Estrategia de Ciberinteligencia para las empresas
El cambio generacional en la era digital: velocidad, tecnología y la imperativa necesidad de ciberseguridad
La era digital ha acelerado de manera sin precedentes el cambio generacional. Las nuevas generaciones, nativas digitales, se adaptan rápidamente a los avances tecnológicos, mientras que las generaciones anteriores se esfuerzan por mantenerse al día. Este artículo explora la velocidad de este cambio generacional, la importancia de la tecnología en nuestra sociedad actual y la necesidad crítica de proteger estas innovaciones y a sus usuarios a través de la ciberseguridad. Velocidad del cambio generacional El cambio generacional se refiere a la transición de una generación a otra, marcada por diferencias en valores, actitudes y comportamientos. En el pasado, este cambio era gradual, permitiendo una adaptación natural y progresiva. Sin embargo, la revolución digital ha acelerado este proceso. La generación del milenio y la Generación Z, han crecido en un mundo donde la tecnología es omnipresente, lo que ha resultado en una brecha generacional más pronunciada en cuanto a la adopción y comprensión de la tecnología. Importancia de la tecnología La tecnología es una fuerza motriz en casi todos los aspectos de la vida moderna. Ha transformado la forma en que nos comunicamos, trabajamos, aprendemos y nos entretenemos. La pandemia de COVID-19 ha evidenciado aún más esta realidad, obligando a personas de todas las edades a adaptarse a herramientas digitales para el trabajo remoto, la educación en línea y el ocio digital. Esto ha acelerado aún más la adopción tecnológica en generaciones que anteriormente eran menos dependientes de estas herramientas. Ciberseguridad: una necesidad imperativa Con el aumento de la dependencia de la tecnología, la ciberseguridad se ha convertido en un campo de vital importancia. La protección de datos personales y empresariales contra ciberataques es crucial. Las generaciones más jóvenes, aunque hábiles en el uso de tecnología, pueden ser a menudo complacientes respecto a los riesgos de seguridad. Por otro lado, las generaciones mayores pueden carecer del conocimiento necesario para protegerse en el entorno digital. Esto destaca la necesidad de educación y concienciación sobre ciberseguridad para todas las edades. Conclusión: la importacia de la concienciación y la formación en la era digital En conclusión, la velocidad del cambio generacional en la era digital presenta tanto oportunidades como desafíos. La educación y la sensibilización sobre ciberseguridad son fundamentales en este contexto. La formación debe ser inclusiva y adaptarse a las diferentes competencias y necesidades de cada generación, asegurando un enfoque continuo y evolutivo acorde con los cambios en el panorama de amenazas cibernéticas. Preparar a todas las generaciones para enfrentar y superar los desafíos de seguridad digital es fundamental para asegurar un futuro digital seguro y próspero. La concienciación y la formación en ciberseguridad deben ser vistas como inversiones esenciales en el capital humano de nuestra sociedad, garantizando así que todos puedan navegar por el cambiante paisaje digital con confianza y seguridad. Si bien el cambio climático ha capturado la atención mundial con campañas intensivas sobre la concienciación y la acción, como el reciclaje y la sostenibilidad, la sociedad aún no ha generado un ruido similar respecto al vertiginoso cambio generacional impulsado por la tecnología. Es crucial que iniciemos un diálogo global igualmente vigoroso para educar y apoyarnos mutuamente en la navegación segura y eficaz de este paisaje digital en constante evolución, al igual que nos unimos en la lucha contra el cambio climático. En este contexto, desde Global Technology, ofrecemos nuestro servicio de concienciación, upskilling y reskilling, un programa diseñado para proporcionar formación en ciberseguridad, accesible a personas de todas las edades. Este enfoque integral es un paso esencial para empoderar a las comunidades en la era digital, equipándolas con las habilidades necesarias para enfrentar desafíos tecnológicos con confianza y seguridad
Tendencias de ciberseguridad empresarial para 2024
En este artículo, desde Global Technology, queremos aportar nuestra visión sobre cuáles serán los principales ejes que impulsarán la estrategia de ciberseguridad en el ámbito empresarial en tendencias de ciberseguridad 2024, para hacer frente a los retos que deben afrontar resultado de la imparable evolución tecnológica. El rol del SOC, uno de los pilares de las tendencias en ciberseguridad En primer lugar, habrá que estar atentos a la posible continuidad de los conflictos geopolíticos presentes en 2023 y que han tenido una significada réplica en el ciberespacio, donde actores maliciosos de diversa índole han acometido numerosos ataques contra organizaciones públicas y privadas de todo el mundo. La monitorización continua de la actividad que se genera alrededor de los sistemas de información cobra más relevancia, si cabe, ante escenarios de este tipo. Es aquí donde juega un papel fundamental el Centro de Operaciones de Seguridad (SOC). La capacidad que posee de concentrar y analizar todos los eventos que se registran en las distintas herramientas de ciberseguridad le permiten reaccionar de manera inmediata ante cualquier amenaza y coordinar las actuaciones necesarias en la respuesta a incidentes. El SOC seguirá siendo el núcleo central alrededor del cual girará la estrategia de ciberdefensa de la empresa. Ciberseguridad en entornos IoT A lo largo de 2023 se ha observado un creciente número de ciberataques contra sistemas de control industrial (ICS) desplegados en infraestructuras de todo tipo. Esta tendencia se prevé que siga al alza en 2024. La convergencia entre el mundo IT y el OT, que conlleva la necesidad de integrar soluciones de un lado y otro para optimizar la capacidad productiva de las compañías está generando una mayor exposición de los sistemas OT a las ciberamenazas. La repercusión de los ataques contra estas infraestructuras suele ser significativa, llegando a comprometer seriamente a las organizaciones. Por este motivo, la estrategia de ciberseguridad de las empresas contemplará la incorporación de herramientas que permitan mantener actualizado un inventario de todos los dispositivos OT y monitorizarlos para detectar al instante amenazas y vulnerabilidades. Incremento del ransomware La amenaza del ransomware seguirá expandiéndose. Después de dos años creciendo los casos más de un 20%, el número de organizaciones que se verán afectadas por ciberataques basados en este tipo de malware seguirá aumentando. Esta tendencia es consecuencia de la consolidación del modelo de pago por uso de herramientas para la comisión de estos ataques instaurado por actores maliciosos altamente sofisticados. Es el conocido malware-as-a-service. Este modelo permite que actores con menor cualificación accedan al lucrativo negocio de la extorsión a través de este malware. Las empresas deberán seguir reforzando sus sistemas antimalware, implementar o dar continuidad a las acciones de concienciación a los usuarios y adoptar tecnología de análisis del comportamiento para la detección de amenazas complejas. Las soluciones SIEM de última generación con capacidad para analizar el comportamiento del atacante y del usuario serán un arma altamente eficaz para identificar este tipo de amenazas. Inteligencia Artificial Desde el lanzamiento de ChatGPT en noviembre de 2022, la inteligencia artificial (IA) se ha convertido en uno de los principales temas de conversación. El potencial uso de esta tecnología en el ámbito empresarial tendrá un papel relevante, siendo una de las tendencia en ciberseguridad de 2024, al igual que lo hará la preocupación por resolver algunas dudas que esta tecnología suscita en el ámbito de la ciberseguridad. La confiabilidad y la privacidad de los datos será un asunto en el que se deberá seguir evolucionando. Por otro lado, la IA también será adoptada de manera creciente por los actores maliciosos quienes la utilizarán cada vez más para ampliar el alcance de sus actividades y dotarlas de mayor frecuencia y precisión. Probablemente, veremos campañas de phishing más sofisticadas y a mayor escala que se asemejarán cada vez más a la acción de un humano. Para hacer frente a esta amenaza creciente, los equipos de ciberseguridad se servirán de herramientas que incorporarán nuevas funcionalidades basadas en IA. Así mismo, se apoyarán en las capacidades que ofrece la IA para sus flujos de trabajo, lo cual agilizará los procesos de gestión de las amenazas. Protección del dato El cambio de modelo de trabajo que muchas organizaciones han abordado ya y el que otras están valorando afrontar, basado en la implantación del teletrabajo en alguna de sus variantes (híbrida, total) y en la adoptación de la nube como espacio para alojar su información, mantiene viva la preocupación de los responsables de ciberseguridad por la protección del dato. Las empresas necesitan herramientas que les permita clasificar los datos, identificar el potencial riesgo al que están sometidos y alertar de cualquier actividad anómala que pueda generarse entorno a ellos. Estas herramientas deberán integrarse con las plataformas en la nube más extendidas. Gestión de la identidad El robo de credenciales es uno de los botines más deseados por los actores maliciosos. Para unos es un producto con el que poder hacer negocio y para otros la llave que les da acceso a la realización de ciberataques de gran envergadura. Por todo ello, las empresas se esforzarán en implementar procesos que permitan realizar una gestión adecuada de la identidad y del acceso. La adopción de herramientas IAM será una apuesta creciente, siendo las grandes aliadas en este ámbito. Igualmente, se generalizará la presencia del MFA como mecanismo de autenticación. La distinta normativa vigente en materia de ciberseguridad seguirá ejerciendo presión a las organizaciones para implementar este tipo de soluciones. Expansión del ciberseguro La búsqueda de soluciones que faciliten la gestión del riesgo ha encontrado en el ciberseguro una herramienta muy útil para las organizaciones dado que les permite transferir el riesgo y responder de manera efectiva a situaciones que hacen tambalear la continuidad del negocio. Muy probablemente, 2024 será un año de expansión en la contratación de estos productos. No obstante, hacerse con ellos es una tarea que no está exenta de dificultades. Las empresas que quieran optar a una póliza de protección de este tipo deberán cumplir con los rigurosos requisitos que exigirán las aseguradoras. A su vez,
ISO 27701: La clave para la protección empresarial
La protección de datos personales es un pilar fundamental de nuestra seguridad y un derecho fundamental, de acuerdo con la Carta de los Derechos Fundamentales de la Unión Europea. Por tanto, una correcta implantación de un sistema de protección en nuestra empresa determinará nuestro cumplimiento normativo, nos evitará sanciones económicas y beneficiará nuestra imagen corporativa. En este sentido, resulta fundamental adoptar acciones suficientes y correctas, lo cual puede convertirse en un reto para muchas organizaciones. Por ello, en este post abordamos cómo hacerlo de acuerdo con un estándar internacional con reconocimiento global. ¿Qué es la ISO 27701? En primer lugar, debemos comprender qué son los datos personales. Según el Reglamento general de protección de datos (RGPD), son toda aquella información sobre una persona física identificada o identificable. En otras palabras, la información que nos permite saber quién es un individuo. Por ejemplo, su nombre, dirección, número de identificación, teléfono o cuenta bancaria, entre otros. Estos datos los podemos encontrar en los contratos y nóminas de nuestros empleados, en registros de clientes, en correos electrónicos y en otros muchos documentos que utilizamos en el día a día. Por su parte, la norma ISO 27701 es un estándar internacional que establece requisitos y orientación para que implantemos un Sistema de Gestión de la Privacidad de la Información. Aunque es de carácter voluntario, es muy recomendable implantarlo. Esto se debe a que se basa en RGPD y es conforme a la Ley de Protección de Datos Personales (LOPDGDD). Por tanto, si cumplimos con los requisitos de la ISO 27701, contaremos con pruebas que nos permitirán evidenciar ante clientes, partners y autoridades públicas que tratamos adecuadamente los datos de carácter personal de acuerdo con la normativa vigente. Está particularmente dirigida al sector privado. En tanto que se fundamenta en gran parte en el RGPD, resulta especialmente interesante para aquellas organizaciones de derecho privado que manejen datos de ciudadanos de la Unión Europea como parte de su actividad. Se exceptúa su aplicación en los casos recogidos en el art. 2.2. RGPD y LOPDGDD. Características de la norma La ISO 27701 es una extensión certificable de la ISO 27001 de Seguridad de la Información. En otras palabras, se parte del Sistema de Gestión de Seguridad de la Información (SGSI) que prevé la ISO 27001 para implantar esta norma, ya que en muchos casos toma los requisitos de la ISO 27001 y los complementa con controles específicos de privacidad de la información. Esta norma destaca por su enfoque holístico hacia la privacidad. Integra principios de la privacidad desde el diseño y responsabilidad activa, evaluando riesgos y asegurando transparencia en el manejo de datos personales. Se divide en cuatro capítulos: Capítulo 5: Requisitos de gestión sobre privacidad de la información. Éstos se refieren a las políticas, procesos y procedimientos corporativos cuyo objetivo es dirigir y controlar nuestra operativa diaria. Capítulo 6: Requisitos de seguridad sobre privacidad de la información. Éstos se centran en las medidas físicas y técnicas concretas que adoptamos para proteger la información. Capítulo 7: Requisitos adicionales para el responsable del tratamiento. Se considera responsable al individuo u organización que decide qué datos se recopilan, con qué propósito y cómo se utilizarán, así como las medidas de protección aplicables. Capítulo 8: Requisitos adicionales para el encargado del tratamiento. Un encargado trata datos personales, pero se limita a seguir las instrucciones que le da el responsable, sin decidir nada por él mismo. ¿Cómo se aplica en la protección empresarial? La flexibilidad propia de la normativa ISO hace imposible ofrecer un listado homogéneo de medidas que todas las empresas deban implantar para certificarse en la ISO 27701, ya que dependerá de las circunstancias específicas de cada una. Sin embargo, en términos generales, podemos señalar los siguientes elementos: Políticas y procedimientos específicos relacionados con la protección de datos, como: Política de protección y privacidad de datos Alusiones específicas al tratamiento de datos personales en procedimientos corporativos, tales como gestión de incidentes o gestión de soportes. Roles y responsabilidades específicos: Designación de un Delegado de Protección de Datos, en caso de que se cumplan los requisitos del art. 37 RGPD y art.34 LOPDGDD. Cláusulas de contractuales de protección de datos en las relaciones con terceros, como: Acuerdos de confidencialidad (NDA). Derecho de control de datos personales (ARCOPOL). Consentimiento para el tratamiento de datos Enfoque en la gestión del riesgo: Metodología documentada de análisis de riesgos relativos al tratamiento de datos personales. Criterios de valoración del riesgo. Evaluación del riesgo. Plan de tratamiento del riesgo. Declaración de Aplicabilidad de los Anexos A y B de la ISO 27701, justificándose debidamente tanto el cumplimiento, como la posible exclusión de los controles. Registro de Actividades de Tratamiento (RAT), donde detallemos cómo gestionamos y procesamos los datos, a menos que se nos aplique la excepción del art.30.5 RGPD. Acciones de formación y concienciación relativas a la protección de datos para nuestros empleados, tales como píldoras de concienciación sobre la transferencia segura de información o charlas formativas sobre los principios clave de RGPD. Medidas técnicas específicas: Pseudonimización, anonimización y enmascaramiento de datos. Cifrado de datos en reposo y en tránsito. Recuperación de datos personales en backups. Bloqueo de datos que ya no se estimen necesarios hasta el término del plazo de prescripción, salvo requerimiento judicial o administrativo. Auditorías de cumplimiento, donde un tercero independiente examine nuestro grado de cumplimiento, e identifique posibles mejoras a nuestro Sistema de Privacidad. ¿Qué beneficios nos aporta la ISO 27701? Adoptar la norma ISO 27701 en nuestra organización nos aporta múltiples ventajas, entre las que podemos identificar las siguientes: Cumplimiento normativo: Nos aseguramos de estar alineados con la normativa europea y española de protección de datos. Fomento de la confianza de clientes y posibles partners. Protección de la imagen y reputación de la empresa. Ahorro de tiempo y ventaja ante licitaciones: Nos facilita responder a los cuestionarios y funciona como garantía de cumplimiento de la protección de datos. Reconocimiento internacional: El certificado nos brinda reputación a nivel internacional, ya que está reconocido globalmente. ¿Cuáles son las
Reglamento de Resiliencia Operativa Digital (DORA)
La normativa sobre Resiliencia Operativa Digital, conocida como reglamento DORA, representa un marco vinculante y completo establecido por la Unión Europea (UE) para la gestión de riesgos en el ámbito de las tecnologías de la información y la comunicación (TIC) en el sector financiero de la UE. DORA establece normas técnicas que las entidades financieras y sus proveedores de servicios tecnológicos críticos deben implementar en sus sistemas de TIC antes del 17 de enero de 2025. En este sentido las Autoridades Europeas de Supervisión (AES), estarán a cargo de las normas técnicas. Finalmente, serán las autoridades nacionales competentes las que deberán supervisar el cumplimiento y aplicación del Reglamento. Objetivos del reglamento DORA DORA persigue dos objetivos principales: Abordar de manera integral la gestión de riesgos asociados a las TIC en el sector de los servicios financieros. Armonizar las regulaciones sobre gestión de riesgos de las TIC que ya existen en los diversos Estados miembros de la UE. Antes de la implementación de DORA, la normativa en la gestión de riesgos de entidades financieras de la UE se centraba principalmente en asegurar que las empresas contaran con suficiente capital para cubrir riesgos operativos. Aunque algunos reguladores de la UE emitieron directrices sobre TIC y gestión de riesgos de seguridad, estas no eran aplicables de manera uniforme a todas las entidades financieras y a menudo se basaban en principios generales en lugar de normas técnicas específicas. La carencia de normativas comunitarias generó una complejidad para las entidades financieras al tener que lidiar con distintos requisitos establecidos por los Estados miembros de la UE. Con DORA, la UE busca establecer un marco universal para gestionar y mitigar los riesgos de las TIC en el sector financiero. La armonización de las normas de gestión de riesgos en toda la UE tiene como objetivo eliminar lagunas, superposiciones y conflictos que podrían surgir entre regulaciones dispares de distintos Estados de la UE. Un conjunto común de normas facilitaría el cumplimiento para las entidades financieras, al mismo tiempo que fortalecería la resistencia de todo el sistema financiero de la UE, asegurando que todas las entidades sigan las mismas pautas. Alcance y aplicación de DORA DORA se aplica a todas las instituciones financieras de la UE, abarcando tanto entidades financieras tradicionales como bancos, empresas de inversión y entidades de crédito, como a entidades no tradicionales como proveedores de servicios de criptoactivos y plataformas de crowdfunding. Es importante destacar que DORA también se aplica a algunas entidades normalmente excluidas de regulaciones financieras, como proveedores de servicios externos que suministran sistemas y servicios de TIC a empresas financieras, incluyendo proveedores de servicios en la nube y centros de datos. El reglamento también afecta a empresas que ofrecen servicios esenciales de información, como servicios de calificación crediticia y proveedores de análisis de datos. En resumen, el reglamento DORA será de aplicación a las siguientes entidades financieras: Entidades de crédito. Entidades de pago. Proveedores de servicios de información sobre cuentas. Entidades de dinero electrónico. Empresas de servicios de inversión. Proveedores de servicios de criptoactivos. Depositarios centrales de valores. Entidades de contrapartida central. Centros de negociación. Registros de operaciones. Gestores de fondos de inversión alternativos. Sociedades de gestión. Proveedores de servicios de suministro de datos. Empresas e intermediarios de seguros, reaseguros y seguros complementarios. Fondos de pensiones de empleo. Agencias de calificación crediticia. Administradores de índices de referencia cruciales. Proveedores de servicios de financiación participativa. Registros de titulizaciones. Beneficios de cumplir con el reglamento DORA Mejora de la resistencia frente a amenazas cibernéticas: un reglamento de resiliencia operativa digital puede ayudar a fortalecer las defensas contra ataques cibernéticos, protegiendo así la infraestructura tecnológica y los datos de la organización. Reducción del riesgo de interrupciones operativas: la resiliencia operativa digital implica la capacidad de mantener operaciones esenciales incluso en situaciones de crisis o desastres. Esto reduce la probabilidad de interrupciones en los servicios y contribuye a la continuidad del negocio. Cumplimiento normativo: adoptar prácticas y reglamentos de resiliencia operativa digital puede ayudar a las organizaciones a cumplir con regulaciones y estándares específicos relacionados con la seguridad cibernética y la protección de datos. Protección de la reputación: la implementación de medidas de resiliencia operativa digital puede ayudar a evitar violaciones de seguridad que podrían dañar la reputación de la organización. La confianza del público y de los clientes puede mantenerse mediante la adopción de buenas prácticas de seguridad digital. Eficiencia operativa: la resiliencia operativa implica una planificación proactiva y la capacidad de respuesta rápida ante incidentes. Esto puede mejorar la eficiencia operativa al reducir el tiempo de inactividad y acelerar la recuperación de eventos adversos. Innovación segura: fomentar la resiliencia operativa digital puede permitir que las organizaciones adopten nuevas tecnologías de manera segura. La innovación puede avanzar sin comprometer la seguridad de los sistemas y datos. Protección de la cadena de suministro: la resiliencia operativa digital también puede extenderse a la cadena de suministro, asegurando que los proveedores y socios comerciales cumplan con estándares de seguridad digital, lo que reduce los riesgos asociados con terceros. Requisitos de DORA DORA establece requisitos técnicos en cuatro áreas clave para entidades financieras y proveedores de TIC: Gestión de riesgos y gobernanza de las TIC: DORA responsabiliza al órgano de dirección de una entidad de la gestión de las TIC. Se espera que los miembros del Consejo de Administración, líderes ejecutivos y otros altos directivos definan estrategias adecuadas de gestión de riesgos, colaboren activamente en su ejecución y se mantengan al día en su conocimiento del panorama de riesgos de las TIC. Los líderes también pueden ser considerados personalmente responsables del incumplimiento de una entidad. Respuesta y notificación de incidentes: Las entidades cubiertas deben establecer sistemas para supervisar, gestionar, registrar, clasificar y notificar incidentes relacionados con las TIC. Dependiendo de la gravedad del incidente, las entidades pueden tener que informar tanto a los reguladores como a los clientes y socios afectados. Se requieren tres tipos de informes en casos de incidentes críticos: un informe inicial de notificación a las autoridades, un informe intermedio sobre los avances hacia la
La necesidad de campañas de concienciación en Ciberseguridad
En nuestra misión constante de proteger la infraestructura digital y la información contenida en la misma. La concienciación en ciberseguridad es esencial para no pasar por alto un componente crítico en la cadena de seguridad: el factor humano. A menudo, las amenazas más grandes a las que se enfrentan las empresas no provienen de sofisticados ciberataques, sino de errores humanos que podrían haberse evitado con una formación adecuada. ¿Por qué concienciar en ciberseguridad? El eslabón más débil: Aunque nuestras soluciones tecnológicas pueden ser muy efectivas, si los usuarios fin ales no están informados y educados sobre las mejores prácticas de seguridad, siguen siendo vulnerables. Un error humano, como hacer clic en un enlace malicioso, puede comprometer sistemas enteros. Evolución constante de amenazas: El panorama de ciberamenazas está en constante evolución. Lo que era seguro ayer, puede no serlo hoy. Los usuarios deben estar al día con las últimas amenazas y saber cómo identificarlas. Cumplimiento normativo: En muchos sectores, hay regulaciones que exigen formación regular en ciberseguridad para empleados. Una campaña de concienciación ayudará a las empresas a cumplir con estos requisitos. Beneficios de una campaña de concienciación en ciberseguridad Reducción de incidentes: Las campañas de concienciación han demostrado reducir significativamente el número de incidentes relacionados con el error humano. Esto se traduce en menos interrupciones del servicio, menos tiempo y recursos gastados en la respuesta a incidentes y una mayor confianza de los clientes. Cultura de seguridad: Fomentar una cultura en la que la ciberseguridad es una responsabilidad compartida mejora, no solo la postura de seguridad de la organización, sino también fideliza al empleado. Retorno de inversión (ROI): Aunque puede haber un coste asociado con la implementación de una campaña de concienciación, el impacto económico de no hacerlo (brechas de datos, multas por no cumplir, daño a la reputación, etc.) es significativamente más alto. Mejora de la reputación: En un mundo donde la ciberseguridad es una creciente preocupación, las empresas que toman medidas proactivas para educar a sus empleados y clientes son vistas de manera más favorable. Esto puede traducirse en más negocios y mayor lealtad del cliente. Impacto en controles de ISO/IEC 27002 La norma ISO/IEC 27002:2013 proporciona directrices para la implementación de controles de seguridad de la información. La realización de campañas de concienciación y formación al usuario incide directamente en varios de estos controles. A continuación, identificamos los controles más relevantes que se verían afectados o reforzados por dichas campañas: Información sobre responsabilidades durante el empleo (7.2.2): Este control estipula que la dirección debe asegurarse de que los empleados y contratistas sean informados de las responsabilidades de seguridad de la información. Las campañas de concienciación pueden ayudar a comunicar estas responsabilidades de manera efectiva. Concienciación, formación y evaluación de la formación (7.3.1): Este es el control más directamente relevante. Establece la necesidad de implementar programas de concienciación y formación para garantizar que los empleados tengan la conciencia, los conocimientos y las habilidades necesarias para cumplir con las políticas y procedimientos de seguridad. Gestión del uso inaceptable de activos (9.2.3): Las campañas educativas pueden ayudar a destacar los usos inaceptables de la información y otros activos. Permitiendo una mejor gestión y reducción de este tipo de comportamientos. Políticas de clasificación de la información (12.2.1): Una correcta formación puede asegurar que los empleados entiendan y sigan correctamente las políticas de clasificación. Lo que reduce el riesgo de filtraciones de información o su incorrecta manipulación. Control de acceso del usuario (12.7.1): La formación y concienciación pueden enfocarse en la importancia de las políticas y procedimientos de control de acceso. Incluyendo la importancia de las contraseñas fuertes, el bloqueo de estaciones de trabajo y la autenticación multifactor. Política de uso aceptable de redes y servicios (13.2.1): Las campañas pueden reforzar la comprensión y adherencia a las políticas de uso aceptable. Reduciendo el riesgo asociado con comportamientos no deseados en la red. Es esencial que cualquier campaña de concienciación o formación que lancemos esté alineada con los controles y requerimientos de la ISO/IEC 27002, asegurando así su efectividad y pertinencia en el contexto de estándares internacionales de seguridad de la información. Conclusión A medida que los entornos digitales se vuelven más complejos y la información que almacenamos en ellos más importante. Los usuarios deben fortalecer sus conocimientos en materia de ciberseguridad. Una campaña de concienciación en ciberseguridad no es simplemente una buena idea, es una necesidad crítica para organizaciones de todos los tamaños. Desde Global Technology podemos ayudarte
Navegando hacia la ciberseguridad: Mantén tu puerto protegido
Los puertos protegidos desempeñan un papel crucial en el comercio global, la seguridad nacional y el bienestar ciudadano. Por ello, es esencial garantizar su seguridad. En esta publicación, exploraremos los principales instrumentos en los que nos podemos apoyar para lograrlo. En este sentido, abordaremos primero la protección de las instalaciones portuarias y, después, nos extenderemos a la protección del puerto entero. Lo haremos siguiendo un modelo de gestión del riesgo basado en la evaluación y priorización de riesgos, y subsiguiente implantación de medidas de seguridad integral para conseguir un puerto protegido. 1. Evaluación de Protección de las Instalaciones Portuarias (EPIP) La EPIP es el primer paso que debemos dar para garantizar la protección de nuestro puerto. En ésta, evaluamos las amenazas y vulnerabilidades específicas de las instalaciones portuarias individuales. Esto implica identificar posibles riesgos y debilidades en la seguridad de esas instalaciones concretas, de las que derivan una serie de medidas recomendables para la instalación. Con ello como base, podemos elaborar PPIPs para mantener la integridad y la operatividad de la instalación. Generalmente, la EPIP se elabora por la Autoridad Portuaria competente y se revisa, como mínimo, cada 5 años. 2. Planes de Protección de las Instalaciones Portuarias (PPIP) Los PPIP son documentos estratégicos basados en los resultados de la EPIP y están diseñados para garantizar la seguridad de nuestras instalaciones portuarias individuales. Para ello, definimos medidas de protección concretas y específicas para afrontar los riesgos identificados, tanto de naturaleza procedimental, como técnica. Podemos dividir estos procedimientos y medidas de acuerdo con tres niveles: Nivel 1: Medidas mínimas de protección en todo momento. Nivel 2: Medidas de protección adicionales a implementar cuando aumente el riesgo de que ocurra un suceso que afecte a la protección marítima. Nivel 3: Más medidas concretas de protección durante un periodo de tiempo limitado cuando sea probable o inminente un suceso que afecte a la protección marítima, aunque no sea posible determinar el blanco concreto. Asimismo, en nuestro PPIP identificamos los medios de coordinación con autoridades y agencias de seguridad. Así podremos dar una respuesta pronta y efectiva ante las amenazas que nos encontremos. El Oficial de Protección de Instalación Portuaria que designemos elabora el PPIP y lo revisa cada 5 años, si no ha habido cambios sustanciales antes. Después, debemos enviarlo a través de SecurePort a la Autoridad Portuaria competente para que lo apruebe. 3. Evaluación de Protección de los Puertos (EPP) La EPP, al igual que la EPIP, es una evaluación de los riesgos y vulnerabilidades, pero amplía su alcance y se enfoca a la seguridad de todo el puerto. Por tanto, en ésta debemos incluir: Las peculiaridades de las distintas partes del puerto. Las zonas adyacentes al puerto que tengan una incidencia en la protección del puerto. La integración de las EPIPs que se encuentren dentro de los límites del puerto. En cualquier caso, debemos tener en cuenta que, si las amenazas provienen de dichas zonas adyacentes, tendremos que coordinarnos con los titulares y administraciones competentes en esas zonas para hacer la EPP. La responsabilidad de elaborar la EPP recae sobre la Autoridad Portuaria competente cada un máximo de 5 años. Después, ésta la remite al Ministerio del Interior para su aprobación. 4. Plan de Protección del Puerto (PPP) Para redactar el PPP nos basaremos en la EPP y estableceremos medidas concretas para proteger el puerto en su totalidad. Por tanto, incluiremos: Las peculiaridades de las distintas partes del puerto. La integración de los PPIPs que se encuentren dentro de los límites del puerto. Igual que en el caso de los PPIPs, deberemos dividir los procedimientos y medidas de protección de acuerdo con los tres niveles mencionados. Asimismo, identificaremos procedimientos de coordinación con otros planes de seguridad o emergencia del puerto, para asegurar una respuesta rápida y efectiva. El PPE debe elaborarse por la Autoridad Portuaria competente con una frecuencia mínima de 5 años. Mantén tu puerto protegido con Global Technology Ahora que ya sabes qué instrumentos te pueden ayudar a mantener tu puerto protegido o instalación portuaria, ¿cómo podemos ayudarte desde Global Technology? Nuestro equipo de GRC está especializado en el diseño integral de la seguridad marítimo-portuaria. Te apoyamos en la realización de EPIP, PPIP, EPP y PPP para garantizar que cumples con todas las disposiciones legales y reglamentarias pertinentes. ¿Pero cómo puedes cerciorarte de que tu puerto está protegido, desde una perspectiva más práctica? Un enfoque de seguridad integral, que incluya tanto el entorno lógico como el físico nos ayudará a reducir tanto la probabilidad como el impacto de sufrir ataques e incidentes. Por tanto, una tecnología eficaz, eficiente y adaptada a nuestras necesidades específicas puede incrementar de manera significativa nuestra seguridad. No obstante, no debemos olvidar que la tecnología no es infalible y que, en ocasiones, podemos dejar sin darnos cuenta puertas abiertas que los actores maliciosos no dudarán en aprovechar. Por tanto, también es necesario analizar la fortaleza de nuestras medidas de seguridad, y vigilar constantemente nuestros sistemas y activos. Desde Global Technology podemos ayudarte a mejorar la ciberseguridad de tu puerto desde la prevención, la detección temprana y la respuesta efectiva, todo ello asegurando el cumplimiento normativo. Para eso, nuestros expertos en Auditoría y pentesting te ayudarán a conocer el estado real de tus defensas. Por otro lado, nuestro equipo de Ciberprotección te ayudará a identificar qué herramientas de ciberseguridad se adaptan más a tus necesidades y las operarán para disminuir el riesgo de que sufras un ataque. Y, en caso de que un actor malicioso consiga romper tus defensas, nuestro SOC lo detectará gracias a su monitorización 24/7 y entrará en acción para mitigar los daños. Todo ello lo completamos acompañándote y apoyándote desde GRC para cumplir con la normativa aplicable a la seguridad y privacidad de la información, con base en estándares internacionales reconocidos a nivel global.
Certificación en el ENS: Guía completa para cumplir la normativa
¿Qué es la Certificación en el ENS? En el siempre cambiante mundo digital, la seguridad de la información se ha vuelto fundamental, especialmente en el ámbito público en España. El Esquema Nacional de Seguridad (ENS) es un conjunto de normativas diseñadas para fortalecer la protección de los datos en el sector público español. Su objetivo es proporcionar un marco común de principios y requisitos para garantizar la protección efectiva de la información y los servicios digitales. ¿A quién le aplica? Todas las entidades del sector público en España están bajo la jurisdicción del ENS. Esto incluye desde el gobierno central hasta las administraciones locales. Además, abarca a organizaciones externas que colaboran con el sector público, como proveedores y otras entidades que manejan información sensible. Con la llegada del nuevo ENS regulado a través del Real Decreto 311/2022, cada vez es más común que la Administración Pública exija a sus proveedores el cumplimiento con este estándar. Las principales empresas que pueden verse sujetas al ENS son: Proveedores de tecnología y servicios informáticos: empresas que proporcionan sistemas, software o servicios informáticos al sector público. Empresas de outsourcing y consultoría: aquellas que ofrecen servicios de consultoría, externalización (outsourcing) de procesos, o gestionan servicios específicos para entidades gubernamentales. Empresas de telecomunicaciones: proveedores de servicios de telecomunicaciones que gestionan infraestructuras o servicios de comunicación para el sector público. Empresas de seguridad informática: compañías especializadas en ciberseguridad que colaboran con el sector público para proteger la información crítica. Proveedores de servicios en la nube (Cloud Computing): empresas que ofrecen servicios de almacenamiento en la nube o soluciones de infraestructura para entidades gubernamentales. Empresas de gestión documental: aquellas que se encargan de la gestión y almacenamiento seguro de documentos digitales y físicos para el sector público. Empresas de transporte y logística: en el caso de contratos con el sector público que implican información logística sensible. Empresas de energía y suministros críticos: si están involucradas en el suministro de servicios críticos para el funcionamiento del sector público. Requisitos para la Certificación en el ENS A continuación, detallamos en cinco pasos que puntos se deberían de cumplir con el fin de implementar un ENS con las máximas garantías: Plan de adecuación: Identificar el alcance del sistema: para identificar el alcance correctamente es necesario comprender la estructura organizativa, los procesos y servicios prestados e identificar los activos de la organización. Categorizar el sistema según niveles de seguridad: el ENS clasifica la seguridad de la información en niveles (BAJO, MEDIO, ALTO). Para categorizar, hay que identificar la importancia de los datos y la sensibilidad de los sistemas. Esta clasificación guía la aplicación de medidas de protección proporcionando un enfoque adaptado a la criticidad de la información y servicios digitales. Elaborar la Declaración de Aplicabilidad: la Declaración de Aplicabilidad (DA) en el ENS es un documento clave que identifica y documenta las medidas de seguridad que una organización aplicará según sus necesidades específicas. Incluye la evaluación de riesgos, la categorización de sistemas y define las medidas necesarias para garantizar la seguridad de la información. Es una herramienta esencial para adaptar las medidas del ENS a la realidad de cada entidad. Realizar el Análisis de Riesgos: el análisis de riesgos de seguridad de la información es un proceso sistemático para identificar, evaluar y gestionar posibles amenazas y vulnerabilidades que podrían afectar la confidencialidad, integridad, disponibilidad, autenticidad y trazabilidad de los datos. Involucra la evaluación de activos, identificación de peligros, evaluación de vulnerabilidades y la determinación de la probabilidad e impacto de posibles eventos adversos. Este análisis es esencial para desarrollar estrategias efectivas y mitigar riesgos en entornos digitales. Implantación de la seguridad: Elaborar una hoja de ruta para implementar medidas técnicas: una vez desarrollado el punto anterior, será necesario elaborar e implantar el conjunto de políticas y procedimientos que alimentarán el sistema de gestión de seguridad de la información. Aprobar el Sistema de Gestión de la Seguridad de la Información: todo el sistema documental elaborado debe de ser aprobado por las partes implicadas con el objetivo de implantarlo con las máximas garantías. Declaración / Certificación de Conformidad: Categorías MEDIA o ALTA: Auditoría formal al menos cada dos años por un organismo independiente. Categoría BÁSICA: Autoevaluación al menos cada dos años. Informe sobre el Estado de Seguridad: Obligación de informar sobre el Estado de Seguridad mediante el proyecto INES. Vigilancia y Mejora Continua: Revisión continua de políticas, análisis de riesgos y medidas de seguridad. Ventajas de implementar el Esquema Nacional de Seguridad Gracias a la implantación del ENS en nuestra organización, se pueden apreciar una serie de ventajas: Protección de la información sensible: gracias a las medidas de seguridad reguladas a través del ENS, se garantiza la protección de la información sensible y crítica de cualquier organización. Gestión Integral de riesgos: facilita la identificación y gestión de riesgos relacionados con la seguridad de la información. Esto implica evaluar y abordar peligros potenciales y vulnerabilidades. Coordinación entre entidades: promueve la colaboración y coordinación entre diferentes entidades gubernamentales, empresas y sectores, lo que mejora la capacidad general para hacer frente a amenazas y riesgos cibernéticos. Cumplimiento normativo: ayuda a garantizar el cumplimiento de normativas y estándares nacionales e internacionales relacionados con la seguridad de la información. Concienciación y educación: el ENS incluye programas de concienciación y educación en seguridad cibernética para aumentar la cultura de seguridad de todos los trabajadores y usuarios. Intercambio de información: proporciona el intercambio seguro de información entre diferentes partes interesadas, lo que puede ser crucial para abordar amenazas de manera efectiva. Preparación para incidentes: el ENS establece procedimientos para la preparación, respuesta y recuperación ante incidentes de seguridad cibernética, minimizando el impacto de posibles violaciones de seguridad. Global Technology tu aliado en la certificación en el ENS En Global Technology, te acompañamos en todas las fases de adecuación para obtener eficazmente la certificación del ENS, independientemente del nivel de categorización del sistema. Si perteneces al sector público o eres un proveedor de servicios, no dudes en contactarnos. Estamos aquí para asegurarnos de que tu organización esté protegida en el mundo
ISO 27001: Clave en la seguridad de la información empresarial
En un mundo digital donde la seguridad de la información es vital, la ISO 27001 emerge como un aliado clave. En este artículo exploraremos cómo esta norma puede fortalecer tus defensas y aumentar la confianza de tus clientes en tu negocio. ¿Qué es la norma ISO 27001? La norma ISO 27001 es un estándar internacional de carácter voluntario, aunque muy recomendable por los motivos que más adelante exploramos, para la gestión de la seguridad de los datos. Su objetivo principal es proporcionarnos un marco efectivo para la protección de los activos de información. Para ello, parte de un enfoque de gestión del riesgo, de manera que podamos prever los incidentes y, si ocurren, mitigar sus consecuencias. Aunque está especialmente enfocada al sector privado, lo cierto es que puede beneficiarse de su implementación cualquier organización. La ISO 27001 nos ofrece dos tipos de medidas: Medidas de gestión: Éstas nos permitirán estructurar nuestras políticas y procedimientos, administrar nuestros recursos de manera eficiente y llevar un control actualizado de la operativa diaria de la empresa. Medidas de seguridad: Se trata de un listado de posibles medidas que están especialmente dirigidas a la protección de la información. Se dividen en cuatro categorías: Organizativas, personales, físicas y tecnológicas. De esta manera, aseguramos una cobertura integral de la seguridad. Si lo deseamos, la ISO 27001 nos da la posibilidad de certificarnos en su cumplimiento. Pero ¿qué ventajas nos aporta esta norma y su certificado? ¿y cómo podemos lograrlo? En los siguientes apartados te lo explicamos. ¿Qué beneficios tiene la ISO 27001? Ahora que conocemos qué es la norma ISO 27001, vamos a explorar qué ventajas nos trae su implantación y que nos certifiquemos en ella: Mejora de la gestión documental y de los activos de la organización: Gracias a la implantación de un sistema de gestión, en el día a día percibiremos una mejora significativa en el control de la operativa gracias a la estandarización de procesos y a la centralización de documentos. Disminución del tiempo de respuesta a incidentes y más pronta recuperación: Puesto que estaremos aplicando una metodología probada y consolidada a nivel mundial, gestionaremos mejor el riesgo tanto de manera preventiva como reactiva. Ello nos permitirá garantizar la continuidad de nuestro servicio incluso aunque estemos sufriendo un incidente de seguridad. Incremento de la imagen corporativa y mejora competitiva: La ISO 27001 goza de reconocimiento internacional, por lo que garantizará frente a posibles clientes e inversores nuestro compromiso con la seguridad. Además, podremos acceder a más oportunidades comerciales, ya que cada vez se solicita más algún sello de garantía a este respecto. ¿Cómo implementarmos la ISO 27001 en nuestra empresa? La implantación de la norma ISO 27001 puede dividirse en cuatro fases principales: 1ª fase: Planificación ¿En qué estado nos encontramos? ¿Qué nivel de madurez tiene nuestra seguridad? ¿Qué necesidades de protección tenemos y cómo podemos priorizarlas? ¿A qué riesgos específicos se enfrenta nuestra organización? Éstas son algunas de las preguntas que responderemos en esta primera fase. Con las respuestas, podremos empezar a crear un sistema confeccionado a medida para nuestra empresa. 2ª fase: Diseño e implantación En esta fase documentaremos los procedimientos de nuestra empresa y los implementaremos, así como las medidas de protección que hayamos seleccionado. Después, pondremos a prueba su efectividad. 3ª fase: Control y verificación Una vez que todo ha sido implantado, debemos cerciorarnos de que es útil, eficaz y eficiente. Para ello, monitorizaremos el sistema mediante indicadores y evaluaremos su adecuación a través de una auditoría interna. Los resultados se presentarán a Dirección y, si todo es correcto, ¡ya estamos listos para presentarnos a la certificación! 4ª fase: Auditoría y certificación Un auditor de una empresa certificadora acreditada nos someterá a evaluación y emitirá un informe. En caso de que encuentre alguna No Conformidad, contaremos con 30 días para solucionarla y, después, podremos obtener nuestro Certificado de Conformidad. El Certificado de Conformidad con la ISO 27001 tiene una validez de 3 años. Luego, tendremos que renovar nuestro certificado. Sin embargo, debemos que tener en cuenta que, puesto que se busca la mejora continua de la seguridad, tendremos auditorías parciales de manera anual. Éstas son más cortas y sencillas, pero igual de importantes para poder mantener nuestro certificado. ¿Cómo podemos ayudarte desde Global Technology? Desde nuestro departamento de GRC , te ayudamos a implantar la norma ISO 27001, diagnosticando el estado de seguridad de tu organización y acompañándote durante todo el proceso de implantación, desde la elaboración de procedimientos, hasta la defensa de la auditoría. Desde Global Technology te ofrecemos una asesoría integral y soporte técnico para la obtención de la certificación. Para ello, desde nuestro departamento de Ciberprotección te ayudamos a elegir qué solución técnica se ajusta más a tus necesidades, de manera que puedas cumplir con todos los requisitos de la norma necesarios. Además, nuestro SOC te permite monitorizar tus sistemas para poder identificar vulnerabilidades, y nuestro departamento de Auditoría y pentesting te ayuda a conocer la protección real de tus equipos. ¿Y si no estás seguro de querer certificarte aún? Podemos ayudarte a elaborar un Plan Director de Seguridad basado en la ISO 27001, de manera que conozcas la madurez de la seguridad de tu empresa y qué medidas es prioritario adoptar. Así, podrás saber cómo empezar tu andadura hacia la certificación, con una estimación económica de las medidas que necesita tu organización y sin presiones de plazos.
¿Qué es el SIEM? Descubre su importancia para las empresas
La gestión de los eventos de seguridad es uno de los retos principales a los que se enfrentan los equipos encargados de la protección de las organizaciones. El motivo es la gran cantidad de casos de este tipo que generan las diferentes herramientas que se despliegan para velar por la protección de los sistemas de información. Estamos hablando de miles o, incluso millones, generados en diferentes formatos, que deben ser analizados para determinar cuáles requieren de atención y tratamiento. Es aquí donde entra en juego una herramienta fundamental para gestionar de manera eficaz toda esa información: el SIEM (Sistema de Gestión de Eventos e Información de Seguridad). ¿Cómo funciona un sistema SIEM? Las funcionalidades con las que cuenta un SIEM permiten, en primer lugar, clasificar los eventos de seguridad y normalizarlos. A continuación, aplicando reglas de correlación, se pueden identificar anomalías o comportamientos sospechosos que desencadenan alertas. Como resultado de esta combinación, las organizaciones pueden satisfacer las necesidades de cumplimiento e identificar y contener a los atacantes más rápido. El origen de la tecnología SIEM está en la evolución y fusión de las herramientas SIM (Gestor de Información de Seguridad) y SEM (Gestor de Eventos de Seguridad). Desde su aparición, las herramientas SIEM han ido evolucionando, incorporando nuevas capacidades que han permitido acelerar el proceso de detección, análisis y respuesta a eventos de seguridad. Beneficios de los sistemas SIEM Las capacidades básicas que podemos encontrar en un SIEM son éstas: Recolección de eventos: a través de diferentes mecanismos, el SIEM recibe información de múltiples orígenes de datos (dispositivos de red, dispositivos de seguridad, servidores, equipos de usuario, aplicaciones…). Correlación de eventos: el SIEM busca patrones comunes entre los eventos recibidos que faciliten la identificación de comportamientos sospechosos. Generación de alertas: la correlación y el análisis continuo permiten generar notificaciones de alertas a través de diferentes canales de comunicación. Cuadros de mando: la información procesada por el SIEM se presenta en diferentes formatos gráficos facilitando la gestión y la operación de los analistas de seguridad. Cumplimiento normativo: el SIEM es una herramienta de apoyo en el proceso de cumplimiento normativo. Así, entre sus capacidades, estarán las que permitirán automatizar la recogida de información en base a lo exigido en la normativa aplicable y, también, la de generar informes que se adapten a las necesidades de gobernanza, seguridad o auditoría Retención: por último, el SIEM nos permitirá disponer de un periodo de retención de la información recopilada, lo que permitirá rastrear el origen de incidentes desde tiempo atrás. Adicionalmente, a estas capacidades, se suman en los últimos años otras que han hecho que las herramientas SIEM que las incorporan sean incluidas en la categoría de SIEM de próxima generación. Son aquellos que, además de utilizar reglas para la detección de amenazas, poseen capacidades avanzadas entre las que se encuentran las basadas en el comportamiento, tanto del usuario (UEBA) como del atacante (ABA). Así mismo, entre estas nuevas capacidades avanzadas figuran la tecnología de engaño y la supervisión de la integridad de los archivos (FIM). ¿Qué es el SIEM integrado en SOC? Cuando se define la estrategia de ciberseguridad de una organización, el Centro de Operaciones de Seguridad (SOC) se posiciona como el punto neurálgico desde el que se coordina la defensa contra los ciberataques. El SOC, tal y como se concibe actualmente, se configura con la suma de personas, procesos y tecnología. Dentro de esta última, el SIEM constituye un elemento básico, siendo la herramienta que permite monitorizar y centralizar los eventos de seguridad, así como, reconstruir los detalles de un ataque en tiempo real. Por esta razón, si disponemos de un SIEM con capacidades avanzadas podremos acelerar el proceso de investigación de las alertas que se desencadenen y crear flujos de trabajo para su gestión. Desde la consola central se podrá monitorizar, analizar y responder a eventos de seguridad. Igualmente, será posible medir y reducir el riesgo al que estén sometidos los activos. Adicionalmente, debemos tener en cuenta el papel esencial que juegan los analistas de seguridad que operan en el SOC y cómo se complementa su labor con el SIEM. Es más, para ser eficaz en la identificación de amenazas se requiere del análisis que realice el equipo que conforma el SOC. Los analistas consumen información y alertas generadas a partir de la tecnología SIEM y serán ellos los que juzguen si un evento concreto constituye un incidente de alto riesgo o es simplemente una falsa alarma. Cómo implementar el sistema SIEM con Global Technology El SOC de Global Technology opera con sistemas SIEM de próxima generación e incorporar la última tecnología para la detección de amenazas. Son herramientas que poseen una arquitectura híbrida. El almacenamiento de toda la información recopilada, los módulos de análisis del comportamiento, así como la consola central de la herramienta radican en la nube. La infraestructura que tiene que aportar el cliente es mínima, limitándose a la necesaria para alojar un sensor de red para analizar todo el tráfico de datos que fluye por su red y un servidor recolector de eventos que procedan de fuentes que no tengan conexión directa con la plataforma ubicada en la nube. El almacenamiento de datos en la nube no está sujeto a un número determinado de eventos por segundo o al espacio ocupado. Como consecuencia de todo ello, la solución SIEM que ofrece Global Technology permite que el cliente conozca desde el primer momento su coste y que no tenga que soportar costes de infraestructura elevados. Por último, es necesario destacar las ventajas que a nivel operativo incorpora la solución SIEM propuesta por Global Technology. Su despliegue se realiza en un corto espacio de tiempo, lo que permite acelerar el proceso de recolección de información. Como resultado, el cliente comienza a recibir información de la monitorización de su entorno en muy poco tiempo.