En esta tercera semana de octubre, en la que seguimos celebrando el Mes Europeo de la Ciberseguridad, y en cuyas semanas anteriores ya hablamos sobre el Internet of Things (IoT) y sus riesgos así como de fraudes online más comunes, queremos resaltar la importancia de proteger las redes wifi.
En la mayoría de los casos, una vez se ha procedido con la instalación del router wifi en nuestra casa, entendemos que por sí sola, cuenta con los suficientes mecanismos de protección que la convertirán en un muro infranqueable ante posibles intrusiones externas. ¿Pero realmente es así? Pues hemos de decir que no, ya que los routers traen algunas opciones de seguridad que por defecto no vienen activadas o configuradas de la manera más correcta. Si a esto le sumamos que los usuarios somos desconocedores de ello… el resultado es que nuestra conexión puede ser vulnerable. ¡Cambiemos esta situación! ¿Cómo? Refrescando dichas medidas de seguridad para que todos las conozcamos y sepamos cómo aplicarlas.
El acceso a tu router wifi
Para llevar a la práctica esta acción será necesario en primer lugar conocer la dirección IP que nos da acceso al router. Se puede saber de varias formas, nosotros recomendamos seguir los siguientes pasos para el caso de ordenadores Windows:
Botón de Inicio >> (en el cuadro donde dice “Buscar programas y archivos”) cmd >> Pinchar en el resultado >> Escribir ipconfig/all >> buscar la “Puerta de enlace”
Como ya hemos comentado, hay varias formas de acceso. Si tienes una versión anterior de Windows o prefieres utilizar formas alternativas, te dejamos el siguiente enlace donde también se explica cómo acceder a estos datos.
En el caso de ordenadores con sistema operativo MAC OX, los pasos que hay que seguir para saber la puerta de enlace, son los siguientes:
1.- Acceder al menú de la manzana (parte superior izquierda de la pantalla), y ver las preferencias del sistema, acceder a Red, seleccionar en este caso wifi e ir a la configuración avanzada.
2.- Por último habría que seleccionar la pestaña TCP/IP
Una vez que tenemos la IP del router, tendremos que acceder al mismo a través de nuestro navegador. Los datos de usuario y contraseña se pueden encontrar en el manual del router o en la pegatina que viene en la base o parte trasera del mismo. También se puede consultar directamente al fabricante cual es dicha contraseña:
A continuación, tendremos que buscar la opción de configuración en los menús del router que nos permita cambiar la contraseña que trae por defecto. Hay que tener en cuenta que cada router puede contener esta opción en un lugar distinto por lo que habrá que realizar una búsqueda activa a través de los diferentes menús:
Recuerda que la contraseña deberá ser lo más robusta posible, combinando mayúsculas, minúsculas, números y caracteres especiales. Esta medida lo que pretende es evitar que nadie utilizando la contraseña que trae por defecto el router, acceda a él para tomar su control y realizar las configuraciones que considere necesarias sin nuestro conocimiento.
Actualizar el nombre de la red wifi
Al igual que en el anterior apartado, entre las diferentes opciones que nos mostrarán los distintos menús de tu router, una de ellas nos permitirá cambiar el nombre de la red. En la gran mayoría de los casos, el nombre de la red está relacionado con el proveedor de servicios que tengamos contratado. Para no dar pistas sobre nosotros (quién es nuestra operadora de telefonía y qué modelo de router tenemos), lo mejor es quitar este tipo de información y cambiarla por algo con lo que no nos asocien a nuestro SSID (nombre de la red).
Cambiar la contraseña de acceso a la red wifi
Otro aspecto importante a tener en cuenta para evitar intrusos en nuestra conexión, es utilizar una contraseña de acceso a ella lo más robusta posible. Nuevamente no se recomienda utilizar la contraseña por defecto que nos proporciona el Proveedor de Servicios de Internet (ISP), aunque a simple vista nos parezca muy segura. Recuerda utilizar combinaciones de mayúsculas, minúsculas, números y caracteres especiales.
Configurar red wifi con cifrado WPA2
En la configuración de los router, normalmente vienen 3 modalidades de cifrado: WEP, WPA y WPA2. Pero actualmente existe una que es más robusta y que es la que se recomienda habilitar: WPA2-PSK. Al ser la más actual, podría darse el caso que algún dispositivo no fuera compatible con esta modalidad, de ser tu caso, se puede habilitar el cifrado mixto WPA/WPA2-PSK.
Lo que no se debe tener configurado bajo ningún concepto es el cifrado WEP, ya que no es seguro y alguien con los conocimientos necesarios podría robar la contraseña de la wifi en poco tiempo. Afortunadamente, los routers más modernos, no suelen traer configurada esta opción por defecto, no obstante, es importante revisarlo.
Filtrar direcciones MAC
Con este mecanismo, únicamente las direcciones MAC que incluyamos en el router tendrán acceso a Internet, ya que la MAC se trata de un identificador único de un dispositivo. Buscando un símil, sería como el DNI de los ciudadanos españoles, que cada número identifica a una persona, no hay dos con el mismo DNI. Por lo tanto, la combinación de dirección MAC registrada en el router, junto con una contraseña de acceso a la red lo más robusta posible harán de nuestra red wifi un lugar de muy difícil acceso a dispositivos que no estén registrados correctamente.
Al igual que para saber cuál era la puerta de enlace, la dirección MAC de un ordenador Windows se puede obtener introduciendo en la consola de MS-DOS el comando ipconfig/all, llamado dirección física:
Una vez sepamos cual es la dirección MAC del equipo, se lo indicaremos al router:
Para saber la dirección MAC de ordenadores con sistema operativo MAC OX, podemos hacerlo accediendo a las Utilidades de Red.
También podemos buscarlo a través de un terminal. Para ello, deberemos utilizar el comando ifconfig. El interfaz en0 suele ser el que se utiliza para conectarse a la wifi (como se puede comprobar en el pantallazo de las Utilidades de Red):
En el caso de que queramos conectar dispositivos móviles a la red wifi, independientemente que sean Android o iPhone, también será necesario facilitar su dirección MAC.
Los pasos necesarios para saber la dirección MAC en un móvil Android son los siguientes:
Menu >> Ajustes Sistema >> Información del Teléfono >> Estado > Dirección Mac de la red Wi-Fi:
En el caso de iPhone:
Ajustes >> General >> Información >> ver el apartado “Dirección wifi”:
Desactivar WPS
Como último consejo, recomendamos deshabilitar la opción WPS. Se trata de un mecanismo de conexión de dispositivos con nuestro router a través de un código PIN de 8 dígitos. Tener activada esta opción implica una nueva forma de conexión que podría ser utilizada por un atacante para acceder a nuestra red wifi.
En resumen, estas son las principales medidas de seguridad que se podrían aplicar a un router wifi doméstico. ¿Las conocías? ¿Las teníais puestas en práctica? Para los que su respuesta sea un no, esperamos haber conseguido con este post revertir la situación y llevaros a la acción. No os llevará mucho tiempo y sin duda los beneficios que os aportarán a nivel de seguridad son muy grandes.
Nota de DavidHellin: La noticia es original de OSI
Arranca la segunda semana de octubre y seguimos celebrando el Mes de la Ciberseguridad. Si bien la semana pasada ya os hablamos del IoT cuyo objetivo era concienciar a los usuarios que todos los elementos están interconectados, incluidos los de uso cotidiano, y que por tanto es necesario hacer un uso responsable de ellos para evitar riesgos de seguridad y privacidad, en el post de hoy hablaremos sobre los fraudes online, alineándonos de nuevo con los temas sobre ciberseguridad que propone la ENISA para este año.
Es indudable que Internet proporciona muchísimas ventajas y oportunidades, sin embargo, no es oro todo lo que reluce, y es que en ocasiones nos podemos encontrar con situaciones no esperadas, en las que por ejemplo, podemos acabar siendo víctimas de algún fraude online. El “supuesto” anonimato que proporciona Internet y la capacidad de realizar una acción desde cualquier lugar del mundo, facilita que en ciertas situaciones, se convierta en lugar perfecto para poner en circulación fraudes. La mejor línea de defensa ante este tipo de situaciones, es conocer la forma de actuar de los ciberdelincuentes para ponerles freno y evitar así caer en sus redes. Por este motivo, a continuación listaremos los fraudes más comunes. ¡Esperamos qué os sea de utilidad!
Las compras online
De entre todas las consultas diarias que recibimos en la OSI, los fraudes cometidos a través de tiendas online que resultan no ser lo que parecían, se muestran como principal problema en cuanto engaños a través de la red. Las principales características de este tipo de páginas son las siguientes:
- Ofertan productos que son copias de originales.
- Envían productos que nada tienen que ver con el que se ofertaba o con el que se solicitó.
- Realizan cobros de cantidades mayores o superiores al importe indicado durante el proceso de compra.
- No cumplen con los plazos de envío que ofertan en sus webs.
- No cuentan con teléfono, dirección, etc., ofreciendo únicamente un formulario de contacto al cual nunca responden.
Por lo tanto, en nuestro afán de concienciar a los usuarios de los peligros que rodean a este tipo de compras online, exponemos una serie de consideraciones a tener en cuenta:
- Cuando te des de alta en una página de compra online o vayas a realizar un pago, ésta deberá contar con certificado de seguridad, de tal manera que comience por “https” y que aparezca un candado en verde que indique que los datos viajan cifrados.
- Si ves que tiene precios anormalmente bajos o todos los productos al mismo precio, debes sospechar.
- Busca la información legal de la empresa. No te fíes si viene como único elemento de contacto un formulario o un correo webmail gratuito.
- Analiza los tipos de pago que se permiten. Si en la página principal publicitan que se admite algún método como es PayPal, asegúrate de que te dan esa opción al pagar el pedido.
- No realices nunca pagos a través de empresas como Western Union, MoneyGram, Ukash, etc., ya que no ofrecen garantías de recuperar el dinero en caso de fraude.
- Antes de comprar, busca opiniones de otros usuarios. Puede darse el caso que un fraude de una página ya haya sido comentado por más gente en algún foro o red social.
El phishing
Se trata de la técnica más usada para el robo de información personal, credenciales de acceso a servicios online o información bancaria. Su funcionamiento se basa en envío de emails u otro tipo de mensajes suplantando la identidad de algún servicio o empresa conocido para que la víctima acceda a una página fraudulenta que simula ser la legítima. La finalidad es que el usuario introduzca todo tipo de información para que el ciberdelincuente pueda contar con ella.
- Si recibes un archivo adjunto por email de alguien desconocido, o aun siendo conocido te resulta sospecho, elimínalo directamente y / o contrasta la información con el contacto antes de proceder a abrirlo. En cualquier caso, analízalo siempre con un antivirus antes de abrirlo para evitar una posible infección.
- De igual modo, evita hacer clic en enlaces que te llegan al correo electrónico o por mensajería instantánea. Si necesitas acceder a un servicio conocido, hazlo escribiendo la dirección directamente en el navegador.
- Sospecha de aquellos correos que presenten una escritura incorrecta o faltas gramaticales y de ortografía, también si tienen un tono impersonal comenzando los mensajes con un “Hola amigo” o “Estimado cliente”.
- La urgencia es parte fundamental de los mensajes de tipo phishing, generalmente siempre se piden hacer algo de manera inmediata. Es un indicio a tener en cuenta.
- Si detectas un email de tipo phishing, avisa a tus contactos para que no caigan en el engaño.
Los falsos préstamos
La existencia y uso de las redes sociales permite a estos ciberdelincuentes, los que ofrecen supuestamente préstamos de dinero a bajo interés, anunciarse en cualquier perfil y llegar a una gran cantidad de personas a través de la viralización de sus anuncios. También puedes encontrarlos en foros, comentarios de artículos o en mensajes de correo electrónico.
Harán uso de la desesperación de la gente por obtener un crédito para intentar estafar y obtener un rédito económico o para hacerse con información personal de sus víctimas.
Las principales características que ofrecen este tipo de préstamos son las siguientes:
- Ofrecen grandes cantidades de dinero a un interés inusualmente bajo.
- Hacen uso de cuentas de correo gratuitas para los trámites y no trabajan nunca bajo una empresa reconocida o de prestigio.
- Siempre piden dinero por adelantado, normalmente alegando gastos de gestión.
- Piden hacer los envíos de los pagos a través de Western Union o MoneyGram o transferencias a bancos extranjeros.
Para no caer en este tipo de engaños, recomendamos acudir a entidades de confianza u oficiales de crédito. También hacer búsquedas activas por Internet, los resultados te puedan dar pistas sobre si se está ante un fraude o no.
Encontrar pareja por Internet
En la gran mayoría de ocasiones, los ciberdelincuentes utilizarán este tipo de engaño para obtener, al igual que en los anteriores fraudes descritos, un beneficio económico.
Las principales técnicas de engaño que utilizan son la suplantación de identidad, la creación de perfiles falsos en redes sociales, o el uso de la conocida ingeniería social. Una vez ganada la confianza de la víctima, solicitarán envíos de dinero bajo cualquier excusa. También fotos y vídeos de contenido sexual o comprometedor que posteriormente utilizarán para exprimir económicamente a la víctima (sextorsión), o para desacreditarla en Internet.
Por lo tanto, sigue estos consejos para evitar convertirte en una víctima:
- Configura tus redes sociales lo más restrictivas posible. No aceptes solicitudes de amistad de gente que no conozcas.
- No facilites nunca información personal o bancaria a personas desconocidas.
- Si recibes algún correo de alguien que no conoces, no lo abras, especialmente si contiene algún archivo adjunto o enlaces a páginas web.
- Si al final decides quedar con una persona que únicamente conoces a través de redes sociales, hazlo en un lugar público y acude en compañía de alguien de tu confianza. Es importante dejar constancia a alguien más de dónde vas a ir y con quién.
- No practiques sexting (fotos o vídeos sugerentes o con cierta connotación sexual), recuerda que una vez que envíes una foto o vídeo, perderás el control sobre ellos y podrían ser utilizados en tu contra.
Falsos alquileres o ventas de vehículos
Son estafas basadas en ofrecer alquiler de inmuebles con unas prestaciones muy buenas a precios que están fuera del mercado, anormalmente bajos en relación a la calidad del inmueble, su ubicación, su presencia interna, etc. Este síntoma debe ser suficiente para ponernos en alerta y sospechar que pueda tratarse de una estafa.
Esta misma casuística se está dando también con los automóviles. Se ofertan por diferentes páginas de ventas de segunda mano vehículos bien equipados a unos precios inusualmente bajos.
En ambos casos, el engaño suele ser similar: propietarios que se encuentran en el extranjero, y que no pueden salir del país en el que residen por el alto coste que supondría venir a realizar la operación de venta o alquiler. Además alegan que ya no volverán y por lo tanto no tienen interés en seguir residiendo o haciendo uso del bien en cuestión, y que por ese motivo lo alquilan o venden.
- En el caso de los alquileres, utilizarán páginas de prestigio como AirBNB o TripAdvisor únicamente para conformar el engaño, ya que no serán utilizadas para nada más. De esta forma dotarán de mayor credibilidad a la operación.
- Una característica común es que la venta o alquiler querrán cerrarlo en un periodo de tiempo muy corto y además, no pondrán reparos ante cualquier petición que se les haga, por muy extravagante que pueda ser.
- En este tipo de fraudes, es muy importante buscar por la red para conocer opiniones de otros usuarios. En la gran mayoría de casos, esta búsqueda nos devolverá intentos anteriores de estafa y denuncia de usuarios alertando del fraude. Nos evitarán caer en su trampa.
- También es una buena práctica, realizar una búsqueda en Google Street View o Google images para comprobar si las fotos que figuran en el anuncio se corresponden con la realidad o se tratan de imágenes capturas de cualquier otra página web que nada tienen que ver con el anuncio en cuestión
Con este artículo hemos querido aportar nuestro granito de arena ayudando a los usuarios a identificar algunos de los fraudes más comunes que circulan por Internet. ¿Lo habremos conseguido? ¡Esperamos que sí! Te animamos a comentar con el resto de usuario otros fraudes que hayas identificado o en los que te hayas visto inmerso. Si lo prefieres, puedes darnos más detalles a través del buzón “Cuéntanos tu historia” para que podamos publicarlo en nuestra sección de Historias reales.
Nota de DavidHellin: La noticia es original de OSI
Sin duda alguna, si queremos «empezar por el principio» en materia de ciberseguridad en nuestra empresa, el análisis de riesgos es uno de los trabajos más importantes a la hora de definir proyectos e iniciativas para la mejora de la seguridad de la información. Si consideramos que las herramientas tecnológicas y la información que manejamos son de gran valor para nuestra organización debemos…
Sin duda alguna, si queremos «empezar por el principio» en materia de ciberseguridad en nuestra empresa, el análisis de riesgos es uno de los trabajos más importantes a la hora de definir proyectos e iniciativas para la mejora de la seguridad de la información. Si consideramos que las herramientas tecnológicas y la información que manejamos son de gran valor para nuestra organización debemos empezar a pensar en poner en práctica un Plan Director de Seguridad.
El Plan Director de Seguridad (PDS) se puede simplificar como la definición y priorización de un conjunto de proyectos en materia de seguridad de la información, dirigido a reducir los riesgos a los que está expuesta la organización hasta unos niveles aceptables a partir de un análisis de la situación inicial. Llevar a cabo un buen análisis nos permitirá centrar nuestro foco de atención en los riesgos asociados a los sistemas, procesos y elementos dentro del alcance del PDS. De esta forma mitigaremos la posibilidad de tener algún tipo de incidente de ciberseguridad. Por otra parte, también podemos obtener beneficios si realizamos un análisis de riesgos de forma aislada en lugar de llevarlo a cabo dentro de un contexto mayor como es el del desarrollo de un PDS.
A continuación veremos de forma sencilla las principales tareas del análisis de riesgos, aportando recomendaciones prácticas sobre cómo llevarlo a cabo, y considerando algunas particularidades a tener en cuenta para que aporte el máximo valor al PDS. Cabe señalar que las fases o etapas que componen un análisis de riesgos dependen de la metodología escogida. En el caso que nos ocupa, hemos seleccionado un conjunto de fases que son comunes en la mayor parte de las metodologías para el análisis de riesgos.
Fase 1. Definir el alcance
El primer paso a la hora de llevar a cabo el análisis de riesgos, es establecer el alcance del estudio. Vamos a considerar que este análisis de riesgos forma parte del Plan Director de Seguridad. Por lo tanto, recomendamos que el análisis de riesgos cubra la totalidad del alcance del PDS, dónde se han seleccionado las áreas estratégicas sobre las que mejorar la seguridad. Por otra parte, también es posible definir un alcance más limitado atendiendo a departamentos, procesos o sistemas. Por ejemplo, análisis de riesgos sobre los procesos del departamento Administración, análisis de riesgos sobre los procesos de producción y gestión de almacén o análisis de riesgos sobre los sistemas TIC relacionados con la página web de la empresa, etc. En este caso práctico consideramos que el alcance escogido para el análisis de riesgos es “Los servicios y sistemas del Departamento Informática”.
Fase 2. Identificar los activos
Una vez definido el alcance, debemos identificar los activos más importantes que guardan relación con el departamento, proceso, o sistema objeto del estudio. Para mantener un inventario de activos sencillo puede ser suficiente con hacer uso de una hoja de cálculo o tabla como la que se muestra a continuación a modo de ejemplo:
Fase 3. Identificar / seleccionar las amenazas
Habiendo identificado los principales activos, el siguiente paso consiste en identificar las amenazas a las que estos están expuestos. Tal y como imaginamos, el conjunto de amenazas es amplio y diverso por lo que debemos hacer un esfuerzo en mantener un enfoque práctico y aplicado. Por ejemplo, si nuestra intención es evaluar el riesgo que corremos frente a la destrucción de nuestro servidor de ficheros, es conveniente, considerar las averías del servidor, la posibilidad de daños por agua (rotura de una cañería) o los daños por fuego, en lugar de plantearnos el riesgo de que el CPD sea destruido por un meteorito.
A la hora de identificar las amenazas, puede ser útil tomar como punto de partida el catálogo de amenazas que incluye la metodología MAGERIT v3.
Fase 4. Identificar vulnerabilidades y salvaguardas
La siguiente fase consiste en estudiar las características de nuestros activos para identificar puntos débiles o vulnerabilidades. Por ejemplo, una posible vulnerabilidad puede ser identificar un conjunto de ordenadores o servidores cuyo sistemas antivirus no están actualizados o una serie de activos para los que no existe soporte ni mantenimiento por parte del fabricante. Posteriormente, a la hora de evaluar el riesgo aplicaremos penalizaciones para reflejar las vulnerabilidades identificadas.
Por otra parte, también analizaremos y documentaremos las medidas de seguridad implantadas en nuestra organización. Por ejemplo, es posible que hayamos instalado un sistema SAI (Sistema de Alimentación Ininterrumpida) o un grupo electrógeno para abastecer de electricidad a los equipos del CPD. Ambas medidas de seguridad (también conocidas como salvaguardas) contribuyen a reducir el riesgo de las amenazas relacionadas con el corte de suministro eléctrico.
Estas consideraciones (vulnerabilidades y salvaguardas) debemos tenerlas en cuenta cuando vayamos a estimar la probabilidad y el impacto como veremos en la siguiente fase.
Fase 5. Evaluar el riesgo
Llegado a este punto disponemos de los siguientes elementos:
- Inventario de activos.
- Conjunto de amenazas a las que está expuesta cada activo.
- Conjunto de vulnerabilidades asociadas a cada activo (si corresponde).
- Conjunto de medidas de seguridad implantadas
Con esta información, nos encontramos en condiciones de calcular el riesgo. Para cada par activo-amenaza, estimaremos la probabilidad de que la amenaza se materialice y el impacto sobre el negocio que esto produciría. El cálculo de riesgo se puede realizar usando tanto criterios cuantitativos como cualitativos. Pero para entenderlo mejor, veremos a modo de ejemplo las tablas para estimar los factores probabilidad e impacto.
Tabla para el cálculo de la probabilidad
Tabla para el cálculo del impacto
Cálculo del riesgo
A la hora de calcular el riesgo, si hemos optado por hacer el análisis cuantitativo, calcularemos multiplicando los factores probabilidad e impacto:
RIESGO = PROBABILIDAD x IMPACTO.
Si por el contrario hemos optado por el análisis cualitativo, haremos uso de una matriz de riesgo como la que se muestra a continuación:
Tal y como indicábamos en el apartado anterior, cuando vayamos a estimar la probabilidad y el impacto debemos tener en cuenta las vulnerabilidades y salvaguardas existentes. Por ejemplo, la caída del servidor principal podría tener un impacto alto para el negocio. Sin embargo, si existe una solución de alta disponibilidad (Ej. Servidores redundados), podemos considerar que el impacto será medio ya que estas medidas de seguridad harán que los procesos de negocio no se vean gravemente afectados por la caída del servidor. Si por el contrario hemos identificado vulnerabilidades asociadas al activo, aplicaremos una penalización a la hora de estimar el impacto. Por ejemplo, si los equipos de climatización del CPD no han recibido el mantenimiento recomendado por el fabricante, incrementaremos el impacto de amenazas como “condiciones ambientales inadecuadas” o “malfuncionamiento de los equipos debido a altas temperaturas”.
Fase 6. Tratar el riesgo
Una vez calculado el riesgo, debemos tratar aquellos riesgos que superen un límite que nosotros mismos hayamos establecido. Por ejemplo, trataremos aquellos riesgos cuyo valor sea superior a “4” o superior a “Medio” en caso de que hayamos hecho el cálculo en términos cualitativos. A la hora de tratar el riesgo, existen cuatro estrategias principales:
- Transferir el riesgo a un tercero. Por ejemplo, contratando un seguro que cubra los daños a terceros ocasionados por fugas de información.
- Eliminar el riesgo. Por ejemplo, eliminando un proceso o sistema que está sujeto a un riesgo elevado. En el caso práctico que hemos expuesto, podríamos eliminar la wifi de cortesía para dar servicio a los clientes si no es estrictamente necesario.
- Asumir el riesgo, siempre justificadamente. Por ejemplo, el coste de instalar un grupo electrógeno puede ser demasiado alto y por tanto, la organización puede optar por asumir.
- Implantar medidas para mitigarlo. Por ejemplo, contratando un acceso a internet de respaldo para poder acceder a los servicios en la nube en caso de que la línea principal haya caído.
Por último, cabe señalar que como realizamos este análisis de riesgos en el contexto de un PDS, las acciones e iniciativas para tratar los riesgos pasarán a formar parte del mismo. Por lo tanto, deberemos clasificarlas y priorizarlas considerando el resto de proyectos que forman parte del PDS. Asimismo, tal y como indicábamos en la introducción, llevar a cabo un análisis de riesgos nos proporciona información de gran valor y contribuye en gran medida a mejorar la seguridad de nuestra organización. Dada esta situación, animamos a nuestros lectores a llevar a cabo este tipo de proyectos ya bien sea de forma aislada o dentro del contexto de un proyecto mayor como es el caso del Plan Director de Seguridad.
Etiquetas:
Amenazas, Empresa, Plan director
Nota de DavidHellin: La noticia es original de INCIBE
Octubre es el Mes Europeo de la Ciberseguridad y, por qué no, también puede ser el pretexto perfecto para comenzar el curso escolar con buenos propósitos y hábitos seguros en nuestro centro educativo.
A estas alturas, ya nadie pone en duda que colegios e institutos son espacios que debemos proteger de las amenazas que surgen del uso de Internet. Como profesionales en estos lugares de trabajo, maestros, educadores y administradores llevamos a cabo muchas tareas cotidianas que requieren la utilización de dispositivos conectados a la Red: gestión de datos académicos, información de alumnos, herramientas para el aula, etc.
En este contexto debemos asumir que somos en parte responsables a la hora de mantener una actitud segura en el uso de Internet, por nuestra propia seguridad, por la de nuestros compañeros de centro y por la del propio alumnado. Además, no podemos olvidar que somos una referencia, un ejemplo para nuestros alumnos, y entre nuestros propósitos está el fomentar en ellos buenos hábitos al utilizar Internet.
¿Por dónde empezamos?
Puede que el término “ciberseguridad” nos suene complejo, pero en realidad, hay muchos pequeños gestos que son sencillos y los podemos aplicar en nuestro día a día. Este concepto integra diferentes técnicas y actitudes que favorecen la prevención y reacción ante los riesgos de Internet. Y si nosotros utilizamos Internet diariamente en nuestro centro educativo, tenemos que normalizar ciertas pautas en ciberseguridad. ¡Vamos allá!
- Uso del correo electrónico en el ámbito escolar. Es una herramienta que utilizamos a diario y puede ser una vía de entrada a muchos problemas en la Red. Lo mejor es no utilizar nuestra cuenta personal, creando una que utilicemos solo para el trabajo. Debemos configurar una contraseña segura y, si es posible, verificación en dos pasos. También es importante aprender a identificar correos fraudulentos o maliciosos, para evitar caer en sus redes y no contribuir a las cadenas de correo que pueden infectar otras cuentas o sistemas.
- Bloqueo de dispositivos. Los documentos que manejamos en el centro educativo contienen en su mayoría información sensible que debemos proteger, principalmente por tratarse de datos que atañen a menores de edad. Además, tenemos otros archivos privados, como exámenes, notas, etc. Por todo ello, conviene bloquear los diferentes dispositivos en el centro (ordenadores, tablets y móviles) siempre que dejemos de usarlos, aunque sea un momento, y configurar que estos nos pidan una contraseña para seguir trabajando.
- Archivos y documentos protegidos y bajo control. En un centro educativo es frecuente que traslademos los archivos de un dispositivo a otro: cuando los llevamos a imprimir, cuando queremos proyectarlos en el aula o pasárselos a un compañero. En estos casos, al utilizar memorias USB o de otras formas, debemos extremar las precauciones, proteger los archivos con contraseñas, y acordarnos de eliminar el documento de los dispositivos de uso compartido una vez hayamos terminado la tarea.
- La navegación privada es la mejor opción. A la hora de entrar en Internet desde el centro educativo, siempre es preferible utilizar la opción de navegación privada o modo incógnito en el navegador, evitando iniciar sesión en el mismo, para dejar el menor rastro posible de nuestra actividad en la Red. Y en cualquier caso, debe convertirse en un hábito que, antes de dejar el ordenador, borremos los archivos temporales, las cookies y cerremos sesión. Además, navegando por Internet, hemos de fijarnos en que las opciones “mantener sesión iniciada”, “no cerrar sesión” o “recordar contraseña” estén desactivadas.
- Precaución al trabajar desde casa. Sabemos que a menudo no hay más remedio que continuar el trabajo utilizando nuestro propio ordenador, el móvil o la tablet, conectándonos a nuestra red de Internet doméstica. En estos casos, no solo hay que mantener las mismas recomendaciones de seguridad, sino incluso estar más alerta. Nuestros dispositivos personales pueden contener virus y programas maliciosos derivados de descargas o páginas web visitadas con anterioridad, así que no olvides mantener tu sistema operativo y el antivirus actualizado. También es posible que otras personas puedan acceder accidental o intencionadamente a tus archivos o programas del trabajo, por lo que lo ideal es utilizar una cuenta de usuario limitada con una contraseña segura exclusivamente para estos temas.
Recursos para profundizar
Si las recomendaciones anteriores ya son parte de tu rutina, te proponemos algunas ideas más para mejorar la seguridad en tu trabajo en el centro educativo.
Si los grupos de WhatsApp entre padres, madres y profesorado te traen de cabeza; no sabes cómo gestionar adecuadamente las redes sociales del centro; o dudas a la hora de permitir que tomen fotografías dentro del recinto escolar, en nuestro blog te ponemos al día. Allí también encontrarás información sobre las aplicaciones de gestión educativa, o nuestra serie de artículos de Coordinador TIC, donde te indicamos paso a paso cómo llevar a cabo esta función.
Además, para cualquier profesional del sector educativo interesado en mejorar la ciberseguridad de su centro, recomendamos el Itinerario Formativo de INCIBE, donde se recogen una serie de vídeos que explican de forma sencilla todo lo que debes saber en cuanto a prevención en el uso de Internet.
Por último, en nuestro portal tienes una sección creada especialmente para ti: nuestro Kit para educadores, con los recursos para trabajar el uso seguro y responsable de Internet con tus alumnos. Y recuerda que siempre puedes acudir a nuestra Línea de ayuda gratuita y confidencial (900 116 117), en la que un equipo multidisciplinar te asesorará en aspectos de prevención y resolución respecto a las dudas o conflictos que surjan en el centro.
Ya no hay excusas, este curso, ¡aprende más sobre la ciberseguridad con nosotros! Ahora es tu turno, deja tu opinión en los comentarios: ¿habitualmente sigues estas prácticas?, ¿consideras que es importante para los equipos educativos formarse en ciberseguridad?
Nota de DavidHellin: La noticia es original de OSI
Puede que no seamos conscientes de toda la información que “cuentan” nuestros selfis y mensajes en Internet. Merece la pena pararse a escucharlos antes de compartirlos, para mejorar nuestra imagen en Internet y prevenir problemas en el futuro.
Echemos un ojo al perfil de nuestros adolescentes en Instagram, ¿qué encontramos? Todo su día a día, cosas que hacen, cosas que les gustan, comentarios y selfis, muchos selfis de ellos mismos, con sus amigos, parejas, en casa, por la calle… Algunas fotos están muy cuidadas y estudiadas, otras retocadas o con efectos, muchas espontáneas y divertidas.
Un selfi o “selfie” se refiere a una autofoto, una foto que nos hacemos nosotros mismos. Podemos aparecer sólo nosotros o estar con más personas. Normalmente se toma con un móvil y se comparte a través de las redes sociales.
Parece lógico, pues en estas edades son inseparables del móvil, pasan el día conectados a las redes sociales, el WhatsApp, Snapchat y más. El caso es que no tiene pinta de ser una cuestión de modas, sino más bien un cambio social y cultural. La búsqueda de sí mismos, la aceptación en el grupo de iguales o el posicionamiento y reconocimiento social siempre ha existido en esta etapa, solo que ahora se apoyan en gran medida en las redes sociales.
¿Pero qué problema hay en compartir un selfi?
A priori diríamos que ninguno, ¿verdad? Sin embargo, con cada mensaje o cada foto que compartimos perdemos un poquito de privacidad, dejamos un poquito de nosotros en manos de los demás. Lo normal es que esto nos permita mejorar nuestras relaciones sociales y nuestra imagen en Internet, pero también implica un riesgo ya que se pueden utilizar en nuestra contra como veremos a continuación.
En el caso de los adolescentes es habitual que muchos de sus conflictos tengan un origen aparentemente inocente. Algunos de sus comentarios o de sus imágenes publicadas o difundidas pueden llevar a malentendidos, burlas y humillaciones que podrían degenerar a corto plazo en situaciones de ciberacoso, chantaje, o incluso atraer contactos dañinos (por ejemplo de comunidades virtuales que fomentan trastornos alimentarios, extremismos, drogas, pederastas).
Muchos conflictos adolescentes tienen un origen aparentemente inocente
Pero el largo plazo también nos debe preocupar. Cuando hace unos años cometíamos alguna tontería típica de adolescente, la cosa se quedaba en quienes estábamos presentes y como mucho se ampliaba a nuestro “círculo cerrado” de amistades. Si había imágenes se compartían en papel fotográfico, mientras nosotros nos quedábamos con los negativos, de modo que era complicado que se difundieran más allá.
Sin embargo, con el uso masivo de móviles y redes sociales, lo más normal es que compartan esas “divertidas imágenes” con cualquiera, de modo que pierden el control de las mismas. Por ejemplo, si a alguien se le ocurre hacer un meme, publicarlo en un foro de Internet y viralizarlo, o colgar un vídeo en YouTube, no necesita ni conocimientos ni herramientas especiales, sólo un móvil y en cuestión de segundos las imágenes pueden estar dando la vuelta al mundo.
Además, las imágenes pueden quedar disponibles en Internet durante mucho tiempo. Aunque se quiera borrar la foto, con que alguien se la haya guardado o compartido puede llegar a ser imposible. Es cierto que se pueden reportar las imágenes o mensajes inapropiados en las plataformas sociales, pero también es cierto que mientras se reportan y eliminan pueden haber llegado a otras personas que continúen con su difusión.
¿Cómo quiero que se me vea en Internet?
Así pues, quizás sea buena idea animar a nuestros hijos e hijas a “escuchar” a sus selfis antes de compartirlos con nadie. Es decir, hacerse conscientes de toda la información que cuentan en ellos, explícita o implícitamente, máxime si consideran sus publicaciones en conjunto (como si fueran las piezas de un puzle). Por ejemplo:
- El lugar desde el que se ha tomado la foto (su habitación, el instituto, el parque), hasta su geolocalización exacta (si el móvil guarda las coordenadas GPS en la foto).
- Sus rutinas, actividades y aficiones (incluyendo el lugar y la hora de publicación).
- Los amigos/as (que aparecen, o que dan a “me gusta”, comentan, comparten).
- El poder adquisitivo familiar (móvil, vestuario, la televisión de su habitación).
- E incluso detalles de su propio cuerpo (piercings, tatuajes, en ropa interior, fotos sugerentes).
Más aún, como es posible que esa foto acabe distribuyéndose sin control por Internet, puede ser útil hacerse preguntas como:
- ¿Me importaría que esta foto la viera cualquiera?, pensando en desconocidos, vecinos, la familia, pareja, recursos humanos, jefes…
- ¿Seguiré sintiéndome cómodo/a con esa foto dentro de unos años?, ¿me puede dar vergüenza en el futuro?
- ¿Qué imagen transmite de mí esa foto?, ¿me puede perjudicar en la búsqueda de empleo?, ¿aporta algo positivo o negativo a mi imagen en Internet?
- ¿Puede resultar molesta para otras personas que salen en la foto?, ¿están de acuerdo en que la comparta?
Ante la duda, la mejor respuesta es no compartirla. Es preferible compartir menos mensajes, pero estar convencidos de que van a ser positivos y seguros para ellos. Cuando un desconocido entre a su perfil se formará una imagen positiva o negativa en muy pocos segundos y basándose en muy poca información. ¿Se imaginan a un entrevistador echando un vistazo a su Instagram antes de convocarles a una entrevista de trabajo? Como se suele decir…
No hay una segunda oportunidad para causar una buena primera impresión
¿Exagerado?, ya hace tiempo fue bastante comentada la noticia del futbolista fichado por el Barça y despedido a las pocas horas por sus comentarios inapropiados en Twitter.
¿Qué podemos hacer?
Ya hemos visto que la clave es ser conscientes de lo que comparten y publican, «escuchar a sus fotos antes de compartirlas». Además también les puede ser de ayuda configurar adecuadamente las opciones de privacidad de sus redes sociales, aplicaciones y dispositivos móviles, por ejemplo desactivando la geolocalización, dando la menor cantidad de información posible en nuestros perfiles, etc.
Una de las primeras premisas es pedir que tengan cuentas de usuario privadas en lugar de públicas, aunque debemos asegurarnos de que entienden el riesgo que supone aceptar como amigos/contactos/seguidores a personas que no conocen, amigos de amigos, etc. Es evidente que aunque tengan la cuenta privada, no sirve de mucho si luego tienen 700 contactos.
Una cuenta con 700 amigos no es privada
Una buena práctica es revisar de vez en cuando la lista de amigos para “hacer limpieza” y quitar a aquellas personas que no conocen o que realmente no son importantes para ellos.
Si tienen algún problema, es bueno que tengan una persona de referencia a la que acudir (por ejemplo una tía, un primo mayor), sin ser juzgados ni temer una sobrerreacción por su parte, ni por la nuestra cuando nos enteremos. Siempre debemos procurar mantener abiertas las vías de comunicación con nuestros hijos/as. Si además de las dificultades propias de la edad y del lío en que se han metido, nosotros vamos a poner el grito en el cielo de forma poco constructiva, sólo conseguiremos alejarles de nosotros, aumentando las posibilidades de que empeoren la situación.
Por otra parte es útil que conozcan las direcciones donde reportar imágenes, mensajes o usuarios molestos en las redes sociales. Y si es necesario, también podemos contar con la ayuda de las fuerzas de seguridad, siempre implicadas en la protección de los menores, también en Internet.
Quién sabe, quizás toda la “práctica” que están desarrollando compartiendo selfis todos los días, con sus amigos/as, a través de todas las redes sociales… les venga bien en el futuro, cuando alguien les pida un video currículum para una entrevista de trabajo… Eso sí, siempre que sus perfiles sociales “pasen el primer filtro” de selección de personal.
¿Y tú qué opinas?, ¿tus hijos se hacen muchos selfis?, ¿los comparten con todo el mundo?, ¿se arrepienten de alguno?, ¿y de otros mensajes o comentarios?, ¿y tú?
Nota de DavidHellin: La noticia es original de OSI
Redes sociales, servicios de mensajería, gestiones online, foros, comentarios en artículos, etc., hoy día nuestra identidad digital, datos y opiniones, pueden estar plasmados en multitud de servicios y sitios en Internet. En algunas ocasiones y en sitios en los que no quisiéramos, aparece nuestra información ya sea porque no lo valoramos en su momento o porque otro usuario lo copió y pegó en un sitio que desconocíamos. Sea como fuere, esa información aparece en Internet.
Tenemos que pensar que puede llegar a ser muy difícil eliminar esa cuenta o la información que contiene, no obstante hay una serie de recomendaciones y acciones que podemos llevar a cabo para que el proceso resulte más sencillo.
En primer lugar debemos tener claro qué queremos hacer: eliminar información concreta de algún sitio, eliminar una cuenta o eliminar una identidad completa.
1. Eliminar información concreta de un sitio.
Según la Ley Orgánica de Protección de Datos (LOPD), las empresas que almacenan datos personales, deben garantizar el derecho de Acceso, Rectificación, Cancelación y Oposición (ARCO), lo que implica que cualquier usuario podrá solicitar que se elimine información personal sobre él.
Normalmente en cualquier empresa española con solo enviar una solicitud, se realiza de manera más o menos ágil. Con empresas de la Comunidad Europea el procedimiento es similar, ya que la legislación es muy parecida. Sin embargo con empresas en otros países, con legislación distinta, el proceso puede resultar más complejo o incluso no llegar a producirse, ya que podrán atender o no a nuestra solicitud o quedar a su criterio ya que su legislación no obliga, y esto podría suponer un problema.
En cualquier caso, el procedimiento para solicitar que alguien elimine información personal de un sitio es el siguiente:
- Contactar con el sitio web dónde está la información publicada y solicitar que la eliminen.
- Si el sitio es español y después de haberlo solicitado el sitio web no la elimina, dirigirnos a la AGPD e interponer una denuncia.
- En caso de que el sitio web no haga caso a nuestra solicitud o a la denuncia de la AGPD, deberemos poner una denuncia ante las Fuerzas y Cuerpos de Seguridad del Estado.
2. Eliminar una cuenta.
Los motivos para eliminar nuestra cuenta de un servicio web pueden ser varios, como por ejemplo:
- El servicio no respeta nuestra privacidad lo suficiente.
- Cambio de los términos y condiciones de uso.
- Hemos dejado de usar el servicio.
- Deseo de modificar la orientación de nuestras publicaciones, por ejemplo asociar nuestro nombre a nuestra profesión y no a nuestro perfil personal.
Si queremos eliminar una cuenta de un servicio web, y aunque varía de un sitio a otro, el procedimiento básicamente es similar. Lo primero es acceder al servicio con nuestras credenciales y una vez que hayamos acreditado nuestra identidad, buscar algún enlace del tipo “eliminar cuenta”, que suele encontrarse entre las opciones relacionadas con la configuración de la misma. En caso de no dar con la opción, buscaremos ayuda en el soporte del servicio en cuestión. Hay servicios que nos ayudarán en esta tarea ya que muestran información sobre el procedimiento de baja, como por ejemplo Justdelete.me, Account Killer, etc.
En algunos servicios puede resultar un poco complejo eliminar nuestra cuenta. Si este es el caso, lo aconsejable es eliminar todo el contenido que podamos de manera manual. Para el resto, modificaremos nuestros datos personales, fotos e incluso crearemos contenidos que no tengan nada que ver con nosotros, para que encontrar información nuestra no sea tarea fácil.
Existen otros servicios en los cuales no se puede eliminar nuestra información debido a motivos legales, de facturación etc.
3. Eliminar nuestra identidad completa.
Si nuestro objetivo es la eliminación total de nuestro rastro en Internet, el proceso será más o menos largo y complejo, en función de nuestro nivel de interacción con la red. Deberemos seguir una serie de pasos, y tener presente que la cuenta de correo será la última en borrar, ya que la necesitaremos para ciertas comunicaciones.
Borrar todas las cuentas.
Esta tarea también dependerá del nivel de interacción con la red, resultando así más o menos costosa. Primero debemos buscar todos los servicios en los que tengamos una cuenta creada. Habrá muchos de los que seamos conscientes, como Facebook, Twitter, Snapchat, Pinterest… pero habrá otros que seguramente hayamos olvidado. Para buscarlas tendremos que mirar en nuestro correo electrónico, ya que cuando nos registramos en un servicio, el correo electrónico va asociado a esa cuenta, de forma que si buscamos en él, aparecerá alguno relativo a ese servicio siempre y cuando no hayamos eliminado los mensajes. Actualmente es posible realizar esta tarea de forma automática, haciendo uso de servicios como por ejemplo https://deseat.me/.
Modificar los perfiles de las cuentas que no se puedan borrar
Si hay algún servicio del cual no nos podemos borrar, o resulta demasiado complicado, debemos eliminar todo el contenido que podamos, modificaremos los datos del perfil, falseando los datos, cuidando de no implicar a terceros e incluyendo información “de relleno” para dificultar las búsquedas.
Eliminar las suscripciones a listas de correo
En los correos que nos envían periódicamente los servicios a los que nos hemos suscrito, nos indican como eliminar dicha suscripción. Para ello seguiremos las instrucciones, y en caso de no funcionar, lo comunicaremos al servicio a través de su soporte.
Eliminar los resultados de los buscadores.
Si cuando hacemos búsquedas de nuestros datos personales en los buscadores, estos apareciesen, deberemos solicitar que los retiren, siempre que se cumplan una serie de requisitos que además dependen de esos mismos buscadores. Por ejemplo Google dispone de una página desde la cual podemos solicitar que no aparezca información en las búsquedas o que directamente la eliminen, siempre que se cumplan las políticas de eliminación de contenidos fijadas por el buscador. Otros buscadores también los están aplicando, como Bing y Yahoo.
Contacta con los webmaster de los sitios en los que no puedas borrarte.
Existen servicios como los foros, en los cuales eliminar una publicación puede ser una tarea compleja. La forma de eliminar esas publicaciones pasa por contactar con los administradores y solicitárselo. Según las experiencias de muchos usuarios, para esto hacen falta dos cosas, educación en la solicitud y mucha paciencia.
Contactar con empresas que recolectan información.
Empresas como Intelius, Spokeo y Peoplefinders, recolectan información y prestan servicios sobre antecedentes “digitales”. Se debe contactar con ellas para solicitar que eliminen sus datos.
Eliminar las cuentas de correo.
Una vez que se tengan eliminados todos los datos, cuentas etc., será el momento de eliminar las cuentas de correo para que nuestra vida digital pueda comenzar desde 0. Existen empresas que realizan esta tarea, en muchas ocasiones el precio que cuesta nos puede llegar a ahorrar mucho tiempo.
4. Conclusión.
Eliminar nuestros datos de Internet puede ser más simple o complejo en función de nuestra actividad o el tipo de información y los sitios donde se encuentre alojada, pero el derecho al olvido está para defendernos cuando pueda afectarnos de forma negativa.
Nota de DavidHellin: La noticia es original de OSI
