martes, 28 de abril de 2020

Cómo utilizar el Kit de Autodiagnóstico sobre Teletrabajo Seguro a su favor

Cómo utilizar el Kit de Autodiagnóstico sobre Teletrabajo Seguro a su favor

KATS es el Kit de Autodiagnóstico sobre Teletrabajo Seguro. Como detallamos en nuestro sitio web, KATS permite determinar el nivel de exposición de su organización frente a posibles ataques relacionados con el Teletrabajo. Además, ofrece recomendaciones de mejores prácticas junto a un plan de acción para mitigar los riesgos detectados.

Una transformación tecnológica apresurada

La pandemia del Coronavirus causó una transformación tecnológica que de otra manera quizá no hubiera sido posible sino en muchos años a futuro. Dicha transformación demostró a muchas empresas y personas que trabajar de forma remota es posible, y existen muchos beneficios asociados a esta modalidad.

Sin embargo, la migración al teletrabajo, en el caso de muchas organizaciones, fue apresurada y hasta obligada. Aquellas que no estaban preparadas de antemano para gestionar los riesgos de esta situación, adoptaron el teletrabajo tomando pocas o hasta ninguna medida de seguridad para su información.

Por qué creamos KATS

Ya sea que las organizaciones sigan teletrabajando únicamente mientras dure la pandemia, adopten esta modalidad dentro de su día a día, lo hagan en forma parcial o deseen tenerla en cuenta sólo para futuras emergencias, es necesario que protejan adecuadamente su información.

En este contexto, desde SMARTFENSE, y junto con la colaboración de Segu-info, IniciACtiva y AsegurarTE, lanzamos KATS.

Cómo utilizar el Kit

La utilización es muy sencilla. Primero, es necesario responder las preguntas del autodiagnóstico. Se trata de preguntas concretas cuya respuesta puede ser Sí, No, Parcial o N/A.


Una vez completas, se obtiene un reporte con la puntuación de su organización. El mismo se divide en las siguientes categorías:
  • Acceso Remoto
  • Equipos de Usuarios
  • Hábitos de los usuarios
  • Cumplimiento
  • Gestión y Organización de la Seguridad
  • Seguimiento del Proyecto


Finalmente, KATS presentará un Plan de tratamiento de riesgos y mejoras acorde a su organización. Además, permitirá establecer un cronograma para la aplicación de las actividades derivadas de dicho plan como así también conocer otra información de interés.


Lo más importante: El seguimiento del proyecto

Las actividades relacionadas con el Plan de tratamiento de riesgos y mejoras no servirán de mucho si sólo quedan en una buena intención de realizarlas.

Por ejemplo, si se recomienda lanzar simulaciones de Phishing y Ransomware para medir el estado de su capa humana y llevar adelante un programa de concientización de usuarios para mejorar los hábitos de sus usuarios, esta recomendación sólo tendrá un efecto tangible si se lleva adelante de manera concreta y continuada.

Por este motivo, es necesario establecer un responsable de la implementación del plan que permita realizar un seguimiento cercano y pueda llevar a su organización desde su estado actual al estado óptimo propuesto por el kit.

Comience ahora a proteger su información

Descargue KATS y empiece a ejecutar su plan de tratamiento de riesgos.
Leer Más

viernes, 17 de abril de 2020

Videojuego RUN CISO RUN

Videojuego RUN CISO RUN


Días pasados publicamos el videojuego retro RUN CISO RUN. Lo utilizamos desde hace ya unos años en nuestras participaciones en ferias comerciales y congresos. Tengo que reconocer que ha evolucionado mucho a lo largo del tiempo y esperamos siga evolucionando, ya que lo encontramos tan pegadizo como los otros juegos de la década de los 80 por su simpleza (gracias a nuestro genio Pablo Abratte).

Dinámica del juego

En el juego nos encontramos con una pantalla dividida verticalmente en tres secciones:
  • A la izquierda se plantea un escenario de inacción absoluta, donde los ataques provienen desde el exterior y solo las herramientas técnicas tratan de detener a los ciberdelincuentes.
  • En el centro está nuestro personaje, el CISO, que corre para generar contenido e impartir el programa de concientización en ciberseguridad a los usuarios finales.
  • A la derecha se encuentra SMARTFENSE como plataforma de concientización, lanzando las campañas de forma constante.
En la medida que la velocidad del juego se va acelerando, nos vemos corriendo en búsqueda de generar contenido e impartirlo. Esto se da de forma reactiva y muchas veces ante la vorágine del juego (y de nuestra labor como CISOs) nos damos cuenta que no lo estamos haciendo de forma eficaz ni eficiente. Y este juego que dura apenas 90 segundos nos deja exhaustos...

Análisis de resultados

Al finalizar la partida, recién podremos comparar los costos de cada una de las alternativas. Las mismas que tenemos en la vida real como CISO de nuestra organización…


Se puede ver a la izquierda que la inversión en el caso de la inacción obviamente fue nula en concientización en seguridad de la información para los usuarios finales, pero lamentablemente las amenazas fueron despiadadas, llevándonos a gastar ese dinero ahorrado y mucho más en la remediación.

A la derecha actuó SMARTFENSE. Al ser una plataforma de concientización que nos permite programar campañas según el programa de awareness diseñado, asegura que se generan hábitos seguros en los usuarios con una inversión baja. De esta manera, es posible disminuir el riesgo ante phishing, spear phishing y ransomware. 

Los resultados en la pantalla del medio dependerán de cómo lo hayamos hecho nosotros, si ahorramos o invertimos, y de nuestra capacidad de respuesta ante las condiciones externas. En este caso, destacamos que no es fácil pensar cuando actuamos de forma reactiva a la situación que se nos presenta, y tampoco sabemos los efectos hasta que termine el juego (o el año, en el caso de nuestra organización).

¿Es posible “ganarle” a SMARTFENSE?

En el videojuego sí, ya que está diseñado para que las amenazas se lancen aleatoriamente, por lo que es normal que la instancia de la derecha donde está SMARTFENSE también reciba ataques (como puede pasar en la vida real). La situación del medio depende de nosotros, por lo dependerá de la expertise de cada uno encontrar la forma de invertir lo menos posible en formación y además, frenar gran parte de las amenazas. Para eso necesitamos muchos intentos de práctica (o años en la vida real). Aún así, estaríamos corriendo todo el tiempo… ¿es lo que queremos?

Esa fue la pregunta que me hice hace ya varios años y la respuesta fue un “no” rotundo. De hecho, fue el motivo por el que creamos SMARTFENSE. Para los que no lo saben, hace ya varios años me encontraba trabajando como CISO y me la pasaba corriendo sin saber qué tan efectivo era nuestro esfuerzo. Dándonos cuenta de esto, notamos que en el mejor de los casos, lograr un programa de concientización con una calidad y eficiencia aceptable nos iba a llevar años. Y finalmente nos íbamos a volver expertos en algo que podría haber sido tercerizado desde el inicio, con mucha mejor calidad, eficacia y control

Teniendo en cuenta lo anterior, la escasez de personal de ciberseguridad y sabiendo que otros tantos CISO en Iberoamérica se encontraban en la misma situación, decidimos dejar de quejarnos y actuar, en este caso creando una plataforma de concientización específica.

En los inicios de nuestra empresa también detectamos que la gran mayoría de los CISOs estaban colapsados de tareas, y por más simple que fuera la solución, en muchos casos no encontraban el tiempo ni para implementarla. Es por ese motivo que encontramos el aliado perfecto en los partners que entregan valor agregado, acompañándolos, no solo en la implementación y en la resolución de los inconvenientes, sino en el establecimiento de la línea base, en la programación, en la analítica y en la generación y adecuación de contenidos específicos. Hoy en día, nos es difícil pensar en trabajar sin ese aporte de valor ya que cada organización que quiera generar hábitos seguros en los usuarios finales necesita un diagnóstico preciso y un mensaje adaptado a su realidad, y es por eso que el partner integrador juega un rol clave.

Conclusiones finales

Si bien el juego trata sobre la concientización de usuarios, cada CISO se encuentra ante esta situación a diario en varios frentes, por lo que esperamos que el juego pueda ayudar a hacer esa retrospectiva y pensar qué es lo que quieren de su área de ciberseguridad y de su calidad de vida.
Leer Más

jueves, 9 de abril de 2020

Reduciendo el riesgo de ciberincidentes en el teletrabajo improvisado

Reduciendo el riesgo de ciberincidentes en el teletrabajo improvisado



Debido a la reciente pandemia, las organizaciones se encontraron repentinamente ante una situación de estrés, pánico y ausentismo masivo. Por ello, una de las medidas adoptadas para sobrevivir fue habilitar el trabajo remoto para muchos de sus empleados. Al momento, gran parte de las organizaciones lo hicieron como pudieron, de un día para el otro, sin ningún tipo de previsión. Por esta razón, hoy se encuentran ante un gran desafío, ya que podrían haber descuidado aspectos importantes de la seguridad en el teletrabajo

En esta circunstancia, uno de los desafíos es lograr que los usuarios puedan seguir accediendo a los recursos de la organización desde una conexión a Internet fuera de las oficinas, igualando las condiciones de seguridad que tienen dentro. Una de las soluciones más prácticas, que brinda el equilibrio ideal entre seguridad, rendimiento y asequibilidad, son las redes privadas virtuales (VPN). 

Una VPN permite acceder a los recursos de la organización evitando la revelación y manipulación de la información que viaja a través de Internet (desde el sitio remoto hacia la organización y viceversa), como así también accesos no autorizados. Esto último es posible gracias al proceso de autenticación, en donde el sistema confirma la identidad del usuario.

Además, podemos mejorar la seguridad si la organización le facilita al teletrabajador un equipo corporativo (ej. portátil) que cuente con una serie de controles técnicos y el usuario, por su parte, se compromete a seguir unas buenas prácticas

Consejos para la organización

Las soluciones técnicas de acceso remoto seguro (por ejemplo, VPN) pueden ser basadas en sistemas locales o en la Nube. Lo más habitual es implementar un sistema local de VPN con acceso directo a los propios equipos de los usuarios.

Algunos consejos para mejorar la seguridad en el acceso remoto

  • Realizar una implementación segura de la VPN (por ejemplo, elección del protocolo y algoritmo de cifrado adecuados, modo túnel en lugar de modo transporte, etc.). 
  • Aplicar actualizaciones y parches de seguridad en los equipos de red, sobre todo en el que establece la VPN. 
  • Validar la identidad del equipo de usuario remoto a través de un certificado digital. 
  • Restringir las direcciones IP origen desde las que se permite originar las conexiones. 
  • Implementar Doble Factor de Autenticación (2FA) en el acceso VPN. 
  • Revisar las características de seguridad del equipo remoto, para garantizar que dispone de: 
    • Endpoint antimalware actualizado, configurado adecuadamente y programado para realizar análisis periódicos. 
    • Despliegue de actualizaciones y parches de seguridad periódico. 
    • Cifrado de disco para la protección de los datos en caso de robo o pérdida. 
    • Medidas para evitar el almacenamiento local de datos sensibles (ej. Endpoint DLP). 
    • Permiso de administrador local deshabilitado. 
    • Autenticación por usuario y contraseña segura, que puede ser forzada mediante un controlador de dominio. Evaluar incorporar un segundo factor de autenticación para equipos críticos que puedan almacenar información sensible. 
  • Aplicar listas de acceso en el finalizador del túnel VPN (donde se hallan los recursos) para garantizar que el usuario sólo puede acceder a los servicios y aplicaciones específicas. 
  • Restringir accesos y unidades en los equipos remotos (ej. dispositivos extraíbles). 
  • Disponer de registros de auditoría de las conexiones (direcciones IP origen y destino, horario de inicio y fin y usuario) y revisarlos con frecuencia. 
  • Realizar la inspección de tráfico generado en el túnel. 
  • Limitar el ancho de banda y priorizar a los usuarios críticos. 
  • Alertar sobre el Phishing y otros ataques dirigidos a los teletrabajadores, a través de un programa de formación y concienciación en seguridad de la información

Consejos para los teletrabajadores (usuarios remotos)

  • Nunca conectarse a redes públicas (tengan o no contraseña). Un atacante podría publicarla o estar conectada a ella para obtener nuestras credenciales y acceder a la información. 
    • Si nos conectamos desde casa, verificar que la red Wifi al menos se nos solicite una clave de acceso. 
  • Desconectar el equipo de la red de la organización siempre que sea posible. Ejemplo: conectarse a la VPN, descargar ficheros del servidor al escritorio, trabajar sobre ellos, volverse a conectar y cargar los archivos al servidor de la organización. El ejemplo es a modo ilustrativo, ya que cada organización debería definir sus políticas de trabajo remoto. 
  • Almacenar la información de la organización en los directorios indicados por la organización donde se realicen copias de seguridad. 
  • Hacer buen uso del equipo de usuario corporativo, evitando: 
    • Almacenamiento de archivos personales. 
    • Navegación web a sitios de entretenimiento o interés personal. 
    • Uso por parte de otros miembros de la familia. 
  • No compartir credenciales de acceso al equipo con otros individuos. Si se hizo por error solicitar al administrador de sistemas un cambio de contraseña. 
  • Bloquear el equipo siempre que quede desatendido
  • Al transportar el equipo de un lugar a otro, llevarlo en un bolso o funda y nunca perderlo de nuestro rango de visión. 
  • Prevenir daños en el equipo: evitar dejarlo en el bode de un escritorio, protegerlo de la luz del sol, de altas temperaturas, etc. 
  • Comunicar incidentes o comportamientos anómalos del equipo al administrador de sistemas por los canales apropiados.

Comentarios finales

Estas son algunas recomendaciones puntuales que servirán para ayudar al negocio a operar de manera segura en estas circunstancias. Más allá de eso, es sumamente necesario que las organizaciones incorporen formalmente el teletrabajo seguro, ya sea de forma regular o para casos de fuerza mayor, a sus procesos mediante políticas, procedimientos y otro tipo de documentación. En esta instancia habrá que definir canales de comunicación transparentes y seguros con empleados y terceros (videoconferencias y reuniones virtuales), la habilitación de canales de comunicaciones para reuniones mediante Internet, la actualización del listado de perfiles de personas que pueden teletrabajar, entre otras.
Leer Más

jueves, 2 de abril de 2020

Videojuegos: tus power-ups para la concienciación en ciberseguridad

Videojuegos: tus power-ups para la concienciación en ciberseguridad


Aprender con videojuegos

En artículos anteriores ya hemos hablado sobre las ventajas de los videojuegos como herramientas educativas: permiten al usuario experimentar y cometer errores en un entorno altamente motivador y libre de peligros.

En el terreno de la ciberseguridad, los videojuegos son una herramienta que puede aprovecharse mucho para la concienciación de usuarios finales. Se ha comprobado que su uso resulta en un aumento de hábitos seguros.

Las aventuras de Gupi

Las Aventuras de Gupi es una serie de videojuegos lanzados por SMARTFENSE en los cuales un pez llamado Gupi, nuestro personaje principal, se enfrentará a diferentes desafíos en el tempestuoso mar de la seguridad de la información.

El usuario final se verá honrado con la responsabilidad de guiar las acciones y decisiones de Gupi, ayudándolo a llegar hasta el final de su aventura sin sufrir un incidente.

Pero el usuario no estará solo, sino que un pez sabio brindará consejos útiles cuando los desafíos no parezcan tener solución.

Evitando morder el anzuelo

La primera entrega de Las Aventuras de Gupi, ubica a nuestro personaje principal en un mar lleno de medusas, su plato favorito.

Presionando sobre ellas, Gupi se acercará para comerlas, pero antes de que lo haga, las medusas mostrarán una URL y será nuestra tarea clasificarlas como seguras o inseguras. Si tomamos la decisión correcta, Gupi comerá la medusa con felicidad, pero si nos equivocamos, ¡morderá un anzuelo y será pescado!

¿Ayuda Gupi a concienciar?

Para avanzar en las distintas rondas del videojuego, será necesario aprender a identificar URLs sospechosas o fraudulentas. 

Pero el jugador no estará solamente aprendiendo sino que formará parte de una aventura épica: el viaje de Gupi para aprender a valerse por sí mismo. El jugador se identificará con el personaje, compartirá su búsqueda y crecerá con él.

A diferencia de los contextos reales, dentro de los cuales muchas veces resulta difícil sumergirse, las Aventuras de Gupi: evitando morder el anzuelo, motiva al usuario a participar de manera mucho más intensa y le provee de feedback abundante que potencia su aprendizaje y lo hace consciente de sus propios logros.

¡A jugar!

Recientemente se abrió al público la versión Beta de Las aventuras de Gupi: evitando morder el anzuelo. El mismo se puede jugar en https://gupi-adventures.smartfense.com/

¡Lo invitamos a sumergirse junto a Gupi y a compartir el videojuego con sus usuarios!

¿Podrá llegar al final de la aventura?

Leer Más