Las empresas que apenas están empezado rara vez tienen políticas de seguridad informática. Y tiene sentido. Dentro de la lista de prioridades, este tipo de reglas y obligaciones están al final de la cola. Sin embargo, por esa misma razón es que las Pymes están abiertas a los ataques de los piratas informáticos. Según una encuesta de Blue Coat, “el 87% de las pequeñas y medianas empresas no tienen políticas formales para el uso de internet y 70% de éstas carecen de políticas para empleados sobre el uso de las redes sociales”.

Aunque no es necesario que una Pyme tenga una política formal y concreta, sí debería existir una serie de recomendaciones para proteger la información de la empresa y de los usuarios. Es una ligereza pensar que porque una Pyme maneja pequeñas cantidades de recursos se puede dar el lujo de no protegerse, ya sea con reglas o con elementos de hardware y software.

Hoy se celebra el día internacional de internet seguro por lo que es perfecto hacer una serie de recomendaciones y consejos para estar más protegidos.

Microsoft, por ejemplo, creo un sitio web en el que recomienda a las personas y organizaciones a hacer una cosa al día para proteger la información. El sitio, creado con el formato de baldosas característico de la compañía de Redmond, muestra diferentes cifras y consejos para mejorar la seguridad en internet. Además tiene un ‘feed’ en vivo de las cosas que cada persona está haciendo para defenderse de los piratas informáticos.

“El internet toca nuestra vida a diario: escribimos por correo electrónico para mantenernos conectados, compartimos fotos y videos, pagamos cuentas y realizamos compras”, dijo Jacqueline Beauchere, jefa de seguridad en línea en Microsoft. “Sin embargo, en ocasiones aquella experiencia por la que nos gusta el internet es la que nos pone en riesgo”, agrega.

Según el Índice de Seguridad en Computo de Microsoft, el phishing y la suplantación de identidad pueden llegar a costar unos 5.000 millones de dólares. El 15% de los encuestados dijeron que habían sido víctimas de ataques de phishing, perdiendo en promedio 158 dólares. El 13% vio su reputación profesional comprometida y el 9% aceptó que sufrió de un robo de identidad.

Aunque estas amenazas son para las personas, las implicaciones para las empresas pueden ser gigantes. Un atacante, cuando obtiene las credenciales del correo electrónico, puede usar métodos de ingeniería social para conseguir el login empresarial. Un ejemplo clásico es el siguiente: el atacante llama a la persona de tecnología y le dice que se le olvido la clave, que por favor se la mande al correo personal -una forma ligera de verificación-. Según un comunicado de Google, los usuarios generalmente tienen la misma contraseña para varios servicios. Por lo tanto, una pequeña brecha en la represa puede significar una gran inundación.

Aunque tanto se resalta la seguridad en internet, los hábitos de los usuarios siguen siendo muy laxos. Google asegura que el 33% de los adolescentes han compartido sus contraseñas, de acuerdo con un estudio de Pew de 2013.

Blue Coat asegura que los virus en las redes sociales son una de las grandes amenazas en la actualidad. También ha detectado un incremento en los casos de phishing en redes. Por ejemplo, el atacante manda un correo muy similar al que mandaría Facebook y redirige al usuario a una página igualita a la de la red social, pero que está controlada por el hacker. Una vez la persona ingrese sus credenciales, ya cayó en la trampa y reveló su contraseña y usuario.

La empresa de seguridad también ha dicho los usuarios comparten mucha información sensible como proyectos, productos y finanzas. Con simples políticas de información, se puede evitar este tipo de comportamientos.

Protegerse en internet no requiere una inversión muy grande. Es más, así como en la vida real, los atacantes casi siempre optarán por los objetivos más fáciles. Por lo tanto, complicar la ejecución de la operación puede ser más que suficiente para detener al pirata.

Cómo siempre, hay que tener en cuenta una serie de pautas para estar seguros en internet. Es una obligación tener un antivirus reconocido y actualizado. También debe asegurarse que las versiones de sus programas sean los más recientes. Las vulnerabilidades no solo están en los sistemas operativos sino también en las aplicaciones.

En el mundo móvil, es imperativo asegurar su celular con un PIN o una contraseña. Microsoft asegura que dos de tres personas encuestadas no tienen este tipo de bloqueo en su teléfono. Si pierde su smartphone, el ladrón puede entrar a sus cuentas de correo y, de ahí, controlar una importante porción de su vida digital. Hay opciones para hacer un borrado remoto, función que debe explorar si tiene información sensible en su móvil.

Imagen: rvlsoft (vía Shutterstock)

La evolución de la seguridad informática va a un paso abrumador. Cada día vemos nuevas amenazas e ingeniosas formas de entrar a los sistemas y robar información. La lucha entre los hackers éticos y sus enemigos durará mucho tiempo y el próximo año no será una excepción. Varias empresas de infosec publicaron sus predicciones y tendencias para el próximo año para informar sobre lo que se viene en 2014.

El secuestro digital

De acuerdo con Blue Coat, las extorsiones por ‘ransomwear’ o secuestro de datos aumentarán durante 2014. Los investigadores de la compañía dicen que la complejidad y la cantidad de código malicioso que cifra la información del usuario para pedir una recompensa está aumentando considerablemente. Y así como en el secuestro en vida real, no hay ninguna garantía de que los criminales suelten la información después del pago.

Por lo tanto, Blue Coat recomienda no hacer los pagos, ya que eso tiene dos efectos devastadores. Al tener más recursos, los criminales podrán desarrollar programas más complejos y con más recursos, el problema crecerá. Y, como ya mencionamos, no hay ninguna garantía que el pago resulte en la recuperación de la información.

Es recomendable no hacer pagos por la información

Ya se han presentado varios casos de ‘ransomwear’. En Estados Unidos se propagó un troyano llamado Cryptolocker que cifra toda la información del usuario y pide un pago realizado en bitcoin. Como esa moneda digital está totalmente cifrada, es imposible hacer un rastreo posterior. El código malicioso estaba escondido detrás de un enlace que supuestamente rastreaba la ruta de un paquete navideño.

ESET también ha visto casos de este tipo en Latinoamérica. En México, por ejemplo, se presentó el caso de Multilocker, un programa que funciona de manera similar al mencionado anterior. El país mexicano ha sido el más afectado, pero hay que tener en cuenta que apenas estamos viendo los primeros casos y, como advierten las compañías de seguridad, habrá un aumento considerable del secuestro digital durante los próximos años.

Aumento de APT

Las ‘advanced persistent threats’ (APT, amenazas avanzadas y persistentes) son programas que tienen un solo objetivo muy complejo. Hemos visto varios casos de este tipo de ataques, que aprovechan las vulnerabilidades de ‘día cero’ (esas que todavía no son conocidas por los desarrolladores de software o los programas de defensa) para robar información. Este tipo de código malicioso normalmente es desarrollado por grupos de hackers, y tiene la misión de hacerle daño a una organización en especial o de robar un tipo específico de información.

A diferencia de los virus o troyanos tradicionales que buscan masividad, las APT quieren pasar sigilosamente y permanecer en los sistemas por mucho tiempo.

Las organizaciones tienen que hacer sus pruebas de penetración, además de tener la inteligencia de revisar sus sistemas para garantizar su integridad. De acuerdo a una investigación de Verizon citada en el comunicado de Blue Coat, el 78% de las violaciones toman semanas, meses y hasta años en ser detectadas.

El 78% de las violaciones toman semanas, meses y hasta años en ser detectadas

Este tipo de ataques complejos irán en aumento a medida que los países –con sus bastos recursos– empiecen a usar la informática de forma ofensiva. Lo hemos visto con China, Estados Unidos e Israel. El país oriental tiene un edificio que ha sido identificado como el centro de hackers del país, donde se robaría información confidencial de muchas empresas occidentales. Por su parte, Estados Unidos e Israel fueron señalados como los desarrolladores del Stuxnet, código que se infiltró en las instalaciones nucleares de Irán.

Además del peligro que presentan los países, también hay grupos de piratas informáticos que se dedican a robar información de las grandes empresas de tecnología. Según ESET, Facebook perdió la información de 6 millones de usuarios, mientras que Twitter vio 250.000 cuentas comprometidas.

Y lo peor de todo es que las APT combinan varias formas de ataque. Usan la ingeniería social para conseguir las credenciales de un sistema, o atacan a un socio de negocio más pequeño que tenga medidas de seguridad más laxas para saltar de un sistema a otro. Todo este tipo de combinaciones muestran que la defensa contra las APT necesita debe ser un esfuerzo de industria, en el que se comparta información y se ayude al prójimo.

Poner el negocio primero

Gartner dice que el presupuesto invertido en detección y reacción de ataques informáticos incrementará de 10% a 75% en los próximos seis años. Sin embargo, justificar estas inversiones ante el negocio será cada día más difícil.

Anteriormente, los departamentos de TI razonaban que los beneficios eran cualitativos. Es difícil justificar cómo la defensa de los datos puede generar un retorno positivo en cifras exactas. Sin embargo, ya hay métodos como ROSI (Return Over Security Investments, retorno de inversiones en seguridad) que buscan alinear las inversiones con las prioridades del negocio.

MDM y BYOD

Estas siglas se volverán más importantes. A medida que vayan entrando más dispositivos móviles a las organizaciones, será más complicado gestionarlos adecuadamente. Habrá más plataformas a medida que Windows Phone se convierta en una opción viable, y el número de aplicaciones solo crecerá. Eso representa un reto para los encargados de la tecnología de una empresa.

Los celulares y las tabletas ya son partes fundamentales de la productividad de varios empleados. Y por su naturaleza móvil, pasarán gran parte del tiempo conectados fuera de la red. Eso genera más peligros porque los equipos se salen del perímetro seguro de la organización, y cuando vuelvan a ingresar pueden traer consigo algún tipo de código malicioso. Por otro lado, si el usuario usa su móvil para acceder información confidencial, hay que tener medidas adecuadas para que proteger los datos.

Eso genera más peligros porque los equipos se salen del perímetro seguro de la organización

Como si eso no fuera poco, también hay que tener en cuenta las apps móviles. En el futuro, seguramente veremos más ataques en contra de las plataformas móviles. Todavía se mantiene la recomendación de evitar las apps que vengan de fuera de las tiendas oficiales.

La gerencia de TI tendrá que gestionar adecuadamente las aplicaciones. Porque, aunque duela decirlo, se presentan casos de empleados que se roban información. Por lo tanto, hay que protegerse frente a esas apps que puedan compartir archivos en la nube o sacar datos confidenciales de la empresa.

Afortunadamente existen varias soluciones de software que buscan solucionar este tipo de problemas. AirWatch, Citrix Xen Mobile o BlackBerry Enterprise Server 10. Estas herramientas permiten proteger los dispositivos y controlar el tipo de contenido en ellos. Acá tentemos una guía de como proteger los equipos móviles de su empresa.

¿Cuáles creen que son las tendencias en infosec para el 2014?