El cybersquatting es una técnica maliciosa que puede afectar a cualquier organización, descubre qué es y cómo hacer frente a los ciberdelincuentes.
Hoy en día, contar con presencia en Internet es para muchas empresas, negocios y autónomos un factor clave en su estrategia de negocio. Una de las partes más importantes de esta presencia será su dominio web (mipyme.com), ya que es el nombre que tanto clientes como usuarios asociarán a la marca que representa. Esta asociación entre el dominio web y la marca es lo que utilizan los ciberdelincuentes para ejecutar una técnica conocida como cybersquatting.
¿Qué es el cybersquatting?
El cybersquatting o apropiación de nombres de dominio consiste en registrar un determinado nombre de dominio que simula a uno legítimo, para posteriormente traficar con él o hacer uso con fines fraudulentos.
De acuerdo a la Organización Mundial de la Propiedad Intelectual (OMPI) para que se produzca cybersquatting deben darse alguna de las siguientes situaciones:
- Que el nombre sea idéntico o muy similar al de una marca registrada.
- Que el propietario del nombre de dominio fraudulento no tenga derecho o interés legítimo sobre la marca registrada.
- Que el nombre de dominio que se ha registrado se utilice con mala fe.
En Internet impera el principio «first come, first served» —el primero que llega tiene prioridad— para la compra de nombres de dominio. Es decir, el usuario que primero registra un nombre de dominio es su propietario aunque éste no tenga nada que ver con la marca registrada. Por este motivo los ciberdelincuentes pueden practicar el cybersquatting.
Ejemplo de un cybersquatting
Existe una técnica conocida como “acaparamiento de dominios o Domain Name Warehousing” que consiste en registrar dominios con nombres clásicos y genéricos o dominios que acaban de expirar para su posterior reventa. Un ejemplo podría ser «coche.com». Estos acaparadores de dominios no suelen registrar los de productos, servicios o marcas reconocidas para evitar conflictos con los titulares.
En España, el acaparamiento de dominios es una actividad legal mientras no suponga un riesgo para los derechos de propiedad industrial o denominaciones sociales, según indica la Oficina de Patentes y Marcas.
Diferentes métodos de cybersquatting
Para llevar a cabo este tipo de técnica fraudulenta, los ciberdelincuentes pueden utilizar diferentes métodos:
- Adición. Consiste en añadir un carácter al final del nombre de dominio “incibes.es”.
- Sustitución. Se cambia un carácter del nombre de dominio por otro “incive.es”
- Homográfico. Se sustituye un carácter por otro que a simple vista resulta similar “inclbe.es”. En esta técnica también se pueden utilizar diferentes alfabetizaciones cuyos caracteres son similares al alfabeto latino “incíbe.es”, cuando en realidad pueden pertenecer a otro como por ejemplo al cirílico.
- Separación. Consiste en añadir un guion en alguna parte del nombre de dominio “inci-be.es”.
- Inserción. Se añade un carácter entre el primero y el último del nombre de dominio “incinbe.es”.
- Omisión. Se elimina un carácter “incbe.es”.
- Subdominio. Radica en registrar un nombre de dominio con el nombre parcial del legítimo y añadir los caracteres restantes por medio de un subdominio “inci.be.es”.
- Trasposición. Alternación del orden de los caracteres del nombre de dominio “inicbe.es”.
- Cambio de dominio. Se utiliza un dominio libre pero utilizando el mismo nombre de dominio “incibe.eu”.
- Otros. Algunas otras técnicas utilizadas consisten en añadir “w” al comienzo del nombre o “com” al final, “wwwincibe.es” “incibecom.es”.
Qué hacer ante un caso de cybersquatting
Ante un caso de cybersquatting tienes a tu disposición dos vías distintas para su resolución.
- Vía judicial. Puedes acudir a la vía judicial ya que tanto la Ley de Marcas como la Ley de Competencia Desleal te amparan.
- Corporación de Internet para la Asignación de Nombres y Números «ICANN». Cuando una marca registrada está siendo víctima de este tipo de fraude, puedes acudir a la ICANN para resolverla ya que proporciona el mecanismo denominado Política Uniforme de Resolución de Disputas por Nombres de Dominio o UDRP. Este procedimiento se tramita generalmente a través de la OMPI.
En el caso de dominios .es se establece un sistema de resolución extrajudicial de conflictos previsto en el Plan Nacional de Nombres de Dominio el cual otorga a la Entidad Pública Red.es la función de autoridad de asignación.
El cybersquatting o apropiación de nombres de dominio puede afectar negativamente a la imagen de tu marca por lo que vigilar que no estás siendo víctima de esta técnica maliciosa es importante para ti y para tus clientes. En una próxima entrega sobre este tema hablaremos sobre cómo detectar una campaña de cybersquatting contra tu marca y los tipos de fraudes más comunes relacionados con esta técnica.
Etiquetas:
Protección clientes, Web, Ciberdelito, Empresa, Fraude, Identidad online, Amenazas
Nota de DavidHellin: La noticia es original de INCIBE
¿Sabes qué es y en qué consiste el conocido como «fraude del CEO»? Se trata de un tipo de phishing que intentará hacerse con información a través del correo electrónico, como le ocurrió al protagonista de esta historia real.
Esta historia real relata el caso de Aurora y Sergio, hermanos y cariñosamente conocidos como Auri y Sergi, titulares y propietarios de una clínica de fisioterapia ubicada en el centro de una conocida localidad cántabra. Muchos fisioterapeutas tienen a su cargo profesionales de las distintas ramas que trabajan, como la fisioterapia deportiva especializada, la neuro-rehabilitación, la terapia ocupacional, la fisioterapia general, la fisioterapia maternal y suelo pélvico e incluso clases de Pilates y corrección postural.
En su clínica tienen una plantilla con 13 trabajadores, 9 fisioterapeutas y 2 administrativos para la gestión de la clínica y ellos dos, que además de propietarios, realizan trabajos de campo. Como directores ejecutivos o CEOs están obligados a asistir a seminarios, congresos y otro tipo de eventos en los que entienden que su marca corporativa debe estar representada. Por último, cuentan con un servicio externalizado, el de limpieza y desinfección de la clínica.
Tanto Auri como Sergi tienen claro que uno de los dos siempre debe de estar en la clínica para supervisar las labores diarias. Únicamente en ocasiones muy excepcionales se han ausentado los dos por motivos de representación. En este caso se dio una de estas ocasiones, Auri asistía a un congreso en Madrid y Sergi debía dar una ponencia en la Federación de Pequeños Empresarios de su localidad.
Casualidad o no, ese día uno de sus administrativos, Alfonso, mientras tomaba su café después de comer, recibió en su dispositivo móvil un correo, supuestamente proveniente de Auri, en el que se pedía premura para la realización de una operación financiera confidencial y muy urgente:
Alfonso, desconocedor de la situación real a la que estaba siendo sometido, respondió rápidamente de forma afirmativa. Dado que Sergi tampoco estaría en la clínica hasta última hora de la tarde, no había ningún motivo por el cual sospechar del correo o intencionalidad para realizar cualquier operación por parte del CEO. Este correo tampoco contaba con errores significativos de redacción que hubieran podido levantar algún tipo de sospecha.
La respuesta por parte de los defraudadores no se hizo esperar. Pero cometieron un error, pedían datos sensibles como el saldo de la cuenta, para la adquisición de una nueva máquina. Esto no concordaba con la estrategia de la clínica ni con las buenas prácticas diarias fruto del trabajo de muchos años.
La clínica no tenía programada esa adquisición de material ya que se contaba con lo último en maquinaria para los tratamientos. Por otro lado, Alfonso no entendía como «operación confidencial» algo que siempre había sido una información compartida por todos en la clínica. Esta forma de tramitar una adquisición se alejaba de lo habitual. Como colofón, mencionaban un «anuncio legal», lo que, junto a la petición de datos bancarios, hizo que Alfonso se diera cuenta de que podía tratarse de un fraude ya que nunca se procedía de esta forma.
Llegados a este punto, Alfonso, a través de una aplicación de mensajería instantánea, contactó con Auri para interesarse de primera mano por esta presunta operación. Auri, al percatarse del engaño, no lo dudó y llamó urgentemente a Alfonso para negarle cualquier tipo de compra o transacción financiera. Alfonso y Auri se dieron cuenta de que su clínica había sido objeto de un intento de robo de información a través de la técnica conocida como phishing. Acordaron analizar profundamente lo ocurrido a fin de transmitir esta experiencia a todos los miembros de la clínica con el objetivo de concienciarlos y evitar futuros ataques.
¿Qué fue realmente lo que pasó?
Alfonso fue víctima de un intento de phishing a través de un engaño conocido como «fraude del CEO».
El principal error que cometió Alfonso fue no verificar la dirección remitente en el primer correo recibido. A pesar de que todo parecía correcto, debería haberla verificado para corroborar que el remitente era legítimo. Gracias a que el contenido del segundo correo recibido no estaba alineado con la dinámica de trabajo de la clínica, Alfonso pudo descubrir el engaño y corroborarlo tras hablar con su CEO, Auri.
Esta verificación evitó facilitar ningún tipo de información confidencial, sensible y bancaria.
¿Cómo llevaron a cabo el engaño?
Este engaño, también conocido como whaling por tratarse de phishing dirigido a «peces gordos», basa su funcionamiento en enviar un correo fraudulento a algún empleado de alto rango, contable o con capacidad de acceso a datos sensibles, información personal o bancaria, haciéndole ver que el remitente es el CEO o máximo mandatario de su organización. Este mensaje suele pedir ayuda para realizar una operación financiera confidencial y urgente.
Si la persona que recibe el correo no se diera cuenta, podría desvelar datos confidenciales o hacer alguna transferencia urgente.
¿Qué hacer para que no nos suceda?
Este tipo de fraudes están basados en técnicas de ingeniería social. La mejor forma de evitarlos es concienciar a los empleados para que los reconozcan y los eliminen.
También es aconsejable implementar procedimientos seguros para realizar pagos, de tal manera que sean necesarias al menos dos personas o dos medios de comunicación distintos, como correo y teléfono, para poder ejecutarlos.
Además, para evitar que nuestro correo electrónico se vea comprometido, por ejemplo si descargáramos un adjunto o pinchamos en un enlace y fuera malicioso, podemos realizar las siguientes acciones:
- tener el sistema operativo y todas las aplicaciones actualizadas para evitar posibles infecciones o intrusiones que afectan a sistemas desactualizados;
- instalar y configurar filtros antispam y un buen antivirus; mantenerlo al día, actualizando el software y las firmas de malware;
- desactivar la vista de correos en html en las cuentas críticas.
Por otro lado, es bueno también seguir este tipo de recomendaciones:
- No abrir correos de usuarios desconocidos o que no haya solicitado: hay que eliminarlos directamente.
- En caso de que el correo proceda de una entidad bancaria legítima, nunca contendrá enlaces a su página de inicio de sesión o documentos adjuntos.
- No contestar en ningún caso a estos correos.
- Tener precaución al seguir enlaces en correos electrónicos, SMS, mensajes en WhatsApp o redes sociales, aunque sean de contactos conocidos.
- Tener precaución al descargar ficheros adjuntos de correos, en SMS, mensajes en WhatsApp o en redes sociales, aunque sean de contactos conocidos.
- Asegurarse de que las cuentas de usuario de los empleados utilizan contraseñas robustas y sin permisos de administrador.
Y no olvides realizar acciones de concienciación en ciberseguridad entre los empleados y establecer políticas en el uso del correo electrónico.
Para saber más sobre cómo proteger todos tus activos ante posibles ciberataques y conocer cuáles son las medidas de seguridad específicas aplicables a tu sector, visualiza los videos de la formación sectorial. No permitas que te engañen: ¡protege tu empresa!
Etiquetas:
Protección información, Testimonios, Ciberdelito, Buenas prácticas, Comercio minorista, Concienciación, Empresa, Fraude, Amenazas
Nota de DavidHellin: La noticia es original de INCIBE
Los menores aún están aprendiendo a relacionarse socialmente cuando comienzan a navegar por Internet. Con habilidades de comunicación aún en desarrollo, envían mensajes, comentarios y opiniones en la Red, que no siempre son apropiados, sin ser conscientes de que hay personas al otro lado de la pantalla, con sentimientos y opiniones que deben respetar. ¿Hasta qué punto es importante comunicarse bien en Internet?
Internet y las comunicaciones
Es habitual que cada día visitemos multitud de páginas web o aplicaciones en las que leemos comentarios y mensajes y vemos fotos y vídeos. Y aunque no nos demos cuenta, cada uno de ellos es obra de personas reales, con vidas y sentimientos reales. Si para un adulto supone cierto esfuerzo pararse a pensar en esto, en el caso de los menores a menudo resulta realmente complejo que comprendan algo que no ven.
La comunicación a través de Internet presenta características que la diferencian de la comunicación en persona, como son la distancia física y temporal. Pueden enviar un mensaje o un comentario a sus compañeros desde cualquier lugar y en cualquier momento, no hay barreras en cuanto a tiempo o espacio.
Otro aspecto peculiar de la comunicación en línea es que ésta se produce de manera inmediata, y en muchas ocasiones incluso es posible controlar si se ha recibido o no un mensaje. Esto provoca cierta presión social por dar respuestas inmediatas: hay que responder rápido, no hay excusas para no hacerlo si has recibido el mensaje. La consecuencia frecuentemente es una respuesta en caliente, poco reflexionada y que no siempre será adecuada.
En Internet, cuando se publican comentarios u opiniones, en muchos casos la comunicación se reduce a un único canal textual, con lo que se pierde una parte fundamental del mensaje: la comunicación no verbal, las posturas, los gestos, la entonación, etc. Son elementos que aportan una gran cantidad de información y que difícilmente compensamos con emoticonos o símbolos. Es por eso que es fácil caer en malas interpretaciones o confusiones derivadas de un simple mensaje en las redes sociales.
Por último, otra de las características de la comunicación en la Red es que puede ser relativamente anónima, y esto puede ser engañoso. En Internet muchas veces empleamos pseudónimos o avatares, y es fácil hacerse pasar por otra persona o sentirse más cómodos pensando que la comunicación no es tan expuesta; no pueden hacerme daño, si no saben realmente quien soy. No obstante, es una falsa sensación de seguridad: los sentimientos siguen estando ahí, sigue habiendo personas detrás de las pantallas.
La búsqueda de reconocimiento social
En Internet o en la televisión es habitual ver críticas feroces, destructivas e irracionales. Niños y adolescentes normalizan estas conductas, que ven una y otra vez, las asimilan como socialmente aceptadas y las reproducen. Es por ello que en las redes sociales o en los foros su forma de comunicarse puede llegar a ser negativa, confusa o incluso agresiva. No siempre son conscientes del efecto que pueden generar, solo repiten lo que ven.
Y tienen sus motivos. Cuando los menores mandan un mensaje o comparten una foto, no solo es porque les resulte divertido, buscan mejorar sus relaciones sociales, integrarse en un grupo e influir en él. Es una conducta natural y los adultos también lo hacemos, pero la repercusión en el desarrollo del menor es mayor.
Así comprueban el efecto que ha tenido lo que han compartido, cuántos ‘me gustas’, reenvíos o comentarios ha recibido su mensaje, y esto genera diferentes sentimientos. Puede ser satisfacción u orgullo, también vergüenza o tristeza. El hecho es que las reacciones de los demás sobre sus publicaciones en Internet influyen en sus emociones y sentimientos, de forma positiva o negativa.
Habilidades sociales para convivir en Internet
Las características de Internet ofrecen ventajas a la hora de comunicarnos, de eso no hay duda. Sin embargo, también pueden hacer que la comunicación sea más compleja que en el cara a cara, más aún para los menores. La consecuencia más directa, a menudo, son prejuicios o juicios rápidos cuando cae en sus manos un mensaje o una imagen, que normalmente carece de un contexto completo. Su respuesta, si no se poseen las habilidades sociales necesarias, puede causar daño a quien está al otro lado de la pantalla.
Así, no es extraño asistir a fenómenos de linchamiento en Internet, donde mucha gente ataca a alguien con comentarios excesivamente críticos e incluso ofensivos. En el caso de los menores, el ciberacoso escolar es buen ejemplo de ello: un mensaje poco cuidadoso puede acabar siendo humillante, y conducir a otros menores a burlarse e incluso comenzar un acoso en línea.
Por lo tanto, niños y adolescentes deben ser conscientes de la importancia de cuidar sus comunicaciones y de aprender a publicar correctamente en la Red:
- Recordar siempre que cada publicación en Internet tiene una persona detrás, con sentimientos que deben respetar.
- Cuidar el vocabulario y la expresión de los mensajes y comentarios que publican: ponerse en su lugar y plantearse si les gustaría recibir ese comentario.
- Emplear el mismo cuidado en las reacciones y respuestas frente a las publicaciones de los demás: ser tolerantes y comprensivos si un mensaje no está claro o puede ser confuso.
- Tener paciencia y respetar el tiempo de los demás: no presionar para recibir respuestas inmediatas.
- Aprender a discutir y discrepar con respeto, de forma asertiva y constructiva.
- Pensar en las consecuencias o interpretaciones del mensaje antes de pulsar el botón de publicar.
Mostrarles la forma adecuada de relacionarse en la Red es necesario, al igual que les enseñamos a comportarse y comunicarse bien con las personas cara a cara. Las normas sociales son las mismas, simplemente Internet requiere mayor cuidado y responsabilidad: respeto, asertividad y empatía son la clave para convivir en línea. Internet lo formamos personas, con nuestras vidas y sentimientos. En este vídeo puedes ampliar estos consejos:
Y vosotros ¿habéis sufrido un malentendido en las redes sociales por culpa de un mensaje inadecuado?, ¿creéis que los menores son conscientes de la importancia de comunicarse bien en la Red? Podéis compartirlo con toda la comunidad de IS4K en los comentarios, ¡gracias!
Nota de DavidHellin: La noticia es original de OSI
Implantar una política de uso de wifis y redes externas y protege los datos de tu organización cuando sea necesario acceder a ellos desde fuera de ella.
Viajes de negocios, atender solicitudes de clientes en sus oficinas, tareas de gran importancia que llegan fuera de hora o simplemente la propia irrupción del BYOD, son algunas de las situaciones que pueden obligar a los miembros de una organización a realizar sus funciones fuera de la compañía. Es en esas situaciones, cuando muchos usuarios recurren a redes wifi públicas como las que podemos encontrar en un hotel, estaciones de tren o en locales de ocio como una cafetería, para llevar a cabo las tareas. Sin embargo, hay que tener en cuenta, que estas redes wifi podrían poner en riesgo la privacidad e integridad de la información que tras ellas transcurra, ya que su seguridad puede ser deficiente. Además, un ciberdelincuente podría haberlas creado para “pescar” y tratar de capturar los datos de los usuarios que se conecten.
Otro caso que también debe considerarse, es el de cuando una organización decide abrir una nueva sede en otra ubicación geográfica distinta. Las comunicaciones entre ambas sedes han de realizarse de manera segura, evitando que los datos en tránsito puedan caer en manos de ciberdelincuentes.
Para evitar estas situaciones se hace imprescindible implantar una política de uso de wifis y redes externas.
Principales requisitos para la implantación de una política de uso de wifis y redes externas
El primer paso para que los miembros de la compañía puedan acceder a información interna desde una red considerada no segura, será obtener el permiso de la dirección. Para ello, se deberán establecer en qué situaciones y condiciones se permitirá su uso junto con los servicios e información a los que se podrá acceder.
La tecnología que se utilizará para habilitar un acceso remoto seguro, será la conocida como VPN o Red Privada Virtual. Una VPN, por sus siglas en inglés (Virtual Private Network), permite extender la red local (LAN) sobre una red pública no segura como es Internet, haciendo que todo el tráfico generado mantenga la integridad y confidencialidad de la información.
Como muestra la imagen, una VPN permite establecer una conexión segura a la red local de la organización por medio de Internet. Los empleados de una empresa que se encuentren en un aeropuerto, una cafetería o en cualquier otro lugar que disponga de conexión a Internet, podrán conectarse de forma segura y acceder a los recursos y servicios corporativos, como si estuvieran físicamente en la organización. La interconexión de sedes distantes geográficamente, también es otro de los supuestos en los que se utiliza esta tecnología, ya que una VPN se puede configurar para que ambas sedes trabajen sobre la misma red local. De esta forma, podrán acceder a los mismos recursos como si todos los trabajadores se encontraran en la misma ubicación.
En caso de no ser posible utilizar una VPN para acceder a información corporativa, existe una segunda opción: hacer uso de la red móvil como la usada por los smartphones o los módem USB (3G/4G/5G). La mayoría de los teléfonos inteligentes permiten crear un punto de acceso wifi para compartir la conexión móvil. Esto presenta una gran ventaja: no se comparte la red con ningún otro usuario, impidiendo que pueda realizar acciones maliciosas contra nosotros.
En una política de uso de wifis y redes externas debe indicarse a qué recursos se permitirá el acceso, siempre y cuando no sea posible utilizar una conexión VPN o una red móvil. Las opciones pueden ir desde establecer una política muy restrictiva que prohíba su uso completamente, aunque puede suponer un problema en la operación de la compañía, hasta permitir su uso pero siempre que se usen servicios no críticos para la organización. En el supuesto de tener que hacer uso de servicios corporativos en una red no segura sin utilizar una VPN, es recomendable hacerlo exclusivamente en aquellas redes que cuenten con el estándar WPA2/WPA3 y además será requisito necesario que los servicios utilicen comunicaciones seguras (SSL, HTTPS, etc.).
Una vez se haya elaborado la política, se deberá dar a conocer a todos los miembros de la organización, que debido a su actividad laboral podrían verse afectados, informándoles de las acciones que se tomarán en caso de incumplimiento.
Cuando los miembros de una organización, independientemente de su tamaño, tengan que acceder a recursos y servicios corporativos desde una red considerada no segura, deben hacerlo siempre en base a lo establecido en la política de uso de wifis y redes externas. Esta, determinará bajo qué requisitos se podrá acceder a recursos de la organización para garantizar la seguridad de la misma. Implantar esta política reducirá en gran medida los riesgos asociados al uso de redes wifi públicas. No lo dudes, comienza a crear ya tu política de uso de wifis y redes externas.
Etiquetas:
Protección, Políticas, Movilidad, Buenas prácticas, Empresa
Nota de DavidHellin: La noticia es original de INCIBE
Implantar una política de uso de wifis y redes externas y protege los datos de tu organización cuando sea necesario acceder a ellos desde fuera de ella.
Viajes de negocios, atender solicitudes de clientes en sus oficinas, tareas de gran importancia que llegan fuera de hora o simplemente la propia irrupción del BYOD, son algunas de las situaciones que pueden obligar a los miembros de una organización a realizar sus funciones fuera de la compañía. Es en esas situaciones, cuando muchos usuarios recurren a redes wifi públicas como las que podemos encontrar en un hotel, estaciones de tren o en locales de ocio como una cafetería, para llevar a cabo las tareas. Sin embargo, hay que tener en cuenta, que estas redes wifi podrían poner en riesgo la privacidad e integridad de la información que tras ellas transcurra, ya que su seguridad puede ser deficiente. Además, un ciberdelincuente podría haberlas creado para “pescar” y tratar de capturar los datos de los usuarios que se conecten.
Otro caso que también debe considerarse, es el de cuando una organización decide abrir una nueva sede en otra ubicación geográfica distinta. Las comunicaciones entre ambas sedes han de realizarse de manera segura, evitando que los datos en tránsito puedan caer en manos de ciberdelincuentes.
Para evitar estas situaciones se hace imprescindible implantar una política de uso de wifis y redes externas.
Principales requisitos para la implantación de una política de uso de wifis y redes externas
El primer paso para que los miembros de la compañía puedan acceder a información interna desde una red considerada no segura, será obtener el permiso de la dirección. Para ello, se deberán establecer en qué situaciones y condiciones se permitirá su uso junto con los servicios e información a los que se podrá acceder.
La tecnología que se utilizará para habilitar un acceso remoto seguro, será la conocida como VPN o Red Privada Virtual. Una VPN, por sus siglas en inglés (Virtual Private Network), permite extender la red local (LAN) sobre una red pública no segura como es Internet, haciendo que todo el tráfico generado mantenga la integridad y confidencialidad de la información.
Como muestra la imagen, una VPN permite establecer una conexión segura a la red local de la organización por medio de Internet. Los empleados de una empresa que se encuentren en un aeropuerto, una cafetería o en cualquier otro lugar que disponga de conexión a Internet, podrán conectarse de forma segura y acceder a los recursos y servicios corporativos, como si estuvieran físicamente en la organización. La interconexión de sedes distantes geográficamente, también es otro de los supuestos en los que se utiliza esta tecnología, ya que una VPN se puede configurar para que ambas sedes trabajen sobre la misma red local. De esta forma, podrán acceder a los mismos recursos como si todos los trabajadores se encontraran en la misma ubicación.
En caso de no ser posible utilizar una VPN para acceder a información corporativa, existe una segunda opción: hacer uso de la red móvil como la usada por los smartphones o los módem USB (3G/4G/5G). La mayoría de los teléfonos inteligentes permiten crear un punto de acceso wifi para compartir la conexión móvil. Esto presenta una gran ventaja: no se comparte la red con ningún otro usuario, impidiendo que pueda realizar acciones maliciosas contra nosotros.
En una política de uso de wifis y redes externas debe indicarse a qué recursos se permitirá el acceso, siempre y cuando no sea posible utilizar una conexión VPN o una red móvil. Las opciones pueden ir desde establecer una política muy restrictiva que prohíba su uso completamente, aunque puede suponer un problema en la operación de la compañía, hasta permitir su uso pero siempre que se usen servicios no críticos para la organización. En el supuesto de tener que hacer uso de servicios corporativos en una red no segura sin utilizar una VPN, es recomendable hacerlo exclusivamente en aquellas redes que cuenten con el estándar WPA2/WPA3 y además será requisito necesario que los servicios utilicen comunicaciones seguras (SSL, HTTPS, etc.).
Una vez se haya elaborado la política, se deberá dar a conocer a todos los miembros de la organización, que debido a su actividad laboral podrían verse afectados, informándoles de las acciones que se tomarán en caso de incumplimiento.
Cuando los miembros de una organización, independientemente de su tamaño, tengan que acceder a recursos y servicios corporativos desde una red considerada no segura, deben hacerlo siempre en base a lo establecido en la política de uso de wifis y redes externas. Esta, determinará bajo qué requisitos se podrá acceder a recursos de la organización para garantizar la seguridad de la misma. Implantar esta política reducirá en gran medida los riesgos asociados al uso de redes wifi públicas. No lo dudes, comienza a crear ya tu política de uso de wifis y redes externas.
Etiquetas:
Protección, Políticas, Movilidad, Buenas prácticas, Empresa
Nota de DavidHellin: La noticia es original de INCIBE
Comienza con la ciberseguridad de tu organización implantando un Plan director de seguridad.
Cuando hablamos de ciberseguridad, dar el primer paso puede resultar algo complejo ya que seguramente serán varios los aspectos que se puedan y deban mejorar. Entonces, ¿por dónde empezar? Si queremos llevar a buen puerto la ciberseguridad de nuestra organización, será necesario crear en primer lugar una hoja de ruta. Además, será muy importante no salirse de ella, ya que esta nos ayudará implementar las mejoras que realmente son importantes. A esta hoja de ruta se la conoce como Plan Director de Seguridad.
¿Qué es un Plan Director de Seguridad?
Aunque os hemos hablado de él en unas cuantas ocasiones, os recordamos que un Plan Director de Seguridad es una estrategia con la que abordar los aspectos técnicos, legales y organizativos que ayudarán a mejorar la ciberseguridad de la organización. Para empezar con este plan será imprescindible contar con el compromiso de la dirección e identificar las prioridades, responsables y recursos que se destinarán.
¿Por dónde comienzo?
La primera etapa de un Plan Director de Seguridad consistirá en recolectar información con la que determinar cómo está la situación actual en la empresa y dónde se quiere llegar en materia de ciberseguridad, marcando siempre unos objetivos razonables y sobre todo, realistas. Puesto que las organizaciones pueden ser muy diferentes, cada una contará con unos activos, procesos de negocio, así como responsables de los mismos, ya que no existe una fórmula magistral que sirva para todas las empresas.
Para realizar una valoración inicial sobre la ciberseguridad de la organización se suele utilizar como referencia el estándar internacional ISO/IEC 27002:2017, el cuál reúne un Código de Buenas Prácticas para la Gestión de la Seguridad de la Información. Desde INCIBE, hemos desarrollado una herramienta de autodiagnóstico para ayudar a las pymes a realizar esta tarea de evaluación sobre la ciberseguridad de la organización. Mediante un sencillo y breve cuestionario se determinará el estado actual de la seguridad de la información, indicando los riesgos existentes y los aspectos a mejorar.
Una vez realizada la valoración inicial en base al estándar ISO se ha de crear un nuevo documento denominado «Declaración de Aplicabilidad» o «SOA – Statement of Applicability» que recogerá los controles o medidas de seguridad que se deberán aplicar. En este documento también se deberá incluir su grado de madurez, es decir, si están implantados y en su caso, en qué nivel se encuentran.
Mantener reuniones con el personal de la organización será imprescindible, ya que el punto de vista de las personas que realizan las tareas diarias puede ser muy esclarecedor sobre el tipo de información que se gestiona, cómo es tratada y que medidas de seguridad sería recomendable aplicar para protegerla.
Una vez se cuenta con la información sobre las deficiencias detectadas se han de analizar y establecer una escala de madurez, por ejemplo estableciendo un valor numérico como de 0 a 5, siendo el primero la ausencia total de control y el segundo valor, la optimización total del control.
También habrá que realizar un análisis de riesgos donde se identifiquen las principales amenazas que afectan a la organización y el riesgo asociado a cada una de ellas, en función de la probabilidad y el impacto que tengan de materializarse. Desde INCIBE facilitamos una plantilla ejemplo para esta tarea.
El último paso dentro de esta fase inicial será determinar cuáles son los objetivos a cumplir en materia de seguridad, siempre en base a la estrategia marcada por la organización, para mitigar los riesgos a los que están expuestos los activos críticos.
Determinar los objetivos y puesta en marcha
En la medida de lo posible, deberemos estimar el coste de las iniciativas propuestas en términos temporales y económicos, contemplando los recursos materiales y humanos, tanto a nivel interno como externo. Una vez identificadas hemos de clasificarlas y priorizarlas. Puede darse el caso que las acciones a tomar sean de índole variada, por lo que ante esta situación, es recomendable realizar grupos que homogeneicen el conjunto de proyectos definidos.
Para realizar esta clasificación, se pueden considerar varios criterios, pero con independencia de ellos, será conveniente agrupar los proyectos atendiendo al esfuerzo que requieren, tanto a nivel humano como económico y en función de su coste temporal. De este modo, se establecerán proyectos a corto, medio y largo plazo.
Una vez se haya elaborado el Plan Director de Seguridad, tendrá que ser revisado y aprobado por la dirección de la organización. Superado este trámite, llega el momento de poner en marcha todas las medidas tomadas en consideración, siendo recomendable realizar una presentación ante los miembros de la organización que se verán afectados por las mismas. También es recomendable asignar responsables y coordinadores de proyecto y establecer la periodicidad con la que se llevará a cabo las acciones de seguimiento por medio de hitos.
Siempre debemos tener presente que un Plan Director de Seguridad, se basa en la mejora continua. Por tanto, cuando hayamos finalizado el plan actual debemos comenzar de nuevo el ciclo, ya siempre existe margen de mejora.
Un Plan Director de Seguridad es una estrategia fundamental que toda organización debe tener presente, ya que la supervivencia de la misma puede depender de las acciones que se hayan llevado a cabo o no. Ponte manos a la obra y comienza con tu Plan Director de Seguridad.
Etiquetas:
Plan director, Buenas prácticas, Empresa, Continuidad de negocio
Nota de DavidHellin: La noticia es original de INCIBE
