Armonizada la ciberseguridad europea con el NIS-2
Ya está aquí. Poco a poco Bruselas va extendiendo su mano en cuestiones de ciberseguridad y ahora llega al cenit con la aprobación de la Directiva NIS-2, que mejora la resiliencia y la capacidad de respuesta ante ciberincidentes en toda la Unión Europea. De esta forma, quedará armonizada la ciberseguridad europea con el NIS-2.
Hay que remontarse al 6 de julio de 2016, fecha en la que entró en vigor la Directiva 2016/1148 del Parlamento Europeo y del Consejo sobre las medidas que garantizaban un nivel común de seguridad de las redes y sistemas de la información. Esta instrucción fue conocida con el nombre de Directiva NIS, del inglés Network and Information Security.
Pero debido a la rapidez con que se desarrolla la técnica y el ingenio de los ciberdelincuentes, pronto se empezó a trabajar en una actualización y ampliación, que se la ha bautizado, con una increíble creatividad, como NIS-2. El Parlamento Europeo la aprobó por amplia mayoría en mayo de este año y aunque todavía falta que el Consejo Europeo (el gobierno de los países de la UE) la apruebe, se espera que entre en vigor en 2023. Por supuesto que la nueva normativa se integra totalmente en la amplia legislación que Bruselas ha ido creando sobre el tema, especialmente el Reglamento sobre la resiliencia operativa digital para el sector financiero (DORA) y la Directiva sobre la resiliencia de las entidades críticas (CER).
Un marco normativo común
Lo más llamativo de la Directiva es que pretende garantizar un nivel elevado de protección y mejorar la resiliencia en todos los Estados de la Unión. Y es que Bruselas reconoce que en muchos ámbitos no existe una cultura de aplicación de la ciberseguridad y la poca coordinación entre Estados lleva a una falta de respuestas comunes.
Destacamos los siguientes puntos de la NIS-2.
- Será obligada la notificación en los diferentes sectores que cubre: energía, transporte, sanidad e infraestructura digital.
- Creación de la Red Europea de Organización de Enlace de Crisis Cibernéticas (EU-CYCLONe) para mejorar la coordinación en la gestión de incidentes de ciberseguridad a gran escala.
- Se amplían y aclaran algunos conceptos, como “entidades esenciales” o “sectores críticos” y se introducen los “sectores importantes”, como por ejemplo gestión de residuos; sector aeroespacial; producción, transformación y distribución de alimentos; fabricantes y proveedores de servicios digitales; servicios postales de mensajería y la fabricación, producción y distribución de sustancias y mezclas químicas.
- La legislación será de aplicación tanto para la administración como para las medianas y grandes empresas de ciertos sectores catalogados como “importantes” en el redactado de la norma. Estos ámbitos comprenden, por ejemplo, los servicios postales, la gestión de residuos, las industrias química, farmacéutica y alimentaria, la fabricación de maquinaria pesada, vehículos y aparatos digitales, etc.
- Quedan excluídos del ámbito de aplicación de la Directiva la defensa o seguridad nacional, seguridad pública, policía, poder judicial o los parlamentos y bancos centrales.
- Se va a promover la cooperación público-privada a través de los ppp (Public – Private – Partnerships). Para ello se van a desarrollar asociaciones público-privadas especializadas en ciberseguridad.
- Se preocupará de la seguridad de las cadenas de suministro así como las relaciones con los proveedores. Para ello se va a permitir a las empresas exigir a sus proveedores el cumplimiento de la normativa en caso de ser operadores críticos.
- La responsabilidad recaerá sobre la dirección de la empresa, ya que deberá preocuparse de cumplir las medidas de gestión de riesgos de ciberseguridad.
- Se podrá sancionar. Las amonestaciones, instrucciones y multas podrían ser de hasta dos millones de euros e incluso llegar a suponer el 2% de los ingresos anuales de la organización.
- Nacen nuevas obligaciones como pudieran ser el uso de cifrado de extremo a extremo. Se impone la privacidad por defecto y desde diseño, la respuesta a incidentes y gestión de crisis, la certificación de sus servicios, productos y/o sistemas bajo esquemas europeos de certificación de la ciberseguridad de acuerdo con normativa comunitaria, o el tratamiento y divulgación de vulnerabilidades.
- En muchos casos se deberán crear nuevos departamentos y/o procesos internos para cumplir los requisitos de la Directiva, así como la selección de perfiles con capacidades digitales para cumplir estos requisitos, todo ello colaborando con entidades esenciales e importantes.
Podéis leer un extracto de la norma en esta web del Parlamento Europeo AQUÍ.
Y también podéis leer la Directiva al completo, en castellano, AQUÍ.
Como es habitual, los estados contarán con 21 meses para trasponer la nueva norma a su legislación nacional. Como podéis ver muchas empresas tendrán que adaptarse a esta normativa y además, en muchos casos, deberán contar también con certificaciones. Por ejemplo, en España será necesario que tengan el certificado del Esquema Nacional de Seguridad (ENS).
Es justo señalar que muchos de estos servicios para empresas ya los esta ofreciendo TECNOideas, como es el caso del CISO Externo o el de las certificaciones como el ENS.
Imagen principal: S. Hermann / F. Richter en Pixabay
- Publicado en Certificaciones, CISO, General, Normativa, Noticias
Se donde fuiste y se lo que hiciste…
No sorprendemos a nadie si decimos que “los datos son el oro del siglo XXI”. No es una frase nuestra, pero se ha hecho muy popular porque es verdad. Toooodo el mundo persigue los datos, nuestros datos, esos que damos tan alegremente… o no. ¿Somos conscientes que las webs por las que navegamos están repletas de rastreadores?
Los rastreadores web son capaces de recopilar muchas información sobre los hábitos de las personas que navegan por una web. Actúan estando insertados en el código de los sitios web, y un usuario que no sea técnico difícilmente los detectará. Entre las funciones de estos “observadores” encontramos identificar la IP y la ubicación, el navegador que usamos, el historial de navegación, donde clicamos, cuánto tiempo leemos y qué tipo de contenido, etc.
¿Para qué se usan? Pues para ganar dinero con ello, porque muchas webs pueden vender esos datos a anunciantes, vendedores, agencias gubernamentales, etc. Lógicamente —y esa es la excusa oficial— lo hacen para poder ofrecer servicios o productos personalizados, para sus análisis internos y mejorar el aspecto, los contenidos y la navegabilidad de la web.
Hay 18 rastreadores de media en las webs españolas
La empresa NordVPN es uno de los principales proveedores de redes privadas virtuales (del inglés Virtual Private Network, VPN). Sus investigadores han realizado un estudio centrado en los rastreadores y han encontrado algunos resultados que dejan claro para lo que sirven y el porque de “Se donde fuiste y se lo que hiciste…” Por ejemplo:
- La cifra de 18 rastreadores en una web es una media, porque en el caso de webs de compras, tecnología o noticias, pueden tener hasta 28 rastreadores distintos.
- La mayoría de rastreadores encontrados son propiedad de otras empresas, no de la que estamos navegando. ¿Sabéis cuáles se llevan la palma? Sííí, Google (aproximadamente un 30%), Facebook (11%) y Adobe (7%).
El estudio se ha hecho analizando los 100 sitios webs más populares de 25 países del mundo. Por eso la empresa advierte que el número de rastreadores también depende de la legislación de cada uno de ellos. Así, por ejemplo en Europa, gracias a la aplicación del Reglamento General de Protección de Datos (RGPD), los sitios web tienen menos rastreadores que en las webs de Estados Unidos, donde las leyes no protegen la privacidad de todos los tipos de datos en todos los estados.
NordVPN también ha realizado una encuesta a los internautas españoles. Al 45% les preocupa ser rastreados por los grandes de las redes sociales (Facebook). Un 37% rechazan que sus datos sean recogidos por agregadores de información (Google) y el 34% no desea que las agencias de marketing obtengan sus datos.
Si queréis saber más cosas sobre este estudio, como el país que tiene más rastreadores o el tipo de webs que más rastrean, clicad AQUÍ.
Google paga casi 40 millones de dólares en EE.UU. por rastrear
Quizá en Estados Unidos no exista una RGPD tan global y exigente como la europea, pero no se andan con chiquitas. En 2018 la agencia Associated Press descubrió que Google mantenía el rastreo de los datos de ubicación de las personas incluso después de haber indicado que no querían ser objeto de ese rastreo. El tema llegó a la fiscalía, que empezó a investigar y resultó que esta mala praxis se había producido en 40 estados. Ahora Google ha llegado a un acuerdo con la fiscalía de esos estados para evitar una sanción mayor, ya que violaron las leyes estatales de protección al consumidor. El resultado: deberá pagar 391,5 millones de dólares, que se van a repartir esos estados. Así, por ejemplo, Massachusetts recibirá unos 9,3 millones y Connecticut unos 6,5 millones.
Google se está convirtiendo en una de las empresas que más paga por su mala praxis. Este mismo año la justicia europea, a través de su Tribunal General, ha confirmado la multa por competencia desleal al gigante tecnológico. Como recordaréis, el motivo ha sido por competencia desleal ligada a consolidar su motor de búsqueda en el sistema operativo Android. Google fue multado con la friolera de 4.125 millones de euros.
¿Seguís confiando en Google? ¿O en Facebook/Meta? ¿O en otro proveedor que os de algo “gratis”?
Imagen principal: Imagen de Kris en Pixabay
- Publicado en Estudios, General, Noticias, Privacidad, Protección de datos
¿Qué operadoras de Internet son más seguras y protegen mejor nuestros datos?
Esta semana se ha publicado que un proveedor de Orange ha sufrido un ciberataque que ha dejado al descubierto datos sensibles de los clientes de la operadora. Además Holaluz ha comunicado un acceso no autorizado a informaciones sensibles de sus abonados. Así las cosas nos preguntamos ¿Qué operadoras de Internet son más seguras y protegen mejor nuestros datos?
Estamos familiarizados con la gran mayoría de las operadoras de Internet en nuestro país. Incluso hemos probado algunos de sus planes. Casi siempre las valoramos en función de su cobertura, calidad de servicio y precios. Hoy vamos a tratar un aspecto no tan conocido de las operadoras de Internet, que tiene que ver directamente con nosotros, como usuarios.
Nuestros datos personales, ¿están seguros en las operadoras de Internet?
sobre la privacidad y seguridad en Internet.
La ley de protección de datos personales es bien conocida por las distintas comercializadoras de Internet. Entró en vigor el año 2018, y todas las operadoras de telecomunicaciones se han apegado a este reglamento, en mayor o menor medida.
Este es un criterio de valoración que se usa poco, a pesar de su relevancia para los usuarios. ¿Sabéis cuál de los proveedores de Internet cuida mejor vuestros datos? Tomando en cuenta el informe más reciente de la Agencia Española de Protección de Datos (AEPD), podemos sacar nuestras propias conclusiones.
Según el informe de la AEPD publicado en mayo de este año, vemos que algunas operadoras de Internet de nuestro país han tenido que pagar multas millonarias por el incumplimiento al reglamento (RGPD).
Estas son las operadoras menos valoradas con respecto al tratamiento de los datos de usuario:
- Vodafone
- MásMóvil
- Orange
Vodafone ha sido sancionada en más de una ocasión. La última multa que le ha sido impuesta supera los 3,9 millones de euros. En el caso de las otras dos operadoras, el monto a pagar no supera el millón de euros para cada una de estas operadoras de Internet.
Estas sanciones dejan claro que estas empresas son las más vulnerables en la seguridad de los datos de sus usuarios. Este es un tema delicado, sobre el que necesitamos educarnos y tomar conciencia. No queremos que nuestros datos sean regalados en la red y al alcance de cualquiera.
Y estamos seguros de que éstas y el resto de las empresas operadoras de Internet están tomando todas las medidas para redoblar la seguridad del manejo de datos del usuario.
Movistar ocupa el primer lugar como la empresa más segura
En el otro extremo, se encuentra Movistar. Este es uno de los proveedores de Internet, que se ha tomado muy en serio el resguardo de la información de sus clientes. Está valorada como la empresa que mejor cuida los datos de sus clientes.
Cabe señalar que esta calificación se le ha otorgado a esta operadora, al compararla con otras operadoras de Internet y con empresas que manejan gran cantidad de datos personales. ¿Qué criterios se toman en cuenta en esta valoración?:
- Política de protección de datos personales
- Cumplimiento de la Ley
- Notificación al usuario
- Transparencia
- Promoción de la privacidad de los usuarios
Dentro de cada uno de estos criterios hay varios ítems que se toman en cuenta para la calificación. En el caso de Movistar, suma 8 de un total de 12 estrellas, en la tabla de puntuación de las fundaciones Electronic Frontier Foundation (EFF) y Eticas Fundation, dos organizaciones que se ocupan de la defensa de los derechos digitales. En el caso de Eticas ya os hablamos de ella en ESTE ARTÍCULO del mes de agosto.
Pues bien, siguiendo con la tabla de puntuación vemos que Orange suma un total de 7 estrellas, Vodafone consiguió 6.5 estrellas; y por último tenemos a MásMóvil, con 3 estrellas.
Podéis consultar el estudio ¿Quién defiende tus datos? AQUÍ.
Tus datos también son importantes
En España hay al menos unas 20 operadoras de Internet legalizadas, que brindan excelentes servicios y que te amparan de distintas maneras. Los lineamientos varían de una operadora a otra; por eso es importante leer bien su política de privacidad antes de aceptar sus términos. Y recordad siempre dejar vuestros datos personales en buenas manos.
Imagen principal: Gerd Altmann en Pixabay
- Publicado en Estudios, General, Noticias, Protección de datos, Servicios
¿Vamos sobrados en temas de ciberseguridad?
¿Creemos que sabemos más de lo que realmente sabemos? En temas tan sensibles como la ciberseguridad parece que así es. Y por lo tanto es un grave peligro para las empresas. Lo demuestra un estudio de Kaspersky que indica que tan solo un 11% de los empleados testados demostraron un alto nivel de conciencia de ciberseguridad. Así que cabe preguntarse: ¿vamos sobrados en temas de ciberseguridad?
Coma ya sabéis, Kaspersky Lab es una compañía internacional global de seguridad informática con presencia en más de 190 países. Sus estudios aportan datos muy interesantes sobre ciberseguridad. Hoy os presentamos una herramienta llamada Kaspersky Gamified Assesment, que está diseñada para medir las habilidades cibernéticas de los trabajadores de una empresa. El objetivo final de la herramienta es cambiar el comportamiento y la conciencia de los trabajadores. De esta forma ayudan a los responsables de seguridad de la información y a los departamentos de recursos humanos a medir las habilidades de todos los empleados de una compañía.
¿En qué consiste Kaspersky Gamified Assesment?
En realidad es como un juego que mide las decisiones que toman los empleados ante situaciones comunes que ocurren mientras trabajan de forma remota y en la oficina. Se evalúan seis dominios de seguridad, como contraseñas y cuentas, correo electrónico, navegación web, redes sociales y mensajería o seguridad de los PC’s y dispositivos móviles. Según las decisiones que se van tomando se otorgan puntos.
Los resultados de este test fueron un tanto alarmantes:
- Solo uno de cada diez trabajadores obtuvo la excelencia (más del 90% de los puntos posibles).
- El 61% logró un resultado “medio” (entre 82 y 90% de los puntos posibles).
- El 28% no demostró un nivel suficiente de conocimientos de ciberseguridad (menos del 75% de los puntos).
- Entre las acciones evaluadas la más difícil resultó ser el de la navegación web: solo un 24% definió correctamente las acciones.
Podéis leer el artículo que explica este tema en IT Digital Security, una publicación de IT Digital Media Group, que se divide en tres publicaciones digitales interactivas orientadas siempre al B2B: IT User, IT Reseller y IT Digital Security. Además el grupo posee servicios de marketing y comunicación.
Más del 30% de los jóvenes no sabe gestionar su privacidad
Podríamos pensar que los jóvenes nacidos ya en plena efervescencia del entorno digital serían mucho más sensibles a los temas de ciberseguridad y privacidad. Pero un reciente estudio de la Universitat Oberta de Catalunya (UOC) lo desmiente, hasta el punto de llegar a preguntarse si “los nativos digitales no tiene habilidades digitales”.
El estudio, titulado Competencias digitales de la juventud en España: un análisis de la brecha de género ha sido financiado por el Ministerio de Ciencia e Innovación y forma parte del proyecto I+D Educación social digital: juventud, ciudadanía activa e inclusión. Para efectuarlo se han entrevistado a 600 jóvenes de entre 16 y 18 años, residentes en España y de ambos géneros.
Las principales conclusiones del estudio son las siguientes:
- Más del 30% de los encuestados de ambos géneros presenta disfunciones, tanto en el ámbito técnico (manejo de dispositivos y habilidades para acceder al entorno digital) como en el informacional (evaluación de los contenidos y sociabilidad online).
- Más del 30% de los jóvenes de ambos géneros desconoce como proceder a la configuración de servicios digitales o como utilizar herramientas para aumentar su privacidad y su anonimato online.
- El 71% de las chicas aseguran manejar bien los distintos perfiles de su identidad digital, frente al 66% de los chicos.
- Solo un 25% declaran que saben hacer el mantenimiento de sus dispositivos y que incluso saben repararlos. Pero en este caso hay grandes diferencias por género: solo el 18% de las chicas se manifestaron este sentido, frente al 32,6% de los chicos.
Podéis saber más sobre este estudio en el artículo de la Universitat Oberta de Catalunya AQUÍ.
Este estudio nos ha recordado un libro coral del año 2017 titulado Los nativos digitales no existen en el que colaboraron 17 autores y autoras y orientado a las personas que formaban a niños y adolescentes en las nuevas tecnologías. Y partían de una premisa interesante: los niños no son nativos digitales porque los niños no saben usar internet. Para los que os interese este punto de vista y este libro, os invitamos a leer ESTE ARTÍCULO publicado en Microsiervos. Como ellos mismos se presentan, es un proyecto que nació como un blog personal escrito por tres amigos con la idea de que fuera un blog de divulgación sobre tecnología, ciencia, Internet y muchas más cosas. En la actualidad está editado por Alvy y Wicho.
Como podéis observar con estos dos informes, cabría preguntarse más de una vez ¿vamos sobrados en temas de ciberseguridad? antes de empezar el trabajo del día a día. Y ya sabéis: aplicar el más común de los sentidos. Otra buena opción es apuntaros a alguna de las formaciones que TECNOideas os puede ofrecer y aumentar así vuestras opciones de trabajar más ciberseguros.
Imagen principal: StartupStockPhotos en Pixabay
La computación cuántica llama a la puerta
La Unión Europea ha elegido el Barcelona Supercomputing Center del Centro Nacional de Supercomputación (BSC-CNS) como uno de los lugares que albergará un ordenador cuántico de la red europea. Solo seis países tendrán uno de estos monstruos que van a cambiar totalmente la forma de afrontar infinidad de problemas que ahora no podemos solucionar.
El BSC-CNS se creó en el año 2005 y es el centro nacional de supercomputación en España. Sus objetivos de investigación se centran en cuatro campos: Ciencias Computacionales, Ciencias de la Vida, Ciencias de la Tierra y Aplicaciones Computacionales en Ciencia e Ingeniería. Además gestiona el ya famoso MareNostrum, el supercomputador más emblemático y potente de España.
En este centro internacional de excelencia en e-Ciencia trabajan 760 expertos y profesionales en I+D.
¿Por qué es tan importante la computación cuántica?
©TECNOideas_O.Pereira
Aunque es difícil resumir en este artículo las posibilidades que abre, podemos resumirlo de forma sencilla si decimos que la computación clásica (o informática clásica) puede estar en 0 o en 1, pero solo en un estado a la vez.
Por contra, la computación cuántica se basa en cubits, que combina los unos y los ceros de tal manera que pueden estar a la vez en ambos estados. Eso posibilita infinitas opciones, abre nuevas puertas lógicas y multiplica ampliamente los posibles nuevos algoritmos.
Para enteder mejor todo esto os invitamos a volver a leer la charla que mantuvimos con José Luis Hevia y Guido Peterssen, responsables del equipo de investigación y desarrollo de software cuántico que ha creado, junto a Mario Piattini, QuantumPath, una plataforma que permite a las empresas adentrarse en el mundo de la computación cuántica. La primera entrega la tenéis AQUÍ y la segunda, que titulamos “La ciberseguridad en tiempos cuñanticos” AQUÍ.
¿Qué hay de nuevo?
©TECNOideas_O.Pereira
Además de la excelente noticia de que el consorcio de supercomputación de la Unión Europea ha escogido al BSC-CNS como uno de los seis centros que albergarán la primera red europea de computación cuántica, tenemos también novedades sobre Google. Y es que este gigante ha anunciado un sistema operativo centrado en la seguridad y los sistemas embebidos. Los sistemas embebidos son sistemas de computación diseñados para cubrir unas necesidades específicas y no generales como ocurre, por ejemplo, con los PC’s.
El nuevo sistema operativo de Google, que se llama KataOS, se centra en la seguridad. A nivel técnico no se ha construido sobre Linux ni Fuchsia, sino con el lenguaje de programación Rust, desarrollado por la Fundación Rust.
Este lenguaje, que parece estar muy de moda, nació en las instalaciones de Mozilla, ya que surgió a partir de un proyecto de Graydon Hoare, que era un empleado de Mozilla en 2006. Las ventajas de este lenguaje son muchas, hasta el punto que Linux ha informado que pronto lo podrá incorporar.
El objetivo final de Google es proporcionar una plataforma fiable y segura que proteja al usuario y su privacidad. Para ello aseguran que es lógicamente imposible que se puedan alterar las protecciones de seguridad. Esperemos que así sea.
Si estáis interesados en el tema tecnólogico, podéis leer ESTE ARTÍCULO de Muy Linux, un blog satélite de la publicación My Computer dedicada exclusivamente al sistema operativo Linux.
Imagen principal: supercomputador MareNostrum.
Por cortesía del Barcelona Supercomputing Center – www.bsc.es
- Publicado en Cuántica, General, Noticias, Protección de datos, Sistemas operativos, Software libre
Éxito del WorldParty2k22 y su CTF
El colectivo %27 acaba de realizar la WorldParty2k22, basado en el conocimiento hacker y la inteligencia colectiva. Su “Capture the flag” (CTF), organizado por el colectivo flagHunters, ha sido uno de los puntos fuertes, ya que participaron una cincuentena de personas repartidas en 31 equipos.
Una de las mejores formas de dar un salto cualitativo en las habilidades sobre hacking es participando en un CTF, siglas de Capture the flag, o Captura la bandera. Como nada es lo que parece (o casi nada) en realidad es una competición gratuita y la flag no es otra cosa que un código que sirve para confirmar que hemos conseguido el reto. Un CTF consta de varios retos. Cada uno otorga puntos y al final, el que tiene más puntos, claro, es el ganador. Se puede participar de forma individual o lo que es más común, en equipos.
No os asustéis con eso de leer la palabra hacking. Ya os hemos contado el origen de la palabra y del movimiento Hacker en este blog. Y os recordamos una vez más que el hacking no es más que un conjunto de técnicas utilizadas para introducirse en un sistema informático vulnerando las medidas de seguridad. La finalidad con que se haga eso es lo que marca la diferencia. Por eso se habla de hacking ético – el bueno – o de ciberdelincuente – el malo -.
Pues bien, la WorldParty 2k22 incluye un CTF que es un banco de pruebas fantástico para las personas que quieren aprender divirtiéndose al tiempo que adquieren habilidades de hacking. No puede ser de otra manera conociendo la filosofía de HackMadrid%27 y del certamen WorldParty, cuyo objetivo es “la difusión del conocimiento, el pensamiento crítico y científico en un marco de plena libertad de pensamiento y expresión, estimulando la experimentación, mediante proyectos basados en el software y hardware libre”.
TECNOideas ha colaborado en el CTF
Como ya está siendo habitual, TECNOideas ha participado también en esta competición. Nuestra colaboración, en forma de patrocinio lleva ya un tiempo, puesto que seguimos plenamente la filosofía de los organizadores. De la misma manera que también colaboramos en el CTF de la IntelCon que organiza Ginseg, como os contamos AQUÍ el año pasado. Y es que no lo podemos remediar, ¡nos encantan los juegos y la gamificación! Por eso también estamos organizando un CTF para institutos y centros de Formación Profesional.
Pero volvamos al CTF de la WorldParty. Participaron 50 personas, agrupados en 31 equipos que debían superar 23 retos. Los ganadores fueron los siguientes:
- Watch4Hack con 4.196 puntos
- Leonuz con 3.335 puntos
- ExpertosEnLogaritmos con 3.264 puntos
Hay que destacar especialmente el trabajo de Leonuz, ya que fue un equipo de una sola persona, lo que, sin duda, fue un plus que merece nuestro aplauso.
Os invitamos a conocer más profundamente el desarrollo de la competición, el marcador o scoreboard, los equipos, etc. AQUÍ.
Como estamos seguros que muchos de vosotros ya estáis esperando participar en una nueva competición, podéis seguir al colectivo flagHunters en su Twitter. Así os irán informando de sus próximos proyectos.
Finalmente, podéis leer la entrevista que mantuvimos con los responsables de flagHunters by HackMadrid hace ahora un año AQUÍ. Así conoceréis un poco mejor sus objetivos, filosofía de la vida y su buen trabajo a nivel social.
¿Eres de los insensatos que paga con el móvil?
Si ese es tu caso, deberías saber que guardar tus tarjetas de débito y crédito en Google Pay para pagar con tu móvil es un riesgo importante. Kaspersky ha detectado que el malware Harly estaba detrás de 190 aplicaciones de Android. Se encargaba de suscribir a insensatos como tu a servicios de pago no deseados.
Bueno, no queremos que te sientas mal, pero todos y todas deberíais tener más cuidado. Los técnicos de la empresa de seguridad Kaspersky han informado de este truco tan aparentemente inocente que hasta se han efectuado 4,8 millones de descargas en Google Play Store. O sea 4,8 millones de víctimas, aunque la cifra podía ser bastante mayor.
Los ciberdelincuentes se encargaban de ofrecer servicios varios que se escondían detrás de aplicaciones legítimas inofensivas, como minijuegos o linternas. Este tipo de aplicaciones suelen ser las más descargadas del mundo, porque son gratuitas y los delincuentes saben perfectamente que la gente se pirra por descargarse cosas gratuitas. Es por eso que, en total, este malware consiguió casi 5 millones de descargas durante los dos años en los que ha estado en funcionamiento.
Hay que puntualizar que Harly ataca solo a los usuarios de Android.
Este troyano, como recuerda Kaspersky, imitan aplicaciones legítimas. Los estafadores descargan estas App de Google Play, insertan el código malicioso y las vuelven a subir con otro nombre. La conclusión es que al final el usuario adquiere una suscripción de pago sin darse cuenta. Además el troyano permite la suscripción cuando el proceso está protegido por un mensaje de texto. Pero también cuando lo está mediante una llamada telefónica: Harly llama a un número concreto y confirma la suscripción.
Una vez que el usuario descargaba y abría la aplicación infectada, el troyano empezaba a recopilar toda la información posible sobre su dispositivo electrónico. El teléfono cambiaba de red móvil y el troyano hacía el resto para configurar la lista de suscripciones a las que tenía que apuntarse.
Una vez el malware ya estaba instalado y abierto en un dispositivo, abría portales de suscripción en una ventana oculta. De esta manera, los estafadores, lograban llevar a cabo toda la operación sin levantar ni un solo tipo de sospechas.
Podéis leer toda la información sobre este troyano, como funciona o cómo protegerse en ESTE ARTÍCULO publicado en la web de Kaspersky.
También podéis consultar el soporte de Google, donde explican como introducir automáticamente la información de pagos en aplicaciones. Y también como minimizar los riesgos, ya que tienen unos apartados titulados “Desactivar las solicitudes para guardar los datos de pago” y “Cambiar dónde se guardan tus datos”. Lo podéis leer AQUÍ.
Como bien recomiendan los investigadores de Kaspersky, debemos ir con mucho ojo a la hora de navegar por internet y no descargar todas las aplicaciones que nos resulten interesantes. Antes de hacerlo es recomendable leer reseñas, verificar cualificaciónes en Google Play… Sí, sí, ya sabemos que nadie lo hace. Pero nuestra misión es pediros que lo hagáis, porque… ¡somos una empresa de ciberseguridad! Y también debemos deciros que aún así, puede ser que hasta las mismas reseñas no sean reales, así que os recomendamos instalar un antivirus fiable para curaros de espantos.
Imagen principal: Imagen de Gerd Altmann en Pixabay
- Publicado en Ataques / Incidencias, General, Noticias, Productos, Servicios, Sistemas operativos
Passkeys, el futuro de las contraseñas… ¿son ciberseguras?
Si eres de los que nunca se acuerda de las contraseñas, estás de enhorabuena: ya tenemos una nueva tecnología basada en claves criptográficas y datos biométricos llamada “passkeys” que va a sustituir pronto a las viejas y desmemoriadas contraseñas.
A principios de este año 2022, las mayores empresas de tecnología, como Google, Apple y Microsoft, anunciaron que habían unido fuerzas para simplificar el acceso a aplicaciones, sitios web y dispositivos con una herramienta basada en datos biométricos. Esta propuesta de identificación nos hará olvidar por fin esas contraseñas complicadas que no queremos recordar y que son propensas a las filtraciones. Sin embargo esta propuesta, que recibe el nombre de passkeys, genera una duda: ¿cuán segura es?
Las passkeys solicitaran nuestro registro en una plataforma que almacenará nuestros datos en una nube. Para ello usaremos un PIN, huella dactilar, reconocimiento facial o iris. Dependiendo de la autentificación biométrica que soporte el sistema operativo del móvil, ya sea Android o iOS, en la nube se harán copias de seguridad y se sincronizarán para evitar bloqueos si se pierde el dispositivo en el que se generaron inicialmente.
La idea final es usar esta passkey para iniciar sesión en sitios web sin necesidad de poner los típicos credenciales de usuario y contraseña. Para acceder, se va a desbloquear desde el móvil, de forma segura, con los datos biométricos registrados. Cuanto tengamos que identificarnos en una web, nos ofrecerá un código QR, que leeremos con nuestro móvil, para pedirnos la passkey. Para ello usaremos la huella o rostro y nos identificaremos. En caso de robo del aparato la passkey no tendrá valor, porque es necesario activarla biométricamente cada vez que se use.
¿Qué ocurre con la seguridad?
Técnicamente el proyecto parece no tener ningún fallo, pero podemos aplicar aquello de “poner todos los huevos en la misma cesta” o lo que es lo mismo, tener todos nuestros credenciales en la nube. ¿Es eso suficientemente seguro? No hemos dejado de hablar de lo poco segura que es la nube en algunos de nuestros artículos, como ¿Archivos en la nube? Sí, pero de forma segura y cumpliendo la RPGD o este otro titulado ¿Quién tiene la responsabilidad de nuestros datos en la nube?
También podemos preguntarnos ¿qué ocurre si falla? Al ser una herramienta todavía en desarrollo podríamos encontrarnos con varios problemas técnicos en el camino.
Pero no adelantemos acontecimientos pesimistas. La idea es buena, los datos biométricos son únicos en cada persona y son, sin duda, el futuro de nuestra autenticación.
Para la empresa que está gestionando el tema, las passkeys “son un reemplazo significativamente más seguro para las contraseñas y otros factores de autenticación frente al phishing, ya que no se pueden reutilizar, no se filtran en las fugas de datos”. Esto funciona en diferentes plataformas y navegadores, incluidos Windows, macOS, iOS y ChromeOS.
Como primeros pasos, antes de usar la passkey, se aconseja realizar una limpieza digital, para mejorar la privacidad y tener control sobre el acceso a la diferente información que guardemos, por lo que se sugiere realizar una verificación de seguridad rápida y proteger las cuentas, entre estas otras recomendaciones:
- Utilizar la verificación en dos pasos (2FP).
- Usar un administrador de contraseñas.
- Revisión de contraseñas periódicamente, al menos cada 3 meses.
- Realizar copia de seguridad cada mes.
- Agregar ordenadores, teléfonos o dispositivos de confianza.
También debemos recordar y reconocer aquí y ahora que hace años que la FIDO Alliance está intentado impulsar métodos de autenticación más seguros y cómodos para los usuarios. Por ello también ha tenido un importante papel en el desaroolo de esta técnica, como podeís ver AQUÍ. De hecho, esta asociación industrial abierta, creada en febrero de 2013, tiene como objetivo desarrollar y promover estándares de autenticación que ayuden a reducir la dependencia excesiva de las contraseñas en el mundo.
Se espera que todas estas funciones del passkeys estén disponibles para todo el mundo a finales de 2022.
Artículo redactado con la colaboración de: Astrid Carolina De Dios
Imagen principal: 200 Degrees en Pixabay
- Publicado en General, Noticias, Privacidad, Protección de datos, Seguridad, Servicios
La nueva ISO 27032 es un estándar de ciberseguridad
Ya se ha hecho pública la nueva versión de la norma ISO 27032, que se convierte en la más específica certificación sobre ciberseguridad. Se trata de una nueva oportunidad para que las empresas demuestren a sus clientes que cumplen con la ley y las diferentes normativas. Y además que son sensibles a los problemas de ciberseguridad, protegiendo y preservando la confidencialidad, integridad y disponibilidad de la información.
Llevamos mucho tiempo insistiendo en la necesidad de que las empresas se certifiquen en los estándares de las tecnologías de la información y os hemos hablado a menudo de la ISO 27001 y del Esquema Nacional de Seguridad (ENS).
Pero hoy queremos hablaros de la ISO/IEC 27032, porque es un nuevo estándar concreto de ciberseguridad.
La ISO 27032 nació en el año 2012 con el objetivo de mejorar el estado de la ciberseguridad o lo que entonces se llamó “la seguridad del ciberespacio”. Se entendía el ciberespacio como “el entorno complejo resultante de la interacción de personas, software y servicios en Internet por medio de dispositivos tecnológicos y redes conectadas a él, que no existe en cualquier forma física”. Por su parte la RAE lo define como “Ámbito virtual creado por medios informáticos”. Y por lo tanto la seguridad del ciberespacio es “la preservación de la confidencialidad, integridad y disponibilidad de la información en el Ciberespacio”.
Podéis ver un artículo sobre la nueva norma en la web del Centro Criptológico Nacional AQUÍ.
La nueva ISO 27032 es un estándar de ciberseguridad
Desde hace un tiempo la Organización Internacional de Normalización estaba trabajando en una nueva versión de esta norma y ahora finalmente se ha presentado. Entre las novedades más destacadas se encuentra el cubrir los espacios que hasta ahora no quedaban encuadrados en anteriores normas de seguridad de la información. También es importante señalar que la empresa que se va a certificar debe ser muy proactiva en las medidas de seguridad y en los mecanismos de prevención.
Con la ISO 27032 se pretende garantizar la seguridad en los intercambios de información en la red con este nuevo estándar, que puede ayudar a combatir el cibercrimen con cooperación y coordinación. La certificación proporciona un marco seguro para el intercambio de información, el manejo de incidentes y la coordinación para hacer más seguros todos los procesos.
Una vez más debemos recomendar a las empresas que consideren el certificarse, porque la ISO 27032 ayuda a prepararse, detectar, monitorizar y responder a los ataques. Al mismo tiempo permite luchar contra ataques de ingeniería social, hackers, malware, spyware y otros tipos de software no deseado.
¿Cómo es la certificación?
TECNOideas puede ayudar a certificaros, como en el caso de la ISO 27001 y del Esquema Nacional de Seguridad. Con el método TECNOideas os será sencillo el trabajo a realizar porque os acompañamos de principio a fin.
La certificación engloba cuatro partes:
- Seguridad de las redes
- Seguridad de la información
- Seguridad en internet
- Protección de las infraestructuras críticas
A partir de ahí, trabajamos con nuestro cliente para revisar los productos y servicios que posee, el marco normativo, su documentación de seguridad, los flujos de información de los procesos, etc. con el fin de llegar al análisis de riesgos.
Sobre ellos establecemos el plan de acción, según las directrices que marca la ISO 27032. Naturalmente, este plan supone la implicación de los diferentes departamentos de la empresa.
En la web de la Organización Internacional para la Estandarización tenéis toda la información sobre esta norma desde sus inicios en 2012, la información general, etc. AQUÍ.
Precisamente la semana pasada publicamos un artículo sobre la necesidad que tienen de certificarse los Centros de Procesos de Datos (CPD). Y es que las certificaciones son necesarias para grandes y pequeñas empresas y por supuesto para los CPD’s, que si no pueden acreditar que cumplen los estándares exigidos, se van a quedar sin clientes.
Esta certificación, como las anteriormente citadas, son de gran ayuda en el modelo de negocio de las empresas que la obtienen porque:
- Asegura el cumplimiento de la ley y las normativas.
- Ofrecen seguridad y seriedad a sus clientes.
- Certifican el buen uso de los datos que sus clientes les confían.
- Ordenan internamente los distintos departamentos en temas de ciberseguridad.
- Ofrecen formación personalizada (según las necesidades de cada departamento) a todo el personal.
- Es una importante ventaja frente a la competencia.
¡Podéis obtener la certificación ISO 27032
con la ayuda de TECNOideas!
Solicitad más información AQUÍ.
Imagen principal: mcmurryjulie en Pixabay
- Publicado en Certificaciones, General, Normativa, Noticias, Seguridad
Ha llegado la hora de los CPD’s: certificarse o morir
Los Centros de Procesos de Datos (CPD) han ido cogiendo protagonismo poco a poco, con la moda de servicios CLOUD. En la actualidad esto se ha acelerado de tal modo que ya conforman uno de los sectores de mayor crecimiento tras la pandemia. Pero muchos de ellos tienen un grave problema: no poseen las certificaciones necesarias. Particularmente no poseen la ISO 27001 ni el Esquema Nacional de Seguridad (ENS), lo que los deja en fuera de juego, con los clientes o posibles clientes que tengan que cumplir en cadena.
Un centro de datos es una instalación que alberga todas las estructuras básicas e infraestructuras de tecnología de la información (TI) de una organización. Hablamos de servidores, equipamiento eléctrico, electrónico e informático. También se encarga de centralizar las operaciones de TI realizadas. Por ejemplo tener acceso a la información de todos los datos de sus clientes y las operaciones que realizan. Por ello es una estructura básica para cualquier empresa, sea pública o privada.
En un principio, las empresas tenían sus propias instalaciones, pero con el tiempo, los problemas de ciberseguridad, legislativos, económicos o de espacio ha ido obligando a las empresas a renunciar a su propia instalación para alojar todas sus operaciones en CPD’s. Y esto es válido para empresas grandes, medianas o pequeñas. De este modo los CPD’s también han crecido y actualmente se pueden encontrar desde centros en pequeños espacios hasta grandes centros que ocupan edificios enteros.
Podéis leer más información (también técnica) sobre los CPD’s en la Wikipedia o en un artículo algo antiguo y básico del Incibe pero muy claro y esquemático AQUÍ.
¿Cuál es el problema?
Desde su origen los CPD’s estaban obligados a seguir una serie de estándares muy variados. Entre ellos podríamos citar los geográficos (no pueden estar en lugares potencialmente inundables, por ejemplo); técnicos (deben tener infraestructuras fácilmente disponibles como energía eléctrica, carreteras, centrales de telecomunicaciones o bomberos); seguridad física (cámaras de seguridad, detectores de movimiento, cerraduras electromagnéticas, etc.); seguridad lógica de la propia instalación (medidas de protección y/o alertas ante caídas de tensión, desastres naturales, incendios, accesos no autorizados…).
Y esto que comentamos no es banal. Lo podemos comprobar en nuestro día a día. Últimamente son varios los clientes que nos llegan por circunstancias de este sector. Ya no es solo porque tengan que cumplir leyes en protección de datos, sino que tienen clientes, y posibles clientes que han de cumplir con la “rueda” o cadena normativa.
Dicho de otra manera: si una empresa quiere o debe certificarse en el Esquema Nacional de Seguridad va a exigir que sus proveedores, al menos los que afectan a la certificación, y por lo tanto, datos, que también estén certificados. Y esto es válido para el ENS, la ISO 27001 y otras del estilo.
El problema es que estos estándares ya no bastan, porque el mercado y la legislación obliga a que estos centros tengan una certificación dentro del área de la seguridad de la información. Particularmente hablamos de la ISO 27001 y del Esquema Nacional de Seguridad (ENS).
Los CPD’s que no dispongan de estas certificaciones quedarán automáticamente fuera de las necesidades del mercado, porque muchos de sus clientes se ven obligados a cumplir la cadena normativa. Así que no exageramos nada cuando decimos que a llegado la hora de los CPD’s: certificarse o morir
Para las empresas es fundamental, porque si a la seguridad que ofrece un CPD se le añade haber seguido el proceso de una certificación (recordamos que no solo es burocracia), está incorporando competitividad, diferenciarse de la competencia y en consecuencia, más negocio.
Os recordamos que la certificación es un paso más en todo este proceso. Si pensáis que con un CPD todo está resuelto para vuestra empresa, dejad que os recordemos este artículo publicado en este blog titulado ¿Quién tiene la responsabilidad de nuestros datos en la nube?
Y es que todo el tema relacionado con los datos es un tema muy serio. Al contrario de lo que suele pensarse, no solo es un proceso burocrático a cumplir, como estamos viendo en muchos casos de protección de datos en nuestros clientes. Pero de eso, ya hablaremos otro día…
¡Podéis obtener estas certificaciones
con la ayuda de TECNOideas!
Solicitad más información AQUÍ.
Imagen principal: evertonpestana en Pixabay
- Publicado en Certificaciones, General, Mantenimiento, Normativa, Noticias, Seguridad
Español 
Català