Posts tagged "COITAOC":

Introducción a la Seguridad de la Información

Tras analizar y ser consciente del interés que genera este tema en la actualidad, un grupo de profesionales hemos colaborado para lanzar este curso organizado por ASITANO.

Se celebrará los días 7, 8, 14 y 15 de marzo en horario de 16:00 a 21:00.

Más información aquí.

Dejar comentario.

Sobre redes sociales, Google+ y falsas sensaciones de seguridad

Cada día son más frecuentes los indicios que en todos los ámbitos (personal/profesional, de compras/de viajes, etc.) vamos recogiendo sobre el uso y la importancia que el concepto de "red" va tomando en la actualidad. Parece que todo el mundo ha descubierto a la vez que el mantener el contacto con las personas que te interesan es beneficioso. A mi me gusta digerir y explicar el concepto de red en el sentido mas amplio de su palabra: no estamos hablando de redes de ordenadores (LAN, WAN, Wireless, etc.), ni de redes sociales por Internet (Facebook sigue siendo, por ahora, su máximo exponente)… quizá lo que más se le parece a la idea que quiero transmitir sea simple y llanamente una red de contactos, en su versión más genérica, que se soporta en diferentes "tecnologías" (desde simples llamadas de vez en cuando, cañas de cerveza dialogadas, hasta las diferentes implementaciones que se han ido creando en Internet) y que acaba especializándose, o fragmentándose en diferentes subconjuntos, según los intereses compartidos entre cada uno. Y así surge una red de amigos, una red de profesionales, una red de amigos que juegan al fútbol los jueves, una red de cervecitas los viernes después de trabajar… o una red de frikis del Linux ;-).

Una vez entendida y formada la red, el estudio de este tipo de "asociaciones" entre personas está vertiendo mucha literatura y es un campo de investigación multidisciplinar en la actualidad: identificación de roles (líderes -con mayor influencia sobre los demás- y seguidores), estudio del crecimiento y decrecimiento, cómo se organizan, cómo se interrelacionan (tanto internamente -los individuos que las componen- como externamente -entre ellas-), qué hace que un determinado mensaje cale y se propague con más o menos virulencia, etc.

Tanto es así que algunas compañías están destinando cada vez mayor presupuesto, y por tanto mayor esfuerzo, en utilizarlas como vehículos de selección de personal, lanzamiento de productos, reputación de imagen corporativa… o simplemente como un canal de "ida y vuelta" que les permite pulsar a sus clientes y recuperar su opinión, con la potencia que esto tiene para realizar, por ejemplo, estudios de mercado en sus diferentes formas o soporte a incidencias. Si me animo, escribiré un artículo sobre cada uno de estos usos.

Aunque este concepto de "interrelación" ha existido en diferentes formas durante toda la vida de la humanidad, parece que ha sido ayer mismo, con el lanzamiento sobre Internet: Facebook, Tuenti, Twitter, etc., cuando ha surgido. Estas diferentes implementaciones permitían, en mayor o menor grado, crear tu grupo de contactos online y compartir con ellos pensamientos/opiniones, fotos, localización, etc. Creo que la principal ventaja apreciada ha sido su potencia para mantener un nivel de interrelación muy rico, en vivo y en directo. *Y estoy seguro que su mayor desventaja ha sido su escaso control sobre lo compartido y la privacidad, por ende, del que lo compartía o formaba parte de él*(una foto indiscreta, por reflejar un ejemplo simple).

En este contexto nace Google+ (28 de junio de 2011). La enésima apuesta de Google por participar en este "juego". Esta vez parece que le va a ir mejor que las anteriores. A mi juicio la idea que la sustenta, los círculos, es tan potente como falsa. Me explico: la filosofía con la que han ido naciendo las implementaciones anteriores era que hacía falta una relación de amistad, aceptada recíprocamente por dos individuos, para formar parte cada uno de ellos de la red del otro. Tras este paso inicial, todo lo compartido en tu red era visible por todos tus amigos, incluso por los amigos de tus amigos. Esto dio lugar a problemas de privacidad -sensación de pérdida de control sobre lo que se publicaba-. Luego se han ido refinando las posibilidades hasta permitir fijar permisos sobre lo que se comparte: accesible a todo el mundo, compartir sólo con alguien determinado, y todas las posibilidades intermedias. Pero la usabilidad de esto, al no haber nacido con la concepción inicial de las plataformas, ha sido difícil de entender por muchos usuarios. Google+ nace incorporando esto en su ADN, como podéis ver en el vídeo que dejo abajo (que no es mío, su autor aparece justo al principio).

Y si tras ver el vídeo pensáis que todos los problemas de privacidad han sido resueltos, ¡os equivocáis!

Os aconsejo que penséis en los círculos como una herramienta que te da parte de control sobre con quién compartes y hasta dónde compartes (esto no se ve en el vídeo pero Google+ permite fijar la prohibición de que alguien con quien tú compartes, a su vez, también comparta lo que recibe de ti). Perfecto, ¿verdad?

Pues no, ¡SIEMPRE ES POSIBLE HACER UNA CAPTURA DE PANTALLA!

Es verdad que si compartís una foto de vuestro bebe con vuestro círculo "familiar", presuponiendo que en él estén las personas bien seleccionadas, es difícil (que no imposible -fallos de seguridad siempre puede haber-) pensar que dicha foto va a acabar en manos de un pedófilo (por ser brusco e impactar)… pero, ¿qué pasa si esa misma foto la compartís con un círculo de "amigos" y alguien no lo es tanto, o deja de serlo, o le "hackean" su pc, su cuenta…

La idea de los círculos me parece genial pero hay que tratarla con mucho cuidado y responsabilidad.

Mi consejo: pensad que todo lo que compartís por Internet corre el riesgo de acabar siendo público antes o después, contad hasta diez y actuad con el mayor cuidado posible.

Tras la técnica siempre hay un ser humano. Google+ aporta lo mejor de la técnica hasta el momento. Las intenciones, buenas o malas, sólo son controlables por el ser humano que está detrás.

Y tras esto, ¿nos circulamos? }:-)

Dejar comentario.

Ventajas y dificultades de la adecuación al ENS

En el último número de la revista "DINTEL alta dirección" (Época II - Número 16 - Abril/Mayo'2011) he publicado un artículo titulado: "Ventajas y dificultades de la adecuación al ENS", formando parte de una serie que sobre el mismo tema han publicado otros autores. Podéis encontrar todos los artículos en formato pdf aquí.

Intenté reflejar en él aquellas opiniones más comunes que he venido encontrando en foros de profesionales que se han enfrentado, o están planeando enfrentarse, a la adecuación de sus organizaciones al Esquema Nacional de Seguridad.

Os dejo mi artículo adjunto al final de éste y espero conocer vuestras opiniones sobre el tema: ¿Creéis que el ENS os está ayudando? ¿En qué sentido? ¿Qué se os está haciendo más cuesta arriba? ¿Alguna puntualización a lo dicho?

Como siempre, un placer compartir.

Identidad en Internet (I)

A continuación os dejo el artículo número 8 que, continuando mi línea de colaboración, he publicado en el blog del Colegio Oficial de Ingenieros de Telecomunicación de Andalucía Occidental y Ceuta. Divulgad que algo queda ;-)

Un par de lecturas de este verano me han sugerido escribir aquí sobre la identidad en la Red (algunos dirán en la nube), los peligros que la acechan y las posibles formas de protegerla.

Cuando nos adentramos en el concepto identidad vemos la gran problemática que ha originado desde la antigüedad griega, pasando por la época moderna, hasta nuestros días. Y los que seguirá ocasionando en un futuro. En este artículo simplificaremos para poder delimitar el problema y abordar, si cabe, la solución que nos interesa.

Identidad es uno de esos conceptos que se define “hacia fuera” y “hacia dentro”. El primer caso, “hacia fuera”, es el que nos interesa a nosotros y es el que el DRAE recoge en sus acepciones: “2. Conjunto de rasgos propios de un individuo o de una colectividad que los caracterizan frente a los demás. 3. Conciencia que una persona tiene de ser ella misma y distinta a las demás”. Como podemos observar en todas estas acepciones “los demás”, los otros, son necesarios para observar diferencias a través de las interrelaciones establecidas. El segundo caso, “hacia dentro”, es el que le preocupa a los filósofos y responde a las preguntas: ¿quiénes somos? o ¿cómo y cuándo dejamos de ser lo que somos? (resulta curiosa la lectura de la “Paradoja de Teseo”).

Algunos rasgos que construyen nuestra identidad son: nuestro físico, nuestros recuerdos, nuestros sentimientos, nuestras inquietudes, el sentido del humor, etc. Hasta esta época el conjunto de estos elementos estaba tan ligado a nuestro espacio y a nuestro tiempo que era tan fácil de controlar que pasaba desapercibido. Pero, ¿qué está ocurriendo en la Red masivamente y en la “tecnosociedad” en general? La tecnología posibilita la construcción, la copia, la destrucción, la “perennidad” (en un futuro quizá la “inmortalidad”, como sugieren los cuentos referenciados al comienzo del artículo) de identidades, y así, la pérdida de control sobre las mismas con los problemas que esto causa.

Avancemos pues desde lo más simple hasta lo más complejo para ver qué está ocurriendo en Internet.

En un principio, cuando escasamente interactuábamos en la Red, lo único que nos identificaba en ella era nuestro nombre (login) y nuestra contraseña (password). Parece que ha pasado mucho tiempo pero hace tan sólo 10 años, aproximadamente, la web era estática, la información fluía desde el emisor hasta el receptor, y casi todos éramos destinatarios de la misma con escasas posibilidades de verter comentarios, indicar si “me gusta / no me gusta”, compartirla con nuestros amigos; había pocas “cookies” que se interesaran por nuestros sitios frecuentados y el correo no vivía perennemente en el servidor sino que se descargaba habitualmente (algunos hemos convivido con pop1/pop2 y convivimos con pop3) a nuestra máquina. Aquí el principal riesgo era el robo de nuestras credenciales, login y password, cosa no muy difícil pues viajaban sin cifrar y bastaba una simple captura de tráfico para obtenerlas. Un ataque a la privacidad en toda regla, pero limitado: sólo se obtendría el correo no descargado aún. La mejor defensa entonces: cambiar la clave frecuentemente, obligando a que la captura de ayer no fuera útil para hoy, y minimizar el número de sondeos de correo nuevo contra el servidor. Nadie lo hacía: todos aprendimos a convivir con el riesgo. Lo interiorizamos, supongo. Actualmente, cuando el acceso a estos servicios se debería plantear de forma cifrada, hay que incidir en la fortaleza de la contraseña (la típica mezcla de mayúsculas, minúsculas, números y signos), pues el ataque por fuerza bruta (prueba y error de sucesivas contraseñas hasta encontrar la válida) cobra mayor peso.

Posteriormente la Red evolucionó, la web pasó a llamarse “web 2.0”; el correo, “correo web”; los foros y chats se convirtieron en espléndidas “redes sociales” y la mensajería instantánea añadió tráfico multimedia: intercambio de fotos, voz y video en tiempo real.

Y a todos se nos olvidó ese viejo consejo que nos daban nuestras madres: “niño, no hables con extraños, ni te acerques cuando te ofrezcan caramelos”.

Continuará.

Dejar comentario.

El factor humano

A continuación os dejo el artículo número 7 que, continuando mi línea de colaboración, he publicado en el blog del Colegio Oficial de Ingenieros de Telecomunicación de Andalucía Occidental y Ceuta. Divulgad que algo queda ;-).

No es raro encontrar en toda la literatura existente sobre seguridad de la información en los diferentes contextos (doméstico, empresarial), la idea que señala al factor humano como el eslabón más débil de la cadena, metáfora que recoge las diferentes componentes del proceso de seguridad como si de eslabones se trataran de la misma: gestión del hardware, gestión del software, aspectos organizativos, gestión de incidentes, adecuación legal… sin entrar en detalles y abusando del término “gestión”. Asimismo, tampoco es raro encontrar la solución que, como si de algún hechizo mágico se tratara, todos repetimos para fortalecer ese eslabón más débil: formación. Y, aunque en los últimos años han aflorado algunos “máster de seguridad”, basta una búsqueda en google para ver que los más antiguos rondan los 10 años y casi todos ellos se imparten en Madrid. También es verdad que de los pocos que aparecen, menos aún, a mi modo de ver, están bien estructurados: casi todos cargan demasiado las tintas en los aspectos técnicos y minimizan la parte dedicada a la gestión, y al sentido común que permite alinear la seguridad y el negocio, entendiendo negocio como el objetivo último de la empresa u organización. Ese que no se puede sacrificar en pos de la seguridad y que algunos olvidan.

Durante este mes de julio he participado en la selección de un grupo de personas que trabajarán en un proyecto donde, entre otras muchas tareas relacionadas con la seguridad, se dedicarán a gestionar incidentes de seguridad. Buscábamos dos tipos de características en ellos: tenían que tener suficiente base técnica para entender lo que pudiera ocurrir y, aún más importante si cabe, las suficientes destrezas o habilidades para poder relacionarse con diferentes tipos de interlocutores, más o menos técnicos.

Entre la “base técnica” buscábamos conocimientos de teoría y diseño de redes, de soluciones de seguridad, de los diferentes componentes que las conforman, de amenazas típicas (desde el malware a la ingeniería social), de vulnerabilidades, su explotación y uso, de sistemas Windows y Unix, de diferentes tipos de ataques y herramientas para llevarlos a cabo y, en general, de toda la nomenclatura que se ha ido acumulando: phising, botnets, pharming, DDoS, etc.

La principal conclusión que hemos obtenido todos los que hemos participado en este proceso ha sido que, aunque hemos entrevistado a personas procedentes de diferentes titulaciones (Ingeniería Informática, Ingeniería de Telecomunicación, Ciclos Formativos de Grado Superior, etc.) todos compartían una misma característica: el 80% de los conocimientos que buscábamos los habían adquirido por su cuenta, autoformándose, y sólo el 20% de los mismos habían sido adquiridos en su titulación (abusando ahora del principio de Pareto). Afirmándose así la idea con la que abríamos este artículo que, a su vez, ha sido ratificada por los alumnos y profesionales con los que compartí una ponencia, también este mes de julio, en los "XI Cursos universitarios de verano Intendente Olavide" de la Universidad de Jaén.

Pero, ¿estamos haciendo lo suficiente por fortalecer ese eslabón más débil? En Andalucía es difícil encontrar profesionales con conocimientos en seguridad de la información, y aún más a profesionales con experiencia. Siendo optimista, y creyendo que ser conscientes del problema es el primer paso hacia su solución, comienzo a observar algunos movimientos en los planes de estudio adaptados a Bolonia que se aproximan a lo necesario. Pero son muy pequeños e insuficientes… veámoslos como un primer paso para conseguir algo más. Mientras tanto, sigamos autoformándonos.

Dejar comentario.

Seguridad en el puesto de trabajo. Antivirus.

A continuación os dejo el artículo número 6 que, continuando mi línea de colaboración, he publicado en el blog del Colegio Oficial de Ingenieros de Telecomunicación de Andalucía Occidental y Ceuta. Divulgad que algo queda ;-).

Esta semana me he reunido, de forma independiente, con dos de los fabricantes líderes en el mercado de la seguridad en el puesto de trabajo (omitiré nombres para que no se enfaden el resto) y, como si se tratara de un mecanismo de relojería perfectamente sincronizado, describían la situación actual de forma muy parecida. Veámoslo. Ambos contaban, obviamente, con un laboratorio (simplificando) que viene analizando históricamente todas las muestras de “malware” que sus distintas sondas/clientes les van haciendo llegar. Fruto del análisis en profundidad de cada una de las muestras por máquinas que automatizan, en la medida de lo posible, la búsqueda de código malicioso y de aportaciones puntuales de inteligencia de expertos analistas humanos, generaban los famosos ficheros de firmas a los que estamos acostumbrados por los mensajitos de actualización que lanzan todos nuestros antivirus de puesto de trabajo (se denominan así para diferenciarlos de aquellos antivirus que se despliegan en el perímetro de las organizaciones intentando contener la entrada de infecciones: antivirus de navegación web, antivirus de correo, y poco más) cada vez que se actualizan.

También coincidían en que ese modelo reactivo de contención de las amenazas basándose en el ciclo descrito y que finaliza con desarrollo de la firma/vacuna “*está acabado*” como estrategia de defensa, y que pervive en la práctica, y lo hará durante varios años más, porque los otros enfoques estratégicos (de los que hablaremos en futuros artículos) aún no han alcanzado la madurez suficiente para acabar con el primero. Aunque, como veremos, los pasos se van dando.

¿Por qué está “acabado” el modelo actual? La cifra concreta que daba cada uno de ellos difería pero el orden de magnitud era parecido: cada día llegan a sus laboratorios cientos de miles de muestras nuevas (en un solo día actual llegan tantas muestras como las conocidas hasta el año 2003. ¡Impresionante!), y el crecimiento es exponencial. Muchas de estas muestras son variaciones sobre el mismo código patrón, utilizadas por “los malos” para despistar a “los buenos”: mientras trabajan en ellas cabe la posibilidad de que se les escape un porcentaje bajo, pero suficiente, para seguir haciendo estragos.

¿Qué pasos están dando para contener esto? Todos se están centrando en un modelo de negocio de “Software como Servicio” (Software as a Service – SaaS). Concepto que cada vez vais a ir oyendo con más frecuencia, y que quiere decir lo siguiente: el software se monta en un servidor de internet y el servicio que antes prestaba cuando lo montabas en tu máquina ahora se presta desde allí. Puede servirnos como ejemplo un servicio al que nos hemos ido acostumbrando poco a poco y que hoy es abrumadoramente mayoritario: el correo web. Antes casi todos teníamos nuestro cliente de correo en nuestro PC, ahora casi todos utilizamos servicios como Gmail / Hotmail / Yahoo mail (perdón por los ejemplos concretos pero creo que es lo mejor para conseguir explicarme). Antes teníamos la música en nuestro ordenador, ahora utilizamos Spotify. Antes utilizábamos una “suite ofimática” ahora tenemos Google docs y la propia Office de MicroSoft en su versión 2010 está disponible como servicio en la web… en fin.

¿En qué consiste, y qué ventajas tiene, un antivirus en la nube? Si lo definiéramos en terminología industrial: acortar el ciclo de producción. Toda la inteligencia está ubicada en ese servidor que reside en Internet (la nube). Ese servidor, que en realidad es una granja de servidores muy potentes, maneja los millones de firmas conocidas en diferentes ficheros, y es capaz de correr, en tiempos infinitamente menores que los que consumirían nuestras máquinas, complejos algoritmos de detección heurística. Además se nutre de los envíos de cientos de miles de personas que han instalado un agente ligero (consume pocos recursos en nuestra máquina) y cuya comunicación con los servidores no podemos desactivar por lo malo (nos acabaríamos infectando) y por lo bueno (colaboramos con los demás). Y es que, cuando este agente ligero sospecha de algún fichero lo bloquea, lo envía a la granja de servidores para su análisis, y espera recomendación sobre si permite o no su ejecución.

¿Qué gana el usuario de estos nuevos servicios? Tiene un agente instalado en su máquina más ligero que los habituales, que da menos problemas y que se gestiona centralizadamente, dispone así de más recursos para su trabajo habitual (nuestro ordenador ya no va tan lento cuando le instalamos el antivirus), en local sólo permanecen las firmas que identifican a los virus que están en el “top x” (también conocidos como “wild list”), es decir, los que actualmente tienen un mayor índice de actividad. Pero eso no quiere decir que estemos desprotegidos, cuando nuestro agente detecta un proceso cuyo “comportamiento” es sospechoso lo bloquea y pide ayuda como hemos explicado.

A esa forma de trabajar en la nube, en la que todos nos acabamos ayudando a todos porque lo que me afecta a mí, lo comparto, y probablemente no te acabe afectando a ti, se la conoce como “inteligencia colectiva”. Bonito nombre…

…y extraña sensación cuando lo escucho por echadla tanto en falta. Supongo.

Dejar comentario.

Botnets y medios de comunicación

A continuación os dejo el artículo número 5 que, continuando mi línea de colaboración, he publicado en el blog del Colegio Oficial de Ingenieros de Telecomunicación de Andalucía Occidental y Ceuta. Divulgad que algo queda ;-).

Este mes de marzo ha saltado la noticia de la desactivación de la “Red Mariposa” que, desde España, controlaba millones de ordenadores esparcidos por todo el mundo. Aquí podéis leerla en tres medios distintos: 1, 2 y 3. Y como casi siempre, después de leer esto queda una sensación que podríamos describir como: “mucho ruido y pocas nueces”, que equivale a: “mucha alarma y poca formación”. Pues, ¿en qué consisten este tipo de redes conocidas como botnets? ¿Por qué se expanden? ¿Cómo operan? Y lo que es más importante, ¿cómo podemos intentar no caer en sus pegajosos hilos-trampa? “Bot” es una abreviación de “robot”. En este contexto un bot es un tipo de programa que, con malos fines, es instalado en un ordenador de forma “silenciosa”, pasando desapercibido a su propietario, siendo controlado en remoto por su dueño, conocido como “Bot Master”. Este tipo de programas suelen tener la capacidad de tomar el control completo del ordenador donde se instalan y de su funcionamiento en Internet, pero, al contrario de otro tipo de “malware”, su principal característica es no levantar sospechas. Pretenden así extenderse en el tiempo, despertando sólo cuando se le ordena, logrando formar verdaderos ejércitos denominados “Botnets”, redes de robots, uniéndose a gran cantidad de semejantes. Ejércitos dispuestos a lanzarse sobre el objetivo dictado por su “Bot Master” con tan sólo recibir la orden apropiada.

¿Qué buscan los “Bot Master” con estas “botnets”? La respuesta es cada vez más fácil: rentabilidad. Los “Bot Master” alquilan este tipo de redes a todo aquel que quiere hacer uso del gran potencial distribuido que brindan: spammers, scammers, phishers, grupos terroristas, etc. Presumen de su robustez y efectividad: ataques lanzados desde todas estas máquinas colonizadas consiguen ser más difícil de evitar que un ataque lanzado desde la propia máquina del “Bot Master”.

Sus principales vías de propagación son las habituales: correos electrónicos y redes de mensajería instantánea (ofreciendo increíbles videos o programas antivirus gratuitos que no hacen más que esconder bajo el plugin que falta para ver el video, en el primer caso, o bajo el falso antivirus, en el segundo, el verdadero software robot), páginas web especialmente diseñadas para ejecutar el código de instalación de dicho software en nuestra máquina con tan sólo ser visitadas con un navegador vulnerable y sin nosotros ser conscientes, redes peer-to-peer que ofrecen gratuidad con peligro, distribución de software por medio de redes sociales tras la “ingeniería social” correspondiente, etc.

¿Cómo funcionan? Una vez instalado el software en nuestro ordenador abrirá una conexión con algún servicio ofrecido desde Internet público: suscripción a grupos de noticias o a canales de chat (IRC), abriendo conexiones a redes peer-to-peer, etc., o privado: simplemente conectándose al servicio especialmente diseñado y alojado en su “propio servidor”. A través de esta conexión inicial el bot es capaz de recibir órdenes, actualizarse, e incluso desinstalar otros bots alojados en nuestra máquina o convivir con ellos.

Todos nos deberíamos hacer estas preguntas: ¿formo parte de una botnet? ¿Qué puedo hacer para evitarlo? Los consejos son los ya conocidos y poco practicados: no trabajar habitualmente en nuestro sistema operativo con una cuenta de administrador, interesarnos por la seguridad de nuestra máquina y permanecer informados sobre la evolución de las amenazas, mantener actualizado nuestro antivirus, instalar un buen cortafuegos que inspeccione y filtre todas las conexiones salientes que se produzcan sin nuestro consentimiento (evitando que el bot “llame a casa” para ponerse en contacto con su dueño), dejar el ordenador encendido sin ningún programa que haga uso de Internet y observar la actividad de nuestra conexión (hay programas que ayudan a monitorizar la actividad de red), junto con lo anterior, acudir a la línea de comandos y al viejo amigo “netstat” ;-) si observamos actividad sospechosa. Además, podemos complementar todo esto con herramientas gratuitas de “escaneo desde la nube” como esta, esta otra, y muchas más.

Salud, y evitad caer en las teledirigidas telarañas.

Dejar comentario.

Seguridad de la información en los hogares

A continuación os dejo el artículo número 4 que, continuando mi línea de colaboración, he publicado en el blog del Colegio Oficial de Ingenieros de Telecomunicación de Andalucía Occidental y Ceuta. Divulgad que algo queda ;-).

Quiero aprovechar el artículo de este mes de febrero para divulgar el estudio que, de forma trimestral e ininterrumpida desde 2004, elabora el Instituto Nacional de Tecnologías de la Comunicación (INTECO) sobre la seguridad de la información y la e-confianza de los hogares españoles. Sirva también este artículo para invitaros a todos los que aún no conozcáis este Instituto Nacional a visitar su web y, en especial, a consultar su sección de Seguridad, la cual contiene mucha información útil para todos los usuarios de las TICs preocupados por mantener a salvo su información. Aprovechad, asimismo, para recomendadlo a vuestros familiares y amigos pues está realizando una gran labor divulgativa que, como a continuación veremos, es cada día más necesaria. El Estudio sobre la seguridad de la información y la e-confianza de los hogares españoles pretende actuar como un termómetro que indica la evolución de una serie de indicadores que, como su nombre sugiere, presentan información sobre el uso y costumbres de los usuarios de las TICs.

La información aparece clasificada en una serie de apartados: medidas y hábitos de seguridad, incidencias de seguridad, seguridad y fraude on-line, seguridad de las comunicaciones móviles e inalámbricas de los hogares, consecuencias de las incidencias de seguridad y reacción de los usuarios ante ellas y e-confianza de los hogares españoles.

No me extenderé mucho en comentar cada uno de ellos pues tenéis disponibles tanto un “resumen ejecutivo” como una “reseña” algo más extensa, que acompañan al propio estudio. Sí que aprovecharé para dar mi opinión (de esto va el blog, ¿no?) sobre aquellos aspectos que considero más significativos.

Me parece muy acertado distinguir entre “medidas de seguridad automatizables” (programas antivirus, cortafuegos, anti-“todo”, actualizaciones, etc.) y “medidas de seguridad no automatizables” (copias de seguridad, partición del disco duro, utilización habitual de usuario con permisos reducidos, cifrado de documentos o datos, etc.), pues nos permite detectar el gran escalón que aún existe entre la adopción de unas y otras. El uso de las automatizables está enmarcado entre el 64% y el 91%, exceptuando herramientas más actuales como el anti-fraude (34%) y alertando sobre el poco uso (38%) de herramientas ya clásicas para la protección de menores basadas en control parental. Por el contrario, el uso de medidas no automatizables se sitúa entre el 50% y el 78%, destacando el porcentaje de usuarios que se preocupa por salvaguardar su información, sólo el 60%, y el escaso uso que se realiza de métodos/herramientas de cifrado de la información cuando esta se transmite o se almacena: DNI electrónico y certificados digitales en torno al 23% y cifrado de documentos alrededor del 18%. Todo esto me hace pensar que sigue existiendo una gran confusión entre la preocupación por la conservación del sistema y no por la conservación de la información que de verdad nos interesa. Se sigue olvidando que todas las herramientas automatizables no son más que barreras para frenar un posible desastre que conlleve pérdida de información, ¿qué pasa si alguna de ellas falla? Hecho que suele ocurrir.

La “intención declarada de uso de medidas de seguridad automatizables y no automatizables en los próximos 3 meses” no deja de subrayar el hecho resaltado en el párrafo anterior: la adopción de hábitos correctos sigue muy por detrás de la adopción de barreras “protectoras”. Sin embargo, la adopción masiva de estas últimas provoca una falsa sensación de seguridad que queda destruida cuando se acaba sufriendo un incidente grave.

Por último, también me ha llamado mucho la atención los motivos por los que no se utilizan estas medidas de seguridad (tanto automatizables como no). Fijaos que la mayoría de respuestas se encuadran en la columna “No conoce”. Sin embargo, esto contrasta con el conjunto de “Medidas demandadas a la administración”: las medidas agrupadas bajo el bloque de “sensibilización” acaparan el 10% aproximadamente de las demandas frente a las de “respuesta técnica” que acaparan el 33%. Otra vez clamando a papá Estado que nos resuelva los problemas en lugar de que nos ayude a que seamos capaces de resolverlos por nosotros mismos, o incluso a lo que es aún mejor: evitarlos.

Y todo esto cuando en el mes de septiembre, el cual supuso un mínimo histórico, el 56,2% de los ordenadores seguían comprometidos. Permitidme poner esto en contexto: tu microempresa (las medidas de seguridad en las “microempresas” suelen ser similares a las adoptadas en los “hogares”) y la de tu amigo: una de las dos está infectada, una de las dos está perdiendo información o siendo utilizada para realizar “cyberdelitos”… ¡escalofriante!

En fin, que parece que seguimos confiados en que más valen que nos curen en lugar de que nos ayuden a no enfermar, ignorando que la cura suele llegar demasiado tarde: cuando la pérdida de información ya se ha producido.

Resguárdense.

Dejar comentario.

Tendencias 2010

A continuación os dejo el artículo número 3 que, continuando mi línea de colaboración, he publicado en el blog del Colegio Oficial de Ingenieros de Telecomunicación de Andalucía Occidental y Ceuta. Espero que os ayude a tomar decisiones ;-).

Las fechas en las que nos encontramos invitan a realizar un ejercicio de previsión que nos ayude a identificar aquellos temas que acabarán destacando a lo largo de este año. O quizá, como viene siendo habitual, alguno de ellos acabe retrasándose aún más, para desgracia de aquellas organizaciones que así lo sufran. Por tanto, aceptando los riesgos que supone todo pronóstico, voy a intentar describir los que, a mi juicio, pueden ser los temas a considerar por los responsables de seguridad de las organizaciones, obligándoles a tomar decisiones y, como no, a evaluar sus riesgos.

También aprovecharé algunos de los puntos para ver que impacto tienen en el usuario final, ya sea desde un punto de vista profesional, cuando está trabajando en su organización, o personal, cuando trabaja en casa para resolver sus propios asuntos: económicos, ocio, búsqueda y utilización de información, etc.

- Seguridad en entornos virtualizados

Diversos estudios publicados nos informan de que el porcentaje de crecimiento de las soluciones virtualizadas está siendo superior al 30%. Gran parte de este crecimiento se debe a que muchas organizaciones están confiando su infraestructura o sus aplicaciones a terceros que las alojan sobre “entornos virtualizados”. Este movimiento ha sido realizado buscando una mayor flexibilidad en la configuración de las plataformas, así como intentando disminuir la inversión asociada a la evolución tecnológica, mejorando el retorno de la misma.

Sin embargo, este enfoque implica una cesión a terceros de información “crítica” para el negocio, siendo cada vez mayor el número de estos con los que la organización comparte información. ¿Cómo se protege esta información? ¿Quién tiene acceso a ella? ¿Quién se responsabiliza de lo que le pueda ocurrir, o lo que es lo mismo, qué cláusulas se han de especificar en los contratos que regulan la prestación del servicio?

- Registros de logs, correlación y confiabilidad

Recuerdo, en los años en los que comencé a trabajar, ver impresoras conectadas a las salidas de consola de aquellos sistemas de los cuales se quería tener un registro “físico” de lo que iba ocurriendo en cada momento. Algo ha cambiado desde aquel entonces en los que interminables rollos de papel eran agujereados por impresoras matriciales. Aunque todos los administradores serios de sistemas prestan una especial atención a los logs, no en vano son los que nos proporcionan pistas claves para averiguar lo que ha ocurrido o está ocurriendo, no todos ellos se preocupan de almacenarlos para hacer posible un posterior análisis con mayor detalle, si fuera necesario, o incluso para demostrar ante la autoridad judicial los daños y la responsabilidad de quien los llevó a cabo.

Por tanto, las preguntas claves son: ¿nos están aportando los logs toda la información que necesitamos? ¿Existen mecanismos de correlación, filtrado y lanzamiento de alarmas? ¿Tenemos herramientas que garantizan la confiabilidad de los logs que se están produciendo? ¿Están los logs siendo almacenados de forma que su integridad pueda ser verificada? ¿Somos conscientes de que cualquier detalle que se escape en su tratamiento puede invalidarlos como pruebas judiciales?

- Dispersión de datos y amenazas

Se está haciendo mucho hincapié en como la información fluye a lo largo y ancho de la organización. Podemos encontrar información clave para el negocio en: servidores de correo, servidores de ficheros, bases de datos, discos duros de los puestos de trabajo, memorias usb que entran y salen de la organización y, para los más eruditos en La Red, en aplicaciones que son prestadas desde “la nube”: almacenamiento en red, correos electrónicos personales, redes sociales, herramientas colaborativas, etc.

Asimismo, se comprueba (véase el último informe del INTECO sobre la seguridad en los hogares) que las amenazas evolucionan cada vez más rápido, llegándose a detectar un amplio conjunto de variaciones de los mismos especimenes. La característica fundamental: todos ellos intentan pasar desapercibidos y robar información confidencial que puede ser utilizada para ganar dinero.

Medidas: ¿qué información es crítica? ¿Hemos identificado dónde está esa información? ¿Existen políticas en la organización que garanticen su correcto tratamiento? ¿Hemos implantado mecanismos que nos garanticen que esa información no “se escapa” de forma incontrolada?

- El eslabón más débil: el factor humano

Muchos estudios nos siguen mostrando que el eslabón más débil de la cadena de seguridad sigue siendo el factor humano: que el porcentaje de equipos infectados ronde el 60%, que sólo el 30% de los usuarios gestione las actualizaciones de sus sistemas (software de seguridad, sistema operativo, aplicaciones), y que sólo el 34% de los mismos se preocupe de escanear los ficheros descargados de redes P2P, junto con el escaso conocimiento de conceptos como el de: cortafuegos, anti-spam, anti-fraude, etc., y la poca preocupación por adoptar habilidades favorables a la protección de la información: contraseñas fuertes, copias de seguridad, cifrado de la información confidencial, etc., así lo demuestra.

Cada vez es más patente la necesidad de formación y de crear cultura de seguridad en las organizaciones. La seguridad se sigue sintiendo más como un inconveniente que como una ayuda al correcto desempeño del trabajo diario.

Quizá, como me comentó un compañero, no viniera mal una campaña publicitaria de organismos públicos, entre tantas, ilustrando alguno de estos conceptos.

- Orientación al negocio

Desconozco si será una tendencia o un deseo mío. Ya lo comentaba en otro de mis artículos. Se viene detectando la necesidad de que los responsables de seguridad estén cada vez más involucrados en el entendimiento del negocio y de los procedimientos con los que se enfrentan las personas que trabajan en la organización. La seguridad está escapando de su jaula tecnológica y está filtrándose por cada una de las fibras que componen el tejido de la organización.

El arte: ser capaz de enfrentarse a las múltiples y evolucionadas amenazas impactando lo menos posible en el negocio, e incluso favoreciendo la adopción de nuevas formas de interrelación.

Iremos observando como transcurre este nuevo año 2010.

Y comentándolo.

Dejar comentario.

Seguridad de la información. Algunos conceptos básicos.

Continuando mi colaboración con el blog del Colegio Oficial de Ingenieros de Telecomunicación de Andalucía Occidental y Ceuta, hoy he presentado "los conceptos básicos" que sirven de cimientos al más amplio: "seguridad de la información". Asimismo, recojo al final un consejo práctico que nos ayuda a evitar infecciones a través de dispositivos USB, las más comunes hoy en día.

Os dejo a continuación la que ha sido mi 2ª colaboración.

Pensando en el carácter público de este blog, y así, en la diversidad de conocimientos que atesorarán los distintos lectores que nos visiten, he pensado que, tras el primer artículo dedicado a la “seguridad de la información” que publiqué a modo de presentación, es conveniente proceder en este a fijar algunos conceptos muy básicos que ayudarán a comprender los cimientos del tema que nos ocupa. Intentaremos, pues, responder a la siguiente pregunta: ¿qué encierra el concepto “seguridad de la información”?, o formulada de otro modo: ¿sobre qué conceptos básicos se construye?

El Diccionario de la Real Academia Española (DRAE) recoge, al menos, estas cuatro acepciones del adjetivo seguro:

1. adj. Libre y exento de todo peligro, daño o riesgo.
2. adj. Cierto, indubitable y en cierta manera infalible.
3. adj. Firme, constante y que no está en peligro de faltar o caerse.
4. adj. No sospechoso.

En el marco de la seguridad de la información utilizamos una serie de conceptos que identifican cada una de estas cualidades en los diferentes elementos utilizados. Así, definimos: Integridad: propiedad que busca mantener la información libre de modificaciones realizadas por personal no autorizado.

Confidencialidad: propiedad que garantiza el uso de la información sólo por personal autorizado.

Disponibilidad: propiedad de la información de estar accesible a los usuarios de la misma.

No repudio (irrefutabilidad): esta propiedad liga la información a un determinado autor, evitando el rechazo de su autoría.

Por tanto, podremos decir que algo es tanto más seguro cuanto mayor grado de estas propiedades atesore, es decir, cuanto más íntegro, más confidencial, más disponible y más irrefutable sea.

Un enfoque práctico, que nos ayude a obtener el objetivo buscado, ha de comenzar con la siguiente pregunta: ¿qué necesitamos proteger y qué se debe garantizar?, para que una vez identificados estos elementos continuemos preguntándonos: ¿de qué necesitamos protegerlo?, cuya respuesta nos revelará las diversas vulnerabilidades y amenazas que podrán poner en riesgo alguna de las propiedades descritas (integridad, confidencialidad, disponibilidad y no repudio), finalizando el ciclo con la pregunta: ¿cómo vamos a protegerlo?

La seguridad así enfocada pasa de ser un estado, que en un determinado momento califica a nuestra información, a ser un proceso continuo que requiere ser evaluado, adaptado y mejorado constantemente, puesto que las respuestas a las tres preguntas que nos hemos hecho van evolucionando con el tiempo, y el cambio de sólo alguna de ellas muy probablemente implique la adaptación del resto. Por ejemplo, si aparece una nueva amenaza hemos de encontrar un nuevo mecanismo de defensa, si aparece un nuevo elemento a proteger, o cambia su entorno, sus usuarios o su tecnología, hemos de emprender de nuevo el camino que nos llevará a recorrer las amenazas que sobre él se ciernen y los mecanismos de defensa que tendríamos que poner en marcha.

Desde el punto de vista estratégico de la seguridad de la información en una organización, toda planificación comenzará por un análisis de riesgos cuyos principales resultados serán: tipos de activos con los que cuenta la organización (inventario), qué vulnerabilidades incorporan, qué amenazas se ciernen sobre dichos activos, y qué salvaguardas se han de considerar para proteger dichos activos. Esto sería un análisis cualitativo, que es el que mayoritariamente se practica. Un análisis cuantitativo intentará obtener una magnitud que nos informe del estado de nuestros activos. Suelen estar asociadas a los conceptos de “Esperanza de Pérdida Anual” o “Coste Anual Estimado”, y su cálculo consiste en multiplicar la “pérdida potencial” por la “probabilidad de que ocurra”. La gestión de todo este proceso ha de ser continua en el tiempo, como ya indicábamos en el párrafo anterior.

Y como en todos mis artículos intentaré terminar con una sección más operativa y práctica, tanto para las organizaciones como para los usuarios domésticos, me gustaría despedirme destacando un secreto a voces recogido en el último informe que sobre la seguridad ha elaborado la compañía ESET (especializada en software de protección: antivirus, antispam, etc.): la principal vía de contagio de malware entre ordenadores es el autoarranque de ficheros contenidos en las memorias USB. Personalmente en todos mis ordenadores tengo deshabilitado el autoarranque pues creo que aporta muy poco para el gran riesgo que supone.

¿Cómo se hace?

En Windows XP:

1. Abrimos un bloc de notas y copiamos lo siguiente (tres líneas independientes):

Windows Registry Editor Version 5.00

[HKEY_{LOCALMACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer}]

“NoDriveTypeAutoRun”=dword:000000b5

1. Guardamos el archivo en algún lugar de nuestro ordenador con el nombre Quitar_Autorun.reg
2. Hacemos doble clic en el archivo que hemos creado y saldrá una ventanita en la que se nos pregunta si estamos seguros de querer agregar la información de dicho archivo al registro de Windows.
3. Hacemos clic en “Sí” y se termina el proceso.

Para Windows Vista:

1. y 2. Son los mismos pasos que los descritos para Windows XP.
2. Hacemos clic con el botón derecho del ratón en el archivo que hemos creado y seleccionamos “Combinar”.
3. Debemos “darle permiso” a las ventanas que nos lo soliciten y después saldrá una ventanita n la que se nos pregunta si estamos seguros de querer agregar la información de dicho archivo al registro de Windows.
4. Hacemos clic en “Sí” y se termina el proceso.

Para GNU/Linux:

Ya han terminado ;-) Duerman tranquilos.

Salud.

Dejar comentario.

Colaborando con el blog del COITAOC

Hoy viernes, 13 de noviembre de 2009, inicio una nueva colaboración con el blog del Colegio Oficial de Ingenieros de Telecomunicación de Andalucía Occidental y Ceuta. Intentaré ir recogiendo aquí también las entradas que publico allí, a modo de backup, ya que de la seguridad de la información se trata ;-).

Os dejo a continuación la que ha servido para inaugurar la colaboración.

Quiero comenzar este primer artículo sobre seguridad de la información dándole las gracias al departamento técnico del COITAOC por invitarme a colaborar en esta nueva y emocionante aventura, que nos permite compartir nuestros conocimientos sobre distintas temáticas desde una óptica tan personal como la que brinda un blog: sus artículos y sus comentarios. En los años que llevo trabajando en diferentes proyectos relacionados con las TIC he desarrollado un punto de vista no dogmático, y aquí, en esta sección, asumiré el riesgo de transitar por la delgada línea que separa lo generalmente aceptado y lo individualmente cuestionado. ¿Cuál es la situación actual del tema que nos ocupa? ¿Cómo hemos llegado hasta aquí? Cuando hace doce años comencé a trabajar en el mundo de las redes de datos de grandes organizaciones, tanto públicas como privadas, se utilizaba el término seguridad para referirnos a los controles físicos, a los registros de entrada que teníamos que superar para acceder a los edificios y además, en algunos lugares de seguridad excepcional, para controlar el acceso al centro de proceso de datos. Algunas de estas organizaciones ya se habían conectado a Internet, las universidades por ejemplo, otras, más centradas en hacer negocio, estaban planteándoselo y no tardarían en dar el salto. La seguridad comenzaba a evolucionar desde esos controles físicos hasta otros controles lógicos que, desde el exterior, tenían que ser superados para lograr el acceso a los sistemas de información. Comenzaba a protegerse los sistemas: en esa época bastaba con cerrar puertos implementando algunos centenares de listas de control de acceso en los encaminadores (routers). Bien es verdad que ya se llevaban utilizando antivirus algunos años, y algunos usuarios, los que tenían la suerte de poder trabajar con sistemas operativos de verdad, podían tener sus propias credenciales de acceso a su sesión de trabajo. Los que tuvimos la ocasión de poder contrastar esto que veíamos en los sistemas profesionales con el juguetito que teníamos en casa (¿recordáis cuando en un Windows 9X bastaba con pulsar “cancelar” para saltarnos la pantalla de inicio que nos desafiaba con “usuario” y “contraseña”? Ahora podemos sonreír) creíamos estar descubriendo esos otros mundos de ciencia-ficción que nos mostraban algunas películas (quizá esto fuera lo que nos hizo darle una oportunidad a GNU/Linux). Hoy en día, esta idea de protección lógica de los sistemas de información comienza a darse por obvia, y la preocupación se traslada a la propia información en sí, a esos documentos, bases de datos, correos electrónicos… datos, en definitiva, que fluyen y se dispersan por toda la organización y que un día, sin saber como, aparecen tirados en un cubo de basura (como algún caso de expedientes médicos) o en los discos duros de miles de usuarios porque se han compartido, supongamos que involuntariamente, por redes P2P (como le ocurrió a algún sindicato).

Analizaremos en esta sección desde el enfoque estratégico de la seguridad de la información hasta el enfoque operativo de ésta, desde la política de seguridad de una organización hasta las buenas prácticas que ha de implantar entre sus empleados, desde el conjunto de leyes que han elaborado las administraciones para asegurarnos nuestros derechos hasta las normas aprobadas por organismos internacionales que nos trasladan qué y cómo debemos hacer las cosas para no caer en los errores en los que cayeron otros, y garantizar la eficacia de las medidas adoptadas. Revisaremos el impacto tanto económico como operativo en las organizaciones, en su negocio, y llegaremos a conclusiones que no distan mucho de la clásica idea: en el equilibrio está la virtud, decían.

¿Y qué más? Pues presentaremos algunas tendencias en los productos, en los proyectos, en los servicios, en su despliegue. Y no me gustaría olvidar algunos consejos para nuestro propio día a día, algunas curiosidades y cosillas interesantes que voy encontrando por La Red (si aún tenéis ganas de seguir leyendo podéis echar un vistazo a esto).

Bromeando con algunos colegas suelo decir que quizá se olvidaron de contarnos la octava capa del modelo OSI. Y tú, ¿qué piensas?

¡Que sea por mucho tiempo y disfrutemos con ello!

Dejar comentario.