20 CONSEJOS PARA ESTABLECER UNA POLITICA EFICIENTE EN MATERIA DE CIBERSEGURIDAD

Los siguientes 20 consejos proporcionan un punto de partida sólido para establecer una política de ciberseguridad eficaz en cualquier organización. Sin embargo, es importante adaptar estas recomendaciones a las necesidades específicas y el entorno de cada empresa.

Compromiso de la alta dirección: La ciberseguridad debe ser una prioridad para la alta dirección y respaldarse con recursos adecuados.

Concienciación del personal: Educar a todos los empleados sobre las mejores prácticas de seguridad cibernética y los riesgos potenciales.

Actualizaciones regulares de software: Mantener todos los sistemas y software actualizados con los últimos parches de seguridad.

Gestión de contraseñas sólidas: Establecer políticas para contraseñas robustas y la implementación de autenticación multifactorial.

Control de acceso: Limitar el acceso a datos y sistemas solo a aquellos empleados que lo necesiten para realizar su trabajo.

Monitoreo y detección de amenazas: Implementar sistemas de monitoreo continuo para detectar y responder rápidamente a posibles amenazas.

Copias de seguridad regulares: Realizar copias de seguridad frecuentes de datos críticos y asegurarse de que se puedan restaurar de manera efectiva.

Políticas de uso de dispositivos personales (BYOD): Establecer directrices claras para el uso seguro de dispositivos personales en el lugar de trabajo.

Firewalls y antivirus: Implementar soluciones de firewall y antivirus actualizadas para proteger contra amenazas conocidas.

Segmentación de red: Dividir la red en segmentos para limitar la propagación de un ataque en caso de compromiso.

Auditorías de seguridad regulares: Realizar auditorías periódicas para identificar posibles vulnerabilidades y áreas de mejora.

Políticas de respuesta a incidentes: Tener procedimientos claros para responder a incidentes de seguridad y minimizar el impacto.

Encriptación de datos sensibles: Utilizar la encriptación para proteger datos sensibles tanto en tránsito como en reposo.

Restricciones de descargas y navegación web: Limitar el acceso a sitios web y descargas que podrían representar un riesgo de seguridad.

Control de dispositivos extraíbles: Gestionar y controlar el uso de dispositivos USB u otros dispositivos extraíbles para evitar la introducción de malware.

Políticas de teletrabajo seguras: Establecer directrices claras para el acceso remoto seguro y el uso de redes VPN.

Gestión de parches: Implementar un proceso para evaluar, probar y aplicar parches de seguridad de manera oportuna.

Pruebas de penetración: Realizar pruebas de penetración periódicas para identificar posibles vulnerabilidades y puntos débiles en la seguridad.

Segregación de funciones: Separar los roles y responsabilidades para reducir el riesgo de actividades maliciosas o errores accidentales.

Evaluación y mejora continua: Revisar y actualizar regularmente las políticas y procedimientos de seguridad en función de las lecciones aprendidas y los cambios en el panorama de amenazas.

Autoprotección en los Espacios de Trabajo

 

“EL HURTO NO ES UN TEMA DE NECESIDAD, SI NO DE OPORTUNIDAD”

 

LA PREVENCIÓN DE LA DELINCUENCIA POR MEDIO DE LA PREVENCIÓN SITUACIONAL

 

La ciencia de la criminología desde su escuela clásica ha pretendido estudiar al delincuente con el interés permanente de aplicar castigos justos, útiles y sobre todo que sean proporcionales.

 Hoy compartiremos con ustedes un análisis de la teoría de “La Prevención situacional” y su gran utilidad a la hora de prevenir robos, delitos y trasgresiones a las normas y políticas.

 Escuela Clásica:

Durante siglos se aplicaron teorías como las de BECCARIA en 1764, BENTHAM en 1789, LOMBROSO en 1878 y FERRI en 1912 en donde la conjunción de factores "antropológicos, físicos y sociales" llevo a que durante muchos años se trabajara la prevención del delito bajo la óptica de "compatibilizar la protección de la sociedad y el respeto a las garantías de los individuos frente a la intervención punitiva como consecuencia de la naturaleza del crimen”.

 De aquella escuela clásica nos quedaron dos derivaciones:

 1.        La Teoría de la elección racional

 OPORTUNDAD CRIMINAL vs CASTIGO A LA CONDUCTA = DELITO RACIONAL

 Se presenta sobre todo en los delitos Económicos y Psicológicos.

 Teoría de las actividades rutinarias

VALOR = El valor material o intrínseco del elemento

INERCIA = Facilidad de trasporte y movilidad del elemento

VISIBILIDAD = La forma como el delincuente se entera de la existencia del bien (Cajas, Conteo de Dinero, etc)

ACCESO = Es la facilidad que tiene el delincuente para ponerse en contacto con el objeto

 Escuela Moderna:

Inicia de manera formal en el año 1976 durante investigaciones realizadas en gran Bretaña en la unidad del Home Office sobre los suicidios y la relación que tenían con el tipo de gas que se utilizaba en los domicilios por una parte y por otra las realizadas en U.S.A. por Ray Jeffery en relación con la "prevención criminal a través de la modificación del ambiente físico”.

Gracias a esos estudios y su la interpretación surge la idea de proteger a la sociedad mediante una defensa social, que debe ser el centro de todos los esfuerzos y las iniciativas.

Una de las más acertadas es La prevención situacional como forma de control del delito en la cual se integran diferentes componentes así:

 1 – INCREMENTAR EL ESFUERZO PERCIBIDO (Bloqueo de los automóviles, Barreras Físicas, Controles de acceso, Puestas de Seguridad, Dispositivos de Detección TAG, etc.).

 2 – DESVIACION DE TRANSGRESORES (Contraseñas Informáticas, C.C.T.V., Guardas de Seguridad, Monitores a la Vista, Requisas, Empleados Alerta, Frentes de Seguridad Vecinal o Empresarial, Control de Tiempos y Espacios, etc.).

 3 – DESPLAZAMIENTO DEL OBJETIVO (Dinero Electrónico, Entrega de Pick Up, Identificación de Propiedad, Eliminación de los beneficios por degradación, Contraseñas en Teléfonos, IPAD, Portátiles, etc.).

 4- ESTIMULACIÓN DE LA CONCIENCIA (Campañas institucionales, Control de Desinhibidores, Procedimientos que facilitan la conformidad).

 La importancia de la prevención situacional en la prevención de los delitos y las trasgresiones:

En el año de 2003 John Burrows, Helen Poole, Tim Read y Sarah Webb estudiaron los datos existentes sobre delitos contra el patrimonio del cual surgió el documento nombrado "Lucha contra el robo: lecciones aprendidas de la policía y las asociaciones de la comunidad" ("Tackling roberry: lessons learnt from the police and community partnerships") en donde concluyeron que dentro muchas otras actividades era importante conocer las áreas que eran más propias para el robo dentro de un rango de hasta 200 metros del lugar del hecho, las barreras existentes para su prevención, actividades para desestimular al delincuente y el control del tiempo y el espacio propicios para la comisión del delito.

De lo anterior podemos deducir que para la prevención del delito y las trasgresiones debemos crear obstáculos dentro del ambiente físico que impidan o retarden de manera significativa el actuar de los delincuentes y trasgresores teniendo en cuenta los tres factores comunes al delito:

 1-       UN INDIVIDUO MOTIVADO

2-       UN OBJETO DEL DELITO O UNA POLITICA A TRASGREDIR

3-       UNA TOTAL AUSENCIA DE CONTROL Y VIGILANCIA

 

Si aplicamos esta teoría de manera firme y con convicción seguramente lograremos que alguno de los anteriores factores no esté incluido en la ecuación, logrando así frustrar el accionar de los trasgresores y delincuentes.

INMERSION EN SEGURIDAD INFORMTATICA

 

SEGURIDAD DE LA INFORMACIÓN - TERCERA Y ULTIMA PARTE

Establecer procedimientos, planes y políticas de seguridad:

Son pocas las entidades que disponen de una política de concientización que indique cuál es el uso adecuado que se debe dar a los sistemas de información de la empresa. Es necesario conseguir que los empleados sean conscientes de la política y la respeten.

El objetivo principal es que los empleados de la empresa utilicen los recursos de información de manera constructiva.

Erradicar la falsa percepción de seguridad utilizando como herramienta la información y la sensibilización:

La falsa sensación de seguridad se convierte en mayor inhibidor para que la se puede desarrollar un buen programa de seguridad de la información, permitiendo que las vulnerabilidades sean fácilmente detectadas y explotadas. Se debe combatir de manera abierta la creencia de no necesitar este tipo de medidas. Mediante el conocimiento de los incidentes a los que se está expuesto logramos conocer los problemas de seguridad y eliminar las amenazas de manera contundente.

Implantar Sistemas de Gestión de la Seguridad de la Información (SGSI).

La gestión de la seguridad de la información debe realizarse mediante un proceso sistemático, documentado y conocido por toda la organización. La utilización de un SGSI (sistema de gestión de la seguridad de la Información) permite dotar a la compañía de las herramientas o mecanismos necesarios para poder afrontar los riesgos.

Formación y Capacitación en materia de seguridad de la información a todos los niveles de la organización:

La actualización constante en los conceptos, permite mantener un sistema eficiente en materia de sustentación de la continuidad del negocio, la seguridad de la información es un tema que atañe a la a todos los niveles de las organizaciones y en especial debe ser tenido en cuenta en los planes estratégicos de la alta dirección. Es recomendable generar un plan de formación y capacitación en esta materia el cual debe ser aplicado de manera real y eficaz. De la seguridad de la información dependen aspectos fundamentales en el desarrollo de las organizaciones.

Esperamos que estas recomendaciones y conceptos sean de mucha utilidad para cada uno de ustedes y no tengan ningún reparo en aplicarlas, recuerden las palabras de Jean-Jackes Pertus  “No hay que perder de vista que lo que cuesta caro no es la seguridad, lo que cuesta caro es la inseguridad”.

SEGURIDAD DE LA INFORMACIÓN - SEGUNDA PARTE

En materia de informática aplicar las 10 medidas básicas que sugiere el CAT (Centro de alerta Anti-Virus):

 Antivirus: Un antivirus es un programa informático específicamente diseñado para detectar y eliminar virus. Es necesario uno en su ordenador y programarlo para que revise todo su PC de forma periódica. También es conveniente verificar periódicamente que está activo (muchos virus detienen los programas antivirus y dejan a su ordenador indefenso frente a otros ataques). Además, cada día aparecen virus nuevos y para poder protegerse de ellos, el antivirus necesita conocer la “firma”, es decir, las características de esos virus. Por tanto, hay que actualizar el antivirus, bien manualmente bien de forma programada, frecuentemente o, si fuera posible, a diario.

Cortafuegos: Un cortafuegos o “firewall” es un 'software' destinado a garantizar la seguridad en sus comunicaciones vía Internet al bloquear las entradas sin autorización a su ordenador y restringir la salida de información. Es recomendable la instalación de un 'software' de este tipo si dispone de conexión permanente a Internet, por ejemplo mediante ADSL, y sobre todo si su dirección IP es fija.

Actualizar frecuentemente sus aplicaciones con los “parches de seguridad”: Las vulnerabilidades que se detectan en los programas informáticos más utilizados (navegadores de Internet, procesadores de texto, programas de correo, etc.) suelen ser, precisamente por su gran difusión, un blanco habitual de los creadores de virus. Para evitarlo, una vez detectada una vulnerabilidad, las compañías fabricantes de 'software' ponen rápidamente a disposición de sus clientes actualizaciones, llamadas “parches de seguridad”, en Internet. El usuario, para estar protegido, necesita visitar periódicamente los sitios web de estas compañías e instalar dichas actualizaciones.

Software Legal: En necesario que todo el 'software' instalado en el ordenador proviene de una fuente conocida y segura. No conviene instalar copias de 'software' pirata. Además de transgredir la Ley, pueden contener virus, 'spyware' o archivos de sistema incompatibles con los del ordenador, lo cual provocará inestabilidad en el equipo. Tampoco hay que confiar en los archivos gratuitos que se descargan de sitios web desconocidos, ya que son una potencial vía de propagación de virus. En cualquier caso, se debe analizar con el antivirus cualquier fichero que se descargue de una página web.

Precaución con el correo electrónico: Conviene analizar, antes de abrir, todos los correos electrónicos recibidos y sospeche de los mensajes no esperados, incluso si provienen de algún conocido. En caso de duda, se puede llamar por teléfono al remitente para asegurarse. Los virus utilizan la libreta de direcciones de la máquina infectada para enviar sus réplicas y tratar de infectar a otros usuarios haciéndoles creer que están recibiendo un mensaje de un conocido.

Prudencia con los archivos: Se recomienda no descargar de Internet ni de adjuntos de correos electrónicos, ni distribuya o abra ficheros ejecutables, documentos, etc., no solicitados. Para ello, se puede revisar con la aplicación antivirus cada nuevo elemento que se trate de incorporar a su ordenador. No hay que abrir ningún archivo con doble extensión (como archivos .txt.vbs). En condiciones normales nunca se necesitan este tipo de archivos. Se puede configurar el sistema para que muestre las extensiones de todos los archivos.

Copias de Seguridad: Es importante realizar de forma periódica copias de seguridad de la información más valiosa. En caso de sufrir un ataque de un virus o una intrusión, las secuelas serán mucho menores si puede restaurar fácilmente los datos.

Ayudar a los demás: No es bueno distribuir indiscriminadamente bromas de virus, alarmas, o cartas en cadena. Deben remitirse a los departamentos de informática o a centros especializados como el Centro de Alerta Antivirus. Debe comprobarse la veracidad de los mensajes recibidos y se puede ayudar a los demás colaborando en la detención de su distribución. No se debe contestar a los mensajes 'spam' (publicidad no deseada) ya que al hacerlo se reconfirma la dirección.

Mantenerse Informado: Sobre todo de las novedades de seguridad informática, a través de los boletines de las compañías fabricantes de 'software', así como de los servicios de información y boletines del Centro de Alerta Antivirus, sobre las nuevas apariciones de virus informáticos. Si se sabe cómo actuar ante una situación de riesgo, se podrá minimizar al máximo las posibles pérdidas.

Utilizar la papelera: Todos aquellos correos que resulten sospechosos, si no se conoce al remitente o presentan un 'Asunto' desconocido, deben ir a la papelera. Es importante vaciarla después.

SEGURIDAD DE LA INFORMACIÓN - PRIMERA PARTE

Este mes queremos compartir con todos nuestros lectores el inicio de una serie de conceptos y recomendaciones frente a un tema de gran trascendencia como es el de la seguridad de la información.

La seguridad de la información siempre había sido un tema a considerado de impacto bajo o medio dentro de estrategia de seguridad de muchas organizaciones, a partir de la pandemia del 2020, la migración sistemática al trabajo remoto creo un nuevo panorama en materia de custodia y tratamiento de la información.

El continuo crecimiento de la ciberdelincuencia traducido en el secuestro de la mega data de las compañías, las campañas de contaminación de las redes empresariales y la cascada interminable de ataques a las redes de datos y las diferentes nubes de almacenamiento, dan cuenta de la transformación del riesgo que supone no contar con herramientas y mecanismos robustos para evitar que este se materialice.

Teniendo en cuenta que en un entorno globalizado como el que enfrentamos, la protección de la información merece un capítulo aparte en la estrategia de seguridad de las empresas, puesto que todos los estudios realizados indican que un alto porcentaje de las empresas a nivel global tienen dos percepciones que fundamentalmente son las causantes de la debilidad en las políticas y procedimientos en materia de seguridad de la información en sus redes informáticas, equipos e instalaciones, estas son:

1. La falsa sensación de seguridad
2. La falsa creencia de que la seguridad de la información es meramente tecnológico.

Para mejorar esta situación, se deben tener en cuenta una serie recomendaciones de actuación para aplicar en todas las instancias empresariales y por qué no, también para el uso cotidiano en los espacios domésticos:

1. Dar un uso adecuado a las medidas y herramientas de seguridad: 

Afrontar la seguridad de la información como algo global, es un tema de la estrategia de continuidad de las empresas, se debe tener como premisa fundamental la difusión de una cultura que tenga como premisa fundamental en el desarrollo cotidiano la utilización y actualización de las herramientas y la actualización de los programas.

Este enfoque implica que las empresas sean capaces de:

• Entender mejor los riegos a los que se enfrentan, alineándolos con sus objetivos de negocio y activos de información. 
• Ser conscientes de las consecuencias de no abordarlos adecuadamente. 
• Conocer qué activos de información son los más importantes para su negocio. 
• Aplicar un presupuesto limitado de seguridad allí donde más se necesite. 
• Estar preparados ante las incidencias que impidan el normal funcionamiento.