Consejos y buenas prácticas de seguridad de información para el Teletrabajo

-->

En estos tiempos de casos de COVID-19 en aumento, cuarentena, economía en el piso, pérdida de empleos, debemos adicionar los riesgos y amenazas de ciberseguridad y de privacidad de datos, que enfrentan las personas y las organizaciones con el teletrabajo.

En marzo de 2020, la Organización Mundial de la Salud, fue atacada por Hackers que trataron, sin éxito, de filtrarse en sus sistemas.  En adición, el 14 de marzo el grupo de Hackers Maze publicó datos personales de miles de ex pacientes después de que la Institución médica del Reino Unido Hammersmith Medicines Research (HMR), se negara a pagar el rescate exigido por los Hackers.

“En estos tiempos de COVID-19, los Hackers toman ventaja de que la seguridad no está entre las prioridades de las personas que utilizan el teletrabajo, razón por la cual en RISCCO deseamos compartir algunas buenas prácticas y consejos de seguridad de información para el Teletrabajo” informó Antonio Ayala, Vicepresidente Ejecutivo y Fundador de RISCCO.

Consejos y buenas prácticas

·       Cumpla las políticas de seguridad de información corporativas.  Recuerde, está en su casa, pero trabajando para la organización.

·       Sea desconfiado de abrir emails o chats sensacionalistas con la última información sobre COVID-19.  Piense que podría ser la puerta de entrada para infectar su dispositivo digital.

·       Reporte a la mesa de ayuda o soporte técnico de la organización, cualquier actividad sospechosa o inusual en su dispositivo digital. 

·       Mantenga la seguridad física del dispositivo digital. En caso no lo vaya a utilizar, mejor apáguelo o bloqueé su acceso. 

Contraseñas

·       Utilice contraseñas fuertes para acceder a la red corporativa de al menos 10 caracteres que incluyan: letras mayúsculas, letras minúsculas, números y caracteres especiales.

·       Habilite una contraseña de acceso al computador (estamos en casa, pero pueden haber niños, mascotas, etc.).

·       En caso no lo haya hecho recientemente, cambie la contraseña de acceso al WIFI de la casa.

Redes y acceso

·       Utilizar VPN (Virtual Private Netkwork) para conectarse a la red corporativa.  Cuando no la vaya a usar por cierto tiempo, desconecte la conexión VPN.

·       Utilice en la red WIFI de su casa el protocolo de conexión WPA2 o WPA3.

·       Si va utilizar el dispositivo digital para un fin personal, preferentemente desconéctese de la red corporativa.

Respaldo a los datos (backups)

·       Salvo que los documentos en los que trabaje sean almacenados directamente en los servidores de la organización, realice backups regularmente de sus dispositivos digitales utilizados para teletrabajo.

Para las organizaciones

·       Defina y comunique una política de teletrabajo (sencilla, clara y directa).

·       Informe a los colaboradores sobre nuevos esquemas de ataques relacionados con COVID-19.

·       Establezca una línea de soporte técnico para ayudar a los colaboradores con problemas técnicos.

·    Establezca controles de seguridad estrictos sobre la base que cualquier conexión remota a la red corporativa puede ser un evento hostil, no un colaborador haciendo su trabajo.

·       Que las conexiones de los colaboradores sean al menos con doble factor de autenticación.

·       Considere dar acceso remoto a los colaboradores en horarios específicos y no las 24 horas.

·       Asegurar que los dispositivos digitales utilizados para conectarse a la red corporativa (ya sean de la organización o de los colaboradores) tengan antivirus, antimalware y firewall actualizados.

“Los virus también pueden entrar en nuestros dispositivos si no somos cuidadosos, por eso es importante tener en cuenta estos consejos y buenas prácticas para evitar vulnerabilidades en su organización.” Finalizó Raúl Lezcano, Gerente Senior de RISCCO.

Para mayor información puede visitar www.RISCCO.com

RISCCO realizó sondeo sobre la privacidad de mensajes sensitivos de la organización vía “Chats”.

Hace algunos meses, el Gobernador de Puerto Rico se vio obligado a renunciar debido al peso de la filtración de “chats” confidenciales a los medios, unas 889 páginas de “chats” de un grupo de creado en la aplicación Telegram entre el Gobernador y su círculo íntimo de colaboradores.  No es que “hackearon” la cuenta o el teléfono del Gobernador. Se infiere de las noticias que un miembro del grupo de “chat”, filtró los mensajes.

De igual manera, en Panamá sucedió una situación similar cuando hace una semana el sitio www.varelaleaks.com mostró una serie de mensajes de WhatsApp, supuestamente conversaciones del expresidente Juan Carlos Varela.

Si pensamos en las organizaciones, ¿se ha preguntado cuántos “chats” con temas confidenciales de su organización pueden en este momento estar en grupos de “chats” entre sus colaboradores?

Si cree que en los grupos de “chats” utilizados por sus colaboradores no existe información confidencial, píenselo de nuevo.  Quizás la realidad sea peligrosamente diferente.

¿En qué consiste el problema?

•       Abuso a todos los niveles, del uso de herramientas como Whatsapp y similares, para intercambiar asuntos confidenciales de la organización.

•      Ausencia de una política o protocolo que instruya a los colaboradores sobre, en el contexto de la organización, qué se puede y qué no se puede enviar por “chats”.

•     Poca o limitada concienciación a los colaboradores sobre las implicaciones que se filtren “chats” confidenciales.

•    Equivocada tranquilidad producto de que herramientas como Whatsapp y similares, difícilmente pueden ser “hackeadas”.  Si bien lo anterior es relativamente cierto, eso no tiene nada que ver con que un colaborador resentido filtre comunicaciones confidenciales a terceros.

El 22 y 23 de julio de 2019, RISCCO, compañía panameña, independiente y dedicada de manera exclusiva, a la consultoría en riesgo tecnológico, peritajes informáticos, seguridad de información y auditoría interna, realizó un sondeo sobre este tema a 420 ejecutivos en Panamá.

Las respuestas de 117 participantes evidencian que existen espacios importantes de mejoras.  

Que el 42% haya indicado que recordaba que compañeros compartieron temas confidenciales vía “chats” es preocupante, más aún, si el 69% confirmó que no existe o no recuerda que exista una política al respecto.

El 87% de los encuestados indicó no conocer o recordar de la existencia de algún control para identificar cuándo se envíen “chats” confidenciales, tiende angustiar.  

En frío, es muy posible que en “chats grupales” existan temas confidenciales hoy día de su organización, sin que los que dirigen la organización lo sepan. 

Las consecuencias de la filtración de mensajes confidenciales de la organización serían igual o más devastador que la situación que enfrente hoy el Gobernador del país caribeño. 

Consejos y buenas prácticas

Si es algo confidencial de la organización, preferiblemente no utilizar “chats” grupales o individuales para ventilar dichos temas.

Si inevitablemente tiene que utilizar “chats” en su organización:

1. Defina y comunique una política y sanciones sobre el uso de “chats” grupales para asuntos confidenciales de la organización.  Que la misma establezca las excepciones y condiciones cuando se puede hacer.
2. Eduque al personal sobre la política con muchos ejemplos.
   La política como tal, no garantiza nada.  
3. Utilice apps como Signal o similares, la cuales una vez leído el mensaje lo borra automáticamente.  
4. Habilite la opción para encriptar los datos almacenados.
5. Si el smartphone que utiliza el colaborador es de la organización, solo para asuntos de la compañía, cada cierto tiempo revise el dispositivo para validar el cumplimiento de la política.

Empresa panameña advierte de estafas de comercio electrónico

La consultora panameña en riesgo tecnológico, seguridad de información y auditoría interna Riscco informó hoy de que en Panamá el comercio electrónico es el 5 % del total, por lo que previno sobre los ciberdelincuentes.

De acuerdo con la compañía, Costa Rica encabeza el comercio electrónico en Centroamérica, con el 8%, seguido por Panamá y Nicaragua con el 5 %, basado en cifras de la consultora Kantar World Panel, aunque no detalló el monto de las transacciones.

El gerente sénior de Riscco, Raúl Lezcano, citó que, según la Oficina del Censo de EE.UU., en el mundo el comercio electrónico hasta el tercer trimestre de 2016 creció el 15,7 %, con ventas por 101,3 billones de dólares.

"En Estados Unidos hay expectativas de cerrar 2016 con ventas online por 390.000 millones, de las cuales Amazon tendrá cerca de 35 %, según un informe de la consultora Bain & Company aludido por Lezcano.

Agregó que "la página de EFE.com muestra que Alibaba en Asia logró vender 17.787 millones de dólares en Singles Day (Día de los Solteros), mucho más que Black Friday y Cyber Monday de Estados Unidos juntos". Este año Alibaba vendió 60 % más que en 2015.

Solo en China, el 84 % de las compras en línea en esa fecha se hicieron a través de dispositivos móviles, especificó Riscco, que alertó sobre los estafadores porque la mayoría no instala antivirus, "por lo que las aplicaciones maliciosas pueden fácilmente enviar información confidencial" a los ciberdelincuentes.

La compañía RiskIQ.com ha identificado 1.100 sitios falsos y una de cada 10 aplicaciones para móviles son inseguras, explicó Lezcano, por lo que no recomienda conectarse en redes públicas, no acceder a sitios sin claves de identificación, ni a tiendas electrónicas que ofrezcan productos de terceros en condiciones sumamente bondadosas.

Con siete años de haber iniciado operaciones, Riscco cuenta en su cartera de clientes con compañías privadas e instituciones del Estado panameño, líderes en su ramo, añadió.

Riscco presenta estudio sobre seguridad de la información

RISCCO, compañía independiente y dedicada de manera exclusiva a la consultoría en riesgo tecnológico y auditoría interna, conjuntamente con la Facultad de Sistemas de la Universidad
Tecnológica de Panamá, presentó la tercera edición del Estudio sobre “Seguridad de Información y Privacidad de Datos”.   En el estudio participaron 98 organizaciones privadas e Instituciones del Estado panameño y fue realizado entre abril y junio de 2012.

El estudio concluye que, durante los tres últimos años, las organizaciones privadas y del Estado en Panamá, han experimentado un aumento en el número de incidentes de seguridad de información.   El Ing. Antonio Ayala I., VP Ejecutivo de RISCCO, apunta que: “A pesar de que los participantes reconocen que el riesgo tecnológico es mayor debido al incremento de amenazas externas y vulnerabilidades internas, los esfuerzos para protegerse parecen pocos”.  Además, acota el Ing. Ayala, “Pero no todo es negativo, ya que hay signos positivos para ciertos aspectos de la seguridad en las organizaciones, como: incremento de los presupuestos de seguridad y aumento del personal responsable de la seguridad de información”.  Otro aspecto interesante es que, la cautela, entre los
participantes, parece ser el denominador común en la adopción de nuevas tecnologías como computación en la nube, uso de “Tablet PC” y acceso a redes sociales.

En cuanto  a otros resultados, destaca lo siguiente:

• 61% de los participantes manifestó que el riesgo tecnológico ha incrementado por amenazas externas. 
• 36% de los participantes indicó que el riesgo tecnológico ha aumentado, debido al incremento de vulnerabilidades internas y sólo el 17%, indicó que cuenta con los conocimientos para hacer investigaciones forenses digitales. 
• El presupuesto de seguridad de información, al compararlo con el año anterior, se ha  incrementado.  Así lo afirmó un 41% de los participantes en 2010; 52% en 2011 y 54% en 2012. 
• El sufrir incidentes de seguridad de información  entre los participantes, ha aumentado durante los tres últimos años: 29% en 2010; 31% en 2011 y 46% en 2012. 
• Sólo un 17% de los participantes informó que está haciendo uso de la computación en la nube. 
• Sólo el 9% de los participantes manifestó que su estrategia de seguridad de información, con relación a las amenazas y riesgos tecnológicos,  es adecuada. 
• La existencia de un responsable de la seguridad de información, dedicado al 100% o parcialmente, fue de 45% en 2010; 57% en 2011 y 63% en 2012. 
• 73% de los participantes no cifra (encripta) los datos en memorias tipo USB y el 69%, tampoco lo hace para los datos en discos fijos. 
• 87% de los participantes no utiliza técnicas de autenticación fuerte como  “one time password”.

Riesgos y privacidad en Twitter

La empresa Riscco nos comparte este interesante artículo sobre medidas de seguridad que debemos tomar para no ser víctimas del robo de identidad en la red social Twitter.

Los usuarios de Twitter (personas y compañías) deben tener presente que sus credenciales de acceso e identidad pueden ser comprometidas. Twitter no ha estado exento a ser víctima de técnicas de hacking para el uso indebido. 

Las cuentas de famosos, sin su conocimiento y consentimiento han sido utilizadas para no precisamente fines filantrópicos.  Estos eventos han envuelto a Twitter, Inc. en varios procesos legales
alrededor del mundo.  La FTC (Federal Trade Comission) en los Estados Unidos en Junio de 2010, sentenció a Twitter, Inc. a realizar acciones urgentes para mejorar la privacidad de la información de sus usuarios.   La buena noticia es que Twitter, Inc. ha mejorado y sigue mejorando la seguridad y privacidad de sus usuarios. 

Aunque probablemente su cuenta personal o la de su compañía no tenga el número de seguidores de la cantante Lady Gaga (número uno con más de 23 millones en abril 2012), nos permitimos recomendar algunos consejos y buenas prácticas para que su experiencia en Twitter sea satisfactoria y no sufra un robo de identidad.    

Los consejos que abajo describimos, aplican para la cuenta personal y diríamos, con mayor relevancia si es la cuenta de su compañía para mercadear sus productos-servicios o estar más cerca de sus clientes.
 
Consejos y buenas prácticas al utilizar Twitter:

1. Solicita restablecer tu contraseña si sientes que tu cuenta ha sido “hackeda” o comprometida.

Visita la página https://support.twitter.com/forms y selecciona la opción “cuenta hackeada”, allí se te guiará sobre cómo resolver el problema. 

2. Utiliza una contraseña fuerte y única: Seguramente usted ha escuchado varias veces este consejo.  Pues lo escuchará una vez más.  Asegúrese de que su contraseña sea una frase (Twitter lo permite) y no una palabra.  Cámbiela con alguna frecuencia sobre todo si la cuenta es utilizada para fines corporativos.  

No la comparta y evite que la misma sea la que utilice para acceder otros servicios en Internet, como por ejemplo, banca en línea.   

3. Utiliza www.twitter.com a través de HTTPS: Cuando acceda Twitter hágalo en su navegador desde
https://www.twitter.com 

Hacerlo de esta forma permite que sus credenciales de acceso (usuario y contraseña) viajen en forma
encriptada y más segura entre su computador y los servidores de Twitter. Para esto, vaya al menú de configuración de su cuenta en Twitter y marca la casilla “Usar Siempre HTTPS”.

4. No contestes email sospechosos que pareciera provengan de Twiter.com  

Twitter no envía email a sus usuarios solicitando su contraseña o pidiéndole que “baje” archivos adjuntos o le den “click” a un sitio en Internet.  Estos emails pueden ser técnicas de phishing para robar sus credenciales de acceso a Twitter. Si recibes algún email de esta naturaleza envíalo a la cuenta spoof@twitter.com y luego borra ese correo de tu bandeja de entrada de emails.  

5. No abras “links” que recibas en tu cuenta de Twitter si lucen sospechosos.

Otra forma de robar tu identidad (credenciales de acceso) puede ser solicitándote abrir un “link” para ver alguna noticia o foto.  Si dudas de la fuente, no lo abras. 

6. Si sientes que un usuario te acosa o envía tweets inapropiados, bloquea su cuenta.

Si no deseas recibir tweets fuera de lugar de un usuario en particular, bloquea su cuenta para no recibir sus tweets.  Para tal efecto ingresa a tu cuenta, vas al perfil de la persona, haces “click” en el icono de la persona y seleccionas la opción bloquear.  Los usuarios bloqueados no
podrán: añadirte a sus listas; tener sus @menciones o @respuestas en la pestaña de tus @menciones; seguirte; ver tus fotos de perfil en su perfil ni en su cronología.

7. Habilita la opción de cuenta protegida si sientes paranoia que desconocidos lean tus tweets. 

Por defecto las cuentas en Twitter son creadas como cuentas públicas. Si deseas que sólo personas que tú autorices, y no todos tus seguidores, lean tus tweets, habilita la opción de “cuenta protegida”. 
Para esto ve al menú de configuración y marca la casilla “Proteger mis Tweets”.

8. Conectate a aplicaciones de terceros de forma segura.

Hay dos formas de asociar tu cuenta de Twitter a aplicaciones de terceros.  La primera es mediante un protocolo seguro y transparente para el usuario denominado OAuth.  La segunda es solicitándole al
usuario de Twitter sus credenciales de acceso.  Sea muy cuidadoso cuando una aplicación de un tercero solicita sus credenciales.  Tenga presente que las mismas estarán en manos de un tercero de quien, quizás, usted no tenga mayores referencias.  

9. Hazte seguidor de las cuentas @spam y @safety.

Ambas cuentas te informan sobre amenzas en Twitter de las cuales debes estar alerta y, además, te brindan consejos de seguridad.

Seminario sobre Privacidad de Datos

Para más información y participar en este seminarios pueden contactar a la empresa Riscco al 279-1410.

Saludos,

Estudio sobre Seguridad de información y Privacidad de datos

El día de ayer se realizó la presentación de este interesante estudio y aprovecho la oportunidad para compartirlo, ya que el mismo muestra la realidad en cuanto a la seguridad de información y privacidad de datos en las organizaciones.  Es un tema de mucha actualidad, ya que los hackers han sido noticia con frecuencia últimamente.


RISCCO, compañía independiente y dedicada de manera exclusiva a la consultoría en riesgo, negocios y auditoría interna, conjuntamente con la Facultad de Sistemas de la Universidad Tecnológica de Panamá, presentó la segunda edición del Estudio sobre “Seguridad de Información y Privacidad de Datos”. En el Estudio participaron 81 organizaciones privadas e Instituciones del Estado de Panamá y fue realizado de febrero a Junio de 2011.

Se concluye que los avances en mejorar la seguridad de información en las organizaciones no son evidentes, al comparar los resultados del estudio del 2011 con los del 2010.  El Ing. Antonio Ayala I., VP Ejecutivo de RISCCO, apunta que: “La situación parece casi estática. Los avances son mínimos y a la seguridad de información no se le da la relevancia que demanda frente a la frecuencia y sofisticación de los actuales riesgos tecnológicos”.  Adicionalmente, en cuanto al responsable de los incidentes de seguridad ocurridos en la organización,  un 84% de los participantes indicó que personal interno estuvo involucrado.

En cuanto  otros resultados, los participantes indicaron que en las organizaciones:

·       80% no dispone de un Oficial de Seguridad de Información dedicado a tiempo completo.

·       57% no tiene un modelo de seguridad debidamente documentado e implantado.

·       19% considera que los controles implantados no son suficientes para identificar los riesgos tecnológicos a los que está expuesta.

·       62% no cuenta con una estrategia para la protección y privacidad de los datos.

·       77% no encripta (cifrado) los datos en memorias tipo USB.

·       62% no encripta los datos en tránsito.

·       74% no encripta los datos en discos fijos.

·       89% no utiliza técnicas de autenticación fuerte como  “one time password”.

·       89% no dispone de tecnología para firmas digitales.

·       Los cinco incidentes más experimentados fueron: Virus/malware (70%), accesos no autorizados a recursos de tecnología (30%), Robo de notebook (28%), Robo de contraseñas (19%) y ataques o modificación a la página web (17%).

El Ing. Antonio Ayala I., VP Ejecutivo de RISCCO, señala que todo parece indicar que las organizaciones piensan que son inmunes y no están actuando en consecuencia y suficiencia para protegerse de los riesgos tecnológicos. Esto, paralelamente le  hace la tarea más fácil a individuos o bandas que viven de la industria del espionaje digital o fraude cibernético.

Sobre RISCCO

RISCCO es una compañía panameña, independiente y dedicada de manera exclusiva a la consultoría en riesgo tecnológico y auditoría interna, compuesta por profesionales con el conocimiento y credibilidad necesaria para traducir aspectos muy técnicos a un leguaje simple y con sentido de negocio.

Con poco más de dos años de iniciar operaciones, RISCCO cuenta en su cartera de clientes con compañías e Instituciones del Estado Panameño, líderes en su ramo.