El WiFi hace posible ver a través de las paredes
Con el paso del tiempo, vamos desbloqueando mitos que creíamos imposibles. Desde poder vernos y hablar con alguien que está en la otra punta del mundo, hasta conseguir que un crucero de 200 toneladas se mantenga a flote sin ningún tipo de impedimento. ¿Pero, esperabas poder ver a través de las paredes algún día, como si de rayos X se tratara?
En 2018, Facebook ensayaba un sistema que permitía ubicar en tiempo real a un objeto en movimiento. Así mismo, avisaban de que un sistema de Inteligencia Artificial llamado Dense Pose, iba un paso por delante, ya que no solo ubicaba los objetos en movimiento, sino que también los identificaba con exactitud.
Hoy día, a principios de 2023, os corroboramos que, gracias a unas investigaciones de la Universidad Carnegie Mellon, de Pittsburgh, se espera que pronto estemos vigilados incluso a través de las paredes. Esto gracias, en parte, a las señales WiFi.
Pero… ¿De qué se trata este sistema realmente? Dense Pose se basa en Inteligencia Artificial. Los sistemas de procesamiento de imágenes de Facebook permiten detectar la posición en tiempo real de un objeto en movimiento. Pero, cuando crearon Dense Pose, vieron que iba un paso más allá, al detectar a varios objetos en movimiento. Entre otras cosas, es capaz de mapear lo que viene siendo la superficie del cuerpo humano (ya sea a través de un video o de una foto 2D). A raíz de ahí, crearon una red neuronal que, junto a los sistemas programados anteriormente. De esta manera consiguieron que fuera capaz de mapear la fase y amplitud de las señales WiFi, tanto entrantes como salientes, en el cuerpo humano.
Una vez programado y en funcionamiento. ¿Cuál sería el siguiente paso para hacer funcionar lo que supuestamente, podría llegar a atentar contra la privacidad de las personas?
Fácil, instalaron un sensor ubicado en una habitación cuya finalidad era detectar cuerpos, ya sea en la oscuridad o incluso detrás de otros objetos. El “algoritmo” terminó prediciendo las poses estrictamente en función de las señales WiFi.
Aunque suene algo contradictorio, Dense Pose asegura que su tecnología es amigable con la privacidad, dado que no es capaz de detectar características de identificación personal: protege la privacidad de las personas. Como la mayoría de los hogares en los países desarrollados ya tienen WiFi, los investigadores creen que esta tecnología puede escalarse para monitorear el bienestar de las personas mayores o simplemente identificar comportamientos sospechosos en el hogar.
¿Creéis que pueden estar en lo cierto? No obstante, no tienen en cuenta un matiz muy importante: una cosa es para lo que está diseñado un producto, servicio o sistema y otra muy diferente para la inmensa cantidad de cosas que se puede terminar utilizando. Si esta tecnología termina en manos equivocadas, podrían utilizarse para espiar y estudiar las actividades de sus posibles víctimas con mayor facilidad. ¡Ni siquiera tendrían que entrar ni hacerse notar… simplemente lo harían con una serie de cámaras externas!
Anteriormente ya nos habíamos interesado en comentaros varios temas sobre WiFi, es recomendamos leeros: Vulnerabilidades en el protocolo WiFi y en cámaras de videovigilancia.
Imagen principal: Web de Dense Pose
- Publicado en Ataques / Incidencias, General, Inteligencia Artificial, Noticias, Seguridad
Primeros malos usos de ChatGPT
Dos meses han tardado los ciberdelincuentes en usar ChatGPT para crear campañas de malware. La herramienta de Inteligencia Artificial de moda, ChatGPT, que fue presentada en noviembre del año pasado, ya ha sido usado para recopilar archivos de Office, PDF o imágenes.
ChatGPT es una nueva herramienta de Inteligencia Artificial que ha sido desarrollada por la compañía OpenAI. Esta empresa, especializada en investigación de IA y que dice que no tiene ánimo de lucro, desarrolló la herramienta y la ofrece gratuitamente a toda persona que tenga una cuenta con ellos.
Se está hablando mucho de ChatGPT, porque puede entablar una conversación en texto, ya que tiene una importante capacidad de generar y enlazar ideas. Además recuerda las conversaciones previas, por lo que va “aprendiendo” a medida que se utiliza.
El hecho de que cualquier persona puede hacer uso (bueno o malo) de esta herramienta es precisamente lo que ha hecho saltar las alarmas de diferentes compañías de seguridad. Por ejemplo la empresa Check Point.
Desde principios de diciembre, investigadores de esta empresa hicieron una serie de estudios y seguimientos. En ellos encontraron indicios de usos maliciosos a través ChatGPT. Además y en paralelo, apareció un hilo sobre el tema en un foro clandestino de piratería. En el se hablaba de las opciones que ofrecía para insertar campañas de malware. Para ello se había utilizado un software malicioso basado en Python para buscar archivos, copiarlos en una carpeta, comprimirlos y subirlos a un servidor FTP codificado. Posteriormente se ha comprobado que, efectivamente, es capaz de crear un malware que recopila archivos de Microsoft Office, PDF o imágenes del sistema.
No solo eso, en caso de encontrar un archivo que le interese y se lo quiera guardar, lo podrá hacer sin ningún tipo de problema. Simplemente tendrá que comprimirlo y compartirlo a través de la web. ¿Lo peor? Que todo eso se haría sin añadir cifrado, por lo tanto, estos archivos podrán terminar en manos de terceros por el hecho de no utilizar ese tipo de sistema de seguridad.
Esa no fue la única evidencia de mal uso del ChatGPT. También han podido crear scripts (secuencia de comandos que se usa para manipular las instalaciones de un sistema existente) con la herramienta. La misma empresa terminó concretando que se trataba de un script con diferentes finalidades como encriptado y cifrado, aunque también tiene una utilidad maliciosa.
Si queréis saber más sobre esta herramienta, podéis obtener más información AQUÍ.
Ya en este blog os hemos hablado de algunas de las opciones que han generado cierta controversia sobre la Inteligencia Artificial. Os recordamos el caso de los autógrafos de Bob Dylan en el artículo “La “estafa” de las dedicatorias
Anteriormente ya nos habíamos interesado por todo lo relacionado con la Inteligencia Artificial, a raíz del proyecto MarIA en el artículo ¿Ya podemos decir que la IA es más presente que futuro?
Imagen principal de: Alexandra_Koch en Pixabay
- Publicado en Ataques / Incidencias, General, Inteligencia Artificial, Noticias, Productos, Seguridad
Brecha en el gestor de contraseñas LastPass
No dejamos de insistir en la conveniencia de trabajar con un gestor de contraseñas. Prácticamente son la única opción de tener el acceso a nuestras fuentes con seguridad. Y también son la única opción contra nuestra desmemoria y sencillez en el momento de escoger contraseñas. Todo lo que no sea trabajar con ellos es aumentar las posibilidades de que sean los ciberdelincuentes los que trabajen… ¡contra nosotros!
También decimos que la seguridad al 100% nunca existe. Por eso queremos hablaros hoy de LastPass, un buen gestor de contraseñas multilingüe que desarrolló la empresa Marvasol Inc. en 2008. Pero este gestor ha estado en boca de muchos en el último trimestre de 2022. Algunos de nuestros clientes nos han preguntado acerca de un incidente de seguridad que LastPass tuvo en agosto. La compañía lo anunció oportunamente, diciendo que “alguien” accedió a su entorno protegido de desarrollo, pero no afectaba a los datos y credenciales guardados por los usuarios de la plataforma.
Contraseñas bien protegidas
LastPass funciona a través de una contraseña maestra, se encripta a nivel local y se sincronizan con los navegadores que lo aceptan, que son prácticamente todos. Además posee un complementador automático de formularios web, que utiliza para la autenticación, generar nuevas altas en sitios web y la contraseña automática.
A todo ello añade una política de empresa de total transparencia. Esa transparencia es lo que motivó que el pasado 22 de diciembre, el CEO de la empresa, Karim Toubba, firmara un comunicado explicando con detalle el resultado de la investigación que abrieron sobre el suceso.
En él reconocen que se robaron códigos fuente e información técnica y que copiaron información de la copia de seguridad. Esta copia tenía datos básicos de las cuentas de los clientes, nombres de empresas y de usuarios finales, direcciones de facturación y de correo electrónico, números de teléfono y las direcciones IP con las que los clientes accedían al servicio de LastPass.
El comunicado explica que no existen evidencias de acceso a datos de ninguna tarjeta de crédito sin cifrar. Eso se debe a que LastPass no almacena números completos de las tarjetas de crédito y no se almacenan en la nube.
En un nuevo apartado titulado ¿Qué deben hacer los clientes de LastPass? Karim Toubba explica algunas ventajas de LastPass. Se exige un mínimo de 12 caracteres para las contraseñas maestras, que usan una implementación más segura de lo normal y otras recomendaciones generales. Todo ello lo podéis leer en ESTE COMUNICADO que se encuentra en la web de la empresa.
¿Qué enseñanza podemos sacar de todo ello?
Lo primero es lo ya sabido: no existe la seguridad al 100%. Pero sí buenas barreras, alternativas y soluciones. Además una empresa seria, como es el caso, ha explicado detenidamente el resultado de su investigación, lo que da credibilidad y seriedad a la empresa. Creemos que la brecha en el gestor de contraseñas LastPass y todo lo que explica su CEO deja bien a las claras que sus barreras han funcionado y difícilmente los delincuentes han podido acceder a los datos finales de sus clientes.
Lo segundo es insistir en que los gestores de contraseñas son seguros y fáciles de usar. O por lo menos son lo más seguro que existe para gestionar al acceso a nuestras fuentes habituales.
Y lo tercero es que nos hagáis un poco más de caso. Nosotros hemos escrito algunos artículos relacionados con las contraseñas. Por ejemplo, con ocasión del Día Mundial de la Contraseña (5 de mayo) publicamos ESTE POST en el que, además, sugeríamos algunos gestores de contraseñas que hemos probado en TECNOideas. Entre ellos estaba LastPass, que seguimos recomendando.
En octubre también os hablamos del futuro de las contraseñas, que, sin duda serán los datos biométricos y las claves criptográficas, lo que se llama genéricamente passkeys. Lo podéis leer AQUÍ.
Todo el mundo puede tener un problema de seguridad. Lo que diferencia a unos de otros es la forma de tratar el problema, la rapidez en la respuesta y las garantías que se ofrecen a los usuarios, proveedores, clientes, etc.
Una buena forma de demostrar esta eficiencia es tener las certificaciones de la seguridad de la información, como la ISO 27001 o el Esquema Nacional de Seguridad (ENS).
Imagen principal: Mohamed Hassan en Pixabay
- Publicado en Ataques / Incidencias, General, Noticias, Productos, Seguridad
¿Ya conocéis el alcance del ENS para entidades locales?
Si sois una entidad local o una empresa que trabaja con ella debéis conocer el “Prontuario de ciberseguridad para Entidades Locales” relacionada con el Esquema Nacional de Seguridad (ENS), que se acaba de actualizar.
Os hemos hablado en varias ocasiones del Esquema Nacional de Seguridad (ENS), una certificación muy necesaria para toda empresa que trabaje con la Administración. Posiblemente las entidades locales son las que tienen más empresas realizando algún tipo de servicio o de suministro para ellas. Por eso es de vital importancia conocer el prontuario de ciberseguridad que acaba de actualizar el Centro Criptológico Nacional junto a la Federación Española de Municipios y Provincias (FEMP).
Este documento tiene dos propósitos claramente definidos. Por un lado se quiere mostrar a las entidades locales (EE.LL.) y a todo su personal responsable, la realidad de las amenazas y riesgos actuales en todos los temas relacionados con el ciberespacio y la digitalización.
Por otro lado señala con claridad las garantías que ofrece el Esquema Nacional de Seguridad a las EE.LL. Debemos recordar que las EE.LL., al igual que otras Administraciones, tienen la obligación de certificarse con el ENS, ya que es la única manera de garantizar la seguridad de la información tratada, así como los servicios prestados.
Según la RAE, un prontuario es, en su primera acepción, un “resumen o breve anotación de varias cosas a fin de tenerlas presentes cuando se necesiten”. Y eso es exactamente este prontuario, que tiene 39 páginas, siete capítulos y un anexo consistente en una tabla de Funciones y Responsabilidades, tanto de los cargos electos como de los funcionarios.
A los operadores del sector privado que presten servicios o provean soluciones
a las entidades locales, se les exigirá el cumplimiento del Esquema Nacional de Seguridad.
Para ello deberán exhibir la DECLARACIÓN DE CONFORMIDAD
con el ENS, cuando se trate de sistemas de categoría BÁSICA, o la
CERTIFICACIÓN DE CONFORMIDAD cuando se trate de categorías MEDIA o ALTA.
Los principales capítulos son:
- Objeto del documento. Se explica el doble propósito que hemos mencionado en el párrafo anterior.
- La problemática de la ciberseguridad local. Se explica que la reducción presupuestaria de las EE.LL. y se demanda a los responsables locales encontrar formas innovadoras de garantizar la sostenibilidad de sus servicios. Se destaca también que “la ciberseguridad es vital para garantizar que los ciudadanos confíen en los Ayuntamientos cuando les remitan sus datos.”
Finalmente se añade una lista con las principales amenazas, con una breve descripción de cada una de ellas. - El cumplimiento del Esquema Nacional de Seguridad en las EE.LL. En este capítulo se recuerda que el objeto del ENS es determinar la política de seguridad que se ha de aplicar en la utilización de los medios electrónicos por parte de las entidades del sector público.
- Los responsables públicos y la ciberseguridad. Es el capítulo más extenso. Se determinan las funciones y responsabilidades de todos los integrantes de las corporaciones locales.
- La prestación de servicios externos. Este capítulo es muy importante para las empresas del sector privado que presten servicios o provean soluciones a las entidades locales.
Tenéis más información sobre este tema en la Guía de Seguridad CCN-STIC 830 y también
en la Guía de Seguridad CCN-STIC IC-01/19.
Podéis acceder al documento “Prontuario de ciberseguridad para EE.LL.” AQUÍ.
TECNOideas cuenta entre sus servicios la posibilidad de que las empresas y entes locales
puedan certificarse en el Esquema Nacional de Seguridad.
Para ello contamos con experto personal técnico y jurídico. En 2022 ya hemos acompañado a diversas entidades locales en su proceso de certificación del ENS.
Además, ofrecemos la opción de la doble certificación
en sistemas de seguridad de la información: ENS + ISO 27001.
Imagen principal: Imagen Oberholster Venita en Pixabay
- Publicado en Certificaciones, General, Normativa, Noticias, Seguridad
Suplantar identidades para estafar
Los cibercriminales llegan a ser tan sofisticados que a veces se precisa una acción conjunta internacional para desmantelar sus argucias. Esto es lo que acaba de pasar con una web que ofrecía servicios de suplantación de identidad y que ha sido bloqueada.
La suplantación de identidad es una de las técnicas más populares usadas por los delincuentes para infectar nuestros equipos y hacerse con nuestros datos personales y credenciales. En este blog os hemos hablado alguna vez de ello, como cuando os explicamos que la Comisión Europea animaba a denunciar las estafas en internet. Lo podéis recordar AQUÍ.
Como os podéis imaginar, suplantar identidades para estafar no es nada nuevo. Ya en el año 2020 la Oficina de Seguridad del Internauta publicó un artículo sobre el robo de identidades o spoofing que podéis leer AQUÍ. En él, además de aprender una nueva palabrita, nos explicaban que “la suplantación consiste en el empleo de una serie de técnicas de hacking utilizadas de forma maliciosa para suplantar la identidad de una web, entidad o persona en la red con la finalidad de obtener información privada sobre nosotros”.
Ahora llega la información de que se ha desmantelado una web que ofrecía servicios de suplantación de identidad para estafar en todo el mundo. Se calcula que las perdidas globales pueden haber llegado a los 115 millones de euros. La web permitía a las personas que se registraban que pudieran realizar llamadas suplantadas de forma anónima, enviar mensajes grabados e interceptar contraseñas de un solo uso. Los usuarios podían hacerse pasar por bancos, empresas o insituciones gubernamentales para obtener cuantiosas ganancias. Con la suplantación de identidad se buscaba ganar la confianza de la víctima, ya que pensaban que al ser marcas o empresas conocidas, no iban a atacarlos.
Se ha precisado una colaboración internacional a gran nivel de las autoridades judiciales y policiales, de Europa, Australia, Estados Unidos, Ucrania y Canadá. En la acción han intervenido Europol y Eurojust (Agencia de la Unión Europea para la Cooperación en materia de Justicia Penal) y se han detenido 142 personas.
Debemos recordar que es difícil luchar contra los delincuentes organizados y que el delito cibernético no sabe de fronteras, por lo que solo la colaboración internacional es eficiente en casos globales.
Podéis leer la nota de prensa que Europol realizó sobre el caso AQUÍ.
Para finalizar, recordaros que en junio os hablamos de la nueva técnica de suplantación llamada morphing y que demuestra, la sofisticación a la que pueden llegar los ciberdelincuentes. Tenéis el artículo AQUÍ.
- Publicado en Ataques / Incidencias, General, Noticias, Seguridad
¿Qué pasa en el mundo del motor con la ciberseguridad?
Desde la Fórmula 1 a una red de concesionarios, pasando por marcas de componentes y otras firmas muy conocidas, entre ellas Ferrari, nada menos. Todos ellos han tenido problemas de ciberseguridad en poco tiempo. ¿Qué pasa en el mundo del motor con la ciberseguridad?
Este pasado domingo ha finalizado la temporada de Fórmula 1. Pero en los últimos Grandes Premios se ha hablado de ciberseguridad, porque este mundillo tan absolutamente tecnológico no se ha librado de sufrir incidentes de seguridad. Parece ser que un grupo de delincuentes de la India había conseguido obtener datos significativos de diversas escuderías a través de un ransonware. Dicho de otra forma: amenazaban con un espionaje industrial. Con la competitividad de este deporte, cualquier escudería estaría encantada de tener datos de la competencia. El problema es que, supuestamente, las afectaciones alcanzaban a equipos como Alfa Romeo, Alpine de Fernando Alonso, Aston Martin o Ferrari de Carlos Sainz.
Ferrari ya había sido noticia anteriormente por un ciberataque sufrido en el momento en que cambiaba de proveedor de seguridad informática. Por la guerra de Ucrania y de mutuo acuerdo, la escudería del caballito rampante dejaba Kaspersky y se asociaba a Bitdefender, la empresa rumana creada por Florin Talpes en 2001. Podeís ver el acuerdo en la web de Ferrari AQUÍ y en la de Bitdefender AQUÍ.
Los ciberdelincuentes de la banda de ransomware RansomEXX aprovecharon este impasse para obtener más de 7 GB de documentos internos de Ferrari que fueron publicados en la Dark Web. Aunque Maranello desmintió que fuera atacada, numerosos artículos en prensa lo aseguraban, como es el caso del publicado por BeTech, la web de noticias de tecnología del diario AS. Si estáis interesados en el malicioso currículo de RansomEXX, la publicación Cuadernos de Seguridad le ha dedicado un interesante informe que podéis leer AQUÍ.
Mucho ciberataque
Vamos a por los concesionarios. El Grupo Pendragon, uno de los líderes del mercado en el Reino Unido, fue alcanzado por un ransomware enviado por LockBit, un activo grupo de ciberdelincuentes. Consiguieron robar datos de Pendragon y reclamaron cerca de 60 millones de euros para recuperar sus archivos.
Estos mismos delincuentes fueron los responsables del mayor ciberataque por volumen de la información robada. Tuvo lugar en Hannover y la víctima fue la conocida marca Continental, que además de fabricar neumáticos posee uno de los ordenadores más potentes de la industria de la automoción. Se ha calculado que se robaron 40 terabytes de datos y una vez más, a través de un ransomware.
Lo podéis leer en Escudo Digital.
También robo de automóviles… ¡con un altavoz!
Nos vamos a Francia. Unos ladrones agudizaron el ingenio para conseguir robar en pocos segundos coches de las marcas Peugeot y Toyota a través de un altavoz Bluetooth de la firma JBL.
El descubrimiento del hecho fue casual, como suele pasar con este tipo de cosas. La policía encontró en un coche robado uno de estos altavoces. En su interior había una llave digital que era capaz de poner en marcha el vehículo. Los delincuentes ofrecían el altavoz y la llave junto a un vídeo tutorial, donde explicaban como usarlos y la manera de conectarlo al vehículo con un cable USB.
La cosa parece sencilla, pero el dispositivo en cuestión podía costar, en el mercado negro, hasta 5.000 euros. Con esta táctica se robaron muchos vehículos en Francia.
Todos estos casos y algunos más los podéis leer gracias a HackerCar, la plataforma web dedicada al motor, la tecnología y la ciberseguridad, que debieron preguntarse, como nosotros, algo así como ¿Qué pasa en el mundo del motor con la ciberseguridad? Acceder a su artículo AQUÍ.
La ciberseguridad y el mundo del automóvil están cada vez más unidos. Ya hay reglamentaciones europeas que exigen que los coches de segunda mano se vendan libres de datos. Y también que los fabricantes de automóviles aumenten la ciberseguridad de los nuevos modelos. Y eso también deberán asegurarlo los lugares de recarga de coches eléctricos. Todos ellos están conectados a internet y por ello son factibles de ser atacados.
En TECNOideas ya hemos ido publicando algunas píldoras sobre todo esto, para que la concienciación sobre el tema vaya en aumento. Estos son algunos de los artículos publicados en este blog:
- En el 2022, ¿coche eléctrico, híbrido o de gasolina? ¡Coche ciberseguro! (Octubre 2020).
- ¿Se roban más coches por culpa de la cibertecnología? (Febrero 2022).
- Una Game Boy para robar coches. (Febrero 2022).
Naturalmente hay otra moraleja, distinta del sector del automóvil, en todo esto. Y es que si empresas tan importantes y con una tecnología de lo más puntero del mundo como Ferrari, las demás escuderías mencionadas o Continental caen bajo un ransomware, qué empresas de nuestro entorno no pueden verse amenazadas. Y no vale la excusa de siempre: “Yo soy pequeño, quién se va a fijar en mí y en mi pequeña empresa”. Quizá la persona que diga esto es que ni siquiera le han robado nunca la cartera, o el móvil, o lo que sea. ¡Felicidades! Pero ya sabéis: hay tres tipos de empresas: las que aun no han sido atacadas, las que ya han sido atacadas y las que están siendo atacadas y aun no lo saben.
Si nos contactáis os diremos en qué grupo está la vuestra.
Imagen principal de: Toby Parsons en Pixabay
- Publicado en Ataques / Incidencias, General, Medios de comunicación, Noticias, Seguridad
Passkeys, el futuro de las contraseñas… ¿son ciberseguras?
Si eres de los que nunca se acuerda de las contraseñas, estás de enhorabuena: ya tenemos una nueva tecnología basada en claves criptográficas y datos biométricos llamada “passkeys” que va a sustituir pronto a las viejas y desmemoriadas contraseñas.
A principios de este año 2022, las mayores empresas de tecnología, como Google, Apple y Microsoft, anunciaron que habían unido fuerzas para simplificar el acceso a aplicaciones, sitios web y dispositivos con una herramienta basada en datos biométricos. Esta propuesta de identificación nos hará olvidar por fin esas contraseñas complicadas que no queremos recordar y que son propensas a las filtraciones. Sin embargo esta propuesta, que recibe el nombre de passkeys, genera una duda: ¿cuán segura es?
Las passkeys solicitaran nuestro registro en una plataforma que almacenará nuestros datos en una nube. Para ello usaremos un PIN, huella dactilar, reconocimiento facial o iris. Dependiendo de la autentificación biométrica que soporte el sistema operativo del móvil, ya sea Android o iOS, en la nube se harán copias de seguridad y se sincronizarán para evitar bloqueos si se pierde el dispositivo en el que se generaron inicialmente.
La idea final es usar esta passkey para iniciar sesión en sitios web sin necesidad de poner los típicos credenciales de usuario y contraseña. Para acceder, se va a desbloquear desde el móvil, de forma segura, con los datos biométricos registrados. Cuanto tengamos que identificarnos en una web, nos ofrecerá un código QR, que leeremos con nuestro móvil, para pedirnos la passkey. Para ello usaremos la huella o rostro y nos identificaremos. En caso de robo del aparato la passkey no tendrá valor, porque es necesario activarla biométricamente cada vez que se use.
¿Qué ocurre con la seguridad?
Técnicamente el proyecto parece no tener ningún fallo, pero podemos aplicar aquello de “poner todos los huevos en la misma cesta” o lo que es lo mismo, tener todos nuestros credenciales en la nube. ¿Es eso suficientemente seguro? No hemos dejado de hablar de lo poco segura que es la nube en algunos de nuestros artículos, como ¿Archivos en la nube? Sí, pero de forma segura y cumpliendo la RPGD o este otro titulado ¿Quién tiene la responsabilidad de nuestros datos en la nube?
También podemos preguntarnos ¿qué ocurre si falla? Al ser una herramienta todavía en desarrollo podríamos encontrarnos con varios problemas técnicos en el camino.
Pero no adelantemos acontecimientos pesimistas. La idea es buena, los datos biométricos son únicos en cada persona y son, sin duda, el futuro de nuestra autenticación.
Para la empresa que está gestionando el tema, las passkeys “son un reemplazo significativamente más seguro para las contraseñas y otros factores de autenticación frente al phishing, ya que no se pueden reutilizar, no se filtran en las fugas de datos”. Esto funciona en diferentes plataformas y navegadores, incluidos Windows, macOS, iOS y ChromeOS.
Como primeros pasos, antes de usar la passkey, se aconseja realizar una limpieza digital, para mejorar la privacidad y tener control sobre el acceso a la diferente información que guardemos, por lo que se sugiere realizar una verificación de seguridad rápida y proteger las cuentas, entre estas otras recomendaciones:
- Utilizar la verificación en dos pasos (2FP).
- Usar un administrador de contraseñas.
- Revisión de contraseñas periódicamente, al menos cada 3 meses.
- Realizar copia de seguridad cada mes.
- Agregar ordenadores, teléfonos o dispositivos de confianza.
También debemos recordar y reconocer aquí y ahora que hace años que la FIDO Alliance está intentado impulsar métodos de autenticación más seguros y cómodos para los usuarios. Por ello también ha tenido un importante papel en el desaroolo de esta técnica, como podeís ver AQUÍ. De hecho, esta asociación industrial abierta, creada en febrero de 2013, tiene como objetivo desarrollar y promover estándares de autenticación que ayuden a reducir la dependencia excesiva de las contraseñas en el mundo.
Se espera que todas estas funciones del passkeys estén disponibles para todo el mundo a finales de 2022.
Artículo redactado con la colaboración de: Astrid Carolina De Dios
Imagen principal: 200 Degrees en Pixabay
- Publicado en General, Noticias, Privacidad, Protección de datos, Seguridad, Servicios
La nueva ISO 27032 es un estándar de ciberseguridad
Ya se ha hecho pública la nueva versión de la norma ISO 27032, que se convierte en la más específica certificación sobre ciberseguridad. Se trata de una nueva oportunidad para que las empresas demuestren a sus clientes que cumplen con la ley y las diferentes normativas. Y además que son sensibles a los problemas de ciberseguridad, protegiendo y preservando la confidencialidad, integridad y disponibilidad de la información.
Llevamos mucho tiempo insistiendo en la necesidad de que las empresas se certifiquen en los estándares de las tecnologías de la información y os hemos hablado a menudo de la ISO 27001 y del Esquema Nacional de Seguridad (ENS).
Pero hoy queremos hablaros de la ISO/IEC 27032, porque es un nuevo estándar concreto de ciberseguridad.
La ISO 27032 nació en el año 2012 con el objetivo de mejorar el estado de la ciberseguridad o lo que entonces se llamó “la seguridad del ciberespacio”. Se entendía el ciberespacio como “el entorno complejo resultante de la interacción de personas, software y servicios en Internet por medio de dispositivos tecnológicos y redes conectadas a él, que no existe en cualquier forma física”. Por su parte la RAE lo define como “Ámbito virtual creado por medios informáticos”. Y por lo tanto la seguridad del ciberespacio es “la preservación de la confidencialidad, integridad y disponibilidad de la información en el Ciberespacio”.
Podéis ver un artículo sobre la nueva norma en la web del Centro Criptológico Nacional AQUÍ.
La nueva ISO 27032 es un estándar de ciberseguridad
Desde hace un tiempo la Organización Internacional de Normalización estaba trabajando en una nueva versión de esta norma y ahora finalmente se ha presentado. Entre las novedades más destacadas se encuentra el cubrir los espacios que hasta ahora no quedaban encuadrados en anteriores normas de seguridad de la información. También es importante señalar que la empresa que se va a certificar debe ser muy proactiva en las medidas de seguridad y en los mecanismos de prevención.
Con la ISO 27032 se pretende garantizar la seguridad en los intercambios de información en la red con este nuevo estándar, que puede ayudar a combatir el cibercrimen con cooperación y coordinación. La certificación proporciona un marco seguro para el intercambio de información, el manejo de incidentes y la coordinación para hacer más seguros todos los procesos.
Una vez más debemos recomendar a las empresas que consideren el certificarse, porque la ISO 27032 ayuda a prepararse, detectar, monitorizar y responder a los ataques. Al mismo tiempo permite luchar contra ataques de ingeniería social, hackers, malware, spyware y otros tipos de software no deseado.
¿Cómo es la certificación?
TECNOideas puede ayudar a certificaros, como en el caso de la ISO 27001 y del Esquema Nacional de Seguridad. Con el método TECNOideas os será sencillo el trabajo a realizar porque os acompañamos de principio a fin.
La certificación engloba cuatro partes:
- Seguridad de las redes
- Seguridad de la información
- Seguridad en internet
- Protección de las infraestructuras críticas
A partir de ahí, trabajamos con nuestro cliente para revisar los productos y servicios que posee, el marco normativo, su documentación de seguridad, los flujos de información de los procesos, etc. con el fin de llegar al análisis de riesgos.
Sobre ellos establecemos el plan de acción, según las directrices que marca la ISO 27032. Naturalmente, este plan supone la implicación de los diferentes departamentos de la empresa.
En la web de la Organización Internacional para la Estandarización tenéis toda la información sobre esta norma desde sus inicios en 2012, la información general, etc. AQUÍ.
Precisamente la semana pasada publicamos un artículo sobre la necesidad que tienen de certificarse los Centros de Procesos de Datos (CPD). Y es que las certificaciones son necesarias para grandes y pequeñas empresas y por supuesto para los CPD’s, que si no pueden acreditar que cumplen los estándares exigidos, se van a quedar sin clientes.
Esta certificación, como las anteriormente citadas, son de gran ayuda en el modelo de negocio de las empresas que la obtienen porque:
- Asegura el cumplimiento de la ley y las normativas.
- Ofrecen seguridad y seriedad a sus clientes.
- Certifican el buen uso de los datos que sus clientes les confían.
- Ordenan internamente los distintos departamentos en temas de ciberseguridad.
- Ofrecen formación personalizada (según las necesidades de cada departamento) a todo el personal.
- Es una importante ventaja frente a la competencia.
¡Podéis obtener la certificación ISO 27032
con la ayuda de TECNOideas!
Solicitad más información AQUÍ.
Imagen principal: mcmurryjulie en Pixabay
- Publicado en Certificaciones, General, Normativa, Noticias, Seguridad
Ha llegado la hora de los CPD’s: certificarse o morir
Los Centros de Procesos de Datos (CPD) han ido cogiendo protagonismo poco a poco, con la moda de servicios CLOUD. En la actualidad esto se ha acelerado de tal modo que ya conforman uno de los sectores de mayor crecimiento tras la pandemia. Pero muchos de ellos tienen un grave problema: no poseen las certificaciones necesarias. Particularmente no poseen la ISO 27001 ni el Esquema Nacional de Seguridad (ENS), lo que los deja en fuera de juego, con los clientes o posibles clientes que tengan que cumplir en cadena.
Un centro de datos es una instalación que alberga todas las estructuras básicas e infraestructuras de tecnología de la información (TI) de una organización. Hablamos de servidores, equipamiento eléctrico, electrónico e informático. También se encarga de centralizar las operaciones de TI realizadas. Por ejemplo tener acceso a la información de todos los datos de sus clientes y las operaciones que realizan. Por ello es una estructura básica para cualquier empresa, sea pública o privada.
En un principio, las empresas tenían sus propias instalaciones, pero con el tiempo, los problemas de ciberseguridad, legislativos, económicos o de espacio ha ido obligando a las empresas a renunciar a su propia instalación para alojar todas sus operaciones en CPD’s. Y esto es válido para empresas grandes, medianas o pequeñas. De este modo los CPD’s también han crecido y actualmente se pueden encontrar desde centros en pequeños espacios hasta grandes centros que ocupan edificios enteros.
Podéis leer más información (también técnica) sobre los CPD’s en la Wikipedia o en un artículo algo antiguo y básico del Incibe pero muy claro y esquemático AQUÍ.
¿Cuál es el problema?
Desde su origen los CPD’s estaban obligados a seguir una serie de estándares muy variados. Entre ellos podríamos citar los geográficos (no pueden estar en lugares potencialmente inundables, por ejemplo); técnicos (deben tener infraestructuras fácilmente disponibles como energía eléctrica, carreteras, centrales de telecomunicaciones o bomberos); seguridad física (cámaras de seguridad, detectores de movimiento, cerraduras electromagnéticas, etc.); seguridad lógica de la propia instalación (medidas de protección y/o alertas ante caídas de tensión, desastres naturales, incendios, accesos no autorizados…).
Y esto que comentamos no es banal. Lo podemos comprobar en nuestro día a día. Últimamente son varios los clientes que nos llegan por circunstancias de este sector. Ya no es solo porque tengan que cumplir leyes en protección de datos, sino que tienen clientes, y posibles clientes que han de cumplir con la “rueda” o cadena normativa.
Dicho de otra manera: si una empresa quiere o debe certificarse en el Esquema Nacional de Seguridad va a exigir que sus proveedores, al menos los que afectan a la certificación, y por lo tanto, datos, que también estén certificados. Y esto es válido para el ENS, la ISO 27001 y otras del estilo.
El problema es que estos estándares ya no bastan, porque el mercado y la legislación obliga a que estos centros tengan una certificación dentro del área de la seguridad de la información. Particularmente hablamos de la ISO 27001 y del Esquema Nacional de Seguridad (ENS).
Los CPD’s que no dispongan de estas certificaciones quedarán automáticamente fuera de las necesidades del mercado, porque muchos de sus clientes se ven obligados a cumplir la cadena normativa. Así que no exageramos nada cuando decimos que a llegado la hora de los CPD’s: certificarse o morir
Para las empresas es fundamental, porque si a la seguridad que ofrece un CPD se le añade haber seguido el proceso de una certificación (recordamos que no solo es burocracia), está incorporando competitividad, diferenciarse de la competencia y en consecuencia, más negocio.
Os recordamos que la certificación es un paso más en todo este proceso. Si pensáis que con un CPD todo está resuelto para vuestra empresa, dejad que os recordemos este artículo publicado en este blog titulado ¿Quién tiene la responsabilidad de nuestros datos en la nube?
Y es que todo el tema relacionado con los datos es un tema muy serio. Al contrario de lo que suele pensarse, no solo es un proceso burocrático a cumplir, como estamos viendo en muchos casos de protección de datos en nuestros clientes. Pero de eso, ya hablaremos otro día…
¡Podéis obtener estas certificaciones
con la ayuda de TECNOideas!
Solicitad más información AQUÍ.
Imagen principal: evertonpestana en Pixabay
- Publicado en Certificaciones, General, Mantenimiento, Normativa, Noticias, Seguridad
J.M. Ortega: “Hay que tener formación reglada y luego complementarlo con asistencia a congresos.”
Nos acercamos a la figura de José Manuel Ortega, un autodidacta que se atreve con todo: artículos, docencia, charlas y conferencias, libros… Algunos son de temática bastante profesional, como los dedicados a Python, pero otros están pensados para el gran público. Este es el caso del libro “Ciberseguridad. Manual práctico”, editado por Paraninfo.
En este mundo ligado a la ciberseguridad encontramos todo tipo de profesionales. Los hay que desarrollan sus aptitudes desde una formación reglada, ya sea técnica o empresarial. Otros lo hacen desde el mundo laboral, a costa de los cambios naturales de sus empresas. Y finalmente hay otras personas que llegan a la ciberseguridad desde el interés por la tecnología, lo que les ha llevado a ser auténticos hackers (en la definición que reivindicamos siempre desde TECNOideas) o frikis.
José Manuel Ortega es ingeniero de software e investigador de seguridad apasionado por las nuevas tecnologías. Ha impartido formación a nivel universitario y ha colaborado con la escuela oficial de ingenieros informáticos. Algunos de sus libros están relacionados con el lenguaje de programación Python, seguridad, docker y devops.
Publicamos la entrevista en dos fases. La primera hoy y la segunda la próxima semana.
“Lo más importante es tener una mente abierta y despierta
para aprovechar al máximo los congresos.
Todo va muy rápido y la cantidad de información es abrumadora.”
Nunca has trabajado realmente en empresas de ciberseguridad. ¿Cómo llegaste a este mundo?
Bueno, llevo trabajando en una empresa de ciberseguridad solo desde hace aproximadamente un año. Si bien es cierto que mi perfil es más de desarrollador que auditor de seguridad, me han interesado los temas de ciberseguridad sobre todo a raíz de trabajar en diferentes proyectos relacionados con la seguridad en aplicaciones para móviles y al descubrimiento del lenguaje de programación Python como una de las plataformas más usadas para el desarrollo de herramientas orientadas al pentesting. Gracias al conocimiento adquirido dentro de la ciberseguridad, he podido aplicarlos al desarrollo de arquitecturas y desarrollo seguro de aplicaciones.
Algunos autodidactas empiezan a introducirse en este mundo a través de encuentros, jornadas y congresos del sector. ¿Es un buen sistema?
No sólo es un buen sistema, sino que creo que es la mejor opción para conocer qué empresas hay, realizar networking con otros asistentes y estar al tanto de todo lo que se mueve en este sector. La mayoría de los congresos ofrecen talleres para introducirse en nuevas tecnologías y las charlas son impartidas por profesionales del sector. Lo más importante es tener una mente abierta y despierta para aprovechar al máximo este tipo de congresos. Las veces que he podido asistir tengo la sensación que todo va muy rápido y en ocasiones la cantidad de información es abrumadora. Lo difícil y complicado es cuando llegas a casa con todo lo que has aprendido y todo lo que te falta por aprender y entonces te preguntas ¿por dónde empiezo?
Participaste en la segunda edición de una de las cons decanas de España, la Navaja Negra. ¿Qué tal resultó la experiencia de las ponencias en general?
Navaja Negra es hoy por hoy una de las conferencias más importantes a nivel de ciberseguridad y participar en ella me abrió un mundo de posibilidades hasta ese momento desconocido para mí. Fue una de las primeras conferencias a las que asistí para dar una charla sobre seguridad en aplicaciones móviles y la experiencia fue muy buena. En los sucesivos años he estado en alguna ocasión como asistente y el nivel de las ponencias es muy alto.
Queremos recordar a todos los seguidores de nuestro blog, que este año se celebra la décima edición de esta conferencia. Se espera que sea una de las ediciones más espectaculares, porque vuelve trans dos años de sequía. Apuntaros las fechas: del 10 al 12 de noviembre en Albacete. Tenéis aquí toda la información sobre Navaja Negra 2022 .
¿Cómo ves la formación de ciberseguridad en España? ¿Qué les recomendarías a los jóvenes frikis amantes de la tecnología?
La formación en ciberseguridad ha crecido mucho en los últimos años y cada año es más amplia y variada en diferentes formatos como cursos online, másteres reglados y bootcamps. Para tener el perfil más completo posible mi recomendación es tener tanto formación reglada ya sea a nivel universitario o formación profesional y luego complementarlo con la asistencia a congresos que tengan relación con alguna de sus motivaciones.
A los más jóvenes pues comentarles que al final la motivación, actitud y
ganas de superarse son la clave, más allá de los conocimientos que
uno puede adquirir en los cursos o conferencias donde aquellos que
les gustan más cacharrear se encontrarán como pez en el agua con las competiciones CTF (Capture The Flag) y los talleres que se imparten.
¿Para quién está pensado el libro “Ciberseguridad. Manual práctico”?
La ventaja de este libro es que no es excesivamente técnico y tiene un público bastante amplio. Los primeros capítulos son de introducción y tienen un objetivo más divulgativo. Luego a partir del capítulo 5 se tocan temas más específicos donde el público objetivo va variando
al tratar temas sobre desarrollo seguro, hacking ético, investigación en fuentes abiertas
y centros de operaciones de seguridad. Lo escribí pensando en una línea que va desde lo más generalista a lo más específico, dando una visión global de lo que se puede encontrar un usuario que se introduce en la ciberseguridad, sin dejar de lado usuarios con conocimientos más específicos.
Hasta aquí la primera parte de la entrevista mantenida con José Manuel Ortega. En la próxima entrega os seguiremos mostrando interesantes temas relacionados con su actividad y sobre la seguridad de la información.
- Publicado en Congresos, Entrevistas, Formación, General, Noticias, Seguridad, Sistemas operativos
Español 
Català