Conoce la definición de los principales términos utilizados en ciberseguridad

Cuando hablamos sobre ciberseguridad se escuchan términos algunos conocidos otro no tanto, en este post verás los principales términos utilizados y su definición:   

• Amenaza: causa potencial de un incidente no deseado, que puede causar daños a un sistema u organización
• Ataque: intentar destruir, exponer, alterar, deshabilitar, robar u obtener acceso no autorizado o hacer un uso no autorizado de un activo.
• Auditoría: proceso sistemático, independiente y documentado para obtener evidencia de auditoría y evaluarla objetivamente para determinar hasta qué punto se cumplen los criterios de auditoría.
• Autenticación: garantía de que una característica reivindicada de una entidad es correcta.
• Confidencialidad: propiedad por la que la información no se pone a disposición o se divulga a personas, entidades o procesos no autorizados.
• Control: medida que modifica un riesgo.
• Disponibilidad: propiedad de ser accesible y utilizable a solicitud de una entidad autorizada.
• Impacto: el costo para la empresa de un incidente.
• Incidente: evento inesperado o no deseado que poseen una probabilidad significativa de comprometer las operaciones del negocio y amenazar la seguridad de la información.
• Integridad: propiedad de la exactitud y la integridad.
• Política: intenciones y dirección de una organización, según lo expresado formalmente por su alta dirección.
• Probabilidad: posibilidad de que algo suceda.
• Proceso: conjunto de actividades interrelacionadas o interactivas que transforman entradas en salidas.
• Riesgo: efecto de la incertidumbre sobre los objetivos. Un efecto es una desviación de lo esperado - positivo o negativo. La incertidumbre es el estado, incluso parcial, de la deficiencia de la información relacionada, la comprensión o el conocimiento de un evento, su consecuencia o probabilidad.
• Vulnerabilidad: Debilidad de un activo o control que puede ser explotado por una o más amenazas.

Si quieres conocer más términos utilizados en seguridad, puedes consultar el siguiente link: https://www.iso27000.es/glosario.html

Conoce tres tópicos que debes tener en cuenta cuando contratas un desarrollo de software

En el siguiente post vamos a ver algunos consejos acerca de que incluir dentro del contrato de desarrollo de software cuando este es desarrollado por un tercero.

Desde hace algunos años, el desarrollo de software ha venido evolucionando, los nuevos desarrollos se hacen en ambientes segregados como desarrollo, pruebas y producción. Se utilizan metodologías de desarrollo seguro para evitar exponer los datos que se manejan con la aplicación.

Adicional a todo esto, a continuación encontraras consejos que debes tener en cuenta cuando firmas un contrato de mantenimiento:

• Propiedad del código: Debes tener claridad acerca de quien va a ser el propietario del código fuente desarrollado ya que debería quedar a favor de la empresa que contrata para evitar tener dependencia con el tercero.
• Librerías de terceros: Dentro del contrato se debe especificar si se permite la inclusión de desarrollos de terceros, por ejemplo, librerías de fuente abierta, o componentes comerciales sobre los que no se  tengan control.
• Software seguro: El software entregado deber haber sido probado para verificar que se encuentra libre de vulnerabilidades. Deberá tener como mínimo dos tipos de pruebas: en código fuente y en operación.

Incluye estos tres aspectos dentro de tus contratos de desarrollo de software y esto te permitirá mantener tus desarrollos seguros. 

Esto es lo que debe contener un Plan de Recuperación de Desastres de TI de acuerdo con 800-34

En el siguiente post veremos lo que debe contener un  plan de recuperación de desastres para áreas de TI. Enumeraremos siete aspectos básico que están contenidos dentro de la publicación NIST 88-34 rev1 Contingency Planning Guide for Federal Information Systems.

Estos son los lineamiento mínimos que debera contener tu DRP para atender de forma organizada un posible evento que pueda llegar a afectar los activos de tu organización.

1. Desarrolle una política de DRP: La política deberá estar documentada y aprobada por la alta dirección, esto le garantizará el debido apoyo y los recursos necesarios para su implementación y mantenimiento. 
2. Realice un análisis de impacto en el negocio (BIA): Este proceso le permitirá identificar y priorizar los sistemas críticos dentro de su organización. 
3. Identifique controles preventivos: tenga en la mira los controles que le ayudan a evitar que se afecten los objetivos de la organización. 
4. Desarrolle estrategias de recuperación: Diseñe estrategias que le ayuden a recuperar un servicio completo de forma rápidamente al menor costo posible.  
5. Desarrolle un plan de contingencia: dentro de este plan debe estar contemplado los objetivos, procedimientos, responsables y tiempos de recuperación para la restauración del sistema afectado. 
6. Plan de pruebas, entrenamiento y ejercicios: debe tener un plan de pruebas diseñado el cual deberá ser probado por lo menos dos veces al año. El personal deberá estar capacitado y entrenado. Al final de cada ejercicio se deberán tener lecciones aprendidas y opciones de mejora para optimizar el plan. 
7. Mantenimiento: El plan deberá tener mantenimiento constantemente debido a que pasan acciones que ameritan su afinamiento como por ejemplo, cambio de personal, cambio de tecnología, descubrimiento de nuevas amenazas o riesgos, entro otras cosas. 

Ten en cuenta estas siete recomendaciones para desarrollar el plan de recuperación de desastres de tu organización, esto te permitirá la rápida recuperación de los servicios esenciales en caso de que ocurra un evento no deseado. 

El perverso arte de esperar que pase algo para actuar

En este post veremos y porque y las consecuencias de publicar servicios deliberadamente sobre Internet sin tener en cuenta las recomendaciones mínimas de ciberseguridad. 

Parece increíble, pero al día de hoy existen empresas que exponen sus servicios sobre Internet manejando datos personales de sus clientes o de la propia organización, sin implementar los mínimos controles de ciberseguridad.

Esto es considerado como un riesgo crítico para la organización, ya que puede exponer información crítica del negocio o datos de terceros por lo cuales puede llegar a ser investigada. Esto puede afectar su imagen empresarial y adicionalmente puede llegar a ser sancionada económicamente por los entes reguladores.  

Estas son cinco causas que pueden estar frenando el crecimiento de la ciberseguridad en tu organización:

• Desconocimiento de los peligros en Internet: Internet es una red hostil, todos los días los delincuentes buscan comprometer la confidencialidad, integridad o disponibilidad de los datos o servicios que se publican en la red, es hecho de que los desconozcan no quiere decir que no existan.
• Tecnología obsoleta y limitados recursos: Este es el mayor dolor de cabeza, lamentablemente los equipos y software están diseñados para que operen por aproximadamente tres años, después de ello se debe planear su reemplazo, así funcionen, los fabricantes dejaran de publicar parches para obligarte a reemplazarlos.
• Aversión al cambio tecnológico: Si algo funciona no lo cambies, es cierto, pero en ciberseguridad esto no aplica, todos los días se descubren nuevas vulnerabilidades que exponen nuestros datos por lo que debemos anticiparnos a ello trabajando la ciberseguridad. 
• Acceso limitado a personal especializado: Si no tiene acceso a personal especializado, contrata los servicios con una empresa con experiencia en ciberseguridad.
• Asignación de recursos a otros objetivos: si no has visto que haya pasado algo no quiere decir que no te esté pasando, la ciberseguridad llego para quedarse y hace parte intrínseca de la tecnología, debe tener sus recursos asignado al igual que tecnología.

Las consecuencias de la materialización de los riesgos son más costosas que poner controles para prevenirlas, un antivirus empresarial te cuesta en promedio 10 dólares, el costo de recuperación de un virus ransomware es de mínimo $5.000 dólares por equipo. 

Debes destinar los recursos adecuados para los proyectos de ciberseguridad, asesorarte de personal especializado en el tema y ejecutar proyectos que te permitan estar un paso adelante de los delincuentes informáticos.