Son muchas las causas de que podrían dar origen tanto a pérdida de información como ralentizar la dinámica de trabajo diaria de una organización: robos, incendios, fallos eléctricos, roturas de dispositivos, virus, y así un largo etcétera. Por este motivo y aprovechando que el próximo 31 de marzo se celebra el Día Mundial de las Copia de Seguridad, vamos a incidir en la importancia de contar con ellas.

Son muchas las causas de que podrían dar origen tanto a pérdida de información como ralentizar la dinámica de trabajo diaria de una organización: robos, incendios, fallos eléctricos, roturas de dispositivos, virus, y así un largo etcétera. Por este motivo y aprovechando que el próximo 31 de marzo se celebra el Día Mundial de las Copias de Seguridad, vamos a incidir en la importancia de contar con ellas y de asegurarnos la capacidad de restaurarlas llegado el momento.

Normalmente no somos conscientes de la importancia que tiene la realización de copias de seguridad hasta que ya es demasiado tarde. Hay que tener muy presente que en cualquier momento y seguramente, el más inesperado e inapropiado, se pueden dar fallos que terminen por desembocar en pérdida de información. No debemos olvidar que trabajamos con dispositivos que son susceptibles de fallos, averías o robo, algo que debe tenerse en consideración porque podrían ser causantes de pérdidas económicas o incluso de confianza, que podrían concluir en la pérdida de clientes o incluso incurrir en posibles sanciones.

Además, es importante conocer que el 29% de los desastres son accidentales y por lo tanto, imprevistos, y 1 de cada 10 ordenadores es infectado con un virus cada mes. Estos datos nos muestran inequívocamente que es muy importante realizar copias de seguridad con una cierta regularidad para no perder el activo más importante que tiene cualquier organización, la información.

En un solo día de trabajo se podrían perder todos los datos procesados, ocasionando tener que retomar expediciones de mercancía, facturación y contabilidad; provocando pérdida de pedidos, errores en stock o inventarios, etc., y generando, además del coste económico, una mala imagen, etc..

Por último, además de salvaguardar la información, será necesario comprobar que se puede recuperar fácil y rápidamente. De nada serviría tener copias de seguridad si luego no se puede o no se sabe recuperar la información perdida llegado el momento necesario.

Por lo tanto, para tener una política eficiente de copias de seguridad deberemos hacernos algunas preguntas:

• ¿De qué hacer copia?

Se deberá establecer sobre qué información se desea hacer copias de seguridad. Para llegar a este punto hay que realizar un análisis exhaustivo de la información que se maneja en la organización y concluir qué información es crítica para el negocio.

• ¿Cómo lo vamos a copiar?

Será necesario definir la forma en la que se realizará la copia de seguridad, que podría ser completa (copia total de los datos), incremental (a partir de los datos de la última copia), o diferencial (copia de datos desde la última copia completa).

• ¿Cuándo queremos hacerlas?

Es decir, cada cuánto tiempo haremos una copia de seguridad, número de versiones que se harán de la misma y cuánto tiempo estaremos dispuestos a almacenarla.

• ¿Dónde se almacenarán?

Este apartado determinará el medio en el que se almacenará la información: cintas, discos, USB, discos portátiles, sistemas cloud, etc. Aquí habrá que tener en cuenta aspectos como el coste o presupuesto que queremos destinar a tal efecto o la fiabilidad del fabricante en cuanto a almacenamiento y seguridad.

Seguidamente tendremos que especificar el lugar donde se almacenarán las copias. Una buena práctica es almacenarlas en una ubicación distinta al centro de trabajo. En caso de que en este último ocurriera una catástrofe, por ejemplo un incendio, guardar las copias en él, implicaría que también se verían afectadas. Además, habría que dar cuenta de las directrices marcadas por la legislación, como la LOPD que nos obliga a cifrar las copias de seguridad que se almacenen fuera de las instalaciones.

• Pruebas de restauración

Este paso es indispensable para comprobar si funciona el proceso de restauración de copias de seguridad. Por este motivo se hace necesario realizar pruebas periódicas de restauración, dejando debidamente documentado el procedimiento para evitar sorpresas si en algún momento tuviéramos que restaurar una copia.

A pesar que tendemos a pensar que cualquier eventualidad “a mí no me va a pasar”, al final son muchos los casos en los que sí ocurren. Contar con copias de seguridad nos asegura que llegada esta circunstancia, podré recuperar los datos perdidos y que no se vea afectada la dinámica del negocio. Además generaré confianza ante agentes externos y ahorraré en términos económicos. No lo dudes, haz copias de seguridad.

Etiquetas:
Buenas prácticas, Concienciación

Nota de DavidHellin: La noticia es original de INCIBE

Aunque llevan muchos años entre nosotros, el navegador web se ha convertido en una herramienta de uso cotidiano en las empresas. Desde él accedemos a servicios de proveedores, a páginas de las Administraciones Públicas y a servicios corporativos internos. Consultas, noticias, compras on-line, trámites con entidades financieras y otros organismos, acceso al correo electrónico, a redes sociales, a servicios en la nube, usamos aplicaciones ofimáticas online, etc. todo esto, y mucho más, lo hacemos a través del navegador. Con toda esta actividad no es de extrañar que los delincuentes los hayan convertido en su objetivo. Y nosotros como navegantes ¿somos conscientes de los peligros a los que nos exponemos?, ¿sabemos cómo navegar seguros?

Aunque llevan muchos años entre nosotros, el navegador web se ha convertido en una herramienta de uso cotidiano en las empresas. Desde él accedemos a servicios de proveedores, a páginas de las Administraciones Públicas y a servicios corporativos internos. Consultas, noticias, compras on-line, trámites con entidades financieras y otros organismos, acceso al correo electrónico, a redes sociales, a servicios en la nube, acceso a aplicaciones ofimáticas online, etc. todo esto, y mucho más, lo hacemos a través del navegador. Con toda esta actividad no es de extrañar que los delincuentes los hayan convertido en su objetivo. Y nosotros como navegantes ¿somos conscientes de los peligros a los que nos exponemos?, ¿sabemos cómo navegar seguros?

El cliente y el servidor

Cuando navegamos por Internet, el navegador (Opera, Microsoft Edge/Explorer, Firefox, Chrome,…) en nuestro equipo es un «cliente» que solicita servicios —que le envíen contenidos de una página web— a un «servidor» donde se aloja la página web que solicitamos. Los navegadores interpretan lo que les envían los servidores (las páginas web codificadas) para mostrar el contenido a los usuarios e intercambian información con los mismos como credenciales de acceso, parámetros, etc.

Si el servidor al que accedemos ha sido atacado, las comunicaciones son interceptadas o el cliente (el navegador o sus extensiones y plugins) no está protegido, podríamos enviar información de forma insegura, como nuestras contraseñas o nuestras cuentas corrientes, o descargarnos código malicioso que tomará control de nuestro navegador o infectará nuestros equipos.

¿Cómo me atacan cuando navego?

Son muchas las técnicas de ataque a través del navegador. Podemos agruparlas en:

• Introducción de código malicioso en el equipo del usuario a través de una vulnerabilidad del navegador. Para ello, primero han de conseguir que visitemos una página infectada que se encargará de «chivarle» al atacante las debilidades de nuestro navegador. Así este podrá lanzarnos, generalmente de forma automática, el código malicioso (exploit) más adecuado para aprovechar nuestras debilidades.
  • ¿Cómo consiguen que visitemos una página infectada? Pues de muchas formas:
    • dirigiendo a la víctima a un sitio web legítimo y de confianza, previamente infectado,
    • incluyendo anuncios, aparentemente inofensivos pero que ejecutan contenido malicioso, en páginas web legítimas que han sido comprometidas,
    • con engaños de ingeniería social para que hagamos clic en enlaces que suplantan a webs legítimas (phishing).
• Inclusión de código malicioso en formularios o parámetros de las URL para que se ejecuten en el propio navegador del usuario. Esto es frecuente en aplicaciones en las que el usuario interactúa introduciendo datos en su navegador: blogs, foros, redes sociales,… Utilizan código malicioso en los formularios o parámetros (en los lenguajes de programación que utiliza la página web: HTML, JavaScript, etc.) para que sea ejecutado en nuestro navegador evadiendo los mecanismos de seguridad.
• Interceptación y manipulación de las comunicaciones entre el navegador (el cliente) del usuario y el servidor web. Con estos ataques consiguen capturar el tráfico y redirigirlo para monitorizarlo o modificarlo.  Por ejemplo, mediante los falsos puntos de acceso wifi que nos hacen creer que estamos conectados a una wifi conocida a la que suplantan. De esta forma consiguen hacerse con nuestras credenciales para acceder a servicios legítimos y suplantar luego nuestra identidad. También nos conducen, dirigiendo la comunicación interceptada, a páginas infectadas.
• Descarga y ejecución de ficheros de fuentes no confiables. Esto ocurre cuando visitamos sitios no oficiales o reconocidos, para descargar software, imágenes u otro tipo de documentos que pueden incluir malware.

Aviso para navegantes

Conociendo lo que puede ocurrir cuando navegamos estos son algunos consejos para navegar seguro:

1. Es importante estar al día: ¡actualiza! Como muchos ataques se producen por tener desactualizados los navegadores, te recomendamos que mantengas siempre actualizados tus equipos y los navegadores. Desinstala los navegadores, plugins y extensiones que no utilices. Programa las opciones de actualización automáticas, tanto para el sistema operativo como para los navegadores.
2. Verifica y actualiza los plugins y extensiones. Descarga siempre los complementos de sitios oficiales. Desinstala o desactiva los que no utilices. No instales ni Java ni Flash a menos que los necesites o habilítalos únicamente cuando los vayas a utilizar. Programa las opciones de actualización automáticas también para los complementos.
3. Gestiona la seguridad y privacidad del navegador. Entra en las opciones de seguridad para bloquear pop-ups, desactivar la sincronización de contraseñas, evitar autocompletado, borrar ficheros temporales, bloquear la geolocalización, etc.
4. Nunca guardes las contraseñas en el navegador cuando te da la opción de recordar la contraseña. Si lo has hecho bórralas y deshabilita esta opción si está activada en los ajustes del navegador. Toma precauciones para borrarlas cuando navegues en ordenadores públicos o que te presten. Puedes utilizar gestores de contraseñas vigilando que utilicen un cifrado robusto y una llave maestra.
5. Elimina las cookies de sesión. Estudia los parámetros de privacidad de tu navegador y parametrízalo para que se ajuste a tus necesidades. Las cookies son unos pequeños ficheros que guardan información sobre la sesión con una web para facilitar las conexiones futuras y recordar datos de navegación como hábitos y preferencias. Puedes borrarlas después de navegar (y borrar también el historial de navegación) o configurar el navegador para que se borren automáticamente.
   • También puedes navegar en modo privado o incógnito, de esta forma se iniciará una sesión sin utilizar los datos ya almacenados en el navegador y al terminar se borrarán las cookies, el historial de navegación y otros datos que se hayan creado.
   • Otra opción es utilizar extensiones o plugins para bloquear la publicidad y las cookies (uBlock, DoNotTrackMe, Ghostery, Disconnect,..) siempre que antes te informes de cómo utilizarlos.
6. Cifra las comunicaciones utilizando protocolos en los que las comunicaciones van cifradas, por ejemplo utiliza siempre que puedas HTTPS. Los navegadores tienen complementos que facilitan y priorizan el uso de protocolos cifrados como HTTPS.

    

7. Verifica que los sitios por los que navegas son fiables. Teclea la URL (con de HTTPS://) y abre la información (certificado) en el candado en la barra de navegación. Comprueba que el certificado está vigente, y que estás en el sitio correcto verificado por una empresa de confianza.

    

8. Protégete contra el malware, el phishing, y los exploits. Utiliza herramientas antimalware que incluyan protección de navegación web y para detectar phishing y para evitar que los empleados accedan a webs poco fiables (filtro de contenidos). Considera utilizar herramientas anti-exploits para evitar que puedan aprovecharse de vulnerabilidades de tu navegador que se estén explotando antes de que el fabricante publique el parche (llamadas de día cero o 0-day). Difunde esta información entre tus empleados, incluye estas buenas prácticas en una política interna de obligado cumplimiento, comprueba que todos saben utilizar bien el navegador y que navegan seguros. ¡Protege tu empresa!

Etiquetas:
Proteccion informacion, Políticas, Ocio, Web, Colaboradores, Comercio minorista, Concienciación, Empresa

Nota de DavidHellin: La noticia es original de INCIBE

Hoy en día las redes sociales son parte importante en el día a día de cualquier ser humano, y como cada 12 de marzo se celebra el Día Internacional de Tuiteros, para vamos a refrescar aspectos fundamentales de concienciación y formación como parte de las Políticas básicas de seguridad para Pymes.

Hoy en día las redes sociales son parte importante en el día a día de cualquier ser humano, principalmente en jóvenes. Además, tanto personas como colectivos, no suelen ser usuarios únicamente de una red social, sino de varias. Facebook, Instagram o Twitter son de las más demandadas y consumidas por una sociedad digital que ha visto en ellas una forma de interactuar con el mundo.

Así pues, desde hace varios años, cada 12 de marzo se celebra el Día Internacional de Tuiteros, como homenaje y reconocimiento al trabajo y aportación de Twitter al mundo de Internet.

A pesar que pudiera parecer que Twitter está orientado únicamente al microblogging de particulares, la realidad es muy diferente. Son muchas las empresas que hacen uso de esta red social para establecer un canal de comunicación directa con sus clientes o seguidores y un lugar donde encontrar información sobre productos o servicios. Además, no son solo utilizadas por las grandes compañías, también las Pymes son parte activa de esta red social.

Y como toda red social que se precie, además de la gran cantidad de ventajas que ofrece su uso, pueden ser también fuente de problemas, suplantaciones o robos de identidad, con el posterior daño que podría acarrear esta situación a una marca o entidad. Por lo tanto, aprovechando el Día Internacional de los Tuiteros, vamos a refrescar aspectos fundamentales de concienciación y formación como parte de las Políticas básicas de seguridad para Pymes y que evitarán en gran medida, situaciones de riesgo ante los peligros que rodean el uso de las redes sociales.

El uso de nuevas tecnologías en el ámbito laboral es algo que forma parte del día a día de cualquier empresa. Por lo tanto, es necesario que exista un alto grado de compromiso de los trabajadores con las políticas de seguridad que se establezcan en cualquier organización, incluidas las políticas de uso de redes sociales. Este compromiso se conseguirá a través de la concienciación sobre los riesgos asociados al uso de las nuevas tecnologías, y mediante formación en ciberseguridad, necesaria para la prevención y mitigación de la gran mayoría de incidentes.

El principal objetivo es que todos los empleados conozcan, entiendan y cumplan las normas y medidas de seguridad y protección en el ámbito del uso de los elementos tecnológicos, advirtiéndoles en todo momento de los riesgos asociados a una mala praxis con sus dispositivos y aplicaciones.

Para conseguirlo, serán necesarios las siguientes actividades:

• Divulgar las políticas que contienen las normas de seguridad de la información aplicables y que han de estar al alance de todo el personal de la empresa. En el apartado Políticas puedes descargarte algunos ejemplos.
• Como base de las políticas de gestión de la identidad corporativa y de respuesta a incidentes en redes sociales, puedes seguir las recomendaciones de la Guía de Ciberseguridad en la identidad digital y la reputación online.
• Establecer un Plan de formación, que incluya aquellos aspectos esenciales para la protección de la información que entendamos deben ser conocidos y aplicados por todos.
• Definir, si fuera necesario, programas de formación específicos, es decir, valorar si se debe establecer formación especializada asociada a perfiles concretos dentro de una organización. Por ejemplo, en el caso de las redes sociales la formación que debe tener el Community Manager o el encargado de la gestión de la identidad digital corporativa en las redes sociales.
• Fijar una periodicidad a la formación, para conseguir que el personal se encuentre lo más actualizado posible en materia de seguridad.
• Promover una cultura de seguridad de la información para que cualquier agente externo (proveedores, colaboradores o clientes), pueda converger con nuestras políticas de seguridad y alinearse con la línea marcada por la organización.
• Evaluar el aprendizaje obtenido, mediante evaluaciones periódicas que determinen en nuestros empleados el grado de concienciación y formación alcanzado.

Desde Protege tu Empresa aprovechamos esta efeméride para incidir en la importancia y la necesidad de concienciar y formar en materia de ciberseguridad a las personas que conforman el personal de cualquier entidad u organización. Los peligros y riesgos asociados existen, y forman parte del uso diario de las nuevas tecnologías. Mediante este tipo de acciones conseguiremos establecer una verdadera cultura en ciberseguridad, necesaria para minimizar y mitigar estos riesgos, generando así confianza y conformando una buena imagen empresarial entre clientes y proveedores.      

Etiquetas:
Políticas, Ocio, Buenas prácticas, Comercio minorista, Concienciación

Nota de DavidHellin: La noticia es original de INCIBE

Aunque llevan muchos años entre nosotros, el navegador web se ha convertido en una herramienta de uso cotidiano en las empresas. Desde él accedemos a servicios de proveedores, a páginas de las Administraciones Públicas y a servicios corporativos internos. Consultas, noticias, compras on-line, trámites con entidades financieras y otros organismos, acceso al correo electrónico, a redes sociales, a servicios en la nube, usamos aplicaciones ofimáticas online, etc. todo esto, y mucho más, lo hacemos a través del navegador. Con toda esta actividad no es de extrañar que los delincuentes los hayan convertido en su objetivo. Y nosotros como navegantes ¿somos conscientes de los peligros a los que nos exponemos?, ¿sabemos cómo navegar seguros?

Aunque llevan muchos años entre nosotros, el navegador web se ha convertido en una herramienta de uso cotidiano en las empresas. Desde él accedemos a servicios de proveedores, a páginas de las Administraciones Públicas y a servicios corporativos internos. Consultas, noticias, compras on-line, trámites con entidades financieras y otros organismos, acceso al correo electrónico, a redes sociales, a servicios en la nube, acceso a aplicaciones ofimáticas online, etc. todo esto, y mucho más, lo hacemos a través del navegador. Con toda esta actividad no es de extrañar que los delincuentes los hayan convertido en su objetivo. Y nosotros como navegantes ¿somos conscientes de los peligros a los que nos exponemos?, ¿sabemos cómo navegar seguros?

El cliente y el servidor

Cuando navegamos por Internet, el navegador (Opera, Microsoft Edge/Explorer, Firefox, Chrome,…) en nuestro equipo es un «cliente» que solicita servicios —que le envíen contenidos de una página web— a un «servidor» donde se aloja la página web que solicitamos. Los navegadores interpretan lo que les envían los servidores (las páginas web codificadas) para mostrar el contenido a los usuarios e intercambian información con los mismos como credenciales de acceso, parámetros, etc.

Si el servidor al que accedemos ha sido atacado, las comunicaciones son interceptadas o el cliente (el navegador o sus extensiones y plugins) no está protegido, podríamos enviar información de forma insegura, como nuestras contraseñas o nuestras cuentas corrientes, o descargarnos código malicioso que tomará control de nuestro navegador o infectará nuestros equipos.

¿Cómo me atacan cuando navego?

Son muchas las técnicas de ataque a través del navegador. Podemos agruparlas en:

• Introducción de código malicioso en el equipo del usuario a través de una vulnerabilidad del navegador. Para ello, primero han de conseguir que visitemos una página infectada que se encargará de «chivarle» al atacante las debilidades de nuestro navegador. Así este podrá lanzarnos, generalmente de forma automática, el código malicioso (exploit) más adecuado para aprovechar nuestras debilidades.
  • ¿Cómo consiguen que visitemos una página infectada? Pues de muchas formas:
    • dirigiendo a la víctima a un sitio web legítimo y de confianza, previamente infectado,
    • incluyendo anuncios, aparentemente inofensivos pero que ejecutan contenido malicioso, en páginas web legítimas que han sido comprometidas,
    • con engaños de ingeniería social para que hagamos clic en enlaces que suplantan a webs legítimas (phishing).
• Inclusión de código malicioso en formularios o parámetros de las URL para que se ejecuten en el propio navegador del usuario. Esto es frecuente en aplicaciones en las que el usuario interactúa introduciendo datos en su navegador: blogs, foros, redes sociales,… Utilizan código malicioso en los formularios o parámetros (en los lenguajes de programación que utiliza la página web: HTML, JavaScript, etc.) para que sea ejecutado en nuestro navegador evadiendo los mecanismos de seguridad.
• Interceptación y manipulación de las comunicaciones entre el navegador (el cliente) del usuario y el servidor web. Con estos ataques consiguen capturar el tráfico y redirigirlo para monitorizarlo o modificarlo.  Por ejemplo, mediante los falsos puntos de acceso wifi que nos hacen creer que estamos conectados a una wifi conocida a la que suplantan. De esta forma consiguen hacerse con nuestras credenciales para acceder a servicios legítimos y suplantar luego nuestra identidad. También nos conducen, dirigiendo la comunicación interceptada, a páginas infectadas.
• Descarga y ejecución de ficheros de fuentes no confiables. Esto ocurre cuando visitamos sitios no oficiales o reconocidos, para descargar software, imágenes u otro tipo de documentos que pueden incluir malware.

Aviso para navegantes

Conociendo lo que puede ocurrir cuando navegamos estos son algunos consejos para navegar seguro:

1. Es importante estar al día: ¡actualiza! Como muchos ataques se producen por tener desactualizados los navegadores, te recomendamos que mantengas siempre actualizados tus equipos y los navegadores. Desinstala los navegadores, plugins y extensiones que no utilices. Programa las opciones de actualización automáticas, tanto para el sistema operativo como para los navegadores.
2. Verifica y actualiza los plugins y extensiones. Descarga siempre los complementos de sitios oficiales. Desinstala o desactiva los que no utilices. No instales ni Java ni Flash a menos que los necesites o habilítalos únicamente cuando los vayas a utilizar. Programa las opciones de actualización automáticas también para los complementos.
3. Gestiona la seguridad y privacidad del navegador. Entra en las opciones de seguridad para bloquear pop-ups, desactivar la sincronización de contraseñas, evitar autocompletado, borrar ficheros temporales, bloquear la geolocalización, etc.
4. Nunca guardes las contraseñas en el navegador cuando te da la opción de recordar la contraseña. Si lo has hecho bórralas y deshabilita esta opción si está activada en los ajustes del navegador. Toma precauciones para borrarlas cuando navegues en ordenadores públicos o que te presten. Puedes utilizar gestores de contraseñas vigilando que utilicen un cifrado robusto y una llave maestra.
5. Elimina las cookies de sesión. Estudia los parámetros de privacidad de tu navegador y parametrízalo para que se ajuste a tus necesidades. Las cookies son unos pequeños ficheros que guardan información sobre la sesión con una web para facilitar las conexiones futuras y recordar datos de navegación como hábitos y preferencias. Puedes borrarlas después de navegar (y borrar también el historial de navegación) o configurar el navegador para que se borren automáticamente.
   • También puedes navegar en modo privado o incógnito, de esta forma se iniciará una sesión sin utilizar los datos ya almacenados en el navegador y al terminar se borrarán las cookies, el historial de navegación y otros datos que se hayan creado.
   • Otra opción es utilizar extensiones o plugins para bloquear la publicidad y las cookies (uBlock, DoNotTrackMe, Ghostery, Disconnect,..) siempre que antes te informes de cómo utilizarlos.
6. Cifra las comunicaciones utilizando protocolos en los que las comunicaciones van cifradas, por ejemplo utiliza siempre que puedas HTTPS. Los navegadores tienen complementos que facilitan y priorizan el uso de protocolos cifrados como HTTPS.

    

7. Verifica que los sitios por los que navegas son fiables. Teclea la URL (con de HTTPS://) y abre la información (certificado) en el candado en la barra de navegación. Comprueba que el certificado está vigente, y que estás en el sitio correcto verificado por una empresa de confianza.

    

8. Protégete contra el malware, el phishing, y los exploits. Utiliza herramientas antimalware que incluyan protección de navegación web y para detectar phishing y para evitar que los empleados accedan a webs poco fiables (filtro de contenidos). Considera utilizar herramientas anti-exploits para evitar que puedan aprovecharse de vulnerabilidades de tu navegador que se estén explotando antes de que el fabricante publique el parche (llamadas de día cero o 0-day). Difunde esta información entre tus empleados, incluye estas buenas prácticas en una política interna de obligado cumplimiento, comprueba que todos saben utilizar bien el navegador y que navegan seguros. ¡Protege tu empresa!

Etiquetas:
Colaboradores, Concienciación, Empresa, Políticas, Proteccion informacion, Web

Nota de DavidHellin: La noticia es original de INCIBE

Como ya os adelantamos desde nuestra sección de avisos de seguridad,el próximo uno de febrero será de aplicación y de manera obligatoria el estándar PCI DSS v3.2, por lo que cualquier empresa que procese, almacene o transmita datos relacionados con tarjetas bancarias debe actualizar sus procedimientos para adecuarse a la norma.

Como ya os adelantamos desde nuestra sección de avisos de seguridad,el próximo uno de febrero será de aplicación y de manera obligatoria el estándar PCI DSS v3.2, por lo que cualquier empresa que procese, almacene o transmita datos relacionados con tarjetas bancarias debe actualizar sus procedimientos para adecuarse a la norma.

El Estándar de Seguridad de Datos para la Industria de Tarjeta de Pago “Payment Card Industry Data Security Standard” o PCI DSS es un modelo formado por las principales compañías emisoras de tarjetas de crédito y débito. Su principal objetivo es ayudar a las organizaciones que procesan, almacenan o transmiten datos de este tipo a asegurarlos y minimizar los riesgos por fraude. Esta normativa aplica a las organizaciones que gestionen datos de tarjetas de comerciantes, procesadores, adquirentes, entidades emisoras y proveedores de servicios.

El principal objetivo de este estándar es aumentar la seguridad de cualquier operación o transacción en la que se gestione información relacionada con tarjetas bancarias, y de esta forma, minimizar al máximo posible el riesgo de fraude. Según recogemos en el artículo 2017, el año en que las empresas se concienciaron en ciberseguridad, el PIB generado por el cibercrimen ha pasado del 0.8% al 1% entre los años 2016 y 2017 respectivamente. PCI DSS v3.2 es una medida más con la que hacer frente a este aumento adaptando para ello, la normativa a los nuevos tiempos que corren y por ende aumentar los controles de seguridad en algo tan sensible como son las tarjetas de pago.

Esta nueva versión trae consigo varios cambios que antes eran considerados como “buenas prácticas” pero que a partir del próximo 1 de febrero, serán de obligado cumplimiento. A continuación se describen los principales:

• Redes y sistemas seguros
  • La organización debe instalar y mantener un cortafuegos “firewall” para proteger los datos del titular.
  • Evitar utilizar claves de acceso por defecto.
  • Mantener un registro y supervisión de todos los accesos a los recursos de la red y a los datos del titular.
  • Comprobar periódicamente la seguridad de los sistemas.
• Protección de los datos del titular
  • Los datos del titular de la tarjeta deben estar protegidos frente a posibles intrusos.
  • El envío de cualquier información referente a la tarjeta por una red pública como Internet, debe estar cifrada.
• Software de protección.
  • Llevar a cabo todas las acciones necesarias para minimizar el riesgo de infección por malware como tener instalado y actualizado el antivirus o mantener todos los sistemas y herramientas actualizados.
• Medidas de control de acceso.
  • Mantener los datos del titular de la tarjeta con el máximo nivel de restricción.
  • Implementar medidas de identificación y autenticación a los recursos de la organización.
  • Restringir el acceso físico a los datos del titular de la tarjeta.
• Política de seguridad de la información.
  • Mantener una política que aborde la seguridad de la información para todo el personal de la organización.

En la documentación proporcionada por el Security Standards Council se describen más en profundidad los cambios que deben implementarse para adecuarse a la nueva normativa.

Hay que considerar que el estándar PCI DSS distingue dos tipos diferentes de datos y el trato que debe realizarse sobre ellos:

• Datos del titular de la tarjeta: este tipo de datos hacen referencia a información personal y bancaria del titular de la tarjeta. Este tipo de información según el estándar está permitido almacenarla aunque siempre implementando medidas de seguridad como el cifrado para salvaguardar su confidencialidad. Dentro de esta información se encuentra:
  • Número de cuenta principal.
  • Nombre y apellidos del titular de la tarjeta.
  • Código de servicio.
  • Fecha de vencimiento.
• Datos confidenciales de autenticación: ningún tipo de información que permita autenticarnos con una tarjeta puede ser almacenada, ni aunque se encuentre cifrada. Dentro de esta información se encuentra:
  • Contenido completo de la banda magnética o del chip de la tarjeta. Tampoco está permitido almacenar este tipo de información si se encuentra en otro dispositivo como por ejemplo, un Smartphone.
  • CVV o CVC. Código compuesto por tres dígitos que suele encontrarse en el reverso de la tarjeta.
  • Código PIN utilizado para desbloquear la tarjeta.

Este estándar no incluye ningún tipo de sanción por incumplimiento, aunque las entidades emisoras de las tarjetas y las entidades bancarias sí que podrían aplicarlas. Otro punto a destacar es que en caso de que se produzca una fuga de información los más perjudicados serán el comercio y el banco al que se encuentra vinculada esa tarjeta ya que verá afectada negativamente su reputación. Además, puede que incluso se enfrente a sanciones por incumplimiento de la LOPD como responsable.

Sigue las siguientes recomendaciones para implantar el PCI DSS 3.2:

• Nunca almacenes datos de autenticación de las tarjetas, asegúrate de que esto se cumpla aunque tengas el servicio externalizado.
• En caso de necesitar un TPV externaliza el servicio a una entidad de confianza que cumpla con este estándar.
• Antes de almacenar los datos de las tarjetas bancarias de tus clientes asegúrate de que es estrictamente necesario.
• En caso de almacenar cualquier dato del titular de la tarjeta asegúrate que se haga de forma cifrada y por medio de protocolos considerados robustos.
• Implanta autenticación de doble factor para los accesos de administrador, sobre todo si el acceso es desde el exterior de tus instalaciones.
• Si tienes limitaciones técnicas o administrativas para cumplir algún requisito, justifícalas y considera el uso de mecanismos compensatorios o alternativas que ofrezcan una protección similar.
• Si tienes dudas, consulta con un asesor cualificado sobre el tema o encuentra el que más se adecúe a tus necesidades desde nuestra sección Catálogo de Ciberseguridad.

Dentro de la página web oficial del Security Standards Council, organización que gestiona el estándar PCI DSS, podrás encontrar diferentes recursos que te serán de utilidad, como por ejemplo el glosario de términos, un resumen con los principales cambios de esta nueva versión o la propia normativa entre otros.

Además, como información complementaria disponemos de varios recursos como el Kit de concienciación o una herramienta con la que evaluar los riesgos a los que está expuesta tu organización que ayudarán a proteger tu empresa.

Etiquetas:
Empresa, Proteccion clientes, Proteccion informacion

Nota de DavidHellin: La noticia es original de INCIBE

Nota de DavidHellin: La noticia es original de OSI