lunes, 29 de junio de 2020

¿Con qué frecuencia debemos concientizar?

¿Con qué frecuencia debemos concientizar?


Introducción

Cada familia es un mundo, y cada empresa también lo es. Tras varios años trabajando como Product Manager de SMARTFENSE, podría clasificar las diferentes estrategias que las organizaciones aplican a la hora de concientizar de la siguiente manera:

Concientizar a todos para cumplir normativas

Algunas compañías realizan una serie masiva de campañas de Módulos Interactivos y Newsletters a lo largo de algunos meses, inundando de información a los usuarios. Completados todos los contenidos pertinentes para cumplir con normativas y regulaciones, suspenden las acciones.

Concientizar en etapas para… ¿quedar bien?

Otra estrategia que siguen algunas organizaciones consiste en concientizar a un grupo de usuarios durante un período, y luego continuar con otro grupo, en una especie de proyecto en cascada donde se concatenan los esfuerzos de capacitación por áreas o equipos. De esa manera, buscan capacitar a la totalidad de colaboradores en el año. Pero visto desde la perspectiva del usuario, esto significa que de repente un día comienza a recibir material útil de seguridad de la información, y de repente, deja de gozar de ese beneficio hasta próximo aviso.

Concientizar para fortalecer la capa humana

Otras organizaciones realizan una serie continua y consistente de campañas de Módulos Interactivos, reforzadas por Newsletters, separando los envíos en el tiempo para no interferir demasiado en la jornada laboral del usuario y favorecer el aprendizaje paulatino de los contenidos. 

Amerita aclarar que estas clasificaciones no pretenden ser exhaustivas ni taxativas, sino sólo un esbozo de la realidad a partir de mis propias observaciones, y sin adentrarme aún en las acciones de simulación de Phishing y Ransomware, exámenes y encuestas.

La frecuencia y su efecto en la efectividad de nuestras acciones

Una diferencia fundamental entre las estrategias mencionadas es la frecuencia con la cual los usuarios reciben el contenido.

En esencia un programa de concientización busca crear hábitos seguros en los usuarios y llevar hacia una cultura segura tanto dentro como fuera de la organización.

Los seres humanos tenemos una memoria que no es perfecta. Si absorbemos cierta información hoy, cada día que pase se irá perdiendo, salvo que reforcemos nuestro aprendizaje. Ni hablar sobre crear un hábito, para lo cual se necesita de manera esencial una constancia sostenida en el tiempo.

Dicho esto, en cuanto a frecuencias, hay una única estrategia destinada a triunfar, y es la de concientizar de manera continua a todos los usuarios de nuestra organización.

Ideas finales

Habiéndose comprobado ya la importancia del usuario en la seguridad de la información, y contándose con el Hardening de usuarios como herramienta esencial para el desarrollo de una capa humana segura, es comprensible que cada vez más organizaciones opten por concientizar a sus usuarios.

Reconocido el problema y tomada la decisión de actuar sobre él, cumplimos un paso muy importante. Sin embargo, debemos comprender que los resultados llegarán únicamente al enfocar la concientización como un proceso transversal de mejora continua y sostenido en el tiempo.
Leer Más

lunes, 1 de junio de 2020

Microsegmentación aplicada a los usuarios

Microsegmentación aplicada a los usuarios


Introducción

Hasta hace muy poco tiempo para gran parte de las PYMES era suficiente adoptar un modelo de trabajo tradicional donde la gran mayoría de los empleados trabajaban en las oficinas y sólo algunos de forma remota. Para solventar los problemas de seguridad de este modelo gran parte de estas organizaciones invierten en soluciones perimetrales (ej. Firewalls perimetrales, segmentación por VLANs, etc).

Una analogía es ver a la organización y sus instalaciones como un castillo que protege sus recursos más preciados dentro (personas, joyas, alimentos, etc.) con sus murallas, puertas reforzadas, pasadizos secretos, armas, infantería, arqueros, etc.

Microsegmentación

Sin embargo, hoy la tendencia es contratar servicios Cloud, lo que significa que los recursos críticos se encuentran físicamente tanto dentro como fuera de la organización. Por otro lado, estos servicios Cloud facilitan mucho la movilidad, que es una de las necesidades que priman en la actualidad y que, debido a la reciente pandemia por Covid-19, se impuso de forma instantánea y casi obligatoria. Se puede decir que pasamos a un modelo de trabajo distribuido, en donde la organización cuenta con entornos híbridos o 100% Cloud. En este modelo el perímetro de seguridad se encuentra desdibujado, difuso, por lo tanto una forma de protección es llevar el perímetro a cada recurso (CPD propio, Cloud pública/privada, dispositivos, aplicaciones móviles, …), lo que se conoce como microsegmentación.

Gracias a la microsegmentación, las organizaciones pueden dividir de manera lógica el centro de datos en distintos segmentos de seguridad hasta el nivel de la carga de trabajo individual y, a partir de ahí, definir los controles de seguridad y suministrar servicios para cada segmento en particular. De esta manera, se restringe la capacidad del atacante de moverse lateralmente por el centro de datos, aun cuando se haya traspasado el perímetro, igual que las cajas fuertes en la bóveda de un banco que protegen las pertenencias de los clientes aunque se haya abierto la bóveda a la fuerza.

Siguiendo con la analogía, en este modelo los recursos más preciados ya no están en un único castillo fortificado, sino en varios puntos geográficamente distribuidos (otros castillos, casas, templos, aldeas, personas aisladas…), por lo cual hay que reforzar la seguridad de cada uno de ellos de manera independiente sin dejar de tener control y visibilidad.

Una capa de seguridad transversal y móvil

La formación y concienciación para generar hábitos seguros en los usuarios es clave para garantizar la seguridad en el modelo de trabajo tradicional basado en un único perímetro, pero aún más en el de próxima generación donde el perímetro se debe llevar a cada recurso. Esto es así, ya que el usuario con movilidad se enfrenta a un mayor número de amenazas por encontrarse en cada momento frente a distintos escenarios inhóspitos, por lo que requiere mayores y constantes cuidados. Además, expertos, entidades gubernamentales (CCN, INCIBE -en España), regulaciones (ENS, RGPD, LOPD -en Europa y España), estándares internacionales (ISO/IEC 27001), entre otros, desde hace tiempo exigen que el usuario posea conocimientos y hábitos seguros para responder correctamente ante amenazas de seguridad dirigidas hacia la organización.

Por lo tanto, el usuario debe formar parte de esa estrategia de microsegmentación.

Es importante mencionar que hoy el usuario al ser el eslabón más descuidado en seguridad, dados sus comportamientos inseguros, es el vector de ataque preferido por los ciberdelincuentes, lo cual genera: 
  • Pérdida de continuidad de negocio (por Ransomware), 
  • Fuga de información imperceptible (por Phishing), 
  • Acceso desautorizado a los recursos (por Malware). 

Destacar a su vez que la concienciación es transversal, es decir, no sólo resuelve la problemática anteriormente mencionada, sino que también ayuda a evitar errores u omisiones (acciones no intencionadas) y promueve el cumplimiento de las normativas y políticas de seguridad de la organización.

En términos generales, un primer programa de formación y concienciación debería ser contínuo y de una duración mínima de 1 año e incluir: 
  • Una formación mensual de entre 15 a 20 minutos auto asistida, flexible y efectiva. 
  • Un refuerzo luego de cada formación bajo la forma de Newsletter de lectura rápida. 
  • Una simulación de ataque de ingeniería social (ej. Phishing, Ransomware) mensual para medir hábitos seguros. 
  • Reportes trimestrales a los tomadores de decisiones. 
  • En caso de ser necesario, acceso a registros de auditoría de actividad completa entre los usuarios y el sistema y viceversa. 

Conclusión

Como conclusión, se recomienda a las organizaciones evaluar cambios en el perímetro de la seguridad dada la incorporación espontánea del teletrabajo para la mayoría de los usuarios y, sobre todo, no enfocarse únicamente en las medidas de seguridad técnicas, sino adoptar un esquema de defensa en profundidad y generar hábitos seguros en todos los usuarios manteniendo así a los ciberdelincuentes alejados. 

Leer Más

viernes, 15 de mayo de 2020

Cómo utilizar el Calculador de Costos de Ransomware, nueva herramienta gratuita

Cómo utilizar el Calculador de Costos de Ransomware, nueva herramienta gratuita


El calculador de costos de Ransomware es una herramienta de software libre que permite, a partir de datos básicos de entrada, conocer los costos en los que incurriría una organización en el caso de una infección por Ransomware.

Webinar


Objetivo

El objetivo del calculador es generar conciencia sobre el impacto económico que puede tener el Ransomware en una organización.

Por lo general, los altos mandos de las organizaciones no son conscientes del peligro al que están expuestos y el área de seguridad o tecnología no logra una comunicación efectiva mediante términos técnicos.

Utilizando el calculador, es posible generar un informe con claros indicadores gerenciales. Al disponer de métricas concretas expresadas en dinero, la comunicación con la alta gerencia es más sencilla. El impacto de los costos de un ataque de Ransomware son de utilidad para lograr el apoyo y el presupuesto necesarios para afrontar este riesgo latente.

Obtener un presupuesto adecuado puede redundar en la implementación de un plan de concientización de usuarios. La concientización es una de las armas más importantes para disminuir el riesgo de infección por Ransomware.

Modo de uso

La herramienta solicita una serie de datos agrupados en las siguientes categorías:
  • Datos generales
  • Copias de seguridad
  • Recuperación de equipos
  • Rescate
  • Información de negocio
Es importante destacar que la información ingresada no se envía a ningún servidor externo. Todos los cálculos son realizados dentro del mismo navegador, para mayor seguridad.


Recomendaciones para la carga

Como todo hecho social, un ataque de Ransomware a una organización siempre reviste variables imposibles de predecir. En ese sentido, el calculador brinda un resultado representativo para la organización pero no 100% exacto

Es por eso que se recomienda ingresar datos promedio para toda la organización, originados idealmente en una reunión interáreas. La participación de distintos representantes de diferentes áreas de la organización permitirá una aproximación más acertada de cada dato ingresado.

Resultados

El Calculador presenta los resultados distribuidos en seis escenarios diferentes. Cada uno de ellos incluye distintas variables que podrían incidir frente a un incidente de Ransomware:
  • Porcentaje de equipos infectados
  • Existencia de un descifrador para el Ransomware
  • Pago del rescate y consecuencias
  • Copias de seguridad de la organización y estado de las mismas


Cada escenario representa un costo diferente para la organización.


A su vez, es posible ver un detalle desagregado acerca de la composición de los costos de cada escenario, haciendo clic en cualquiera de ellos.

Dichos costos se dividen en costos tecnológicos y costos de negocio.

El primero es quizá el más directo de los dos, ya que refiere a los gastos asociados a limpiar los equipos afectados, restaurar sus copias de seguridad, generar nuevamente la información que no se encontraba respaldada y, si corresponde según el escenario, realizar el pago del rescate.

El costo de negocio considera cuestiones relacionadas con el tiempo en horas que llevarán las distintas actividades mencionadas en el costo tecnológico, y el costo de improductividad y oportunidad asociados a este tiempo de recuperación.


Es posible ver los detalles de cada costo haciendo clic en el indicador correspondiente a cada uno:


Ideas finales

El Calculador de Costos de Ransomware es un proyecto libre, que nació en 2017 dentro de una hoja de cálculo, que ha evolucionado mediante su aplicación práctica en distintas organizaciones y el aporte de distintos profesionales del rubro.

Su primera versión en línea, lanzada el 15 de mayo de 2020 es sólo un paso más dentro de este enriquecedor proyecto, el cual esperamos seguir avanzando mediante el aporte de la comunidad de la Seguridad de la Información.

Animamos a cualquier persona interesada en el proyecto a comunicarse con nosotros para realizar sus aportes o dejarnos sus opiniones al respecto.

Y dejamos un agradecimiento especial a quienes hicieron posible su lanzamiento:

Licencia

El Calculador de Costos de Ransomware se distribuye bajo una Licencia Creative Commons Atribución-NoComercial-CompartirIgual 4.0 Internacional.
Leer Más

martes, 28 de abril de 2020

Cómo utilizar el Kit de Autodiagnóstico sobre Teletrabajo Seguro a su favor

Cómo utilizar el Kit de Autodiagnóstico sobre Teletrabajo Seguro a su favor

KATS es el Kit de Autodiagnóstico sobre Teletrabajo Seguro. Como detallamos en nuestro sitio web, KATS permite determinar el nivel de exposición de su organización frente a posibles ataques relacionados con el Teletrabajo. Además, ofrece recomendaciones de mejores prácticas junto a un plan de acción para mitigar los riesgos detectados.

Una transformación tecnológica apresurada

La pandemia del Coronavirus causó una transformación tecnológica que de otra manera quizá no hubiera sido posible sino en muchos años a futuro. Dicha transformación demostró a muchas empresas y personas que trabajar de forma remota es posible, y existen muchos beneficios asociados a esta modalidad.

Sin embargo, la migración al teletrabajo, en el caso de muchas organizaciones, fue apresurada y hasta obligada. Aquellas que no estaban preparadas de antemano para gestionar los riesgos de esta situación, adoptaron el teletrabajo tomando pocas o hasta ninguna medida de seguridad para su información.

Por qué creamos KATS

Ya sea que las organizaciones sigan teletrabajando únicamente mientras dure la pandemia, adopten esta modalidad dentro de su día a día, lo hagan en forma parcial o deseen tenerla en cuenta sólo para futuras emergencias, es necesario que protejan adecuadamente su información.

En este contexto, desde SMARTFENSE, y junto con la colaboración de Segu-info, IniciACtiva y AsegurarTE, lanzamos KATS.

Cómo utilizar el Kit

La utilización es muy sencilla. Primero, es necesario responder las preguntas del autodiagnóstico. Se trata de preguntas concretas cuya respuesta puede ser Sí, No, Parcial o N/A.


Una vez completas, se obtiene un reporte con la puntuación de su organización. El mismo se divide en las siguientes categorías:
  • Acceso Remoto
  • Equipos de Usuarios
  • Hábitos de los usuarios
  • Cumplimiento
  • Gestión y Organización de la Seguridad
  • Seguimiento del Proyecto


Finalmente, KATS presentará un Plan de tratamiento de riesgos y mejoras acorde a su organización. Además, permitirá establecer un cronograma para la aplicación de las actividades derivadas de dicho plan como así también conocer otra información de interés.


Lo más importante: El seguimiento del proyecto

Las actividades relacionadas con el Plan de tratamiento de riesgos y mejoras no servirán de mucho si sólo quedan en una buena intención de realizarlas.

Por ejemplo, si se recomienda lanzar simulaciones de Phishing y Ransomware para medir el estado de su capa humana y llevar adelante un programa de concientización de usuarios para mejorar los hábitos de sus usuarios, esta recomendación sólo tendrá un efecto tangible si se lleva adelante de manera concreta y continuada.

Por este motivo, es necesario establecer un responsable de la implementación del plan que permita realizar un seguimiento cercano y pueda llevar a su organización desde su estado actual al estado óptimo propuesto por el kit.

Comience ahora a proteger su información

Descargue KATS y empiece a ejecutar su plan de tratamiento de riesgos.
Leer Más

viernes, 17 de abril de 2020

Videojuego RUN CISO RUN

Videojuego RUN CISO RUN


Días pasados publicamos el videojuego retro RUN CISO RUN. Lo utilizamos desde hace ya unos años en nuestras participaciones en ferias comerciales y congresos. Tengo que reconocer que ha evolucionado mucho a lo largo del tiempo y esperamos siga evolucionando, ya que lo encontramos tan pegadizo como los otros juegos de la década de los 80 por su simpleza (gracias a nuestro genio Pablo Abratte).

Dinámica del juego

En el juego nos encontramos con una pantalla dividida verticalmente en tres secciones:
  • A la izquierda se plantea un escenario de inacción absoluta, donde los ataques provienen desde el exterior y solo las herramientas técnicas tratan de detener a los ciberdelincuentes.
  • En el centro está nuestro personaje, el CISO, que corre para generar contenido e impartir el programa de concientización en ciberseguridad a los usuarios finales.
  • A la derecha se encuentra SMARTFENSE como plataforma de concientización, lanzando las campañas de forma constante.
En la medida que la velocidad del juego se va acelerando, nos vemos corriendo en búsqueda de generar contenido e impartirlo. Esto se da de forma reactiva y muchas veces ante la vorágine del juego (y de nuestra labor como CISOs) nos damos cuenta que no lo estamos haciendo de forma eficaz ni eficiente. Y este juego que dura apenas 90 segundos nos deja exhaustos...

Análisis de resultados

Al finalizar la partida, recién podremos comparar los costos de cada una de las alternativas. Las mismas que tenemos en la vida real como CISO de nuestra organización…


Se puede ver a la izquierda que la inversión en el caso de la inacción obviamente fue nula en concientización en seguridad de la información para los usuarios finales, pero lamentablemente las amenazas fueron despiadadas, llevándonos a gastar ese dinero ahorrado y mucho más en la remediación.

A la derecha actuó SMARTFENSE. Al ser una plataforma de concientización que nos permite programar campañas según el programa de awareness diseñado, asegura que se generan hábitos seguros en los usuarios con una inversión baja. De esta manera, es posible disminuir el riesgo ante phishing, spear phishing y ransomware. 

Los resultados en la pantalla del medio dependerán de cómo lo hayamos hecho nosotros, si ahorramos o invertimos, y de nuestra capacidad de respuesta ante las condiciones externas. En este caso, destacamos que no es fácil pensar cuando actuamos de forma reactiva a la situación que se nos presenta, y tampoco sabemos los efectos hasta que termine el juego (o el año, en el caso de nuestra organización).

¿Es posible “ganarle” a SMARTFENSE?

En el videojuego sí, ya que está diseñado para que las amenazas se lancen aleatoriamente, por lo que es normal que la instancia de la derecha donde está SMARTFENSE también reciba ataques (como puede pasar en la vida real). La situación del medio depende de nosotros, por lo dependerá de la expertise de cada uno encontrar la forma de invertir lo menos posible en formación y además, frenar gran parte de las amenazas. Para eso necesitamos muchos intentos de práctica (o años en la vida real). Aún así, estaríamos corriendo todo el tiempo… ¿es lo que queremos?

Esa fue la pregunta que me hice hace ya varios años y la respuesta fue un “no” rotundo. De hecho, fue el motivo por el que creamos SMARTFENSE. Para los que no lo saben, hace ya varios años me encontraba trabajando como CISO y me la pasaba corriendo sin saber qué tan efectivo era nuestro esfuerzo. Dándonos cuenta de esto, notamos que en el mejor de los casos, lograr un programa de concientización con una calidad y eficiencia aceptable nos iba a llevar años. Y finalmente nos íbamos a volver expertos en algo que podría haber sido tercerizado desde el inicio, con mucha mejor calidad, eficacia y control

Teniendo en cuenta lo anterior, la escasez de personal de ciberseguridad y sabiendo que otros tantos CISO en Iberoamérica se encontraban en la misma situación, decidimos dejar de quejarnos y actuar, en este caso creando una plataforma de concientización específica.

En los inicios de nuestra empresa también detectamos que la gran mayoría de los CISOs estaban colapsados de tareas, y por más simple que fuera la solución, en muchos casos no encontraban el tiempo ni para implementarla. Es por ese motivo que encontramos el aliado perfecto en los partners que entregan valor agregado, acompañándolos, no solo en la implementación y en la resolución de los inconvenientes, sino en el establecimiento de la línea base, en la programación, en la analítica y en la generación y adecuación de contenidos específicos. Hoy en día, nos es difícil pensar en trabajar sin ese aporte de valor ya que cada organización que quiera generar hábitos seguros en los usuarios finales necesita un diagnóstico preciso y un mensaje adaptado a su realidad, y es por eso que el partner integrador juega un rol clave.

Conclusiones finales

Si bien el juego trata sobre la concientización de usuarios, cada CISO se encuentra ante esta situación a diario en varios frentes, por lo que esperamos que el juego pueda ayudar a hacer esa retrospectiva y pensar qué es lo que quieren de su área de ciberseguridad y de su calidad de vida.
Leer Más