La ciberseguridad de la organización depende en gran medida de la formación de los empleados, utiliza nuestras 5 herramientas para formar y concienciar.
Desde Protege tu Empresa hemos intentado plantear la seguridad de la información desde diversos puntos de vista. En esta ocasión, queremos hacer un símil con el ciclismo, para lo cual necesitamos que imagines la seguridad de tu organización de la misma manera que una competición deportiva.
Quizás cuentes con los mejores componentes respecto a tus competidores, con los mejores dispositivos de control de esfuerzo o el presupuesto más amplio de todos, pero al final quién tendrá que dar pedales, será el ciclista. Con un entrenamiento adecuado existirán más posibilidades de ganar, ya que tendremos garantías de estar preparados para rendir al máximo, pero por el contrario, si el entrenamiento no es bueno o sencillamente no existe, con toda seguridad no serás campeón.
Con la seguridad de una organización pasa lo mismo que con el ejemplo anterior. Puedes haber invertido una gran cantidad de tu presupuesto en sistemas de protección como cortafuegos, sistemas de copias de seguridad o de cifrado, pero al final, quién gestiona la mayor parte de la información es el trabajador. Si este no ha recibido la formación adecuada, será más probable que se llegue a producir un incidente de seguridad.
Para que tus empleados tengan unos conocimientos adecuados en materia de seguridad de la información ponemos a tu disposición las siguientes herramientas y recursos.
Kit de concienciación
Esta herramienta incorpora múltiples recursos que ayudarán al empresario a poner en marcha un plan de formación integral en materia de seguridad de la información. El kit de concienciación puede ser descargado y entregado a los empleados de una manera secuencial, de acuerdo a un programa que también se les facilita.
El objetivo de esta herramienta, además de mejorar el nivel de ciberseguridad en la empresa, es transmitir al empleado la necesidad de seguir una serie de buenas prácticas en sus quehaceres diarios, ya que la continuidad del negocio podría estar en su buen hacer.
Formación sectorial
Las amenazas presentes en el mundo digital tienden a afectar a las empresas de una forma u otra dependiendo del sector al que pertenezca. Desde INCIBE ofrecemos formación específica que abarca 10 sectores empresariales distintos como son industria, construcción, salud, ocio, etc., y cuyo objetivo es formar a los miembros de una organización en materia de ciberseguridad gracias a una serie videos interactivos.
Los personajes protagonistas, Laura y Miguel, son dos empresarios que a lo largo de los distintos videos interactivos nos muestran una serie de escenarios que suelen darse en las empresas, los cuales pueden comprometer la seguridad de la información. Para solventar estos problemas deberán ir tomando una serie de soluciones y estableciendo diversas medidas de seguridad.
Hackend, se acabó el juego
Serious game dónde además de disfrutar a la vez que aprendes, tus empleados mejorarán sus conocimientos sobre seguridad de la información. El protagonista del juego es un empresario llamado Max cuyo negocio está a punto de despegar, pero los problemas de seguridad se cruzan en su camino. La misión en este juego es la de ayudar a Max y a sus empleados a proteger su empresa como si fuera la tuya. En el proceso se adquieren de manera lúdica muchos aspectos sobre ciberseguridad aplicables en el entorno de trabajo.
Curso online para micropymes y autónomos
Formación gratuita que ofrece un enfoque adaptado a las necesidades de microempresas y autónomos, analizando los riesgos más habituales y las pautas recomendadas para el día a día. Capítulo a capítulo se adquieren y afianzan los conocimientos necesarios para llevar a cabo las tareas diarias en un entorno seguro y así sumar este valor añadido a las competencias de la empresa. Durante el presente año, se llevará a cabo una nueva edición. No dejes pasar la oportunidad y anima a todos los miembros de tu empresa a inscribirse.
Juego de rol
En este recurso se plantean cinco situaciones o retos de seguridad que se dan a menudo en la empresa, para que sirvan de entrenamiento a pymes y autónomos. No se requieren conocimientos técnicos específicos y los retos se pueden lanzar a un equipo (este sería el escenario ideal) o pueden servir para la reflexión individual. El objetivo del juego de rol es dar una respuesta organizada y coordinada ante una situación de crisis, eso sí, simulada.
Que los empleados de la empresa cuenten con los conocimientos necesarios en materia de ciberseguridad puede marcar la diferencia entre que se produzca un incidente de seguridad o no. Para minimizar los riesgos, hay que fomentar la formación y la concienciación entre los empleados, ya que en definitiva, el beneficio de aplicar estas políticas formativas repercutirá positivamente en la empresa y en su futuro.
Etiquetas:
Protección información, Protección puesto de trabajo, Concienciación
Nota de DavidHellin: La noticia es original de INCIBE
El ciberacoso es por norma general un ataque público, es decir, no solo la víctima es conocedora de lo que está ocurriendo. El acosador o acosadores suelen enviar mensajes privados que después comparten con sus amigos, o publican imágenes y comentarios en las redes sociales a las que muchas personas tienen acceso. En el caso de que los ataques se oculten entre los menores, a menudo surgen sospechas a raíz de los estados de ánimo de la víctima o incluso por su propio testimonio. En definitiva, la realidad es que de un modo u otro se percibe un problema de ciberacoso, y no es válida la típica frase de “yo no tenía ni idea de lo que estaba ocurriendo”.
El papel tradicional de los observadores
Los observadores habitualmente tienen una actitud pasiva o de refuerzo del acoso: simplemente pueden ser testigos de lo que está pasando sin intervenir activamente o llegar a involucrarse en el ataque. En el ciberacoso, esto se traduce en dar ‘me gusta’ o ‘compartir’ en las publicaciones de los acosadores, comentar en estas con mensajes o emoticonos hirientes, o difundir mensajes o imágenes privadas por mensajería, burlándose de la víctima.
Estas actitudes perjudican e intensifican el problema de ciberacoso, aumentando su duración, alcance y gravedad. Las características propias de la comunicación en línea, como la viralidad, las comunicaciones instantáneas y la facilidad que tienen los menores para acceder a Internet, consiguen generar un contexto de acoso que no deja respiro a la víctima, haciendo que las burlas e insultos perduren en el tiempo y lleguen a muchas más personas. Obviamente, estas traspasan las fronteras de lo virtual, colándose en los patios de recreo, en los pasillos y en las aulas.
La pregunta que nos hacemos es, ¿qué motivación hay detrás de las reacciones de los observadores? Lo cierto es que es un problema demasiado normalizado en nuestra sociedad, y los menores están reproduciendo los comportamientos que tradicionalmente se han considerado aceptables. Tienen miedo a convertirse en víctimas, si no apoyan a los acosadores en sus burlas, o bien no buscan otra cosa que mejorar su posición social e integrarse en el grupo. A menudo, desconocen las posibilidades que tienen como mecanismo de ayuda.
Cómo ser parte de la solución
Muchos se sorprenderían al saber la importancia que tiene su reacción como observadores en la resolución de un problema de ciberacoso. Su papel es transcendental, ya que puede dar motivos al acosador para terminar con sus burlas, y ser la fuerza que necesita la víctima para salir adelante.
En una situación así, el menor que está siendo acosado habitualmente se siente solo e incapaz de enfrentarse por sí mismo a su agresor. Contar con el apoyo de otras personas es esencial para su autoestima, y socialmente estimulante. A su vez, para los agresores el ciberacoso carece de sentido cuando las personas que son testigos no aplauden las bromas o las humillaciones, y muestran rechazo.
Contar con el apoyo de otras personas es esencial para su autoestima, y socialmente estimulante
Ahora bien, ¿qué puede hacer un menor frente a una situación tan compleja? Acciones sencillas que en conjunto suman y son transformadoras del problema:
- No dar ‘me gusta’ a las publicaciones del acosador sobre la víctima.
- No difundir o compartir las imágenes o mensajes ofensivos: cuantas menos personas lo vean, menos alcance tendrán.
- No participar y rehusar la invitación a grupos de acoso creados para humillar a la víctima.
- Apoyar emocionalmente a la víctima: mostrar amabilidad y compañerismo dentro y fuera de Internet.
- Informar a los adultos del entorno, familiares y educadores sobre lo que está aconteciendo.
- Mostrar su rechazo abiertamente frente al agresor, haciéndole saber que lo que hace no es de su agrado. Hacerlo en grupo puede aportarles seguridad y el efecto será más relevante.
- Pedir ayuda a un equipo profesional especializado en estas problemáticas, como la Línea de Ayuda en Ciberseguridad de INCIBE 900 116 117 (servicio gratuito y confidencial, que está disponible todos los días del año).
- Utilizar Internet de forma positiva, divulgando contenidos que fomenten la convivencia saludable, publicando mensajes agradables y respetuosos sobre los demás, así como participando en campañas frente al acoso escolar.
De forma paralela a esta actitud activa que queremos fomentar en los menores, es necesario que tanto las familias, como el centro educativo, equipos directivos y profesorado también se impliquen. Es indispensable establecer una política antibullying, que fortalezca la idea de rechazo a estas conductas y facilite que los alumnos colaboren, pidan ayuda y se sientan apoyados. Se trata de instaurar medios de comunicación adecuados y realistas, con los que los menores se sientan cómodos y que favorezcan su participación como parte de la solución.
Promover en los menores valores como la empatía, el coraje y la capacidad crítica no solo les proporcionará herramientas para ayudar a sus compañeros. Estos valores también serán recursos que les protegerán frente a posibles situaciones de acoso, fomentarán un sentimiento de unidad en grupo y disminuirán las posibilidades de que lleguen a ser acosadores en el futuro. En el siguiente vídeo os facilitamos un resumen animado con algunos de estos consejos:
Contadnos en los comentarios, ¿estáis de acuerdo en el poder que tienen los observadores frente a una situación de ciberacoso?, ¿conocéis alguna situación en la que la actitud de los observadores acabó con el problema?, ¿qué otras formas de apoyar a la víctima pueden ser de utilidad? Podéis compartirlo con toda la comunidad de IS4K, ¡gracias!
Nota de DavidHellin: La noticia es original de OSI
La utilización de las contraseñas sirve para autentificar al usuario frente al proceso de verificación de identidad de cualquier servicio que lo requiera. De este modo, se asegura que el usuario es realmente quien dice ser y no un impostor. No obstante, no es el único mecanismo que hay para identificar a un usuario. Veamos las diferentes opciones:
- Sistemas basados en algo conocido por el usuario. El más utilizado por todos es la contraseña.
- Sistemas basados en algo que posee el usuario. Habitualmente se emplean tarjetas de identidad o de coordenadas, o un token (generador de claves) que puede ser físico o virtual.
- Sistema basado en características físicas del usuario. Puede ser una huella dactilar, reconocimiento facial o incluso activación por voz.
La primera opción es la principal y más extendida entre la mayoría de usuarios. Se ha convertido en una actividad básica y cotidiana el crearnos una cuenta mediante el uso de un usuario y una contraseña, sin embargo, este proceso presenta una serie de vulnerabilidades:
- Relacionadas con la capacidad de los usuarios para crear y recordar largas cadenas de caracteres, así como, varias contraseñas a la vez.
- Relacionadas con las técnicas empleadas por los ciberdelincuentes, que cada vez son más sofisticadas y consiguen obtener nuestras claves más fácilmente.
¿Qué es la autenticación de doble o múltiple factor?
La autenticación doble, o verificación en dos pasos, es una capa adicional de seguridad que complementa el uso de una contraseña. Su objetivo es el de asegurarse de que el usuario no solo conoce la contraseña para acceder al servicio, sino que además es quien dice ser aportando en el proceso de logueo información, un código por ejemplo, sobre algo que solo él posee. Dicha información puede obtenerla de la siguiente forma:
- A través de una llamada de teléfono o SMS enviado por el servicio.
- Haciendo uso de una tarjeta inteligente (token) física o virtual.
- Utilizando un dispositivo biométrico.
Como decíamos, en los procesos de doble verificación, el primer factor suele ser una contraseña que conocemos y que hemos creado nosotros, mientras que el segundo factor suele ser un código aleatorio generado por un “token” de autenticación, por un dispositivo externo, por una app instalada en nuestro smartphone o equipo, o por verificación biométrica.
El procedimiento es muy sencillo:
- Accedemos a la pantalla de inicio de sesión del servicio.
- Insertamos nuestro usuario y contraseña (lo que ya conocemos).
- Se nos pide confirmación de autenticación por medio de un código que recibimos en un token (lo que tenemos).
- Y finalmente, también pueden pedirnos un tercer factor a través de un dispositivo biométrico, por ejemplo, nuestra huella dactilar (lo que somos).
La doble o múltiple verificación, al comprobar varias veces mediante diferentes mecanismos que realmente somos quien decimos ser, agrega varias capas de seguridad extra a nuestras cuentas, complicando cualquier intento de intrusión a nuestros espacios privados virtuales.
¿Es realmente necesario hacer uso de estos sistemas?
Los ciberdelincuentes están continuamente buscando nuevas formas con las que acceder a nuestra información, ya sea para robar nuestros datos, tener acceso a nuestros servicios, extorsionarnos, etc. Las formas mediante las cuales tratan de obtener nuestras credenciales son muy variadas como ya hemos contado en otras ocasiones: fuerza bruta, phishing, malware, etc.
Mediante el factor doble y múltiple de autenticación se reducen una gran cantidad de estos riesgos, ya que aunque obtengan nuestras contraseñas, para acceder a nuestros servicios necesitarán estar en posesión de esa segunda capa de seguridad que hemos implementado.
Sin embargo, aunque utilicemos múltiples factores de autenticación, probablemente el uso de usuarios y contraseñas como parte del proceso de autenticación seguirá siendo parte de nuestra rutina durante mucho tiempo, por tanto, tendremos que esforzarnos en crear contraseñas robustas.
¿Podemos categorizar nuestras cuentas según la criticidad de la información?
Dependiendo de lo crítica o sensible que sea la información que estemos tratando de proteger, podemos implementar una política de contraseñas u otra. De esta forma, si se trata de un servicio que contiene información poco o nada sensible, emplearemos contraseñas robustas (por ejemplo, 8 caracteres alfanuméricos) pero sin factor de autenticación con más elementos.
Por el contrario, si se tratase de una aplicación o servicio muy crítico, aumentaríamos nuestras medidas de seguridad a través de contraseñas robustas (12 caracteres) y algún elemento más como el uso de tokens o incluso mediante biometría.
¿Cómo configurar el doble factor en nuestras cuentas de usuario?
Hoy en día, existen muchos servicios que ofrecen un factor de autenticación múltiple por defecto. Entre los servicios que sí incluyen un factor de autenticación múltiple, encontramos los siguientes:
No obstante, algunos servicios donde alojamos información crítica no lo implementan, como por ejemplo, servicios bancarios. Para estos casos, existen multitud de aplicaciones para dotar al usuario de este segundo nivel de seguridad:
- Latch: a través de esta aplicación podrás implementar un “pestillo de seguridad” en tus servicios online.
- Google Authenticator: aplicación para el doble factor de autenticación de Google, muy sencilla de utilizar. Disponible en Android e iOS.
- Duo Mobile: fácil y sencilla de utilizar, ya que además oculta los códigos por defecto para protegerte de miradas indiscretas. También disponible en Android e iOS.
- Authy: aplicación más avanzada, que permite almacenar tokens en la nube.
En cualquier caso, debemos seguir tratando de implementar buenos hábitos relacionados con la creación de contraseñas robustas y con la utilización de herramientas como los gestores de contraseñas para no tener que memorizar todas ellas. Y, por supuesto, de ser posible, siempre utilizar el factor de autenticación doble o múltiple.
¿Habías utilizado alguna vez el factor doble o múltiple de autenticación? ¿Te parece útil? ¿Tienes alguna duda sobre cómo funciona? Comparte tus comentarios con el resto de los usuarios y sigue atento a nuestras publicaciones.
Artículo enmarcado dentro de la campaña ¡Contraseñas seguras!
Nota de DavidHellin: La noticia es original de OSI
¿Sabes qué es un UTM y cómo un único elemento puede ayudarte a proteger la seguridad de tu organización? Hoy te lo explicamos.
Desde el nacimiento de Internet hasta su completa adopción por parte del mundo empresarial, los dispositivos y tecnologías utilizadas han evolucionado considerablemente. Pero ésta situación también se ha dado con las amenazas, dotándolas de nuevas funcionalidades que las ha convertido en más difíciles de detectar y evitar. Algunas, incluso, serían capaces de afectar a la continuidad de una organización.
En un principio, para proteger a las organizaciones frente a estas amenazas se crearon los cortafuegos o firewall. Pero debido a su evolución, los cortafuegos necesitaron de un extra en funcionalidades. Es en este momento donde entraron en juego los denominados UTM.
¿Qué es un UTM?
El termino UTM proviene de sus siglas en inglés «Unified Threat Management» o Gestión Unificada de Amenazas. Como su propio nombre indica los UTM gestionan de una forma centralizada la mayoría de las amenazas que pueden afectar a una organización. Las principales funcionalidades que incorporan son:
- Antivirus.
- Cortafuegos o Firewall.
- Sistemas de detección y prevención de intrusiones “IDS/IPS”.
- Antiphishing.
- Antispam.
- Redes privadas virtuales o VPN.
- Sistemas de protección de redes inalámbricas wifi.
- Filtrado de contenido.
¿Cómo funciona un UTM?
Los UTM son elementos de seguridad perimetral. Este deberá estar ubicado en un punto entre Internet y los dispositivos de la red interna de la organización. Su labor principal será inspeccionar toda la información que se transmite desde y hacia Internet.
Comúnmente, los UTM tienen dos modos de inspeccionar la información:
- Modo transparente. Identifica y bloquea las amenazas en tiempo real mediante el uso de patrones maliciosos. En caso de realizar una detección, la bloquea. Esta forma de inspección requiere de una menor capacidad de procesamiento, por lo que el usuario apenas percibe retardo en las comunicaciones.
- Modo proxy. Este modo, en una primera instancia, analiza el tráfico de igual forma que el modo transparente. Posteriormente, una vez recibido todo el contenido e información solicitados, realizará un segundo análisis, en el cual, si una amenaza es detectada, podrá ser eliminada o reemplazada por un mensaje de advertencia. Por lo tanto, este modo requiere de una mayor capacidad de procesamiento pero el número de detecciones también es mayor.
Ventajas y desventajas de los UTM
La principal ventaja de los UTM es que aúnan en un mismo dispositivo muchas de las herramientas de seguridad con las que debería contar una organización. Existen un gran número de amenazas que afectan a todo tipo de compañías y que actualmente realizan sus acciones en base a diversas técnicas que las hacen más difíciles de detectar y evitar. Utilizar diferentes herramientas o productos por separado, convertirá esta tarea en algo mucho más complejo que si se utilizase un dispositivo UTM. La centralización de herramientas es su principal ventaja pero también es su talón de Aquiles.
Utilizar un único dispositivo que aglutina todas las herramientas con las que proteger la seguridad de la organización puede conllevar un riesgo evidente. En el supuesto de que un UTM contenga una vulnerabilidad, un atacante puede valerse de ella y sortear todas las medidas de seguridad de la organización. Por este motivo, no es recomendable confiar toda la seguridad en un único dispositivo. Para evitar esta situación, se puede utilizar un segundo elemento, de distinta marca y modelo que el primero, lo que se conoce como redundancia.
Los UTM presentan un gran número de herramientas con las que proteger la red interna de la organización, minimizando los riesgos de sufrir un incidente de seguridad y reduciendo la inversión en infraestructura. Pero esta centralización de recursos puede ser un arma de doble filo, por lo que se recomienda contar con medidas adicionales o dispositivos alternativos. Esta combinación hará de tu organización un lugar mucho más seguro frente a la acción de los ciberdelincuentes.
Etiquetas:
Protección, Área de informática, Continuidad de negocio, Amenazas
Nota de DavidHellin: La noticia es original de INCIBE
Metodología para clasificar la información de la organización para un uso más seguro.
Nóminas, proyectos, documentación administrativa o la base de datos de clientes son solo algunos ejemplos del tipo de información que se suele manejar en cualquier empresa. Lo que hemos de saber, es que no todos estos documentos cuentan con la misma importancia en la organización ya que, el robo o pérdida de alguno de ellos tendría diferente tipo de repercusión en base a los datos que contengan. Para proteger estos activos se pueden llevar a cabo controles de seguridad, pero ¿cómo saber si estos son demasiado restrictivos o demasiado laxos? La respuesta a esta pregunta tiene como respuesta la clasificación de la información que tengamos en nuestro negocio.
Clasificación de la información
La clasificación de la información es un proceso que deben llevar a cabo todas las organizaciones que decidan implantar un Sistema de Gestión de la Información de acuerdo al estándar ISO/IEC 27001.
El proceso puede ser divido en 4 pasos.
Paso 1 – Inventariado de los activos
Esta es una etapa fundamental para el proceso de clasificación, ya que se deben tener en consideración todos los recursos con los que cuenta la organización, tanto en formato físico, como en formato digital.
Además de identificar todos los activos de información es conveniente catalogar varias características adicionales, como son su tamaño, ubicación, servicios o departamentos que intervienen en su gestión o quién es su responsable.
En función del tamaño de la empresa y la cantidad de información que esta gestione, esta tarea podría llegar a resultar muy compleja. Una buena forma de determinar qué tipo de información se gestiona en un negocio es mantener reuniones con el personal de los distintos departamentos que participan en su día a día.
Paso 2 – Criterios de clasificación
Aunque existen multitud de criterios para clasificar la información, el estándar ISO/IEC 27001 indica que cada organización debe establecer los criterios que mejor se adapten a sus circunstancias particulares.
Por lo tanto, se deberán establecer inequívocamente los criterios de clasificación para que sean tenidos en cuenta por todos los responsables afectados. Además, deberán estar alineados con las medidas de seguridad que se llevarán a cabo para proteger la información. A modo de ejemplo, una forma de clasificar la información es en base a la confidencialidad de la misma y el impacto para la empresa en caso de pérdida o robo:
- Confidencial. Aplica a toda información de gran relevancia para el futuro de la empresa como los proyectos futuros que se llevarán a cabo.
- Restringido. Accesible únicamente para determinado personal de la organización y sin la cual no pueden desempeñar su trabajo.
- Uso interno. Accesible para todo el personal de la empresa exclusivamente.
- Público. Información de dominio público como la publicada en la página web.
Paso 3 – Clasificar cada activo
Una vez se han identificado todos los activos de información y se ha establecido el criterio con el que serán clasificados, se ha de etiquetar cada uno de ellos de manera adecuada. Este paso tampoco está recogido en el estándar ISO/IEC 27001, por lo que cada organización deberá implementarlo según considere más conveniente. Suele ser trabajo del responsable del activo.
Un ejemplo a la hora de etiquetar cada activo de información en formato digital podría ser añadiendo una etiqueta al comienzo del nombre del fichero tal y como muestra la siguiente imagen.
Además dentro de cada documento se puede realizar una marca o seguir un código de colores, estos podrán ser utilizados además en los activos de información en formato físico.
Paso 4 – Tratamiento de la información
En este paso se debe elaborar un listado con los tratamientos de seguridad que se han de llevar a cabo para proteger cada activo de información en función de su clasificación. Algunas de las herramientas más comunes usadas en el tratamiento de la información son las de cifrado, copias de seguridad y control de accesos.
Con las herramientas identificadas se han de aplicar los tratamientos que corresponden a cada tipo de información. Algunos de ellos son:
- Limitar el acceso a las personas o grupos correspondientes.
- Cifrar la información.
- Realizar copias de seguridad.
- Medidas específicas como las reflejadas en el reglamento del RGPD.
- Información sujeta a acuerdos de confidencialidad concretos.
Por último, será importante realizar auditorías periódicas que certifiquen que se están aplicando los tratamientos estipulados para proteger la información.
Si hablamos de clasificar los activos de información, cada organización deberá crear el esquema que mejor se adapte a sus necesidades. La realización de esta tarea será de gran utilidad para salvaguardar las bases sobre las que se cimienta la ciberseguridad. Además, habrá una mayor economía del esfuerzo, ya que cada activo de información contará con los controles más óptimos en función de su clasificación.
Y tú, ¿cuentas con un esquema de clasificación de la información?
Etiquetas:
Protección información, Plan director, Buenas prácticas
Nota de DavidHellin: La noticia es original de INCIBE
¿Por qué crear contraseñas robustas?
Ya sea por comodidad o desconocimiento, muchos de nosotros, los usuarios, solemos utilizar la misma contraseña en diferentes cuentas cambiando algún que otro carácter; a esto se le llama “reciclar contraseñas”. El riesgo de este tipo de prácticas es muy alto, ya que, si una de ellas se filtra, cualquier ciberdelincuente no tardaría en vulnerar la seguridad del resto.
Las contraseñas son las llaves que abren la puerta a nuestros datos personales, éstos que queremos mantener a salvo bajo cualquier circunstancia, como: número de teléfono móvil, mensajes de correo y chat, transacciones bancarias, información sobre pedidos online, etc.
Evitar que nuestras contraseñas caigan en malas manos es algo que depende solo de nosotros. Por ello, es tan importante que, a la hora de generar contraseñas, las generemos de manera segura.
¿Cuáles son los errores más comunes a la hora de crear una contraseña?
Uno de cada cinco españoles escribe sus contraseñas en un cuaderno para no tener que recordarlas. Este es otro de los errores más comunes que solemos cometer como usuarios. Obviamente hacer esto no es una buena práctica, ya que cualquiera que lo vea, podrá acceder a nuestros servicios.
Elegir una buena contraseña a veces puede suponer un desafío, ya que contamos con varias cuentas que proteger; entre éstas están la contraseña de nuestros ordenadores, de nuestra cuenta bancaria, de las redes sociales que usemos, de nuestros correos y nuestros móviles, entre otras.
La mejor forma de empezar a diseñar una contraseña robusta y segura es utilizar el sentido común y evitar conceptos demasiado evidentes. Un ejemplo de esto puede ser el uso de palabras como “contraseña” o “admin”. También debemos evitar los datos personales. ya que estos son aún más fáciles de descifrar por medio de técnicas de ingeniería social o entre los mismos conocidos.
Es importante tener en cuenta que cuando creamos una contraseña, ésta debe resultar fácil de recordar, por supuesto, sin que este hecho afecte a su robustez. Teniendo en cuenta estos dos aspectos, podemos generar un criterio para que la contraseña nunca se nos olvide ¡sin necesidad de tener que apuntarla en ningún sitio! Nos referimos a utilizar alguna regla nemotécnica como explicaremos más adelante del artículo.
En cualquier caso, hay que evitar cometer errores tan comunes como los siguientes:
- Reciclar contraseñas: un error muy frecuente es utilizar la misma clave para múltiples cuentas o aplicaciones.
- Memorizar contraseñas en función del teclado: muchos usuarios usan el teclado como guía para recordar contraseñas fácilmente (ej.: “123456” o “qwerty”).
- Usar expresiones hechas: entre otro de los errores más comunes es el uso como contraseñas de frases como “teamo”, “iloveyou”, “teodio”, etc.
- Utilizar aficiones: algunos usuarios fanáticos suelen usar el nombre de sus marcas, deportes, equipos o bandas de música favoritas.
- Apuntarlas en notas: aunque se haya creado una clave robusta, nunca se debe dejar por escrito y mucho menos a la vista de cualquiera.
- Hacer uso de patrones sencillos: como que la primera letra esté en mayúscula seguida de 4 o 5 en minúscula o usar uno o dos números y finalizar con un carácter especial como un punto o signo de exclamación (Ej.: Perro26!).
Gestionar contraseñas robustas no debería ser una tarea complicada o difícil de recordar. Una opción es sustituir algunas letras por números parecidos, por ejemplo, la “e” por el “3”. De esta manera la clave termina siendo difícil de descifrar, pero al mismo tiempo fácil de recordar.
El método que utilicemos para hacer nuestras contraseñas robustas depende de nosotros.
Otro ejemplo podría ser utilizar como patrón, las teclas del teclado:
Gestionar múltiples contraseñas y uso de gestores de contraseñas
Hoy en día, existen muchas aplicaciones que funcionan como gestores de contraseñas. Este tipo de servicios permiten almacenar diferentes claves para distintos servicios, pudiendo mantener una gran cantidad de cuentas de usuario sin necesidad de tener que memorizarlas todas.
El sistema es muy sencillo. Generalmente bastará con crearnos una cuenta para acceder a nuestro gestor por medio de un usuario y contraseña. Estos datos de acceso son los únicos que necesitaremos memorizar, por lo que ¡tratemos de no olvidarlos!
Una vez dentro del servicio, solo tendremos que añadir aquella cuenta que queramos almacenar, junto a su servicio asociado. Por ejemplo, cuentas en las distintas redes sociales. Podremos almacenar todas las cuentas que necesitemos, sin la preocupación de tener que memorizar todas sus contraseñas.
Entre sus ventajas están:
- Generar contraseñas robustas aleatorias.
- Almacenan todas nuestras contraseñas de manera cifrada. Así que solo nosotros podemos acceder a ellas.
- Nos recuerda que debemos cambiar nuestras contraseñas al pasar un tiempo determinado, si son demasiado débiles o si están repetidas en otros servicios.
Nuestras cuentas podrán ser consultadas únicamente por nosotros y siempre que lo necesitemos. Algunos de estos servicios disponen de versión para nuestros dispositivos móviles, por lo que siempre podremos llevarlas con nosotros.
¿Y si nuestras contraseñas se han filtrado?
Ahora bien, supongamos que ya contamos con contraseñas robustas y además, usamos un gestor de contraseñas, ¡perfecto! Pero aun así… nuestra cuenta podría estar comprometida. Si se han filtrado credenciales de servicios que usamos es importante saberlo, y así determinar si debemos cambiar nuestras contraseñas inmediatamente. No es tan raro que esto suceda, recientemente se hizo pública una filtración de datos (usuarios y contraseñas), que se dio a conocer por el nombre de #Collection1, que afectó a millones de usuarios de todo el mundo.
Para comprobar si nuestras credenciales de los servicios en los que estamos registrados se han filtrado, podemos acceder a este portal “HAVE I BEEN PWNED” el cual cuenta con una base de datos de credenciales que han sido filtradas. ¡Nos ayudará a mantenernos al día con nuestras cuentas y contraseñas! Si detectamos que alguna de nuestras cuentas está afectada, rápidamente deberemos cambiar la contraseña.
Recordemos la importancia de crear contraseñas robustas, los pasos que debemos seguir para lograrlo, cómo gestionar nuestras credenciales de los diferentes servicios y cómo mantenernos al día con la seguridad de nuestras cuentas.
Y tú ¿crees que tus contraseñas y credenciales están lo suficientemente seguras? ¿Te identificas con alguno de los errores más comunes? Comparte tus opiniones y experiencias con el resto de los usuarios y estate atento a las nuevas actualizaciones para mejorar la seguridad de tus contraseñas.
Artículo enmarcado dentro de la campaña ¡Contraseñas seguras!
Nota de DavidHellin: La noticia es original de OSI
