Dic 03 2014

6 situaciones en las que se exige garantizar la seguridad de los datos (1/2).

image_pdfimage_print

cyber-crimePodríamos mencionar centenares de incidentes recogidos en los medios de comunicación en los que se ha puesto de manifiesto la endeblez de los sistemas de seguridad habitualmente empleados para proteger la información contenida en sistemas y aplicaciones. Wikileaks es un ejemplo paradigmático de situación en la cual, pese a suponer que los niveles de protección debían ser suficientes (lo cual imaginamos en el marco de la eficiencia de la administración norteamericana), la seguridad ha sido superada y la información secreta expuesta a la luz pública. Y si a ese nivel y con esos medios no se ha podido salvaguardar la confidencialidad de informes internos y documentación diplomática de contenido comprometedor, entenderemos que habríamos de repensar nuestra posición y reenfocar el concepto y los medios de seguridad si estamos frente a algunas de las situaciones que planteamos a continuación:

 

Continuar leyendo »

Enlace permanente a este artículo: http://www.ingelan.com/?p=4699

Nov 12 2014

Siete formas de perder sus datos.

image_pdfimage_print

DisasterRecoveryHelpEn caso de que Vd desee perder los activos digitales de su organización, vamos a ofrecerle algunas vías rápidas de hacerlo. Probablemente con ello arruinará a su compañía y perderá definitivamente su empleo (con seguridad nadie querrá saber más de usted en el futuro). Evite – pues – caer en cualquiera de estos errores

Los hechos (o como su acción destruirá la compañía)

Las consecuencias de la pérdida de datos son terribles, he aquí una muestra de sólo unas pocas estadísticas relacionadas con el impacto de la pérdida de datos en la empresa:

  1. El 93% de las empresas que perdieron su centro de datos durante 10 días o más quebró al cabo de un año del desastre.
  2. El 94% de las empresas que sufren una pérdida de datos catastrófica no sobreviven.
  3. El 30% de todas las empresas que tienen un gran incendio se queden sin trabajo en un año y el 70% de cierran en menos de cinco.
  4. El 77% de las empresas que realizan pruebas de restauración de sus copias de seguridad descubren que no funcionan.
  5. El 96% de todas las estaciones de trabajo de las empresas no están respaldadas.
  6. El 50% de las copias de seguridad de cinta son imposibles de restaurar..
  7. El 25% de los usuarios de PC sufren pérdidas de datos cada año.Estadistica Causas Perdida Datos

Y … ¿qué hacer para conseguirlo?

1. Ignore que se producen fallos en el hardware

Piense que es la primera causa de pérdida de la información. Por tanto, para conseguir que la información contenida en sus sistemas, no haga copias de seguridad ni las mantenga en ubicaciones separadas. O si las hace, no se asegure que es posible restaurarlas (hay un 50% de probabilidad de que el proceso falle)

2. Crea ciegamente (y no verifique) que sus colegas (o subordinados) siguen las políticas de actuación.

En una tercera parte de los casos, el error humano (no hablamos de acciones deliberadas) es causa de la pérdida. Por tanto, si desea que el desastre se produzca, deje hacer… Muy probablemente alguien meterá la pata con desagradables consecuencias.

3. Menosprecie la posibilidad de que se produzca corrupción en el software

Este tipo de problemas es la tercera causa de pérdidas, por tanto si eso es lo que quiere, olvídese de que existen. Así, cuando ocurra, su conciencia quedará tranquila y liberada de todo sentimiento de culpabilidad.

4. Fíese de la honestidad de todos los demás sin poner medios de control.

Aunque habitualmente un hacker extrae la información para su lucro sin destruir la fuente original, un empleado descontento puede hacer estragos eliminando información crítica para la compañía. Si esto es lo que usted desea que ocurra no ponga dificultades, facilitando y simplificando de este modo su actuación.

5. No piense (y allane el camino) a los virus.

Ni se le ocurra instalar un firewall o un antivirus. Y tampoco aplique en tiempo útil los parches de seguridad recomendados por los fabricantes. Con ello tendrá la garantía que que alguno de esos pequeños programas que contaminan la instalación hará acto de presencia consiguiendo que su infraestructura sea inaccesible e inutilizable.

6. Mentalícese: Usted no deberá enfrentar nunca un desastre.

Vistas las estadísticas y que únicamente del 1 al 3% de las pérdidas se originan en desastres naturales, puede justificar que eso a usted nunca le va a ocurrir. Por tanto, para perder sus datos, ignore que ello puede ocurrir y olvide las terribles consecuencias que puede tener sobre la infraestructura que le ha confiado la compañía.

7. Dé por seguro que podrá recuperar sus datos.

Imaginemos que está haciendo copias de seguridad y tiene implementados mecanismos para evitar cualquiera de las causas de pérdida de la información. Aún así le queda una forma de conseguirlo: Crea a pies juntillas que en caso de problemas será capaz de recuperarla. No haga pruebas de restauración ni ponga medios para validar la corrección de los respaldos. Será el medio definitivo!

… de nada!

El presente post resume el contenido del whitepaper “7 Shortcuts to Losing your Data (and probably your job)” de Unitrends, que – si lo desea – puede descargar pulsando aquí.

 

Enlace permanente a este artículo: http://www.ingelan.com/?p=4683

Nov 06 2014

Manufacturing Intelligence

image_pdfimage_print

BIManifacturing

Boton_Dwn_Datasheet_transparente

Enlace permanente a este artículo: http://www.ingelan.com/?p=4629

Oct 30 2014

Seguridad en el Endpoint (2 de 2)

image_pdfimage_print

En el anterior post de esta serie hemos proporcionado algunos consejos acerca de cómo hacer más seguros nuestros sistemas de información protegiendo el punto más débil y expuesto: Aquél sobre el que se trabaja y – especialmente – el que sale fuera de ambientes seguros como pueden ser las oficinas o instalaciones corporativas.

Hemos hecho especial énfasis en que la responsabilidad es de todos: La seguridad de los datos y la tecnología propiedad de la empresa depende tanto de los medios que se implementen para conseguir la seguridad física, como de la mentalización y sensibilidad que los usuarios muestren acerca de estos temas. Puede argumentarse que aplicar de forma preventiva medidas de seguridad puede entorpecer o hacer más lentas las actuaciones, pero lo que sí es cierto es que cualquier riesgo que se concrete por no haberlas realizado tiene un coste bastante superior.

Proseguimos en los siguientes apartados con la enumeración de diversos aspectos que afectan a esa seguridad, y nuestras recomendaciones de actuación dependiendo del rol que se desarrolle. Esperamos sinceramente que puedan ser de su interés, y ojalá se decidan a aplicarlas (estas o similares)

 

Si es Vd. el CIO de la Compañía Si Vd. es usuario de los servicios IT
Prevención de pérdidas y extravíos Es una buena idea instalar software de localización remota de laptops extraviados (lo hay incluso gratuito). Este tipo de software permite rastrear la IP/ubicaciónde un dispositivo que esté fuera de control de su legítimo usuario, incluso obtener instantáneas si dispone de webcam. Es un buen consejo marcar el aparato de alguna forma e indicar un medio de localización no muy explícito del propietario o de la compañía (nombre, teléfono). Si se extravía, en un buen porcentaje de casos será retornado, pero hay que tener en cuenta que si se ha producido un robo esos datos pueden utilizarse para romper los medios de seguridad.
Mecanismos de Encriptación Asegúrese de que existen medios que permitan criptografiar con claves seguras los documentos importantes y que hayan de permanecer asegurados.
Defina y clasifique – de acuerdo con la dirección y el departamento legal – las tipologías de información de forma que quede bien claro qué puede quedar desencriptado y lo que – obligatoriamente – haya de enmascararse. Incluya esa información en las normas de uso aceptable.
Siguiendo las normas que se marquen, asegúrese que la información de tipo estratégico o sensible se almacena o transmite criptografiada. Emplee para hacerlo los medios que se le hayan proporcionado y claves fuertes que aseguren la dificultad de acceder a los datos originales.
Comunicaciones internas Asegure que los dominios quedan claramente definidos y protegidos con los medios adecuados. Si es necesario, segmente la red y/o aisle del resto aquellas secciones en las que haya de circular información especialmente necesaria de protección. Monte las redes privadas virtuales (VPN) necesarias para separar el tráfico y evitar interferencias. En el interior de los recintos corporativos, utilice prioritariamente las comunicaciones a través de cable, obviando medios inalámbricos.
Si ha de acceder desde fuera de las instalaciones, hágalo a través de comunicaciones seguras (VPN, ADSL,…) evitando redes Wifi públicas
Comunicaciones externas (especialmente correo electrónico) Disponga los medios que permitan una impermeabilización razonable de las redes internas con el mundo exterior. Firewall, AntiSpam, zonas desmilitarizadas y otras herramientas semejantes son imprescindibles. Pero pueden también establecerse arquitecturas de proxy que disminuyan sensiblemente las superficies de ataque por parte de hackers externos. Ponga especial cuidado en el empleo del correo electrónico, evitando abrir (y comunicandolo a IT) cualquier comunicado o anexo que pueda parecerle sospechoso.
Si ha de anexar datos reservados, encríptelos y remita al destinatario por medios diferentes al propio correo (por ejemplo voz o sms) las claves que permitan restituirlos a su estado original.
Aplicación de parches y actualizaciones del software Haga que su equipo técnico filtre los patches o actualizaciones que publiquen los fabricantes de los diversos productos, identificando los necesarios para su instalación de los que puedan obviarse por no aplicar. Preferiblemente, establezca su propio centro de difusión de actualizaciones, paquetizándolas en función de las diversas tecnologías y haciendo que los usuarios acudan a él para ponerse al día o empújelas para hacerlo. Si ello no es posible, publique internamente la lista de las necesarias de forma que los usuarios vayan a buscarlas a las webs de los fabricantes correspondientes. No instale patches innecesarios. Si en su instalación existe un procedimiento para actualizar el software de base, empléelo, evitando acudir a las webs de los fabricantes. Nunca efectúe este tipo de actualizaciones empleando redes inseguras (hoteles, aeropuertos, …)
Inventario de medios Asegurese de que dispone de un correcto y actualizado inventario de los dispositivos a cargo de la compañía y del software que contienen.
Incorpore dentro de las normas de uso aceptable de dispositivos BYOD los requisitos que deben cumplir y las restricciones en cuanto a aplicaciones instaladas u otros extremos que puedan afectar a la seguridad.
Si está utilizando un dispositivo propio, ajústese a los requisitos de uso aceptable que le haya dado a conocer la compañía. Evite instalar aplicaciones innecesarias.
Uso de servicios Cloud (especialmente almacenamiento) Evite que sus usuarios empleen indiscriminadamente servicios de almacenamiento y trabajo en grupo alojados en nubes públicas. Si este tipo de tareas son imprescindibles, adquiera productos o contrate servicios que le permitan hacerlo en una nube privada, dotada de los mecanismos de control y seguridad necesarios. Aténgase a las directrices que le pueda proporcionar su compañía en este sentido.
Si emplea un dispositivo BYOD, procure establecer separación entre el área empresarial y la privada mediante el uso de diferentes UserId dotados de diferentes privilegios.
Recuperación ante hurtos o desastres y seguridad física Suministre a sus usuarios mecanismos para realizar copias de seguridad (deseablemente de forma automática) de los datos contenidos en sus sistemas, accesibles para su recuperación de forma desasistida y cuyo resultado se almacene de forma segura y controlada. Verifique periódicamente que se están realizando sin problemas las copias de seguridad correspondientes y que el repositorio en el que se almacenan es accesible.
Si su dispositivo es BYOD, compruebe que ello se realiza con los datos correspondientes a la compañía.

Logo Linkedin Seguridad

Si está Vd interesado en temáticas de seguridad y posee cuenta en LinkedIn, únase a nuestro grupo de discusión “Ingelan Seguridad” haciendo click sobre el logo.

Enlace permanente a este artículo: http://www.ingelan.com/?p=4614