de más de 500,000 aplicaciones para recopilar el conjunto de datos de seguridad de aplicaciones web más grande y completo.

AppSec Labs	GitLab	Micro Focus	Sqreen
Cobalt.io	HackerOne	PenTest-Tools	Veracode
Contrast Security	HCL Technologies	Probely	WhiteHat (NTT)

Jose Maria Acuña Morgado - Web Developer - Ethical Hacking

Leer más

El reto de las empresas en 2021, la Protección de Datos y la Ciberseguridad

Hablar de Internet como el gran canal de comunicación o el escenario donde se mueven multitud de transacciones comerciales no parece una novedad en pleno 2021, pero conviene recordarlo debido al gran vuelco que ha dado la sociedad debido a la pandemia del coronavirus.


El Covid 19 ha demostrado la vulnerabilidad que tiene la población global para defenderse frente a amenazas invisibles y esa capacidad de defensa tan mermada guarda mucha relación, precisamente, con el proceso de globalización.

Durante 2020 hemos sido partícipes de una nueva reinvención de internet como escenario, el ciberespacio, donde se concentran la información de personas y empresas, transacciones económicas, conversaciones, negocios, conocimiento ...

Todo esto supone una importante ventaja para la población y las empresas, pero implica también sus riesgos, de ahí la necesidad de impulsar sistemas de protección de datos potentes y redes de ciberseguridad que alejen los ataques cibernéticos, los intentos de fraude y el robo de información.

Foto de Tecnología creado por rawpixel.com - www.freepik.es

La protección de datos, porque navegar por internet conlleva un precio

Las nuevas tecnologías, y cada cual que introduzca en este término las que considere realmente como novedosas, han dotado a usuarios e instituciones mayor libertad para gestionar su actividad laboral, su vida personal o sus finanzas.

Todo ello lo hacen, aparentemente, bajo una pátina de gratuidad, pues nadie te dice que internet no sea gratuito, pero la realidad es que el pago que se entrega es exponer datos personales de relevancia que pueden dejar expuesta nuestra privacidad.

Aparecen así dos conceptos de gran relevancia, la ciberseguridad y la protección de datos. Para el segundo existe normativa muy desarrollada, el Reglamento de Protección de Datos, que exige a las organizaciones que manejan datos de clientes y usuarios en internet garantizar la seguridad de esa información incluso antes de adquirirlos.

El incumplimiento de esta legislación puede acarrear grandes multas para las compañías que tratan con datos personales. A su vez, las empresas también pueden ver comprometida su información mediante ataques cibernéticos, y es ahí donde aparece el concepto de ciberseguridad.

La importancia de la ciberseguridad y el auge de estos profesionales

No existe una definición oficial para el término ciberseguridad, pero sí una oficiosa y generalizada que habla de todas aquellas acciones encaminadas a proteger los datos generados a partir de los dispositivos conectados a internet.

De este modo, ciberseguridad y protección de datos son conceptos íntimamente relacionados y que van de la mano. La creciente preocupación por la privacidad en internet está justificada pues cada día se producen ataques cibernéticos que exponen información sensible ante los piratas informáticos.

Este fenómeno está impulsando una demanda muy alta de profesionales especializados en esta materia: técnicos de ciberseguridad, ingenieros de datos, expertos en Big Data y un largo etcétera de disciplinas cada vez más necesarias en las empresas.

Por este motivo también han aparecido en los últimos años sistemas que permiten validar esa formación o esos estándares de seguridad que implementan las empresas en sus organizaciones para impulsar mayor confianza entre los consumidores.

La norma ISO 27001 es un ejemplo de ello, pues certifica que la compañía que está en posesión de ella cuenta con sistemas de seguridad y confianza que protegen la información que manejan, ya sea interna o datos recibidos de clientes y socios.

En el terreno de los profesionales también aparecen certificados como el CCDP y el CCSP, que demuestran que la persona que los obtiene está capacitada para tratar sistemas de protección de datos y cuenta con formación suficiente para implementar estrategias de ciberseguridad.

Una profesión cada vez más demandada

Todo este proceso de digitalización constante de la sociedad y entrega aceptada de datos a la red está generando un crecimiento en la demanda de los profesionales de la ciberseguridad. Estos, para ser atractivos de cara a un posible empleo, deben primero formarse suficientemente a través de un Máster en Protección de Datos y otras ofertas educativas centradas en todo esta área.

Se estima que el coste anual del cibercrimen alcanzará los seis billones de dólares, según afirma Julen Mur, responsable de Hays, empresa especializada en recursos humanos. La ciberseguridad tiene grandes expectativas de crecimiento y empleabilidad a corto, medio y largo plazo.

Las nuevas formas de trabajo mucho más digital han potenciado esa exposición a los riesgos cibernéticos, pero también ha significado un mayor interés en las disciplinas mencionadas anteriormente, todas ellas de corte tecnológico.

Estar presente en internet obliga a proteger nuestra privacidad, y eso solo es posible siendo conscientes de a quién entregamos nuestros datos y cómo se protegen frente a las vulnerabilidades.

Tal vez te interese conocer algunos de estos temas:

• ¿Por qué deberías estudiar un grado en Ingeniería Informática?
  
  
• Mantente alerta para detectar y reaccionar frente a intentos de fraude
  
  
• Blockchain para empresas: entre falsos mitos y consejos de experto
  
  
• Machine Learning: la importancia de la automatización de decisiones
  
  

Jose Maria Acuña Morgado - Web Developer - Ethical Hacking

Leer más

Mantente alerta para detectar y reaccionar frente a intentos de fraude

En los úlitmos años, las empresas están experimentando un número creciente de intentos de fraude, con el propósito de robar dinero de la propia compañía, sus clientes o sus proveedores. A continuación se mencionan algunos de los ejemplos basados en intentos reales y los 10 consejos principales para evitar los intentos de fraude.


Con estas directivas, te protegerás a ti mismo y a tu negocio frente a esta amenaza. Algunos ejemplos detectados en diferentes países a lo largo del tiempo:

• En el departamento financiero, varios colaboradores son contactados por teléfono u otros medios por personas que se hacen pasar por un Director o incluso el CEO. Típicamente solicitan que se haga una transferencia bancaria de forma urgente y confidencial. También pueden solicitar nombres o teléfonos de otros cargos u otra información corporativa sensible. Este tipo de llamadas a menudo ocurren justo antes de algún periodo de vacaciones o a última hora de la jornada para tratar de evitar cualquier control.
  
  
• Otros colaboradores han recibido emails falsos solicitando que cambien la cuenta bancaria asociada a algún pago regular (por ejemplo, alquiler de oficina).
  
  
• Los clientes y proveedores también están afectados por estos intentos de fraude. Algunos han recibido falsos números de cuenta bancaria y han terminado pagando a los estafadores pensando que estaban pagando a su compañía. Algunos proveedores han recibido instrucciones de entrega de material informático en direcciones falsas, asociadas a pedidos falsos.

.

Technology photo created by freepik - www.freepik.com

Mantente alerta

Los estafadores están bien organizados, tienen alta especialización, y usan técnicas avanzadas para tratar de engañarte. Disponen de recursos para mejorar sus opciones de éxito: pueden organizar fácilmente llamadas telefónicas falsas, correos fraudulentos, portales web ilícitos, o incluso hacer uso de las redes sociales. Se trata de organizaciones criminales que suponen una amenaza real para las empresas. Tu vigilancia es esencial para contribuir a la protección de tu negocio.

Diez consejos para evitar los intentos de fraude

1- Usa el sentido común. Si el mensaje parece extraño por cualquier motivo (i.e. contenido mal redactado, vocabulario inusual, etc.), o demasiado bueno para ser cierto, ¡no respondas!.

2- Nunca actúes en base únicamente a la primera llamada. Toma tu tiempo para verificar y comprobar la identidad del interlocutor. Pide que se identifique y solicita un número al que devolverle la llamada (y compruébalo en el directorio corporativo). En la mayoría de los casos, eso ya puede disuadir al interlocutor, en caso de tratarse de un intento de fraude.

3- Identifica señales de alerta. Nunca te pedirán que hagas una transferencia bancaria o te solicitará información confidencial sin seguir el proceso normal.

4- Sigue los procesos de negocio establecidos en tu unidad y las reglas de seguridad. Algunos departamentos como Finanzas o Compras tienen definidas reglas estrictas para detectar y bloquear estos intentos maliciosos de fraudes financiero. Contacta por favor con tu CFO local o tu Director de Compras.

5- Solicita ayuda/soporte de tu jefe directo en relación con cualquier situación extraña, inusual o sospechosa que te llegue.

6- Sospecha de cualquier email inesperado, con adjuntos o links que sean extraños. Para ayudarte a detectar emails maliciosos o de phishing, actualmente aparece un mensaje en rojo en la parte superior de los emails externos que se reciben. El propósito de este aviso es recordarte que estés alerta y que revises el mensaje con detalle, al tener un origen externo.

7- Nunca reveles información corporativa a alguien que no conoces. Ten cuidado con los mensajes o llamadas telefónicas que piden información sobre contactos, datos personales o información financiera, por ejemplo.

8- Nunca proporciones información corporativa (organigramas o contactos personales) en portales web públicos.

9- Los estafadores a menudo intentan suplantar a personal de soporte técnico, proponiendo por ejemplo arreglar algo en tu ordenador o instalar software nuevo. Si la llamada no la iniciaste tú, solicita un número al que devolverle la llamada (y compruébalo en el directorio corporativo). En la mayoría de los casos, eso ya puede disuadir al interlocutor, en caso de tratarse de un intento de fraude.

10- No hagas clic en ventanas publicitarias ("pop-ups", "ads") en portales web públicos.


Y un consejo adicional: en las conversaciones por email que recibes de otros compañeros y que acumulan un número elevado de receptores, revisa que entre dichos receptores no se hubiese incluido ningún email no autorizado, externo o falso (es conveniente revisar la dirección real, no el "alias" que se pudiera mostrar). Especialmente en emails en los que se esté transmitiendo información sensible. Es otro truco típico de ingeniería social con el objetivo de que la información sensible se reenvíe a personal no autorizado.

Jose Maria Acuña Morgado - Web Developer - Ethical Hacking

Leer más

Cómo proteger los dispositivos móviles frente a amenazas de seguridad

Los dispositivos móviles permiten que los usuarios lleven a cabo su actividad vayan donde vayan. Gracias a la expansión del comercio internacional, las conexiones móviles han pasado al primer plano de muchas estrategias de negocio. Podemos estar conectados en todo momento y en cualquier lugar: en aviones y en coches, en casa, en un hotel o una cafetería, y en la oficina.

Cuando hablamos de dispositivos móviles, nos referimos a dispositivos como los portátiles ligeros y los ultraportátiles, la tabletas, los smartphones y los asistentes digitales personales.

Al mismo tiempo, el aumento del uso de los dispositivos móviles implica que la seguridad sea un factor muy importante para proteger la información confidencial. Casi todos los dispositivos están conectados a Internet, lo que abre una puerta a los ataques malintencionados dirigidos a los documentos corporativos confidenciales, al correo electrónico, fotos, vídeos, así como a cualquier otra información personal, como la información bancaria o la lista de contactos.

Foto de Tecnología creado por rawpixel.com - www.freepik.es

1.- Amenazas a dispositivos móviles

La causa de los mayores riesgos de seguridad asociados a los dispositivos móviles es, precisamente, el hecho de poder llevarlos donde queramos. Los dispositivos móviles no solo son vulnerables a los ataques malintencionados, sino que también lo son a las amenazas malintencionadas que proceden del interior de la empresa.

Los dispositivos móviles usan la tecnología de redes inalámbricas para conectarse a las redes, que son más susceptibles a los ataques que las redes por cable. También es más fácil acceder a la información que se transporta. Estos servicios también pueden almacenar datos que, a menudo, están desprotegidos. Son vulnerables a los ataques de red y son un blanco fácil para los robos, que pueden hacer que la información confidencial se use de forma inapropiada.

Los dispositivos móviles también se han convertido en objetivos populares para el malware. El malware suele estar programado para usar un dispositivo infectado como medio para propagarse a otros dispositivos. Las funciones de hardware, como las cámaras web y los micrófonos, son puntos fáciles de entrada a través de protocolos y software asociados.

Las amenazas a la seguridad de los dispositivos móviles se dividen en tres categorías amplias: amenazas físicas, amenazas de malware y amenazas de red inalámbrica.

1.1- Amenazas físicas

Las amenazas físicas son los robos o las pérdidas de dispositivos. Los robos y las pérdidas son una amenaza directa para los datos almacenados en el dispositivo, ya que normalmente no se habrán establecido mediadas para protegerlos. Los usuarios pueden contribuir a evitar esta situación si son más cuidadosos con sus dispositivos móviles y si hacen todo lo posible para que no caigan en las manos equivocadas.

Siempre que sea posible, los usuarios malintencionados usarán los datos comprometidos para iniciar ataques contra la infraestructura y los sistemas de TI de su organización, lo que puede afectar a la confidencialidad del cliente, la pérdida de información corporativa, así como perjudicar a la reputación de la organización.

1.2- Amenazas de malware

Las amenazas de malware a los dispositivos móviles son las mismas que para los equipos de escritorio, llegando incluso a ser más destructivas. Esto sucede principalmente porque los programas antivirus para los dispositivos móviles no se han desarrollado al mismo nivel que los de escritorio.

Entre los tipos de malware más populares se encuentran los virus, gusanos, troyanos, spyware, backdoor, adware, rootkit, spam y spim, entre otros.

1.3- Amenazas de red inanlámbrica

Una red inalámbrica es una red de dispositivos que están conectados entre sí mediante la tecnología inalámbrica. La red también puede incluir unos cuantos componentes por cable pero, por norma general, la comunicación se produce de forma inalámbrica. Normalmente, las conexiones se establecen a través de diferentes longitudes de ondas o de ondas electromagnéticas de baja frecuencia. Este tipo de red se conoce como red de área local inalámbrica o WLAN.

El hecho de que la red sea inalámbrica la expone a cualquiera que tenga el tipo de interfaz de red adecuado. De hecho, interceptar una red inalámbrica es parecido a interceptar una conversación de la que se entiende el idioma en el que se habla.

Esto significa que las redes inalámbricas son bastante menos seguras que las redes por cable, si el acceso no está muy controlado. Las intrusiones en la red pueden ocasionar robos y daños en los datos, lo que puede perjudicar la actividad comercial de una empresa.

Hay dos tipos de amenazas asociadas con los ataques a las WLAN:

• Wardriving: consiste en buscar WLAN no seguras mediante un portátil o un dispositivo móvil desde un vehículo en movimiento. Una WLAN no segura suele ser una red controlada por un punto de acceso no cifrado, también conocido como AP.
  
  
• Warchalking: consiste en señalar las WLAN no seguras que se han descubierto gracias al wardriving dibujando símbolos o letras en la zona en la que se encuentran.

Bluetooth es un sistema de comunicación a través de una red inalámbrica de corto alcance que se usa normalmente en los teléfonos móviles, en los smartphones y en los portátiles. Los dispositivos Bluetooth se dividen en tres clases que permiten comunicarse en una distancia de entre uno a cien metros.

Quizás los usos más comunes de Bluetooth en los dispositivos móviles sean el uso manos libres del dispositivo y la comunicación a corta distancia entre dispositivos.

Podemos señalar tres motivos principales de preocupación relacionados con el uso de los dispositivos Bluetooth:

• la autenticación y la autorización: la conexión Bluetooth entre dos dispositivos se autentica a través del intercambio de las claves de paso configuradas en cada dispositivo. Las claves de paso deben cambiarse con frecuencia para optimizar la seguridad. Sin embargo, la clave predeterminada no suele cambiarse. Puede proteger su dispositivo si consulta la lista de sincronizaciones, una lista que muestra los dispositivos que actualmente están conectados a su dispositivo.
  
  
• la detección de dispositivos: el modo de detección es una parte esencial del dispositivo Bluetooth, que permite detectar un dispositivo para que pueda conectarse con otro dispositivo habilitado para Bluetooth. Esto podría facilitar que un posible atacante encuentre su dispositivo entre la multitud, aunque lo tenga guardado en el bolsillo o en un bolso. Puede desactivar la detección Bluetooth para proteger su dispositivo.
  
  
• el malware: los dispositivos Bluetooth también son vulnerables al malware, especialmente a los gusanos, y a la seguridad de las aplicaciones. La mejor forma de proteger el dispositivo es garantizar que el firmware esté actualizado y saber qué dispositivos están conectados al suyo.

Hay dos tipos de ataques a través de Bluetooth:

• Bluejackinges: es el uso de una conexión Bluetooth para enviar mensajes, fotos o vídeos no solicitados que puedan transmitir malware a un dispositivo móvil.
  
  
• Bluesnarfinges: aprovecharse de un punto débil en una conexión Bluetooth para omitir el procedimiento de autenticación y obtener acceso a un dispositivo. Las últimas actualizaciones de Bluetooth han corregido esta última vulnerabilidad. Sin embargo, la clave de paso de 4 dígitos sigue siendo vulnerable a los métodos de fuerza bruta que se emplean para averiguar la contraseña.

2.- Proteger los dispositivos móviles

Es importante que todos los usuarios comprendan la importancia de proteger los dispositivos móviles y las repercusiones de gran alcance derivadas de una negligencia.

El cifrado de datos es esencial y proporciona un alto nivel de seguridad a los datos que se transmiten a través de una red inalámbrica. También protege los datos almacenados en un dispositivo que se ha perdido o ha sido robado, ya que no se pueden leer sin la clave de descifrado correspondiente.

El cifrado de datos también tiene un papel fundamental en la protección de las redes inalámbricas contra el wardriving y el warchalking. Existen dos protocolos comunes para cifrar datos de una red:

• WEP: el protocolo WEP (del inglés Wired Equivalent Privacy) puede usarse tanto en dispositivos antiguos como en los más recientes. Sin embargo, no es tan popular como el WPA porque su sistema de cifrado no es perfecto.
  
  
• WPA: el protocolo WPA (del inglés WiFi Protected Access) mejora y resuelve los problemas de cifrado que presenta el protocolo WEP. WPA también proporciona al dispositivo la posibilidad de autenticarse en un servidor de red.

El departamento de seguridad de la información de una organización suele tener una herramienta centralizada para implementar una política de seguridad en los dispositivos mediante la realización de los siguientes procedimientos: el uso de contraseñas, el cifrado de los contenidos, la implementación remota de aplicaciones y, en caso de pérdida de dispositivo, el uso de la función de bloqueo y borrado remoto.

Además, debe tener una política sobre el uso aceptado de dispositivos móviles que debe seguir.

Para que los dispositivos inalámbricos operen en una WLAN, todos los dispositivos deben usar el mismo nombre de red, llamado SSID (del inglés Service Set Identifier), que puede tener hasta 32 caracteres. Piense también en configurar una red inalámbrica para garantizar que las transmisiones estén protegidas contra ataques externos.

Una configuración como esta inhabilitaría la difusión del SSID. En la mayoría de los casos, los hardware de la WLAN vienen de fábrica con un SSID predeterminado, por lo que se recomienda cambiarlo como primer paso. Muchos administradores cambian este nombre por un nombre lógico que pueda identificar la red, pero es más recomendable crear una palabra con caracteres sin sentido.

Cuando deshabilita la difusión del SSID, los posibles atacantes no podrán conectarse a la red sin conocer el SSID. Deberá configurar cada dispositivo para que use el nuevo SSID cuando se conecte a la red. Aunque esto cree un nivel de seguridad adicional, sigue sin proporcionar una protección completa al acceso no autorizado.

Los usuarios finales tienen un papel importante a la hora de proteger la información sensible. Sobre todo, debe asegurarse de no dejar de supervisar nunca su dispositivo móvil, ya que cualquiera podría robárselo. Esto es incluso más importante cuando viaja, ya que no conoce su entorno.

También puede exigir la autenticación de encendido para los dispositivos móviles que se conecten a la red. Esta función solicitará una contraseña o PIN al usuario incluso antes de que el dispositivo esté completamente operativo.

La mayoría de los dispositivos disponen de una función de bloqueo automático que se activa cuando no se ha usado durante un cierto periodo de tiempo. También puede configurar una contraseña que debe introducir para desbloquear el dispositivo. Además, puede cifrar los datos de su dispositivo para protegerlo en caso de pérdida o robo.

Existen otros problemas que debe resolver para proteger el dispositivo y sus datos: la seguridad de las contraseñas, la discreción de los programas, las copias de seguridad, la mensajería instantánea y el correo electrónico, y Bluetooth.

Jose Maria Acuña Morgado - Web Developer - Ethical Hacking

Leer más

DevSecOps - como integrar la seguridad en procesos DevOps

Las aplicaciones de software son complejas y pueden ser vulnerables a una amplia variedad de problemas de seguridad. La cultura empresarial frecuentemente sitúa la seguridad en la fase final del ciclo de vida del desarrollo de software. DevSecOps se centra en desplazar la seguridad hacia la izquierda, es decir, en lugar de adoptar un sistema de respuesta a incidentes, todos son responsables de la seguridad desde el principio, incluso en las etapas de planificación.

DevSecOps fusiona la seguridad, el desarrollo y las operaciones para que actúen de forma conjunta y lograr un objetivo común al realizar mejoras en los procesos, herramientas y colaboraciones en equipo.

¿Qué es SDLC?

El ciclo de vida del desarrollo de software, conocido por las siglas en ingles SDLC o Systems Development Life Cycle, es un proceso de construcción o mantenimiento de sistemas de software y representa las diferentes fases que, por lo general, incluyen desde el análisis preliminar hasta las pruebas y evaluación posteriores al desarrollo del software.

Este proceso incorpora los modelos y metodologías que los equipos de desarrollo utilizan para desarrollar software, metodologías que constituyen el marco para planificar y controlar todo el proceso de desarrollo.

Metodologías SDLC

Actualmente, hay dos metodologías SDLC que son utilizadas por la mayoría de los desarrolladores de software, la metodología tradicional y metodología ágil.

En el ciclo de vida de desarrollo tradicional, los desarrolladores y sus equipos suelen fijar reuniones con otros equipos involucrados en el proceso SDLC con el objetivo de detallar los requisitos funcionales y de diseño previos al comienzo de la implementación.

A la fase de diseño le sigue la fase de codificación. La fase de pruebas tiene lugar cuando se completa todo el proceso de codificación y solo se presenta el producto final a las partes interesadas después de que en estas pruebas no se detecte ningún problema.

Una de las desventajas de esta metodología tradicional es que los equipos construyen el sistema de manera "única". En el supuesto de que surja un problema durante la fase de pruebas, lo peor de este escenario es que todo el módulo/desarrollo tiene que revertirse para rectificar ese problema.

Otro inconveniente del SDLC tradicional es que, en la mayoría de los casos, las partes interesadas no conocen a priori lo que realmente quieren implementar en el sistema, por lo tanto, el modelo de requisitos diseñado en las fases anteriores puede no cumplir con las características reales que deben implementarse.

Las solicitudes de cambio de los usuarios o partes implicadas pueden establecerse después de que el producto final sea presentado y lanzado al mercado y este cambio puede causar varios problemas de compatibilidad e integridad del software.

Con todos estos inconvenientes, surge la necesidad de establecer un proceso iterativo donde los cambios puedan realizarse de forma más ágil.

Es en este punto dónde se crea la metodología ágil para los procesos de desarrollo de software donde el cliente está presente en todas las fases de desarrollo.

Esta metodología facilita la interacción entre todas las partes implicadas ya que se pone el foco en las personas y no en los procesos, permitiendo dimensionar los proyectos de forma más eficiente minimizando los riesgos.

Cultura DevOps

Sin embargo, la metodología Agile no resuelve el problema de comunicación entre los diferentes elementos que conforman el proceso de desarrollo de un sistema software: el equipo de desarrollo y el equipo de operaciones.

El término DevOps se conforma combinando las palabras "desarrollo" y "operaciones" y supone un cambio cultural que cierra la brecha entre los equipos de desarrollo y operación.

DevOps no es simplemente un proceso o un enfoque diferente para el desarrollo, es un cambio de cultura que implica un cambio de mentalidad, una mejor colaboración y una integración más estrecha.

Modelo DevSecOps

Este modelo integra la seguridad en el proceso DevOps ayudando a prevenir y abordar los riesgos de seguridad a medida que aparecen en el ciclo de desarrollo.

Este tipo de seguridad incorporada a DevOps tiene como objetivo incluir una cultura y prácticas de seguridad en todo el flujo de trabajo de DevOps dando como resultado un lanzamiento de producto más rápido y seguro.

La incorporación de medidas de seguridad en las primeras fases del desarrollo de software supone un ahorro en costes generales para cualquier organización y la seguridad debe adoptar un enfoque de responsabilidad compartida entre todos los miembros de los equipos IT: seguridad, desarrollo y operaciones.

En esencia, DevSecOps ha cambiado la naturaleza misma de cómo se debe implementar la seguridad de las aplicaciones y hace referencia a la seguridad integrada y no su perímetro de seguridad.

Laboratorio

Trabajo Fin de Máster (nota 8.77)

Jose Maria Acuña Morgado - Web Developer - Ethical Hacking

Leer más

Seguridad en la nube: mitos y realidades

Las tecnologías en la nube ofrecen a las organizaciones en cada sector ventajas en cuanto a costo y eficiencia, pero aún persisten varios mitos acerca de la seguridad de los datos.


La necesidad de reducir costes y aprovechar las nuevas características y capacidades son fuertes impulsores para la migración de soluciones locales a la nube.

La tendencia actual de adopción de la nube sugiere que muchas empresas están aplicando un enfoque equilibrado de actividad on cloud apostando por una estrategia híbrida de público y privado.

A medida que continúa la migración a la nube y las organizaciones se benefician de la agilidad que brindan las soluciones en este espacio, se han generado varios aspectos negativos en gran parte por la inexperiencia trabajando con soluciones cloud.

Foto de Negocios creado por creativeart - www.freepik.es

Mito n.º 1: la nube no es segura

Cuando se utiliza de manera adecuada, la nube es tan segura como un centro de datos típico.

La nube en sí no es intrínsecamente insegura.
Cuando se descubren evidencias de seguridad, en la mayoría de los casos, son debidas a una configuración de nube incorrecta o código de cliente vulnerable pero no a fallos de seguridad en la propia nube, en el software o la infraestructura del proveedor.

Las grandes organizaciones parecen tener menos confianza sobre la seguridad de sus datos en la nube pública en comparación con las pymes. Esta incertidumbre es alimentada por la creencia de que existe una gran complejidad en la red de servidores conectados, en la migración a la nube y aplicaciones heredadas que son incompatibles con los entornos o servicios cloud.

El 94% de los pequeños negocios señaló ventajas de seguridad después de migrar a la nube (Microsoft. Driving Growth Together: Small Business and the Cloud).

Mito n.º 2: mi organización no usa la nube

El término "cloud" incluye la categoría de software como servicio (SaaS) y prácticamente todas las organizaciones utilizan algún tipo de servicio web, ya sea en el sector de recursos humanos, banca, eCommerce, marketing, alojamiento web o cualquiera de las demás actividades que se realizan en los negocios actuales. Incluso si la política organizativa no permite explícitamente servicios on cloud o no hay evidencia manifiesta de uso de estos servicios, su negocio aún puede depender de la nube.

Es posible que su organización actualmente no almacene datos en la nube pero si es un cliente de banca en línea o usa servicios de alojamiento web, lo que hace, de hecho, es acceder a las tecnologías de la nube.

Para finales de este año, se prevé que el 83% del total de cargas de trabajo empresariales de EE.UU. estará en la nube (Forbes. 83% of Enterprise Workloads Will Be In The Cloud By 2020).

Mito n.º 3: el proveedor de la nube me mantendrá seguro

Bajo el modelo de responsabilidad compartida, el usuario de la nube es es el responsable final de proteger sus datos.

El proveedor de la nube garantiza que el hardware no esté comprometido y el software y sistemas operativos de cualquier servicio ofrecido sean seguros. Pero es el cliente el que tiene que comprobar que las máquinas virtuales estén parcheadas, las aplicaciones no sean vulnerables y los permisos correspondientes sean los apropiados.

El proveedor de la nube constata que las instalaciones del centro de datos son seguras pero su organización tiene la responsabilidad de salvaguardar sus datos específicos.

Modelo de responsabilidad compartida:

• Cliente: es el responsable de la seguridad de los datos "EN" la nube.
  
• Proveedor: es el responsable de la seguridad "DE" la nube.
  

En 2022, al menos un 95% de los fallos en la seguridad cloud será por culpa del cliente (Gartner. Clouds Are Secure: Are You Using Them Securely?).

Mito n.º 4: la nube es solo la computadora de alguien más

La nube no es una única computadora.
En la nube, es posible que una solicitud informática se distribuya a cientos o miles de computadoras.

Hay servicios de almacenamiento on cloud, contenedores y otros servicios no tradicionales a considerar además de las máquinas virtuales.

La configuración y controles de seguridad para estos servicios no usará implementaciones de seguridad tradicionales como firewalls y software antivirus. Además, estos servicios suelen utilizar un conjunto de APIs para comunicarse entre aplicaciones por lo que los conceptos de direcciones IP y sistemas operativos a menudo no se aplican.

Hay requisitos de visibilidad adicionales y una mayor planificación necesarios para proporcionar controles de seguridad e instrumentación de computadoras distribuidas.

Por ejemplo, si una aplicación procesa fotos subidas por un usuario y un atacante envía una avalancha de fotos no solicitadas para procesarse, la aplicación puede escalar asumiendo el propietario de la aplicación los costes adicionales.
La infraestructura de la nube puede poner límites para ayudar en casos como este, pero deben entenderse bien y configurarse por adelantado.

Mito n.º 5: los adversarios avanzados no atacan la nube

Los atacantes persiguen los datos. A medida que los datos ingresan a la nube, también lo harán los atacantes.

La organización media puede moverse más rápidamente y reducir costes operando en la nube, pero debe entender que cualquier activo de valor que ubiquen allí será un objetivo y deben proteger los recursos en consecuencia.

Esto significa que no solo se deben implementar las mejores prácticas para la seguridad on cloud sino también ser conscientes del aumento de la actividad por parte de atacantes avanzados que buscan datos en la nube.

La mitigación de amenazas en la nube requiere dos aspectos fundamentales:

• telemetría de datos sobre los que aplicar operaciones de seguridad.
  
• modelos de amenazas que determinen qué herramientas, tácticas y procedimientos de los adversarios deben ser abordados y mitigados.
  

Y a su vez se pueden dividir en cuatro categorías de capacidades:

• Inteligencia: aplicación de indicadores de inteligencia de amenazas.
  
• Reglas: aplicación de patrones de amenaza conocidos.
  
• Analítica: organización de la telemetría para mostrar anomalías.
  
• Hunting: búsquedas basadas en hipótesis.
  

Aproximadamente 1/4 de las investigaciones de respuestas ante incidentes involucra activos alojados en una nube pública.

Con las altas expectativas a nivel mundial para los servicios de cloud pública, se espera que el mercado crezca y es hora de desmitificar estas falsas creencias para que las organizaciones puedan obtener visibilidad y tomar el control de sus operaciones en la nube.

Jose Maria Acuña Morgado - Web Developer - Ethical Hacking

Leer más

Los mejores podcast de ciberseguridad

El podcasting o podcast consiste en la distribución de archivos digitales de audio que un usuario puede descargar para copiar y escuchar en un dispositivo personal posteriormente a su difusión original y que permite suscribirse de manera opcional. Fuente: Wikipedia


Durante años, los podcasts de seguridad de la información han sido un medio popular para cubrir noticias de seguridad, estar al día de las amenazas más frecuentes, aprender sobre incidentes recientes y todo lo que necesitas saber para mantenerte informado en el campo de la seguridad digital.

Para estar al día sobre lo que acontece en el sector de la ciberseguridad, paso a citar algunos de los podcast en castellano más interesantes.

Tierra de Hackers
https://www.tierradehackers.com/

---

Tu noticiero de ciberseguridad hecho podcast - Por Martin Vigo y Alexis Porros.

“Notas y referencias de episodios: tierradehackers.com”

---

Cosas de Hackers
https://www.ivoox.com/cosas-hackers_sq_f1876480_1.html

---

El Podcast más canalla sobre CiberSeguridad & Transformación Digital - Presentado por @Avalos_Morer y @TheXXLMAN.

“Cosas de Hackers - 100% independiente!”

---

Securizando
https://securizando.com/category/podcast/

---

Podcast sobre seguridad informática por un ingeniero de redes - @securizando_.

“Aquí encontrarás explicaciones, lo más claras posibles, sobre qué es qué y cómo funciona el mundo de la seguridad informática”

---

Seguridad Overflow
https://seguridadoverflow.com/c/podcast/

---

Seguridad informática y blockchain acompañado de tonterías pseudoaleatorias.

“Un podcast-blog casero sobre seguridad informática y criptomonedas (principalmente Bitcoin Cash)”

---

Palabra de Hacker
https://www.ivoox.com/podcast-palabra-hacker_sq_f1266057_1.html

---

Palabra de hacker, ciberseguridad de tú a tú by Yolanda Corral. Síguelo en Twitter en @Palabradehacker y descubre toda la información en la web: https://www.yolandacorral.com/palabra-de-hacker

“Está dedicado al mundo de la seguridad informática donde el verbo hackear y el sustantivo seguridad se dan la mano para aprender con los mejores profesionales y construir entre todos una red más segura”

---

#ElevenPathsRadio
https://www.ivoox.com/podcast-elevenpathsradio_sq_f1715143_1.html

---

Un podcast en el que podrás escuchar interesantes entrevistas con las voces más relevantes del sector de la ciberseguridad y la actualidad más destacada analizada por nuestros Chief Security Ambassadors.

“Los mejores contenidos sobre transformación digital, ciberseguridad, cloud, Big Data e IoT para empresas, ofrecidos por Telefónica”

---

Ocho Punto Ocho
https://www.ivoox.com/podcast-ocho-punto-ocho_sq_f1574483_1.html

---

Porque la convención de hackers más relevante de Latinoamérica encuentra un puerto en Radiodemente y Gabriel Bergel, nuestro sombrero blanco, nos enseñara y mostrará todo lo relacionado al mundo de la ciberseguridad..

“Espacio para hablar de cultura Hacker.
Ocho punto Ocho, cada miércoles a las 21 hrs y se repite los jueves a las 18 hrs y los domingos a las 16 hrs..”

---

CiberSeguridad al Día
https://www.ivoox.com/podcast-ciberseguridad-al-dia_sq_f1492913_1.html

---

El podcast "Ciberseguridadal día" está enfocado a desarrollar esos temas que ayuden de una forma u otra en el desarrollo de los profesionales de la Ciberseguridad - By Carlos Solís Salazar.

“Es un programa de profesionales para profesionales… y para toda persona que esté interesada en saber algo más o compartir sus conocimientos sobre un concepto tan amplio como es el de la seguridad.”

---

ClickCiber
https://www.ivoox.com/podcast-ciberseguridad-al-dia_sq_f1492913_1.html

---

Desde septiembre de 2018 realizamos un programa semanal de radio dedicado a la CiberSeguridad. La producción de programa es responsabilidad de CLICKRADIOTV. Desde sus estudios centrales en Madrid se graba el programa, tanto en versión audio como en video.

“El horario de grabación es Jueves de 19 a 20h en horario de Madrid. El programa es emitido por más de 60 emisoras de FM de toda España, y además sus Podcast están disponibles en todas las plataformas.”

---

Jose Maria Acuña Morgado - Web Developer & Ethical Hacking

Leer más

8 consejos sobre ciberseguridad durante el periodo de teletrabajo

La crisis actual del COVID-19 ha causado un incremento exponencial en el número de personas que trabajan desde casa para proteger la salud colectiva. Lo que conlleva un incremento en el riesgo en términos de Ciberseguridad.

Esto está causado fundamentalmente por dos factores:

• La redistribución de los lugares de trabajo a espacios fuera de la oficina y el incremento en el uso de plataformas virtuales de colaboración ha ampliado sustancialmente la superficie de exposición y ataque. Esto puede amenazar la infraestructura digital de la que ahora dependemos más que nunca para dar continuidad al negocio. Puede incluso amenazar la infraestructura crítica y el suministro de servicios críticos si no se gestiona de forma proactiva.
  
  
• La crisis del COVID-19 proporciona a los atacantes nuevas oportunidades de realizar ataques específicos, como pueden ser ataques mediante correos de phishing o de fraude dirigido. Estas tácticas tienen como objetivo aprovecharse de los ciudadanos que están lógicamente preocupados por su salud y protección en un momento en el que pueden ser especialmente vulnerables.

(Designed by Freepik) - www.freepik.com

En definitiva, el primer paso empieza en nosotros mismos: mantente alerta para permanecer a salvo y seguro.
Para ello, sigue estos 8 consejos sobre ciberseguridad durante el periodo de teletrabajo:

1. Lleva a casa únicamente los dispositivos e información que sea absolutamente imprescindible

La mejor manera de proteger la información o los dispositivos frente a pérdida es en primer lugar, no sacarlos de su entorno corporativo habitual. De esta forma, se evita el riesgo de pérdida en el trayecto o en casa.

Asegúrate por tanto de que solo llevas a casa los dispositivos e información que realmente necesitas.

2. Protege tu red doméstica y utiliza conexiones seguras

Dado que vas a estar usando tu red privada doméstica, debes protegerla de forma adecuada con un cifrado WiFi robusto y una contraseña única y compleja, así como manteniendo las correspondientes actualizaciones.

Trabaja siempre a través de una conexión segura, estableciendo si es necesario una conexión VPN (URA), especialmente si estás transmitiendo información sensible o estás accediendo a la red corporativa interna.

3. Mantén actualizado el software de todos tus dispositivos

Cuando trabajas desde casa, tus dispositivos personales y los dispositivos corporativos están usando la misma red doméstica. El tráfico de datos pasa a través del mismo router al que están conectados otros dispositivos domésticos inteligentes que, en el peor de los casos, podrían no tener una protección actualizada.

Todo ello puede ser un punto de entrada para los intrusos, por lo que se recomienda que permitas que todos los dispositivos conectados a tu red doméstica, tanto corporativos como personales, se actualicen automáticamente.

4. Apaga la función de control por voz en dispositivos domésticos inteligentes, y cubre la webcam cuando no la estés usando

Los asistentes de voz escuchan lo que se dice en la habitación y lo envían al proveedor correspondiente. La posibilidad de que esas grabaciones terminen cayendo en malas manos no debe descartarse.

Por tanto, ese tipo de dispositivos no deberían estar presentes en habitaciones en las que se discutan asuntos importantes o confidenciales o al menos deberían estar apagados.

Y asegúrate de cubrir la webcam de tu PC cuando no la estas usando, así como de tener cuidado de lo que se comparte cuando está activa.

5. No mezcles el uso personal y corporativo de los dispositivos

Haz una clara distinción entre dispositivos e información dedicados a negocio y los del ámbito personal.

No transfieras datos del ámbito de trabajo a los dispositivos personales. Esto evitará cualquier fuga accidental de información.

Como efecto secundario, ayuda también a la separación psicológica entre el tiempo "de trabajo" y el tiempo "personal".

6. Cierra la sesión cuando dejes de usar los dispositivos y guárdalos de forma segura

Incluso cuando estés haciendo un breve descanso, bloquea la pantalla de tu PC y del móvil, tal y como harías en la oficina, para que no queden accesibles durante tu ausencia.

Y, por supuesto, es necesario seguir protegiendo en todo momento los dispositivos frente a un acceso no autorizado o incluso robo también mientras están en casa, fuera de la oficina.

7. Identifica proactivamente a todos los participantes en las reuniones en línea

Las herramientas de videoconferencia son un excelente sustituto de las reuniones presenciales. Al mismo tiempo, sin embargo, puede ser más difícil verificar si todos los que aparecen conectados han sido realmente invitados.

Puede ser relativamente sencillo que personas no autorizadas que hubieran obtenido el número de teléfono y código de conferencia se conecten a reuniones con un alto número de participantes.

Por este motivo es recomendable que cualquiera conectado a un conferencia se identifique brevemente, así como comprobar si hay algún asistente no identificado, especialmente si se discuten asuntos sensibles o al mostrar la pantalla en modo de presentación.

8. Se extremadamente cauto con correos sospechosos o ficheros adjuntos, especialmente si no conoces al emisor

Especialmente en el entorno doméstico y durante el teletrabajo, es necesario mantenerse alerta frente a correos maliciosos.

Se han realizado estudios que muestran que la probabilidad de caer víctima de este tipo de ataques maliciosos es más alta cuando se trabaja desde casa.

Adicionalmente, no caigas en la trampa de precipitarte al recibir emails que requieren alguna acción extraña urgente o con noticias no contrastadas sobre la actual crisis del COVID-19. Dedica un tiempo prudencial a revisar en detalle estos emails antes de hacer clic en cualquier enlace o abrir cualquier adjunto.

Jose Maria Acuña Morgado - Desarrollador Web - Hacking ético

Leer más

El CISO y la ciberseguridad

El papel del CISO (Chief Information Security Officer) ha aumentado en escala, alcance e importancia durante la última década, pasando a formar parte de las filas de la dirección ejecutiva de muchas organizaciones.


La creciente complejidad de las redes de IT, la mayor sofisticación de las amenazas y el auge del coste de la ciberdelincuencia se suman a un rol de CISO que puede llevar a un negocio al éxito o al fracaso.

El CISO desempeña una función cada vez más importante en la gestión ejecutiva, con la responsabilidad de proteger los entornos locales, de nube, de tecnología operacional (OT) y de DevOps. Entre sus cometidos se incluye ahora también la seguridad física.

(Designed by Freepik) - www.freepik.com

1. Introducción

El puesto de Chief Information Security Officer (CISO) existe desde hace tan solo 25 años y hace mucho menos tiempo en la mayoría de las organizaciones.

A pesar de ello, la definición de esta función ha variado continuamente desde el principio. En su mayor parte, esta evolución se ha producido hacia la incorporación de responsabilidades en lugar de sustituir una responsabilidad por otra.

Los CISO ahora deben interactuar a menudo con líderes como el CFO, el CEO e incluso la junta directiva.

La ciberseguridad se ha convertido en un elemento cada vez más crítico para el balance final de muchas organizaciones, y los riesgos y costes asociados han aumentado drásticamente en la última década. Por ejemplo, el estudio The Cost Of Cybercrime revela que los delitos cibernéticos costaron a la organización típica 13 millones de dólares en 2018, un 12% más que en 2017 y un 72% más en un período de cinco años.

Los factores que intervienen son:

• Una superficie de ataque ampliada: las iniciativas de transformación digital (DX) que se están llevando a cabo en la mayoría de las organizaciones han aumentado la complejidad de las redes de IT, y su protección es igualmente complicada. Los datos y las aplicaciones de una empresa ahora se encuentran en múltiples nubes, el tráfico de la red a menudo viaja a través de la Internet pública mediante tecnologías de red definidas por software (SDN) y grandes volúmenes de nuevos datos se originan en dispositivos del Internet de las cosas (IoT) que a menudo carecen de una protección de seguridad adecuada. A medida que estas tecnologías aparecen en línea, los equipos de seguridad habitualmente luchan por protegerlas.

• Aumento de la complejidad de la seguridad: a medida que las redes se vuelven más complejas, la tarea de protegerlas resulta más difícil. El volumen de datos aumenta a un ritmo alarmante y a menudo es difícil identificar todos los datos confidenciales y críticos para la empresa, por no hablar de su protección. Los requisitos de cumplimiento se han vuelto más complejos y una arquitectura de seguridad con herramientas desagregadas hace que resulten más complicados tanto los informes de cumplimiento como la respuesta frente a las amenazas.

• Un panorama de amenazas que cambia rápidamente: los ciberdelincuentes utilizan enfoques muy sofisticados y las amenazas desconocidas aumentan en frecuencia y alcance. La velocidad de los ataques también se está acelerando y la filtración de datos corporativos se produce ahora en cuestión de minutos. Las redes ampliamente distribuidas que resultan de la DX implican que los enfoques basados en el perímetro para la seguridad de la red se han quedado obsoletos. Además, los enfoques basados en firmas para la detección de malware pasan por alto el gran número de amenazas de día cero.

Como resultado, los CISO ya no pueden permitirse el lujo de ser simples tecnólogos, sino que deben convertirse en impulsores de la estrategia empresarial.

Deben ir más allá de las comprobaciones de cumplimiento y adoptar un enfoque amplio basado en la estrategia general de gestión de riesgos de una organización. Además, tienen que ampliar el enfoque de soluciones menores para cubrir la superficie de ataque y adoptar una postura integral y proactiva como respuesta a las amenazas.

2. Tendencias de la ciberseguridad según el CISO

El CISO tiene un papel cada vez más importante en la gestión ejecutiva, con un número de responsabilidades cada vez mayor que incluye la seguridad en la nube, la seguridad del IoT, las operaciones de seguridad, la formación en ciberseguridad, las normas y auditorías, y la privacidad de los datos.

Al CISO se le mide por métricas de productividad y de seguridad, y realiza un seguimiento de las tendencias generales de manera interna.

El CISO tiene una gran confianza en la posición frente a amenazas de su organización, pero tiene que hacer frente a procesos manuales y depende de ayuda externa como MSSP (Managed Security Service Provider).

Los CISO todavía sufren un número importante de intrusiones que tienen un impacto tangible en sus negocios.

3. Desafíos clave para los CISO

Los ciberdelincuentes y otros atacantes son los desafíos más importantes para los CISO.

La complejidad es el mayor reto y está originado por una superficie de ataque en expansión.

Los servicios en múltiples nubes, la conectividad móvil, la proliferación de dispositivos de IoT y SDN aumentan la complejidad de la red. Este es el origen de otros desafíos comunes citados, como la creciente necesidad de aprendizaje y desarrollo, y la proliferación de herramientas de seguridad.

Se necesitan más oportunidades de aprendizaje y desarrollo para los equipos de seguridad.

4. Conclusión

Los CISO son cada vez más importantes para el éxito de sus organizaciones. Así, han aumentado su estatus en la organización, además de sus responsabilidades.

Los CISO que siguen sufriendo intrusiones importantes pueden aprender de las siguientes prácticas recomendadas:

• Aumento de la inversión en ciberseguridad en respuesta a un panorama de amenazas cada vez más complejo.
• Adopción de un enfoque de gestión de riesgos respecto a la ciberseguridad.
• Medición del rendimiento de la ciberseguridad frente a las referencias y las organizaciones similares.
• Implementación de una arquitectura de seguridad integral con visibilidad y protección plenos frente a amenazas conocidas y desconocidas.

Además, a medida que el trabajo de los CISO se vuelve cada vez más complejo, el mejor enfoque que pueden adoptar es simplificar las operaciones a través de la integración y la automatización. Un enfoque estratégico basado en la gestión de riesgos permite a las organizaciones ser más proactivas que reactivas con la ciberseguridad.

Jose Maria Acuña Morgado - Desarrollador Web

Leer más

Consejos para proteger nuestros activos en el Mes de la Concienciación sobre la Ciberseguridad

Vivimos en una era digital y todo está conectado a Internet (impresoras, electrodomésticos, domótica, automóviles, bancos, datos sensibles, como los vinculados a salud, biométricos, de geolocalización, y un largo etcétera) por lo que debemos asumir ciertos riesgos o amenazas.


La seguridad de la información es vital para poder desarrollar el proceso de digitalización de cualquier organización.

Una evidencia de ello es la entrada en vigor del RGPD o Reglamento General de Protección de Datos el 25 de mayo de 2018.

Con esta normativa se pretende garantizar el uso correcto de los datos personales de usuarios y clientes, y concederles la facultad de modificarlos o eliminarlos en favor del derecho al olvido. Es decir, otorga un mayor control y seguridad a los ciudadanos sobre su información personal en el mundo digital.

A nivel mundial, se han puesto en marcha una serie de iniciativas con el objetivo de concienciar sobre los riesgos y amenazas existentes y remarcar el papel de la ciberseguridad.

1- Mes Europeo de la Ciberseguridad

Campaña anual de sensibilización de la UE que tiene lugar cada mes de octubre en toda Europa.

Los objetivos del Mes Europeo de la Ciberguridad son:

• Generar conciencia general sobre la ciberseguridad
• Generar conciencia específica sobre la Red y la Seguridad de la Información, que se aborda en la propuesta de Directiva NIS
• Promover un uso más seguro de Internet para todos los usuarios
• Construir un historial sólido para crear conciencia a través del ECSM
• Involucrar a las partes interesadas relevantes
• Aumentar el interés de los medios nacionales a través de la dimensión europea y global del proyecto
• Aumentar la atención y el interés con respecto a la seguridad de la información a través de la coordinación política y mediática

URL: https://cybersecuritymonth.eu/

ECSM Publications & Audio Visual Material: https://cybersecuritymonth.eu/press-campaign-toolbox/infographics
https://cybersecuritymonth.eu/press-campaign-toolbox/material

Si vives en Europa, accede al sitio web de ECSM (European Cyber Security Month) y presta atención a las actividades y eventos que tienen lugar en las ciudades europeas: Activities

Sexta edición del European Cyber ​​Security Challenge (ECSC), el evento europeo anual que reúne a jóvenes talentos de toda Europa para divertirse y competir en materia de ciberseguridad: European Cyber Security Challenge - 2019

2- Mes Nacional de la Concienciación sobre la Ciberseguridad en Estados Unidos

Cada mes de octubre, el Mes Nacional de Concienciación sobre Ciberseguridad (NCSAM) es un esfuerzo de colaboración entre el gobierno y la industria para crear conciencia sobre la importancia de la ciberseguridad y garantizar que todos los estadounidenses tengan los recursos que necesitan para estar más seguros y protegidos en línea.




URL: https://niccs.us-cert.gov/national-cybersecurity-awareness-month-2019

Además, facilita una guía completa para promover hábitos de seguridad digital positivos y duraderos: National Cybersecurity Awareness Month - 2019 Toolkit

3- Mes de la Concienciación sobre la Ciberseguridad en Canadá

Esta campaña se centra en ayudar a los canadienses a estar más seguros en línea, al estar informados y conocer los pasos simples que pueden elegir tomar para protegerse mejor a sí mismos, a sus familias, su lugar de trabajo y sus dispositivos interconectados.




URL: https://www.getcybersafe.gc.ca/cnt/rsrcs/glssr-en.aspx

También proporciona un kit de herramientas para ayudar a promover la ciberseguridad: Cyber Security Awareness Month Toolkit

¿qué podemos hacer para minimizar los riesgos en nuestros sistemas informáticos?

• Instala un antivirus adecuado y un firewall o cortafuegos.
• Utiliza contraseñas de alta seguridad: se recomienda que las contraseñas no contengan nombres completos, nombres reales o de tu empresa, así como números muy conocidos (número de teléfono o fecha de nacimiento).
• La web How Secure Is My Password? averigua la dificultad para descifrar tu contraseña por una computadora.
• Mantén actualizados el sistema operativo y los navegadores web de tu equipo.
• Realiza copias de seguridad periódicas de la información, principalmente la más sensible o importante de los dispositivos.
• Usa el "sentido común":
  
  1. no abrir ficheros, adjuntos o enlaces de correos electrónicos no fiables, ni contestar a este tipo de correos.
  2. precaución al seguir enlaces en correos, mensajería instantánea y redes sociales, aunque sean de contactos conocidos.

¿qué antivirus debemos usar?

En la actualidad, existen infinidad de antivirus y debemos elegir la solución que mejor se adapte a nuestras necesidades.
Voy a hacer mención especial a Bitdefender por razones que expongo a continuación:

• Dispone de un laboratorio de pruebas, un servicio técnico y convenios con diferentes universidades y entidades públicas como la Universidad Oberta de Cataluña o el Centro de Alerta Antivirus.
• Ofrece software contra las amenazas a más de 500 millones de usuarios domésticos y soluciones corporativas en más de 180 países.
  Tiene oficinas en Estados Unidos, Reino Unido, Alemania, España (ubicadas en Madrid, Barcelona, Vigo, Las Palmas de Gran Canaria, Valencia y Sevilla), Perú y Rumanía. Además, posee una red local de distribuidores en más de 200 países.
• Además de la protección antivirus habitual en este tipo de aplicaciones contra malware, spyware, ataques de phishing, etc., incluye un firewall, un gestor de contraseñas, control parental, un escáner para perfiles de Facebook (Safego) que bloquea posibles enlaces que podamos recibir a través de esta red social, una aplicación para borrado seguro de ficheros y, también, un navegador Web (Safepay) para acceder de forma segura a cualquier entidad bancaria que funciona en su propio escritorio sin interactuar con el resto del Sistema Operativo.
• La app Bitdefender Central está disponible ahora para iOS y Android
• Gestor de contraseñas y Destructor de archivos mejorados

Toda la información en:

Bitdefender Total Security 2020

Jose Maria Acuña Morgado - Desarrollador Web

Leer más