A pesar de una ola de violaciones de datos de alto perfil en el último año, muchos ejecutivos aún no logran apreciar las contribuciones de su CISO y verlas principalmente como chivos expiatorios en caso de una violación de datos.

Son muchos los ejecutivos que ni entienden ni valoran el papel de su CISO, y lo ven como chivos expiatorios convenientes en caso de una violación de datos de alto impacto para la marca.

Con la creciente preocupación acerca de las violaciones de datos, las organizaciones valoran la necesidad de un liderazgo de ciber seguridad en los niveles más altos, pero no han logrado avanzar en el empoderamiento del CISO con la autoridad que necesita para defender con éxito a su organización.

En la actualidad resulta necesario que una organización tenga como prioridad incluir en su consejo de administración al menos un miembro con una sólida formación en seguridad cibernética.

El valor del CISO

Las empresas en la actualidad... Continuar leyendo

¿Cómo priorizar los riesgos humanos? La mayoría las organizaciones / responsables de seguridad tienen tiempo y recursos limitados para la sensibilización del personal. Sólo se puede enseñar a la gente y cambiar ciertas conductas como resultado. Eso significa tener un programa de concientización verdaderamente eficaz, priorizar los riesgos humanos y centrarse en ellos. Más fácil decirlo que hacerlo.
Gracias a Roderick Currie de SANS, ahora hay una herramienta para ayudar a hacer precisamente eso. Se trata de una simple hoja de cálculo. La idea es listar todos los diferentes riesgos humanos por los que estamos preocupados. A continuación, evaluar el número de incidentes que han tenido relación con ese riesgo, qué tan probable crees que otro incidente vaya a suceder y el impacto si lo hace.

Esta hoja de cálculo utiliza un enfoque cualitativo para medir el riesgo humano, es decir, se utiliza la escala de bajo, medio y alto. Si bien este enfoque no ... Continuar leyendo

Muchas veces somos poco conscientes de los riesgos que comportan nuestras acciones, y en materia de seguridad y privacidad de la información, el tema se hace todavía más evidente.

Un ejemplo claro de esto es el momento de deshacerse de un antiguo ordenador personal, ya sea para que lo utilice otra persona (venta, donación o cesión), o simplemente para finalizar su vida útil. En dicha situación, muchas personas, preocupadas por la protección de la información contenida en el equipo, sabe que es necesario eliminar sus archivos personales antes de ello. No obstante, ¿Estamos convencidos de que el borrado de datos que realizamos es suficiente para la protección de dicha información? ¿Nadie podrá acceder a dicha información una vez sea eliminada? ¿Quién nos asegura que con técnicas especializadas, un atacante no podrá recuperar mi información?

Los profesionales de la seguridad, nos sentimos con la obligación de informar a los usuarios de sus riesgos... Continuar leyendo

Durante su paso por SEGURINFO 2015 en Argentina, tuvimos la oportunidad de conversar con el reconocido hacker Chema Alonso sobre los principales retos en lo que refiere a la gestión de la seguridad corporativa.

Si pensamos en la gestión de la seguridad en una empresa, ¿es más peligroso un usuario que sabe o que no sabe de los posibles riesgos?

Yo creo que dentro de las empresas hay que hacer que los usuarios entiendan los riesgos. La manera en que los cibercriminales las están atacando ha cambiado; ya no se busca una vulnerabilidad desde afuera, se sabe que siempre hay vulnerabilidades desde adentro que son los empleados. Se están produciendo ataques dirigidos a ellos para conseguir robar cuentas e identidades de los sistemas internos.

Se aprovecha que muchas empresas están invirtiendo en la seguridad perimetral, en proteger las vulnerabilidades del software que está expuesto en Internet, y no se preocupan tanto de poner segundos... Continuar leyendo

Sigue siendo la responsabilidad de la industria monitorear y controlar continuamente sus propios sistemas y entornos. Debido a que las infraestructuras críticas se han convertido en parte de la red corporativa, todos los empleados necesitan ser educados y entrenados para reducir el riesgo de un ataque cibernético.

No es una opción quedarse sentado, esperando lo mejor. El riesgo de un ataque no va a desaparecer y los sistemas críticos son cada vez más vulnerables a esos ataques. Para controlar el riesgo, una organización debe entender su exposición al riesgo enfocándose en sus áreas críticas.

Para mitigar una brecha de seguridad, daños a la reputación y pérdidas financieras, es esencial crear un plan detallado de respuesta a incidentes. La implementación oportuna de este plan es imperativo así como tener expertos de seguridad calificados y de guardia 24x7. Ya que existe una creciente escasez de... Continuar leyendo

Tal vez hayan ido a congresos o conferencias de seguridad informática. En muchos de ellos, no faltan los patrocinadores que, ubicados estratégicamente, prácticamente obligan a los asistentes a pasar por sus puestos para que vean sus nuevos productos de todo tipo. "Protéjase contra las amenazas de hoy día", dicen. "¿Está su empresa preparada para los ciberdelitos?", preguntan. "El nuevo SecWeb X: Si no lo tiene, está indefenso", afirman. "Soluciones empresariales para asegurar lo que más importa: su negocio", pregonan.

Yo paso con cada uno de ellos para recibir folletería y una alta dosis de miedo de no tener el "último grito" en seguridad informática, o me alejo para evitar contestar todas las preguntas que hacen. A veces juego con ellos y les digo que “mi” corporativo es de 10 personas, que yo soy el administrador de sistemas y que dispongo de un... Continuar leyendo

La reforma de 2009 del marco legislativo de la UE para las comunicaciones electrónicas (Directiva de la UE 2009/140/CE) introdujo el artículo 13a en su Directiva Marco (Directiva 2002/21/CE enmendada en 2009/140/CE).

Este artículo 13a se refiere a la seguridad e integridad de las redes, comunicaciones y servicios electrónicos. La primera parte del artículo requiere que los proveedores de redes y servicios gestionen los riesgos de seguridad y mantegan medidas de seguridad apropiadas para garantizar la seguridad (párrafo 1) e integridad (párrafo 2) de sus redes. La segunda parte del artículo (párrafo 3) requiere que los proveedores informen las brechas de seguridad significativas y las pérdidas de integridad a las autoridades nacionales competentes, que además deben informar sobre estos incidentes a ENISA (European Union Agency for Network and Information Security) y la Comisión Europea (CE) anualmente.

En 2010, ENISA, la CE, los ministerios de comunicaciones electrónicas... Continuar leyendo

En la actualidad, las organizaciones hacen uso de tecnologías de la información para su operación diaria. El logro de sus objetivos se debe en gran medida a su utilización. Sin embargo, existen riesgos inherentes a ellas, es decir, la posibilidad de que una debilidad sea aprovechada por una amenaza y sus consecuencias: divulgación, modificación, pérdida o interrupción de información sensible.

Las herramientas y medios técnicos por sí mismos ya no garantizan un adecuado nivel de seguridad con relación al manejo de la información. En este contexto, las políticas de seguridad surgen como una herramienta para ayudar en el proceso de concientización de los miembros de una organización, sobre la importancia y sensibilidad de la información, además de ofrecer un marco normativo para el uso adecuado de la infraestructura de TI.

De acuerdo con la encuesta ... Continuar leyendo

Gobiernos e instituciones han lanzado diversas iniciativas de ciberseguridad, que van desde el establecimiento de determinados estándares hasta leyes y reglamentos más amplios. Para hacer frente a la necesidad de recursos en ciberseguridad, la asociación mundial de auditoría y tecnologías de la información, ISACA, ha publicado sus European Cybersecurity Implementation Series.

Dichas directivas sobre ciberseguridad para Europa son parte del programa Cybersecurity Nexus (CSX) de ISACA un centro de recursos donde las empresas y los profesionales de la seguridad pueden encontrar investigaciones, formación y una comunidad sobre ciberseguridad. Además, esta serie de directivas proporciona asesoría sobre implementación práctica, alineada con los requerimientos y buenas prácticas de la European Network and Information Security Agency (ENISA). Las directivas publicadas incluyen cuatro white papers y un programa sobre... Continuar leyendo

Voy a describir qué veo a diario en las organizaciones y cual es el estado del arte en materia de prevención de incidentes. En este sentido mi visión se basa en mi día a día que posiblemente no afecte tanto a empresas muy grandes donde el área de seguridad de la información cuenta con departamento propio y suficientes recursos asignados.

La reflexión principal que da título a este post es que existe una situación de "Rey desnudo" como el cuento de Hans Christian Andersen dentro de los departamentos de TI en materia de seguridad. Las organizaciones creen que están vestidas por tener sistemas de protección perimetral y antivirus pero realmente no pueden valorar si esas medidas los deja "desnudos" frente a los cibercriminales.

Contenido completo en fuente original Blog de Javier Cao Avellaneda