La publicidad forma parte de nuestro día a día, también en Internet. Tanto es así que en ocasiones resulta difícil distinguir si un contenido es o no un anuncio. Dado que los menores son más vulnerables a los riesgos relacionados con los contenidos comerciales, hemos de ayudarles a reducir su exposición a los mismos en línea, así como a saber identificar los anuncios y analizarlos críticamente.
La presencia de la publicidad en todos los medios de comunicación se ha normalizado y extendido hasta tal punto, que puede que debamos reflexionar sobre el número de anuncios que recibimos y consumimos de manera cotidiana.
Internet se ha convertido en un medio de aprendizaje y entretenimiento diario, pero también es un medio donde se muestra una cantidad importante de publicidad. Y es que las empresas se han percatado del impacto y los beneficios de utilizar plataformas en línea como escaparate para exhibir sus productos en general, y para dirigirse al público infantil y juvenil en particular.
Así pues, los menores, hoy en día, tienen una exposición significativa a los contenidos comerciales en Internet. Dada su mayor vulnerabilidad y credibilidad, como padres y madres hemos de implicarnos para ayudarles a reducir y controlar el consumo de publicidad, además de concienciarles sobre todas sus implicaciones.
Algunos datos sobre los menores y la publicidad en Internet
-
Un ciudadano medio recibe entre 1.000 y 5.000 impactos publicitarios diarios (”La publicidad actual: retos y oportunidades“).
-
Internet es el segundo canal en inversión publicitaria, solo superado por la televisión (”Estudio de la Inversión Publicitaria en España 2018“).
-
Casi un 60% de los menores utiliza Internet todos los días, cerca del 45% durante más de 2 horas diarias, y en torno al 95% visualiza vídeos en línea (”Encuesta sobre hábitos de uso y seguridad de Internet de menores y jóvenes“).
-
El 86% de las personas usuarias habituales de Internet considera que hay demasiada publicidad en la Red (”Anexo: Percepción de la publicidad en los medios, Informe Anual de la AEA).
Publicidad no son solo banners y ventanas emergentes
Cuando hablamos de publicidad en Internet es fácil pensar en los típicos mensajes llamativos e imágenes animadas que rodean los contenidos de algunas páginas (banners), o las imágenes o vídeos que aparecen de repente por delante del contenido de la web (pop-ups). También podemos pensar en los resultados patrocinados, anuncios camuflados como si fueran resultados de una búsqueda o contenidos relacionados (llevan alguna indicación como “anuncio”, “ad”, “patrocinado”, “branded content” ), o los vídeos cortos que se visualizan obligatoriamente antes del vídeo o el juego deseado. Estos son ejemplos de publicidad directa, que puede aparecer identificada como tal, aunque no es la única clase de anuncios que nos encontramos.
Que un anuncio se identifique claramente como “publicidad” es un requisito básico, aunque también deberá cumplir con el resto de normas aplicables. Hoy en día, en nuestro país, coexisten múltiples normativas y códigos de autorregulación en materia de publicidad, Internet y menores, lo que añade complejidad al cumplimiento legal y a su verificación. Para ampliar información resulta muy útil la guía ”Los niños ante la publicidad” de la Cátedra de Marketing y Comunicación Infantil y Adolescente.
Los contenidos publicitarios deben estar claramente identificados como tales, también en Internet, aunque eso no siempre coincide con la realidad
Con la creciente popularidad del consumo de contenidos creados por los propios usuarios en las redes sociales, han ido proliferando bloggers, youtubers y otras personas influencers, que hablan de cualquier tema que se pueda imaginar, incluyendo aquellos de interés para los menores como los juguetes, videojuegos, música, manualidades, etc. La cuestión es que muchos de sus contenidos, aunque no se etiqueten como publicidad, pueden tener el mismo propósito o al menos un efecto equivalente.
En esta categoría podemos incluir vídeos donde alguna persona (menor o adulta) simplemente juega con un videojuego o con juguetes, cuenta su experiencia personal, abre un nuevo juguete o un envoltorio sorpresa explicando todo lo que se va encontrando (lo que se denomina habitualmente unboxing), sus características, montaje, los blogs donde se realizan comparativas entre diferentes videojuegos, dispositivos, etc.
En algunas ocasiones, este tipo de contenidos pueden contar con el apoyo y patrocinio de las marcas, pero aun cuando no fuera así, podríamos decir que actúan como una publicidad indirecta.
En otras ocasiones las marcas tradicionales de productos dirigidos a público infantil extienden su comunicación a un ámbito digital e interactivo, por ejemplo impulsando la descarga de una app en el móvil con una experiencia de realidad aumentada, un juego en línea, etc., o la participación en actividades y sorteos a través de la web o las redes sociales. Estas propuestas no se suelen identificar como publicidad, aunque efectivamente tienen un propósito comercial.
Anuncios ¿personalizados?
Sin embargo, el aspecto más relevante de estas acciones interactivas es su capacidad para personalizar los mensajes publicitarios. Con el registro del usuario en una app, juego en línea, la suscripción a sus redes sociales, las cookies de la visita a una web, etc., la marca puede empezar a recopilar datos de esa persona y de su familia, nombres, fechas de nacimiento, correos electrónicos, etc. Así pues, puede cruzar datos para crear perfiles de uso con sus preferencias, los enlaces que siguen, las respuestas que da a cada cuestionario, etc. Finalmente, puede explotar esta información generando anuncios personalizados que se mostrarán por cualquier medio posible (por ejemplo, como sucede cuando después de mirar unas deportivas en una tienda en línea, nos aparecen anuncios relacionados con esa tienda o con las zapatillas deportivas en cualquier otra página web).
En las redes sociales, el fenómeno de la publicidad personalizada es aún más relevante, dado el elevado grado de conocimiento que tienen de sus usuarios. Cada uno puede elegir cómo quiere gestionar los anuncios que recibe en estas plataformas a través de una opción en el menú denominada habitualmente “preferencias de anuncios” o “configuración de anuncios” (así ocurre, por ejemplo, en Facebook, Instagram, Google, e incluso otras redes de anunciantes). En plataformas especialmente dirigidas a menores puede haber condiciones más restrictivas por defecto, como por ejemplo en YouTube Kids donde no se permite la personalización de anuncios.
Ante todo, debemos recordar que no es posible evitar que aparezcan anuncios, al fin y al cabo son una de las principales fuentes de ingresos para muchos sitios en línea. Lo que sí podemos es desactivar la personalización de anuncios, haciendo que estos sean genéricos, o bien activarla para que se adapten a su perfil y sean más interesantes. Sin embargo, cuando hablamos de las redes sociales de un menor, dado su nivel de madurez y pensamiento crítico aún en desarrollo, nuestro consejo es aplicar una configuración en el perfil del menor para que no reciba anuncios personalizados.
Recomendaciones para mantener una exposición equilibrada y saludable ante la publicidad
- Fomentar la capacidad de crítica de los menores y hacerles conscientes de las estrategias publicitarias. Para ello, resulta muy útil conversar de manera informal sobre los contenidos de carácter comercial que vemos juntos. Por ejemplo, podemos “jugar” a identificar estos contenidos, preguntarnos qué mensajes y emociones transmiten esos anuncios, vídeos, etc., cómo nos sentíamos antes y después de verlos, si nos parecen informaciones realistas o no, quién está detrás de ese contenido, etc.
- Utilizar bloqueadores de anuncios, pequeños complementos para el navegador de Internet o programas específicos para ordenador que permiten reducir y limitar el número de anuncios que se visualizan. o programas específicos para ordenador que permiten reducir y limitar el número de anuncios que se visualizan.
- Decantarse por espacios en Internet libres de publicidad o publicidad menos abusiva, para lo cual es útil reconocer contenidos de calidad , fuentes fiables y preferiblemente oficiales.
- Evitar la publicidad personalizada, para lo que se puede emplear la configuración de anuncios de las principales redes sociales y otras plataformas de servicios en línea, así como utilizar las opciones para reportar o denunciar aquellos anuncios que no nos parezcan apropiados. Además, es muy importante que los menores no den datos personales sin el asesoramiento de un adulto responsable, ni aunque parezca un simple sorteo sin importancia.
- Fomentar el consumo responsable en el hogar, evitando compras impulsivas, sin dejarse llevar por ganchos publicitarios, valorando la necesidad real de un producto antes de adquirirlo, analizando posibles alternativas que ya tengamos en casa, informándose y comparando sus características y precios.
- Limitar los tiempos de uso de pantallas, a fin de reducir el número de horas en las que van a encontrar publicidad, y por lo tanto reduciendo el número de contenidos comerciales que van a consumir. Para ello, puede resultar útil llegar a pacto familiar sobre el uso compartido de los dispositivos , su tableta o un móvil , además de configurar una herramienta de control parental.
Para terminar, podemos decir que no es posible evitar por completo la visualización de publicidad por parte de los menores, pero sí está en nuestras manos ayudarles a reducirla, controlarla y hacerse conscientes sobre las implicaciones del consumo de contenidos comerciales. Desde la Línea de ayuda en ciberseguridad de INCIBE, 900 116 117, te asesoramos de forma gratuita y confidencial sobre configuraciones y pautas a aplicar en relación con la publicidad en Internet que ven tus hijos.
Y en vuestra casa ¿habéis hablado de este tema?, ¿cuál es el consejo clave que le dais a vuestros hijos/as? Podéis compartirlo con toda la comunidad de IS4K en los comentarios, ¡gracias!
Nota de DavidHellin: La noticia es original de OSI
Para mantener la supervivencia de la empresa ante desastres es recomendable elaborar un plan de continuidad de negocio, te enseñamos qué es y los puntos básicos para abordarlo.
Incendios, cortes en el suministro eléctrico, actos vandálicos, ataques informáticos o fugas de información. Diariamente una empresa puede verse afectada por multitud de escenarios que hagan peligrar la continuidad del negocio. Para evitar que uno de los sucesos anteriores, u otro cualquiera, reduzca la actividad empresarial o incluso llegue a detenerla, será de suma importancia elaborar un plan de continuidad de negocio.
¿Puntos clave para elaborar un plan de continuidad?
Existen varios aspectos a tener en cuenta a la hora de elaborar un plan de continuidad de negocio. A continuación exponemos los principales puntos clave a tener en cuenta:
- Determinar su alcance. Para ello, habrá que realizar una revisión de los activos de la organización e identificar aquellos que sean imprescindibles o que se consideren críticos y que van a variar en base a la actividad de la organización. Por ejemplo, para una pyme con un comercio online, un activo crítico será su página web; mientras que para otra empresa que realice venta tradicional, no lo será tanto. Para determinar los activos que conforman una organización, desde INCIBE hemos creado una herramienta que sirve de plantilla.
- Definir responsables. Haciendo un símil marítimo, un plan de continuidad sin responsable será como un barco sin capitán: muchas órdenes e ideas pero nadie que ponga orden en el caos. Por lo tanto, habrá que determinar quién debe hacerse cargo de la situación. Este aspecto será esencial para organizar el equipo y las medidas a llevar a cabo de cara a mitigar un incidente.
- Realizar un análisis de impacto en el negocio. También conocido como BIA por sus siglas en inglés «Business Impact Analysis». Tendrá como objetivo identificar las necesidades del negocio en términos de recuperación, sobre todo en aquellos activos considerados críticos. Para llevar a cabo un BIA hay que recabar toda la información posible mediante reuniones con los distintos departamentos y definir tanto los tiempos de recuperación, como su criticidad.
- Política de comunicación y aviso a entidades externas. En algunas situaciones será necesario tender un hilo de contacto con entidades externas, como autoridades o medios de comunicación. En este caso, habrá que determinar los responsables de esta comunicación y cómo han de hacerlo.
- Definir la estrategia de continuidad. En este punto se determinará cuál es la estrategia más adecuada para garantizar la continuidad de la organización. Esta tarea deberá ser acorde con los resultados arrojados por el BIA. La estrategia que se siga deberá estar adaptada a cada empresa en concreto, pero existen unos puntos básicos y comunes que se deberán tener en cuenta:
- Desarrollar una cultura en seguridad. La principal forma de evitar un incidente de seguridad es dar formación a los miembros de la organización, ya que serán ellos quienes traten la información y las herramientas que la gestionan. La formación siempre se hace más amena cuando se imparte jugando. Por esa razón, desde INCIBE ponemos a disposición de los usuarios el Serious Game Hackend con el que os formaréis en ciberseguridad mientras os divertís. Otro método con el que desarrollar cultura en ciberseguridad es implantar el Kit de concienciación, herramienta que incorpora múltiples recursos con el que formar a los miembros de la organización en ciberseguridad.
- Protección de la información. Si has realizado un BIA, seguramente comprobarás que la información es uno de los activos más críticos que manejas. Es importante establecer medidas de seguridad preventivas y reactivas y de esta forma, garantizar los tres pilares de seguridad de la información: confidencialidad, disponibilidad e integridad.
- Protección del puesto de trabajo. La información, además de ser tratada por los miembros de la organización, es gestionada por las herramientas que la utilizan en su día a día. Para mitigar los riesgos asociados a este tratamiento, se deberán establecer una serie de medidas de seguridad, ya sean de carácter organizativo o técnico.
- Cumplimiento legal. Este aspecto aplica a todos por igual y deben estar acordes con las leyes que lo regulan como RGPD, la LSSI o la LPI.
- Desarrollar actividades de entrenamiento y verificación. Una de las mejores formas para saber cómo tratar cualquier situación lo marca la experiencia. Para poder estar preparados ante ciertas eventualidades, desde INCIBE hemos creado 5 juegos de rol con los que entrenar y poner a prueba el plan de contingencia y continuidad de tu organización.
- Establecer la caducidad del plan. Este tipo de planes deberán actualizarse periódicamente para garantizar un nivel óptimo de seguridad. El plan también debe actualizarse siempre que se acometan cambios importantes en los sistemas de la organización.
Elaborar un plan de continuidad es una forma de garantizar la supervivencia de la organización en caso de desastre. Una empresa que esté preparada ante cualquier incidente o eventualidad, podrá tomar las medidas oportunas para mitigar el problema y recuperar su actividad. Pero una que no lo esté, contará con más dificultados para recuperarse y en caso de hacerlo, seguramente sea con pérdidas económicas y de reputación. No lo dejes para mañana, empieza con tu plan de continuidad y larga vida a tu empresa.
Etiquetas:
Protección, Plan director, Buenas prácticas, Empresa, Continuidad de negocio
Nota de DavidHellin: La noticia es original de INCIBE
Pautas básicas para elaborar una política de almacenamiento en la nube para hacer un uso seguro de esta y proteger tu información.
La nube se ha convertido en una de las herramientas más utilizadas por organizaciones de cualquier tamaño y sector. Uno de los diferentes usos que se le puede dar a esta, es como medio de almacenamiento de información, bien sea como sistema de almacenamiento de copias de seguridad o como sistema de almacenamiento de información. Las ventajas de utilizar este tipo de servicios son diversas como la descentralización, el acceso desde cualquier ubicación con acceso a Internet o el ahorro de recursos. El mayor inconveniente de estos servicios es que la información deja de estar almacenada internamente y se guarda en el servicio contratado. Antes de comenzar a utilizar un servicio cloud es recomendable elaborar una política de almacenamiento en la nube siguiendo las siguientes recomendaciones.
Identificar los servicios de almacenamiento
Antes de decantarse por uno u otro, hay que llevar a cabo un análisis ya que no todos los servicios de almacenamiento en la nube serán adecuados para la empresa.
Servicios gratuitos vs. servicios premium
El primer paso será distinguir entre servicios gratuitos o servicios de pago. Los servicios de almacenamiento gratuitos tienen una menor capacidad de almacenamiento y menos herramientas que sirven para la administración de la información. En función del tamaño de la organización y de la cantidad de información que maneja puede que un servicio gratuito sea el más indicado. Otro punto en contra en los servicios gratuitos es la ausencia de acuerdos a nivel de servicio o SLA, reservándose estos, para los planes premium o de pago.
Disponibilidad y trazabilidad
Cuando el servicio de almacenamiento es usado como si se tratase de un servidor de ficheros propio de la organización, la disponibilidad es un requisito indispensable ya que un parón puede repercutir negativamente a la empresa. Por otro lado, si el servicio de almacenamiento es usado para guardar copias de seguridad, la disponibilidad no es tan imprescindible, aunque también es un requisito a tener en cuenta.
La trazabilidad es otra característica que se debe valorar, gracias a esta se puede saber el histórico de un activo a lo largo del tiempo. Por medio de la trazabilidad de un documento se puede saber quién ha sido último en modificar o acceder al mismo. Para que la trazabilidad sea efectiva el servicio de almacenamiento debe contar con mecanismos de autenticación y con herramientas de logs que registren lo que sucede la nube.
Copias de seguridad y requisitos legales
El servicio elegido debe contar con mecanismos que permitan realizar copias de seguridad, también hay que conocer qué política sigue el servicio seleccionado. Otro aspecto recomendable es conocer qué medidas de seguridad aplican a las copias de seguridad para salvaguardar la privacidad de la información.
No todos los servicios de almacenamiento en la nube siguen los mismos requisitos legales, ya que en función de dónde esté almacenada la información, se aplicarán unos u otros. Si la empresa gestiona datos personales debemos asegurarnos que la legislación aplicable sea aquella que afecte a los datos del país de origen, es decir, si en el servicio cloud se almacenan datos de clientes españoles la legislación aplicable es el RGPD y por lo tanto, se debe seleccionar un servicio que almacene los datos en Europa y que cumpla con este reglamento.
Contrato a nivel de servicio o SLA
Un SLA “Service Level Agreement” es un acuerdo contractual entre la empresa que presta los servicios y el cliente. Mediante este se pactan los niveles de calidad del servicio contratado y las compensaciones en caso de incumplimiento del proveedor. En los SLA se han de garantizar los puntos anteriormente citados y qué compensaciones recibirá nuestra empresa en caso de incumplimiento, por esa razón un servicio cloud premium puede ser una opción más recomendable para una empresa cuyo acceso a la nube es imprescindible.
Los servicios de almacenamiento en la nube innegablemente llevan asociadas mejoras que ayudarán a la organización aumentando la productividad y reduciendo los costes de mantenimiento de los sistemas. No obstante, también conlleva riesgos, ya que la información deja de estar almacenada en la propia organización y se confía a un tercero. En la segunda entrada sobre cómo elaborar una política de almacenamiento en la nube os mostraremos cómo gestionar la información de forma segura en los sistemas cloud. No dejes pasar la oportunidad y comienza con tu política de almacenamiento en la nube y protege el activo más importante de la empresa, la información.
Etiquetas:
Protección información, Protección clientes, Protección puesto de trabajo, Buenas prácticas, Concienciación, Empresa
Nota de DavidHellin: La noticia es original de INCIBE
¡Actualizarse o morir! Nuestros negocios dependen de equipos con software que utilizamos para: comunicarnos por correo, utilizar herramientas de videoconferencia, editar documentos de texto o multimedia, llevar la contabilidad, gestionar la cartera de clientes o las nóminas, etc. A menudo, durante su vida útil se descubre que tienen fallos de seguridad, por los que podría exponerse nuestra información confidencial, servir de entrada a software malicioso o dar acceso a delincuentes con intenciones poco éticas. Para solucionar estos fallos, los fabricantes de software publican actualizaciones de seguridad que tenemos que instalar para parchear los fallos de seguridad descubiertos. ¿Vas a ponérselo fácil a los delincuentes usando software obsoleto o desactualizado o eres de los que actualizas e instalas los parches de seguridad? ¿Tienes una política de actualizaciones?
¡Actualizarse o morir! Nuestros negocios dependen de equipos con software que utilizamos para: comunicarnos por correo, utilizar herramientas de videoconferencia, editar documentos de texto o multimedia, llevar la contabilidad, gestionar la cartera de clientes o las nóminas, etc. A menudo, durante su vida útil se descubre que tienen fallos de seguridad, por los que podría exponerse nuestra información confidencial, servir de entrada a software malicioso o dar acceso a delincuentes con intenciones poco éticas. Para solucionar estos fallos, los fabricantes de software publican actualizaciones de seguridad que tenemos que instalar para parchear los fallos de seguridad descubiertos. ¿Vas a ponérselo fácil a los delincuentes usando software obsoleto o desactualizado o eres de los que actualizas e instalas los parches de seguridad? ¿Tienes una política de actualizaciones?
Para evitar problemas de seguridad hay que revisar y estar al tanto de la existencia de actualizaciones y parches de seguridad para nuestro software. Además es recomendable elaborar procedimientos para instalarlos de forma segura y controlada, es decir, verificando que no causen interrupción del servicio o pérdida de funcionalidad.
¿Qué tengo que actualizar?
Todo el software es susceptible de necesitar actualizaciones por motivos de seguridad, esto incluye el firmware de los equipos electrónicos, los sistemas operativos y aplicaciones informáticas e incluso los propios programas antimalware. También afecta a todo tipo de equipos, incluidos equipos de red, de videoconferencia, impresoras, móviles y dispositivos IoT. Los fabricantes de software lanzan actualizaciones y parches para mejorarlos, añadir nuevas funcionalidades y corregir fallos de seguridad.
Si no mantenemos convenientemente actualizados nuestros equipos y aplicaciones nos exponemos a todo tipo de riesgos. Los sistemas no actualizados pueden ser aprovechados por los delincuentes para introducirse en ellos y dejarlos inactivos, infectarlos con cualquier clase de malware como un ransomware, aprovechar su capacidad de proceso para crear botnets con fines delictivos o minar criptomonedas y robar todo tipo de datos (credenciales de acceso, datos confidenciales, etc.).
¿Cómo sé cuándo hay que actualizar?
En primer lugar, tenemos que buscar la forma de estar avisados de la necesidad de actualizar y parchear todo nuestro software.
Para ello, es útil tener un inventario del software y el firmware instalado y de los fabricantes. Si se descubren errores o fallos de seguridad tendremos que corregirlos como nos diga el fabricante para garantizar su seguridad.
Algunos sistemas operativos y aplicaciones incluyen la función de actualizaciones automáticas que es recomendable activar. Así el propio programa nos va a avisar cada vez que haya una actualización y nos permitirá instalarla o no a nuestro criterio.
En los casos de actualización manual tenemos que visitar la página del fabricante y obtener de ella la actualización verificando que la página desde la que hacemos la descarga sea de confianza. En los casos en los que tengamos servicios subcontratados a terceros, también exigiremos que el software este convenientemente actualizado.
También es práctico configurar un sistema de alertas (RSS o Google Alerts) para recopilar avisos y notificaciones sobre vulnerabilidades, actualizaciones y parches de seguridad del software utilizado. Estas alertas pueden consistir en:
- boletines genéricos sobre avisos y vulnerabilidades como el boletín de Incibe, el del CERTSI o el de alguno de los otros CERTS españoles entre ellos: CESICAT, CCN-CERT o CIRST-CV;
- boletines específicos sobre actualizaciones y novedades que nos ofrecen los fabricantes o proveedores o comunidades de soporte por ejemplo: Apple Security Updates, Drupal Security Advisories, WordPress o Mozzilla F. Security Advisories.
Por otra parte, existen herramientas de diagnóstico (búscalas en el Catálogo) que revisan si el software de nuestros equipos está actualizado o no. Una vez detectadas las actualizaciones pendientes, podemos proceder a su instalación en todos los equipos de manera centralizada. Esto puede ser útil en entornos con muchos equipos en los que queremos que el software instalado sea homogéneo y esté especialmente controlado.
¿Qué precauciones debo tomar a la hora de actualizar?
El equipo técnico determinará el momento en el que ejecutar las actualizaciones para no interferir con las operaciones de la empresa. Antes de su instalación consideraremos la utilidad de las nuevas mejoras y la gravedad de los errores que subsanan, así como los requisitos hardware/software necesarios.
Además debemos valorar la necesidad de disponer de un entorno de pruebas donde instalar y probar las actualizaciones, para verificar que su funcionamiento es el esperado. Es recomendable este paso en actualizaciones de aplicaciones críticas instaladas en servidores (CMS, servidores web, servidores de correo, etc.).
Antes de aceptar la instalación de una actualización, verificaremos si es posible deshacer los cambios realizados. Así si el comportamiento del software actualizado no responde a lo esperado podremos volver a la situación anterior. Siempre es recomendable disponer de copias de seguridad recientes localizadas y probadas para poder revertir cualquier cambio que hagamos.
Por último, llevaremos un registro de las actualizaciones que se han instalado en nuestros sistemas. De esta forma, podremos tener en todo momento un conocimiento exhaustivo del software operativo en nuestros equipos.
Pero todo el software tiene un ciclo de vida, por lo que llegado el momento puede quedar obsoleto y sin soporte oficial por parte del fabricante. En ese momento es un blanco fácil para los ciberdelincuentes (sobre todo si estamos conectados a Internet) y deberíamos dejar de utilizarlo.
Verifica que no se te olvida nada
En la Política de actualizaciones software dispones de un checklist para comprobar que los procesos de actualización siguen los criterios de seguridad de tu organización. Puedes editarla a tu gusto y personalizarla para que se adapte a tu empresa, añadir los controles que puedan ser más prácticos o quitar aquellos que no sean necesarios. No olvides analizar periódicamente todos los controles, pues si el software de tu empresa no está actualizado, puedes ser objeto de algún ataque.
Etiquetas:
Políticas, Buenas prácticas, Area de informática, Empresa
Nota de DavidHellin: La noticia es original de INCIBE
Ordenadores, memorias USB o discos duros almacenan gran cantidad de información en cualquier organización. Antes de deshacernos de estos dispositivos deberemos eliminar todos los datos que contengan de forma segura, y así garantizar que nadie volverá a acceder a ellos.
En muchas ocasiones hemos intentado explicar la importancia que tiene la información para cualquier organización. Se trata de su principal activo y protegerla será tarea prioritaria en cualquier empresa. Pero ¿qué ocurre cuando la información deja de ser necesaria para una organización? Una vez llega a la última fase de su ciclo de vida, será necesario destruirla de forma segura, de tal manera que no vuelva a ser accesible.
Además, también habrá que utilizar el borrado seguro en las siguientes situaciones:
- Reutilizar un soporte que ya contenga datos corporativos o que no funcione correctamente.
- Deshacerse de un soporte que haya quedado obsoleto.
Para aquellos casos en los que la información se encuentre en soportes no electrónicos, como papel, negativos fotográficos, radiografías, cintas magnéticas, etc., será necesario hacer uso de trituradoras de papel. De esta forma evitaremos que pueda llegar a manos de terceros y utilizarse de forma perjudicial para la organización.
Una tercera vía en la destrucción de datos o soportes que los contengan es contratar un servicio externo. En este caso, para proceder con la destrucción de datos personales se deberá hacer uso de lo que se conoce como «destrucción certificada», lo que asegura que dicha destrucción se realizará con las máximas garantías de seguridad y confidencialidad, desde el momento de la recogida hasta su destrucción física.
Es decir, contar con una política de borrado establecerá las bases para un borrado seguro de la información obsoleta y para la destrucción de soportes físicos que la alberguen.
¿Qué elementos han de tenerse en cuenta para realizar borrados seguros?
En primer lugar, contar con un inventario de activos. Para ello, se deberá hacer un seguimiento de todos los dispositivos que permanezcan en funcionamiento, tales como CD, DVD, memorias Flash, discos magnéticos o tarjetas de memoria, entre otros. Además habrá que incluir información sobre qué personas o departamentos son responsables de dichos dispositivos, la información que contienen y clasificarla en función de lo crítica que sea para el negocio.
También habrá que incluir una gestión de soportes que almacenen información corporativa, especialmente los que se utilicen para realizar copias de seguridad, documentando cualquier operación que se realice sobre los mismos.
En cuanto a la eliminación de la documentación:
- Para eliminar la información en soportes no electrónicos y soportes magnéticos, se deberá utilizar el triturado como modo seguro de eliminación.
- Si vamos a hacer uso de un dispositivo que ya contiene datos, deberemos sobrescribirlos. Lo mismo ocurre en cualquier otro dispositivo regrabable.
- A la hora de desechar un soporte de almacenamiento electrónico que no funcione o se haya quedado obsoleto, deberemos utilizar métodos de desmagnetización o destrucción física, imposibilitando la reutilización de dicho dispositivo.
- Por último, habrá que prestar especial atención a los dispositivos móviles en el momento de deshacernos de los mismos ya que podrían contener información importante o confidencial.
Será importante hacer uso de herramientas que permitan documentar todas las operaciones de borrado. Deben quedar identificados los procesos de borrado que se han realizado, detallándose cuándo se han realizado y de qué manera.
Por último también existe la posibilidad de hacer uso de la destrucción certificada. Este tipo de borrado se realiza a través de una empresa que llevará a cabo los procesos de eliminación de la información, garantizando tanto la gestión como el control de recogida, transporte y destrucción de material. Posteriormente estas empresas emitirán un certificado que garantizará y certificará la validez del proceso.
Datos de clientes y proveedores, de facturación o de personal constituyen el principal activo de una empresa, su información. Por lo tanto, será necesario que cuando llegue el final de su ciclo de vida y deje de ser útil, se destruya de manera segura comprobando que no pueda volver a ser reutilizada.
Etiquetas:
Proteccion informacion, Políticas, Buenas prácticas, Concienciación, Empresa
Nota de DavidHellin: La noticia es original de INCIBE
Los dispositivos de almacenamiento extraíbles son elementos de gran utilidad en nuestro trabajo diario, a los cuales hay que prestar la atención que se merecen ya que son dispositivos muy susceptibles de ser robados, manipulados, infectados por malware o incluso llegar a extraviarlos.
Dispositivos como memorias USB, discos duros portátiles y tarjetas de memoria, conforman lo que se conoce como dispositivos de almacenamiento extraíbles que permiten realizar transferencias de información de manera rápida y directa. Son un complemento de gran utilidad en nuestro trabajo diario, pero que a su vez, pueden ser tan pequeños y discretos que no les prestemos la atención que merecen, convirtiéndose en dispositivos susceptibles de ser robados, manipulados, infectados por malware o incluso podemos llegar a extraviarlos. Por este motivo, será necesario para cualquier empresa contar con una normativa que regule el uso de este tipo de dispositivos. Un pequeño error, y nuestra información podría perderse, caer en malas manos, manipularse con fines fraudulentos o provocar una infección en nuestra red corporativa.
Por este motivo, la empresa debe decidir si permite el uso de este tipo de dispositivos de almacenamiento, y en su caso, regular en qué situaciones se podrán utilizar o qué tipo de información se permitirá almacenar en ellos. Esto se denomina política de almacenamiento en dispositivos extraíbles.
De esta forma, si tuviésemos que almacenar información sensible o confidencial en un dispositivo externo corporativo, habría que asegurarse que éste se encuentra debidamente protegido. Además, éstos se deberán almacenar en lugares seguros e informar debidamente a los responsables en caso de cualquier tipo de incidente: robo, pérdida, infección, etc.
Si se pretende que la información recogida en los dispositivos extraíbles esté segura, deberemos aplicar una serie de medidas de seguridad como el cifrado de datos, establecer permisos de acceso, política de contraseñas, etc.
Por último, también hay que tener en cuenta la eliminación de la información almacenada, ya que será de gran importancia asegurarse de que ésta no vuelva a ser accesible. Para ello, habrá que utilizar métodos de borrado seguro como la destrucción física del dispositivo, desmagnetización o sobreescritura, según convenga en cada caso.
¿Qué tipo de controles serán necesarios?
En primer lugar, establecer una normativa que regule el almacenamiento de información en dispositivos extraíbles, que deberá contener aspectos tan esenciales como contar con un registro de dispositivos autorizados, definir en qué condiciones o casos se permitirá su uso, establecer si la información debe ir cifrada, configuraciones de seguridad, etc.
Otro aspecto muy importante es la concienciación de los empleados. Robos extravíos, manipulaciones, infecciones por virus, son las causas más frecuentes por las que se puede perder la información contenida en los dispositivos de almacenamiento externo. Por este motivo, es de gran importancia hacer partícipes a los empleados de la protección, vigilancia y buen uso de los mismos, concienciándoles de la trascendencia que tiene la protección de los datos en ellos contenidos.
Además, es necesario disponer de alternativas a los medios de almacenamiento extraíbles, como, por ejemplo, contar con repositorios comunes para el intercambio de información o con accesos remotos para poder trabajar fuera de la oficina, disponer de servicios de cloud computing (almacenamiento en la nube), etc.
También será necesario mantener un registro de dispositivos y usuarios para establecer un control de acceso a los mismos.
Otro aspecto importante será aplicar medidas técnicas que garanticen un almacenamiento seguro, tanto para los dispositivos extraíble, como para los dispositivos a los que éstos puedan conectarse. Éstas deberán incluir una programación de cambios periódicos de contraseña de los dispositivos, evitar que dispositivos no registrados puedan conectarse a cualquier equipo de la organización, desactivar las opciones de autoarranque o los puertos USB, etc.
Por último, será necesario cumplir con la normativa establecida, que deberá ser comunicada y conocida por todos los empleados. Además, éstos deberán comprometerse en su cumplimiento antes de hacer uso de este tipo de dispositivos.
En definitiva, para poder proteger la información contenida en cualquier tipo de dispositivo de almacenamiento externo deberemos establecer unas normas de uso de los mismos que garanticen la seguridad, tanto de la información corporativa, como la de los equipos a los que éstos se conecten, unido a una labor de concienciación de nuestros empleados para que hagan un buen uso de los mismos y eviten que la información pueda caer en malas manos o provocar infecciones de la red corporativa. La prevención siempre será nuestra mejor aliada.
Etiquetas:
Proteccion informacion, Políticas, Buenas prácticas, Area de informática, Concienciación
Nota de DavidHellin: La noticia es original de INCIBE
