Desmitificando términos relacionados con ciberseguridad.

Algunas veces cuando se desea contratar los servicios para evaluar el estado de la seguridad informática, algunos de los términos que se utilizan resultan un poco confusos o no son fáciles de entender, por ello, en las siguientes líneas vamos a describir los principales términos utilizados en ciberseguridad tratando de explicarlos de una forma fácil. 

Estos son algunos de los términos utilizados cuando se desena contratar pruebas de seguridad informática:

• Pruebas de seguridad informática

• Pruebas de ingeniería social

• Análisis de vulnerabilidades

• Gestión de vulnerabilidades

• Auditoría informática

• Hacking ético

• Pentesting

Pruebas de seguridad informática: se refiere a un grupo de ejercicios  que se puede llegar a realizar una o varias veces. Dentro de estos ejercicios pueden estar contemplados el análisis de vulnerabilidades, auditorias, pentesting, hacking ético entre otras.

Pruebas de ingeniería social: Las pruebas de ingeniería social se refiere al arte de vulnerar  el sistema operativo humano, es decir, hacer que informáticamente las personas hagan cosas  que normalmente no harían, por ejemplo, revelar sus contraseñas. (Si, si pasa).

Análisis de vulnerabilidades: Es una labor automatizada mediante la cual se verifica,  mediante un software especializado, si las vulnerabilidades reportadas a nivel mundial hasta el momento de las pruebas, se encuentran presentes en los equipos que se desean analizar. 

Gestión de vulnerabilidades: es un proceso continuo de TI consistente en la identificación, evaluación y corrección de vulnerabilidades en los activos de  una organización.

Auditoría informática: proceso que consiste en recoger, agrupar y evaluar evidencias para determinar si lo que esta, es lo que debe ser. El deber ser puede ser una línea base, normatividad, mejores prácticas o regulaciones entre otras. 

Pentest: La prueba de penetración es un procedimiento formal que tiene como objetivo descubrir vulnerabilidades de seguridad, riesgos de fallas y un entorno poco confiable. Puede verse como un intento exitoso pero no dañino de penetrar en un sistema de información específico.

Hacking ético: es un término global que incluye todos los métodos de hacking  y otros métodos de ataque cibernético relacionados.

Comparado con el hacking ético, el pentest es una fase enfocada. En pocas palabras, el hacking ético es algo así como un término genérico, y el pentest es  sólo un fragmento de todas las técnicas de hacking, por lo tanto, las pruebas de penetración son un subconjunto del hacking ético.

En este cuadro se puede ver más en detalle la diferencia entre los dos términos, y uno de los factores que más los diferencia es el hecho de que no se requiere certificaciones para ejecutar pruebas de pentest lo cual si es requerido para ejecutar pruebas de hacking. 

Pentest	Hacking ético
Un término limitado que se centra en realizar evaluaciones de ciberseguridad en sistemas de TI.	Un término integral en el que las pruebas de penetración son solo una característica.
Un probador necesita tener un buen conocimiento y habilidades solo en el área específica para la cual realiza la prueba pentest.	Un hacker ético necesita poseer un conocimiento integral de diversas técnicas de programación y hardware.
Cualquiera que esté familiarizado con las pruebas de penetración puede realizar pruebas de pentest.	Por lo general, se requiere una certificación obligatoria de ethical hacking. (Ejm CEH)
Se requiere acceso solo a aquellos sistemas en los que se realizará la prueba de pentest.	Se requiere acceso a una amplia gama de sistemas informáticos en toda la infraestructura de TI.

Recuerde que las pruebas de seguridad informática siempre deben ser realizadas por personal especializado de preferencia con experiencia, certificado o con estudios en el área.

Cuatro componentes para prevenir incidentes de ciberseguridad.

Uno de los pilares fundamentales sobre los cuales esta soportada gran parte de las organizaciones es la tecnología. Mantener este pilar operando es fundamental ya que en él se apoya el manejo de la información, los datos y las conexiones que necesita la organización para apalancar los procesos de negocio.

 

Para mantener este pilar en operación, son cuatro los componentes básicos que le pueden llegar a ayudar para minimizar el impacto de un posible incidente de seguridad: 

• Tecnología actualizada. 

• Ingenieros capacitados  con experiencia.

• usuario final concientizado.

• procedimientos adecuados. 

El primer paso es mantener equipos de protección perimetral actualizados y con los debidos contratos de mantenimiento, de la misma forma, el software de los servidores deberá estar actualizado y con sus respectivas licencias operativas, igualmente pasa con el software de los computadores del personal, deberán estar actualizados y operativos. 

De preferencia, todo el software de organización deberá esta inventariado y adquirido a un fabricante reconocido que le pueda brindar el soporte y la capacitación para la operación del mismo. El software libre o “gratis”  no ofrece el soporte que se puede llegar a requerir en caso de un incidente, adicional, en la mayoría de los casos la curva de aprendizaje es alta y no es fácil de conseguir personal para su operación, por todo esto lo recomendado es software comercial. 

Importante tener el personal de tecnología con experiencia y capacitado  en la operación de los equipos de cómputo y usuario final.  No se recomiendan practicantes o ingenieros recién egresados para administrar los equipos en donde se encuentra la información crítica de la organización. Dejar la operación del centro de cómputo a personas sin experiencia es igual a contratar a una persona que acaba de sacar su licencia de conducir  para transportar gente en un bus de servicio público.

El talón de Aquiles de toda empresa, “usuario final no capacitado”. Este es el eslabón más débil de la cadena de seguridad, un usuario final capacitado será nuestra primera línea de defensa, por ejemplo, reportará posibles ataques a través del correo electrónico. 

Procedimientos adecuados, para que recorrer a ciegas el camino  que muchas empresas ya lo han recorrido. Una buena práctica es alinear los procedimientos de la organización con las mejores prácticas en temas de ciberseguridad. Adoptar un marco de trabajo como el marco de ciberseguridad del NIST le puede ayudar a madurar  los procesos en temas de ciberseguridad. 

Para finalizar, recuerde siempre tener personal capacitado y usuario final concientizado, por lo demás, tener en cuenta las recomendaciones sobre los cuatro componentes básicos que le pueden ayudar en la prevención de la materialización de un incidente de ciberseguridad. 

Porque el análisis de vulnerabilidades dos veces al año no es suficiente.

Con el creciente aumento de ataques informáticos que sufren las organizaciones actualmente, se hace necesario reevaluar la frecuencia con la que se revisan las vulnerabilidades informáticas presentes en los equipos informáticos y los riesgos digitales a los que estos están expuestos. 

Independiente del país donde se encuentre, la normatividad le exigirá que realice dos o cuatro análisis de vulnerabilidades  dependiendo del sector en  el cual se encuentre. Esta es la medición mínima que debe hacer de acuerdo con las normatividades vigentes hace más de diez años.

La pregunta aquí sería: ¿desea cumplir con la normatividad exclusivamente o prefiere atender su cumplimiento y a la vez proteger su organización con la detección temprana de riesgos digitales?

Analicemos el caso de la empresa AAA que desea solo cumplir con la normatividad y para ello contrata una consultoría externa que ejecuta dos análisis de vulnerabilidades al año, uno en la primera semana de enero y otro en la primera semana de julio. 

Teniendo en cuentas que la mayoría de los fabricantes liberan parches de seguridad semanalmente y que solo durante el 2019 se descubrieron 12174 vulnerabilidades a un promedio de 230 nuevas vulnerabilidades por semana, vamos a tomar la semana como la unidad de frecuencia de análisis de vulnerabilidades. 

Para la empresa AAA, si solo se realizan dos análisis durante el año entonces solo en dos de las cincuenta y dos (52) semanas sabrá cómo está sus activos informáticos con respecto a las vulnerabilidades conocidas hasta el momento, tendrá solo 4% de visión, lo que quiere decir que el 96% del año no sabrá si esta expuesta, adicionalmente, si son descubiertas nuevas vulnerabilidades en febrero, marzo o cualquier otro mes ciego, deberá esperar hasta la primera semana de julio para saber si las nuevas vulnerabilidades halladas se encuentran en alguno de sus activos informáticos.

    

En la tabla podemos observar que a medida que se incrementa el número de análisis por año, también aumenta el porcentaje de visibilidad del riesgo digital. 

El porcentaje de incertidumbre se puede determinar como el porcentaje del tiempo en un año en el que la empresa no sabe si está expuesta a nuevos riesgos digitales.  A mayor frecuencia de análisis, menor porcentaje de incertidumbre. 

Para concluir, se puede decir que dos veces al año no es suficiente, el análisis de vulnerabilidades se debe realizar lo más frecuentemente posible para reducir el nivel de incertidumbre ante los riesgos digitales. A manera de anotación debo decir que  hay organizaciones que de acuerdo con la criticidad de sus activos, realizan dos o tres análisis por semana.

En una próxima entrada veremos las diferencias entre los siguientes términos: Análisis de vulnerabilidades, pruebas de hacking ético, pruebas de pentesting y pruebas de auditoría.

Tenga en cuenta que para este post solo se trató exclusivamente del tema de análisis de vulnerabilidades, independiente si se realiza de forma interna o con una firma externa especializada en el tema, más adelante hablaremos de la inclusión del análisis de vulnerabilidades dentro de un programa de gestión de vulnerabilidades y como se puede incluir este programa dentro del marco de ciberseguridad para el tratamiento de riesgos digitales.