Estudio de Deloitte Touche indica que telefónicas tienen una serie de retos como el desarrollo de nuevas aplicaciones. Las amenazas de seguridad de la información se incrementaron en varios frentes durante los últimos 12 meses.
El informe comprende la industria de Tecnología, Medios y Telecomunicaciones (TMT) en materia de seguridad de la información.
Según el estudio, las amenazas de seguridad de la información se incrementaron en varios frentes durante los últimos 12 meses, incluyendo intentos de “hacktivistas,” delincuentes cibernéticos y otros agentes dirigidos hacia la propiedad intelectual, la información del consumidor y al incremento de la perturbación del negocio.
Las amenazas crecen conforme se introducen y utilizan nuevas tecnologías tales como la nube, los dispositivos móviles y las redes sociales. De hecho, el mismo estudio señala que se hallaron registros de violaciones a la seguridad de la información en un 75% de las 138 organizaciones globales encuestadas, mostrando un incremento respecto al año anterior.
El estudio global de Deloitte señala que las principales amenazas son: dispositivos móviles (34%), violaciones de seguridad que involucra a terceros (25%), errores de los empleados u omisiones (20%), adopción más rápida de tecnologías nuevas (18%) y abuso del empleado de los sistemas e información de TI (17%).
“Como se nota, el uso de los dispositivos móviles es considerado como la principal amenaza a la seguridad para 2012; junto con la gama de beneficios que proporcionan al usuario generan también una serie de retos para las compañías relacionados con la confidencialidad de datos, la privacidad del empleado, la distribución y desarrollo de aplicaciones, y el soporte del dispositivo móvil”, concluye el estudio.
Para Jonathan Solano, gerente de Riesgo Empresarial de Deloitte: “la seguridad de la información no debe considerarse únicamente como una actividad de los directores de seguridad informática. Es necesario que se preste más atención a nivel corporativo a la seguridad y que haya un clima empresarial que fomente una gestión proactiva de los riesgos crecientes en seguridad”.
Fuente: http://www.elheraldo.hn
El mayor costo para una organización por una fuga de información es la mala reputación que enfrentará la institución, aseguró Pablo Corona, auditor y experto del NYCE.
Al participar en la segunda etapa de bSecure Conference, Corona destacó la importancia de que las empresas estén preparadas para responder a la autoridad, en específico al Instituto Federal de Acceso a la Información (IFAI), ante una posible inspección.
El especialista señaló que en la actualidad hay dos razones por las que el IFAI puede hacer una inspección al negocio: una, porque el Instituto crea una lista de empresas con mayores riesgos de vulneración a la seguridad de datos; dos, porque existe una denuncia en contra de una organización en particular.
“Cuando el IFAI llega ya no puedas hacer mucho más. Hay que estar preparado”, dijo.
De acuerdo con Corona, entre las principales interrogantes que el IFAI hace en una inspección está la evidencia donde se recaba el consentimiento expreso de datos sensibles, la política de confidencialidad de la empresa, el aviso de privacidad y la forma en que se da a conocer. Además de revelar si la organización ha tenido vulneraciones a la seguridad.
“Esta pregunta es la más difícil”, apuntó el especialista, quien recomendó que si bien podría ser fácil responder negativamente, antes habrá que estar seguros de que en verdad sea real pues puede ser que la inspección haya sido resultado, incluso, de una denuncia.
Sobre el manejo de los datos personales, Pablo Corona aconsejó que para su tratamiento “hay que considerarel valor (de los datos) para el posible atacante y el riesgo (en caso de ser robados) para el titular”.
Fuente: bSecure
Teniendo en cuenta el creciente flujo de datos de la aplicación de mensajería instantánea Whatsapp, en las últimas horas ha crecido la polémica en torno al hecho de que, como todos esos contenidos no se encuentran encriptados, y por lo siguiente, tampoco, protegidos, cada uno de los mensajes, fotos o ubicaciones enviados a través de una red Wi-Fi pueden ser interceptados gracias a una nueva aplicación para Android.
El hecho es que la mayoría de dispositivos móviles en la actualidad disponen de Whatsapp, y quienes no poseen los aparatos de la misma empresa, poseen realmente un aliado de lujo a la hora de comunicarse gratis mediante estos medios. Desde allí, uno puede transferir mensajes, fotografías o vídeos de forma gratuita con otros usuarios de la aplicación de una forma sumamente rápida y sencilla.
Más allá de esto, para quienes evidentemente el uso de Whatsapp reviste algún que otro peligro es para quienes poseen dispositivos que funcionan mediante el sistema operativo Android, ya que se trata de un producto operativo de código abierto, y como los desarrolladores de la aplicación no ofrecen una transmisión de datos segura por encriptación, sus mensajes podrían ser leídos con sólo utilizar otra aplicación.
De hecho, los especialistas ya han alertado que, para poder tener acceso a las conversaciones privadas de otros usuarios de Whatsapp, sólo se requiere disponer de un dispositivo Android conectado a la misma red Wi-Fi con una aplicación específica, sin ir más lejos, las que ofrece cualquier bar o confitería en la actualidad.
Ya habiendo sido informados por parte de distintos consultores independientes, los propios expertos de Android se comprometieron a trabajar en conjunto con los desarrolladores de Whatsapp para encontrar una solución fiable en el corto plazo. Sin embargo, la última actualización de Whatsapp, la 2.7.7532 para Android sigue siendo vulnerable al “sniffing”, es decir, la recuperación de estos datos por dispositivos externos.
Fuente: Zonavirus
http://www.zonavirus.com/noticias/2012/los-mensajes-de-whatsapp-en-android-al-descubierto.asp
INTECO, aborda la seguridad en dispositivos móviles en la quinta edición de los monográficos de seguridad.
En los últimos años hemos asistido a una revolución tecnológica sin precedentes de la mano de las tecnologías móviles, y hemos comenzado a ser conscientes del enorme potencial de estas tecnologías, las cuales literalmente, están influyendo en todos los aspectos de nuestras vidas.
Las tecnologías móviles han traído consigo el desarrollo de nuevos servicios, nuevos modelos de desarrollo y de comercialización de aplicaciones y servicios, que han supuesto un aumento de la demanda de estos dispositivos, una demanda que está revitalizando e impulsando a la industria de las tecnologías de la información a nuevos niveles.
Al mismo tiempo que crece la demanda de más y mejores funcionalidades, más servicios y más aplicaciones, ha comenzado a aumentar la preocupación en torno a la seguridad de las tecnologías móviles y es que los ciberdelincuentes y las organizaciones criminales no son ajenas a esta revolución y se han dado cuenta del enorme potencial criminal que encierran estas tecnologías.
Dada la importancia que está adquiriendo la seguridad en dispositivos móviles, desde INTECO-CERT, y a través del quinto monográfico de seguridad, queremos dar la oportunidad a los usuarios, empresas y organizaciones en general, de conocer las soluciones de seguridad que el mercado pone a su alcance y que les van a permitir hacer un uso más seguro de las tecnologías móviles, poniendo a su alcance todo un abanico de soluciones de seguridad, las cuales están actualmente disponibles en el mercado nacional de seguridad TIC.
En la sección de publicaciones del catálogo STIC, se pueden consultar los anteriores monográficos publicados, que abordan temáticas tan interesantes como el cumplimiento legal o la seguridad perimetral.
El documento PDF accesible está disponible en el siguiente enlace:
Monográfico de Seguridad de Dispositivos Móviles
Fuente: Inteco
La pérdida o fuga de información es una de las principales amenazas a las que se enfrentan las empresas y las organizaciones.
Cada vez es más habitual ver en los medios de comunicación noticias relacionadas con incidentes de seguridad, en los cuales, un grupo de hackitivistas, cibercrimales o la competencia, roban o sustraen información confidencial de una organización, que suelen provocar consecuencias importantes: pérdidas económicas, daño de la imagen y pérdida de reputación, o incluso multas o sanciones por incumplimiento de legislación en materia de protección de datos personales.
Los incidentes relacionados con la pérdida o fuga de información se pueden clasificar según el motivo o causa que las origina. Por un lado, puede tratarse de un incidente provocado, por ejemplo, en el robo de secretos industriales o la venganza de un empleado descontento, pero también, puede tratarse de un incidente, por ejemplo, el extravío de un ordenador portátil o un teléfono móvil, o el envío de información fuera de la organización sin tomar las debidas precauciones o por error.
El problema de la fuga de información siempre ha estado presente en las empresas, pero las tecnologías móviles y los mecanismos de almacenamientos han agravado y multiplicado este tipo de incidentes, puesto que, cada vez almacenamos más información en estos dispositivos y cada vez existen más aplicaciones, servicios y herramientas para compartir, transferir y procesar información desde cualquier lugar y en cualquier momento, generalmente fuera de la organización, lo que aumenta la probabilidad de este tipo de incidentes.
Luchar contra las fugas de información requiere acciones en tres ámbitos, con medidas de tipo técnico, de tipo organizativo y de tipo jurídico:
Finalmente, cuando se diseñan y seleccionan las medidas de seguridad, hay que tener en cuenta el posible impacto ante un robo o perdida de información ya que este puede tener distintas consecuencias en función del tipo de información y del tipo de organización.
Desde INTECO-CERT, recomendamos extremar las precauciones en relación con este tipo de incidentes, sobre todo si se trata de organizaciones que proporcionan servicios en la nube, o empresas que comercializan productos on-line, puesto que un robo de datos puede tener importantes consecuencias sobre sus clientes y sobre la imagen de la organización.
Fuente: Inteco
El código malicioso continúa siendo una de las principales amenazas a las que se enfrentan las organizaciones, las empresas y los usuarios.
Cuando hablamos de amenazas en seguridad TIC, hay una entre todas ellas que es recurrente y que ha logrado sobrevivir a más de tres décadas, creciendo, evolucionando y adaptándose conforme avanza la tecnología informática: el código malicioso (malware) o en lenguaje coloquial, los “virus”.
Para los expertos en seguridad, cualquier programa diseñado con fines maliciosos o dañinos, como robar información, alterar un sistema o impedir su uso (entre otros), es denominado código malicioso.
Actualmente, la variedad de estos programas es tal que referirse a estos como “virus” es hablar únicamente de una de las formas que pueden adoptar estos programas. Es más, el término “virus” hace referencia a una característica muy particular, la capacidad para copiarse a sí mismos, de forma similar a como lo hacen los virus que atacan a organismos biológicos, como es el caso de los virus humanos. Lo cierto es que la tipología de estos programas es muy extensa, tanto como lo son las actividades para las cuales son diseñados. Algunos de los tipos de código malicioso más conocidos son los siguientes:
Además del código malicioso descrito, hay muchos más, pero no es objeto de esta nota explicar todos y cada uno de ellos. Por otro lado, hoy día el código malicioso se ha vuelto muy complejo, hasta el punto de que es difícil en ocasiones saber de qué se trata o clasificarlo, puesto que hay código malicioso que incorpora características de los virus, pudiendo actuar como un troyano, con las capacidades de propagación de un gusano y recopilando información como si se tratara de Spyware. En definitiva, el código malicioso es capaz de propagarse a través de diversas vías y medios y una vez llega a un sistema, es capaz de realizar múltiples tareas, incluso son capaces de recibir órdenes o funcionar como parte de un grupo de programas maliciosos.
El código malicioso siempre ha sido una amenaza tanto para los usuarios domésticos como para las empresas y las organizaciones, pero en los últimos años se han producido cambios importantes en el ámbito del desarrollo del código malicioso, también conocida como industria del Ciber Crimen que han convertido el código malicioso en una amenaza que hay que tomarse muy en serio.
El código malicioso ha pasado de ser una amenaza que en ocasiones no suponía más que un mensaje divertido en la pantalla del ordenador o un mal funcionamiento del sistema a programas que roban datos bancarios, que secuestran ordenadores impidiendo a sus dueños el acceso a la información a cambio de dinero o convierten el ordenador infectado en parte de una red de ordenadores zombie (Botnet) que es utilizada para el envío masivo de correos de spam o para realizar campañas de phishing.
Para defendernos de esta amenaza la industria de seguridad ofrece múltiples soluciones, que podríamos englobar en tres grupos principales:
Este tipo de aplicaciones ofrecen protección contra muchos tipos de código malicioso. Inicialmente, era muy habitual que las soluciones estuvieran más especializadas, de forma que podíamos encontrar Anti-Virus, Anti-Troyanos, Anti-Spyware, por separado. Hoy día la tendencia son las soluciones que protegen contra múltiples tipos de amenazas que pueden llegar además, a través de múltiples vías: dispositivos de almacenamiento, correo electrónico, mensajería instantánea, etc.
Dentro de las medidas de seguridad básicas, es fundamental contar con una solución para la protección contra el código malicioso, que disponga de actualizaciones constantes y que nos proteja contra el amplio abanico de código malicioso que existe y que no para de crecer.
Por último, desde INTECO-CERT os recordamos que la mejor defensa es contar con información sobre las amenazas y riesgos que aparecen constantemente.
FUENTE: INTECO
El uso de herramientas de mensajería está muy extendido como un medio de comunicación eficaz. Lo que muchos desconocen es el peligro que encierra dicho uso, y de manera especial, el riesgo al que se somete a un sistema de información empresarial cuando dicho uso se realiza, ya sea forma generalizada o de forma incidental.
CSO ESPAÑA acaba de hacerse eco de un estudio realizado por Symantec que bien merece nuestra lectura, reflexión y análisis con conclusiones.
Dicho informe señala que casi un 60% de los usuarios que utilizan mensajería instantánea en sus trabajos lo utilizan para contactar con personas ajenas a la organización. Y, un 43%, lo uso para compartir contenidos que nada tienen que ver con su actividad laboral.
Ante esta realidad, ¿qué debe hacer la empresa? ¿realmente se trata de un problema de seguridad? Les recomiendo leer el artículo de los compañeros de CSO.
http://www.csospain.es/La-mensajeria-instantanea-se-confirma-como-una-herramienta-p/seccion-actualidad/articulo-204731
Hace unos días leí con mucho detenimiento un artículo que se titula ¿Son seguros los smartphones?, lo cierto es que me llamó la atención inmediatamente. Acababa de renovar mis terminales de telefonía móvil y todos los que han llegado son de tercera generación.
El problema de estos tipos de terminales son ante todo de seguridad, ya que solemos llenarlos con mucha información con datos de carácter personal y confidenciales. Pero los smartphones son fáciles de hackear, además del posible extravío o hurto del propio dispositivo.
Ante este escenario es necesario que recapacitemos, reconozcamos estos hechos y actuémos en consecuencia. ¿Qué debemos hacer? Os recomiendo leer y guardar el artículo que leí. Os lo enlazo a continuación y que la lectura del mismo os resulte tan interesante como a mí.
Fuente: CSO ESPAÑA
http://www.csospain.es/__Son-seguros-los-smartphones__-/seccion-/articulo-203305
Las comunicaciones electrónicas y los medios para realizarlas están logrando cierta dósis de dependencia personal por parte de los usuarios. La necesidad de consultar los mensajes recibidos, la necesidad de enviar un correo a alguien, o el mero ejercicio de ocio que resulta el abrir correos y contestar, se está convirtiendo en todo una cultura que está creando dependencia.
Hasta el punto de que muchos usuarios desean, en sus horas laborales y desde sus puestos de trabajo, acceder a sus cuenas de correo. ¿Es esta una medida oportuna? ¿Se trata de un derecho del trabajador? ¿Puede la empresa impedirnos el acceso a nuestras cuentas de correo en horario de trabajo? ¿Qué consecuencias podría traer para la seguridad de la información de una empresa el que sus empleados accedan a sus cuentas personales (tipo hotmail, yahoo, gmail, msn, etc.)?.
Lo primero que debemos tener presente es la doctrina jurídica implicada. Esta doctrina ha venido a establecer que el ordenador que usamos en la empresa es una herramienta DE LA EMPRESA. La sentencia del TS 26-9-2007 viene a decir que declara que “lo que debe hacer la empresa de acuerdo con las exigencias de buena fe es establecer previamente las reglas de uso de esos medios con aplicación de prohibiciones absolutas o parciales”.
¿Por qué es conveniente que las empresas establezcan las reglas de uso de esos medios y las divulguen? Desde el punto de vista de la seguridad, que es el enfoque que queremos dar, al establecer unas reglas básicas, los usuarios sabrán si cuentan o no con autorización para acceder a sus cuentas de correo personal. Lo normal, es que desde un punto de visto pragmático, se prohiba el acceso a las mismas.
Para entender cómo esta decisión de la empresa cuenta con motivación suficiente pensemos un poquito en las consecuencias que se pueden derivar del acceso a las cuentas de correo personales en los dispotivos informáticos y de comunicaciones de la empresa. Ya no hablamos solo de la posibilidad de que el usuario abra el correo personal que pueda estar infectado o de abrir algún fichero adjunto que contenga algún tipo de malware, sino que también estamos hablando de correos que con tan solo la VISTA PREVIA del mismo lanzan un script desde una url remota.
¿Qué pasa si un trabajador accede a su correo personal y algunos de esos email recibidos contiene este tipo de malware? El atacante puede acceder a la información mas sensible de la empresa , incluyendo contactos y correos electrónicos. Este tipo de actos COMPROMETEN LA SEGURIDAD, LA INTEGRIDAD Y LA CONFIDENCIALIDAD de la información de la empresa. De ahí la necesidad de extremar la vigilancia, la necesidad de concienciar a los trabajadores, la necesidad de establecer REGLAS.
Pero no solo bastan con establecer estas reglas, y que el trabajador las conozcan en el momento que firma su contrato de trabajo, sino que es necesario ir mas lejos, se necesita una verdadera política de comunicación y de concienciación. Es aquí donde entra los planes de formación de las empresas, donde deben incluirse jornadas y/o seminarios que ayuden a tomar conciencia a los trabajadores sobre la vulnerabilidad de la información.
Algunas empresas, en su afán de lograr esta concienciación han diseñado planes de comunicación como si se trataran de una política de marketing. Diseñan almanaques, tazas, alfombrillas, salvapantallas, etc… con mensajes de recordatorios sobre la necesidad imperiosa de salvaguardar la seguridad de la información. Estos planes, cuidadosamente elegidos y renovados cada cierto tiempo, son muy eficaces y son muy valorados por los auditores de seguridad.