Para utilizar las funcionalidades completas de este sitio, es necesario tener JavaScript habilitado. Aquí están las instrucciones para habilitar JavaScript en tu navegador web .

En una conferencia de seguridad hace unos meses, un presentador nos encuestaba: ¿Se sienten seguros en su silla?, ¿sienten que su vehículo esta seguro? ¿Creen que este edificio es seguro? Y asi unas cuentas mas hasta que empezamos a cuestionarnos nerviosamente de nuestra seguridad, cosa de la que estábamos tan persuadidos hacía no más de 2 minutos. Y efectivamente, nuestro presentador terminó diciendo: “La seguridad es una percepción” y estoy totalmente de acuerdo. Les aseguró que hay militares que están tan tranquilos en su base que esta a 500 metros del enemigo como nosotros viendo una película en el cine. ¿Cuál es la diferencia? La percepción. El militar está seguro de sus compañeros le cuidan las espaldas y esta entrenado para reaccionar a una amenaza y nosotros en el cine, confiamos en que el ambiente es seguro y la seguridad del mall y la policía nos protege. Así, que llevando esto a nuestros negocios, debemos construir nuestra percepción de seguridad basada en riesgos y hechos, como veremos ahora.

Los riesgos

Los riesgos los debemos sopesar como algo que, si bien es una posibilidad, no queremos que afecte extraordinariamente en el caso de un incidente a nuestra organización, y para esto, primero permítame explicar los riesgos en el área de dominio que nos compete hoy que es en las Tecnologías de la Información. Estamos claros que, lo que impacta negativamente al negocio es aquello que nos hace perder ganancias o entrar en pérdidas económicas. Sin embargo, hoy día como todo está conectado al negocio, y con esto me refiero, a las redes sociales personales y corporativas, las actividades de responsabilidad social corporativa, las relaciones con otras organizaciones, las relaciones con el gobierno, la publicidad, entre muchas otras afectarán sustancialmente nuestro negocio según la industria y mercado. 

Un riesgo, entonces, lo determina qué tanto impacto puede causar en  nuestro  negocio  un evento relacionado con Tecnologías de la Información. Les dejo una lista corta de eventos de alto impacto:

  • Secuestro de la información:  un ente atacante encripta la información asegurándose de no dejar otra copia usable pidiendo un rescate por la llave para desencriptar.
  • Chantaje informático: el ente de ataque obtiene información confidencial privada no solo del negocio, sino de los clientes de éste y reclama algo a cambio de no hacerla pública.
  • Secuestro de infraestructura: ente  de ataque consigue las credenciales administrativas de la infraestructura y la aísla para su único dominio y luego pide un rescate para devolver las credenciales a la organización.
  • Y la más compleja, pero más lucrativa es el infiltrado: la persona atacante logra entrar a la red del negocio y detecta el patrón de operación del mismo de forma que logra montar operaciones y transacciones indefinidas veces durante meses y años sin que la organización detecte su presencia.

Para cerrar este punto por el momento, los riesgos informáticos son muchos verdaderamente, pero igualmente debemos, digámoslo asi, medir nuestros riesgos. Para esto, hay consultorías especializadas es verdad, pero con un poco de sentido común podemos decir que, dependiendo de la visibilidad pública de nuestra empresa y el volumen de dinero que maneja, entonces está más en la mira de un atacante, con la excepción de los ataques automatizados a los cuales todos como personas o empresas estamos expuestos, así que, definitivamente nos conviene ejecutar un análisis sencillo. Mi empresa tiene:

  1. Página Web pública
  2. Redes sociales corporativas (Instagram, Facebook, Twitter, Pinterest, etc)
  3. Sistemas de pagos electrónicos (Internet Banking, pagos en línea, tarjetas de fidelidad, etc)
  4. Plataformas de nube Pública autorizadas o no (Azure, AWS, Office 365, G Suit, DropBox, etc)
  5. Bases de Datos con información de los clientes y pagos (Oracle, SQL, MySQL, DB2, etc)

En el caso de que respondiera negativamente a todos los puntos, estaría bastante libre de riesgos informáticos, pero tambien necesita estudiar la posibilidad de incrementar las ganancias del negocio usando estas tecnologías. En resumen, y sabiendo que no estoy incluyendo variables muy importantes como el factor humano, entre más puntos de los anteriores le aplican a nuestra organización estamos en mayor riesgo, y por ende deberíamos tener alguna protección.

Hechos

Los hechos que estamos a punto de tocar son aquellos que nos dan luz sobre nuestra seguridad informática. Como dijimos anteriormente la seguridad es una percepción, y ésta la debemos construir a partir de hechos, que en este caso sería hacer algo que nos confirme nuestra asunción de seguridad, así como cuando le activas la alarma al vehículo, oyes y ves las señales de que se activó pero, aún así, halas la manilla de la puerta para estar seguro de que cerró con el HECHO de que NO ABRE.

En este sentido, los hechos que buscamos para demostrar que estamos seguros desde una perspectiva informática son:

  • Nadie puede entrar a ninguna información de la organización sin usar un mecanismo de identificación acorde con los sistemas y dependiendo de la sensibilidad de la información: Usuario y Clave, PIN, Tarjeta de Seguridad, Carnet RFID, biométrico, etc. incluyendo un segundo  factor de autenticación como SMS, Token, o llamada de ser necesario.
  • Existen niveles de acceso a todos los recursos, donde, cada uno accede solo a lo que debe, en el lugar correcto, desde la aplicación correcta y desde la ubicación correcta.
  • Poder saber si alguien intenta violar alguna política de la organización respecto al acceso de la información, por ejemplo, un desarrollador de la página web de la empresa intentando acceder al servidor de base de datos de nómina.
  • Los colaboradores están enterados y practican las normas de  seguridad  de la información: cambios de password, manejo de correos electrónicos sospechosos, redes sociales personales y corporativas, almacenamiento de la información en los sistemas correctos.
  • Tener procesos y sistemas de contingencia ante un ataque

Al igual que la sencilla lista de riesgos, ésta necesita que nos apliquemos todas las opciones porque hacemos realmente muy poco solo teniendo una o dos. Y lo que realmente importa, es comprobar que se cumplen, bien con una auditoría interna de la organización o con una externa, porque la consecuencia de hacerlo mal es que no valdrá la pena el esfuerzo de “tratar”, porque al final el atacante siempre se irá como el agua, por el camino más fácil, es decir, por aquello que no tengamos o que tengamos desactualizado.

Para concluir, sin ser catastrófico, la verdad es que el tema de seguridad de la información es complejo y con muchos matices, pero, de las cosas que son indudables es que, hay una demanda inmensa de personal, no solo especializado sino con experiencia que se hace para muchas empresas restrictivo económicamente hablando. Así que, una salida exitosa, han sido los proveedores de servicios gestionados de seguridad, que se encargan de aplicar todas estas cosas que he expuesto en este artículo por una inversión en el modelo optimizado de prácticas y personal altamente capacitado para brindar un servicio eficaz, de muy alto valor y costo amigable con las finanzas.

Nota: Se dará cuenta que, uso la palabra ente en casi todos los ejemplos, esto tiene una razón especial, es que, ya hoy día las máquinas son más agiles y energéticas que los hombres (las máquinas trabajan 24x7x365 al mismo ritmo y adicionalmente, así como la inteligencia artificial se usa para cosas buenas, también para malas), así que, un ente puede ser un robot informático o una persona.


Compartir este artículo
Retos digitales, liderazgo a prueba

27 Mayo, 2019 | La digitalización de los negocios sigue avanzando y con ello, la presión de transformación sobre los líderes de todas las empresas de la región. Cada industria adopta un nombre para esta tendencia, industria 4.0 para manufactura, salud 4.0, Fintech para banca, Suretech para los seguros, no importa como se le nombre, para los líderes la pregunta siempre es la misma, ¿cómo las tecnologías digitales emergentes cambiarán la forma de hacer negocios en nuestra industria? Aunque la pregunta es genuina y hasta justificada, invita a quién la formula y a quién la escucha a pensar que la transformación digital se trata sobre tecnología y que el primero que utilice blockchain, inteligencia artificial o Internet de las cosas, por mencionar algunas tecnologías emergentes, será el que ganará en el mercado, lamentablemente esta lógica no es la correcta ya que la transformación digital no se trata sobre tecnología. Por supuesto, que entre los “ingredientes” a utilizar en una transformación digital están las tecnologías (algunas de ellas emergentes), pero decir que la transformación digital se trata sobre adoptar Internet de las cosas es como decir que el éxito de un restaurante de pasta radica en utilizar un nuevo tipo de tomate. Claro que los ingredientes son importantes pero el éxito de un restaurante radica en la experiencia que la gerencia quiera crear y en los exquisitos platos que su cocina pueda producir; lo mismo pasa con la transformación digital de las empresas y es en este punto donde inician las pruebas del liderazgo en la organización. Lo más difícil para el liderazgo de la empresa es definir una visión y estrategia digital clara en donde se articule, en palabras sencillas (que todos los colaboradores pueden entender), qué áreas del negocio se transformarán y cómo se ve ese estado digital futuro deseado de la empresa, por ejemplo las áreas de servicio al cliente usarán canales digitales (móviles, web) para responder lo más rápido posible las solicitudes de los clientes. Lo anterior puede ser claro de comunicar y tener una visión de negocio de ampliar y mejorar la experiencia del cliente para fidelizar el consumo de productos de la empresa, pero también tiene una probabilidad muy alta de causar miedo entre los colaboradores de perder sus empleos por la digitalización del trabajo con inteligencia artificial. Estos son algunos de los retos que enfrenta el liderazgo al definir una visión y estrategia digital. Las empresas locales aún tienen productos análogos que pagan las cuentas y en este punto es necesario que coexista lo análogo con lo digital mientras se transforman las fuentes de ingreso del negocio. Por ejemplo, una empresa puede tener un producto análogo muy exitoso que es utilizado por una población mayoritariamente baby boomers que su nivel de uso de tecnología es bajo y al mismo tiempo necesita transformar este producto para que sea más consumido por generaciones Z y Millenials. Esta “acrobacia” entre lo análogo y lo digital no es nada fácil y pone a temblar hasta los directores y máster de negocios más experimentados. Este reto lo conocen con mucho dolor los periódicos y las revistas, sin embargo la mayoría de las industrias ya están sintiendo la presión. El reto más grande para el liderazgo de las empresas locales es confiar en el talento interno (los cocineros) de la organización y darles la oportunidad de transformar las operaciones y/o los productos “análogos” a un nuevo estado digital que sorprenda a los clientes. Estos líderes tienen el reto de encontrar la mezcla correcta de capacidades qué van a salir a buscar en proveedores consultivos y tecnológicos y qué capacidades van a darle la oportunidad de desarrollar al talento interno. No hay receta correcta en este punto, dependerá del momento en el tiempo que se encuentre la empresa y de su estrategia digital. Uno de los retos más pesados que enfrentan las empresas de la región centroamericana, es convencer a los directivos más altos de la organización de invertir tiempo, dinero y recursos en iniciativas de innovación digital que experimenten con tecnologías emergentes para optimizar el negocio y crear nuevos productos. A diferencia de empresas grandes (internacionales) que entienden el valor estratégico de invertir un porcentaje de sus ingresos en innovación, las empresas locales todavía encuentran dificultades para justificar inversiones de este tipo y en la mayoría de los casos se debe a las presiones de generar resultados de negocio cada trimestre. Lo anterior, pone una camisa de fuerza a las empresas locales para iniciar su viaje de digitalización. Las iniciativas de innovación necesitan “respirar”, necesitan un tiempo para encontrar las áreas del negocio a impactar y la combinación correcta de tecnologías para generar ese impacto, lo anterior solo se logra con experimentación y luego de encontrar una “receta” correcta es necesario pasar un espacio de adopción de los clientes/usuarios. En todo ese tiempo los beneficios económicos para el negocio son nulos y esto es difícil de defender frente a los directores de las empresas. Otro de los retos que enfrenta el liderazgo es no caer en “el teatro de la innovación” en dónde se hacen eventos como ideathones, hackathons, o se hacen conferencias con “gurús” internacionales que al final del día no generan ningún impacto tangible en el negocio. Estos eventos y actividades pueden ser muy buenos impulsando la transformación digital cuando se alinean con objetivos de negocio claros. El “espejismo” tecnológico es una gran trampa para el liderazgo, ya que las empresas se dejan llevar por la idea que necesitan “adoptar” una tecnología emergente específica (digamos Blockchain) que lidere la transformación digital. Esto no solo es incorrecto desde la perspectiva técnica, ya que ninguna tecnología por sí sola puede crear un producto digital completo que impacte positivamente al negocio, sino que deja de lado la verdadera transformación que está liderada por iniciativas de negocio que crean nuevos productos, interacciones y experiencias digitales que sorprenden a los clientes para generar nuevos ingresos. Aunque pareciera contradictorio el hecho de que las empresas de la región centroamericana sean de un tamaño no tan grande, les entrega una autonomía ideal para experimentar con tecnologías emergentes como inteligencia artificial, cloud, Internet de las cosas y con ello encontrar la receta que permita la mejor combinación para potenciar sus operaciones con las realidades de los mercados donde se encuentran. Esto, sin duda es una oportunidad de las empresas locales para adoptar algunas características de startup y llevar productos innovadores al mercado más rápidamente, incluso compitiendo con ofertas de transnacionales o gigantes tecnológicos. En este punto estimado lector lo invito a reformularse la pregunta del inicio de este artículo de la siguiente forma: ¿cómo debo de cambiar mi negocio para resolver las necesidades que atendemos de nuestros clientes con interacciones y experiencias que los sorprendan utilizando tecnologías digitales? Al final del día la transformación digital no se trata sobre la tecnología, se trata de elevar la conexión humana por  medio de experiencias que aumenten la calidad de vida de los clientes respetando su privacidad digital.

SQL Server 2008 llega al fin de soporte

27 Mayo, 2019 | ¿Ha valorado el impacto que supondría perder su información más importante si su base de datos SQL Server llegara a ser objeto de un ataque? ¿Y si en el momento del ataque no pudiera solicitar soporte a Microsoft? Para mantener los principios de estándares internacionales sobre disponibilidad, integridad y confidencialidad, las bases de datos de cada compañía representan el core sobre el cual gira muchas veces la continuidad operativa de la empresa. Microsoft en todos sus productos mantiene su soporte por diez años dividiéndolo en dos fases. “Mainstream Support” durante los primeros cinco años posteriores a su lanzamiento. Durante este período lanza actualizaciones significativas y mejoras al software. Al finalizar éste inicia el soporte extendido “Extended Support”, durante este período únicamente se trabaja en parches de seguridad para reducir vulnerabilidades que puedan ser explotadas por personas mal SQL Server 2008 fue lanzado el 6 de agosto de 2008 y se ha posicionado en el mercado de base de datos como la versión adoptada más estable (previo a SQL Server 2016), caso similar a lo sucedido con Windows XP en los sistemas operativos de escritorio. Basándose en la política de los 10 años, el soporte de esta versión debió finalizar en 2018, sin embargo, al estar en conjunto con la versión R2, su fin de soporte ha sido calendarizado para el 9 de julio de 2019. Cuando recuerdo cuáles eran las novedades tecnológicas en el año 2008, vienen a mi mente dispositivos como el iPhone 3G, el Blackberry Bold era el rey del mercado, la primera generación de Android, los procesadores Intel Core 2 Duo, entre otros. Muchos habrán recordado esos grandes lanzamientos y la increíble revelación que las capacidades de éstos ofrecían en aquellos tiempos. Esto nos lleva a la siguiente pregunta, ¿quién utiliza actualmente alguno de ellos? Entonces, por qué si para nuestro uso personal y profesional buscamos las últimas tecnologías, como los nuevos teléfonos inteligentes o herramientas de trabajo más eficientes, no hacerlo en la gestión del activo más valioso, la información. ¿Qué implicaciones tiene para una empresa que finalice el soporte? Al finalizar el soporte, Microsoft no seguirá generando parches de seguridad para el motor de base de datos. Esto es importante para empresas que dependen de regulaciones internacionales, por ejemplo, si se encuentran certificados ISO 27001 o PCI-DSS. Aún si el sistema no está sujeto a regulaciones internacionales, no poseer soporte lo pone en una situación de vulnerabilidad, ya que eventualmente Microsoft empezará a retirar de sus sitios oficiales las opciones a descargar parches. Una pregunta muy frecuente que se ha recibido sobre este tema es ¿pero qué gano migrando a una nueva versión? Y la respuesta es muy sencilla, muchísimo. Retomando el ejemplo de los dispositivos de 2008 si los comparamos con los actuales, sus características se ven superadas, no solo en términos de hardware sino también en el software y la experiencia al usuario; y en SQL no es la excepción. SQL Server 2008 y en especial la versión R2 fue la versión que comenzó a posicionar a Microsoft como un competidor importante en el segmento de gestor de datos, sin embargo, las versiones más recientes han tenido adelantos increíbles respecto a la versión anterior. SQL Server 2017 incluye mejoras sustanciales a características que en 2008 se encontraban básicas por ejemplo crear ambientes altamente disponibles con Always On. Posee también, características que facilitan la administración y optimización, así como permite aplicar diversos niveles de seguridad por medio de encriptado o bien diferentes formas de limitar el acceso a la información de manera granular. Desde dos versiones anteriores posee compatibilidad nativa con Azure la nube pública de Microsoft para poder crear ambientes híbridos. Otra característica de esta versión es que es la primera versión compatible con Linux. Todo esto parece muy interesante, pero el mes de julio está cerca y esto significará que si llega la fecha y aún no he migrado ¿mi aplicación se detiene o dejará de funcionar? Para nada, la base de datos seguirá funcionando, no se apagará, únicamente perderá cualquier respaldo o soporte por parte de Microsoft. Aunque no todo está perdido, Microsoft es consciente que el tiempo ya se acaba y existe un considerable número de empresas aún con 2008 instalado en sus ambientes productivos, por lo que ha lanzado un plan de mitigación, que consiste en migrar la infraestructura a Azure y al tenerla allí  Microsoft extiende el soporte por 3 años más, esto únicamente si se migra hacia la nube y no incluye soporte telefónico solamente parches de seguridad. GBM recomienda migrar a la versión más reciente para aprovechar todas las nuevas características que este motor ofrece, y así generar más capacidades de innovación en lugar de dejarlo únicamente como un almacén de datos. De la mano con SQL Server también está el sistema operativo, el soporte para Windows Server 2008 y Windows 7 finaliza el 14 de enero de 2020. Esto quiere decir que al momento de esta publicación estamos aproximadamente a ocho meses que finalice el soporte de éstos; aún es tiempo de planificar la migración de los dispositivos a versiones más recientes. GBM le apoya a realizar un diagnóstico, a preparar el proyecto para una exitosa migración de sus ambientes, y una vez migrado capacitarlo en cómo aprovechar esas nuevas características.

Cybersecurity Transformation

07 Septiembre, 2018 | A lo largo de los tiempos, las organizaciones se han ocupado de construir una línea de defensa que los proteja de las ciberamenazas. Haciendo la analogía con la edad media, las organizaciones se han esmerado en construir castillos para crear un perímetro de seguridad robusto y, lo que han venido haciendo a lo largo de los años, es hacer más altos y fuertes los muros de ese castillo para estar seguros. No obstante, en los últimos años, se han presentado cambios significativos que han hecho que las organizaciones replanteen su estrategia. El mundo interconectado, la nube, el IoT, movilidad y las distintas tecnologías disruptivas, han revolucionado la forma en que las empresas operan y hacen sus negocios. Estos cambios han obligado a los líderes de seguridad en reevaluar su programa de seguridad, dado que el enfoque de seguridad tradicional, el cual está basado en hacer crecer y robustecer los muros del castillo, ya no es suficiente. El proceso de transformación de la ciberseguridad que se ha derivado de estos cambios está conceptualizado en una forma diferente de pensar sobre la ciberseguridad. Las organizaciones ya no pueden escudarse detrás del Firewall perimetral, dado que sus aplicaciones y datos ahora están en la nube, se acceden desde cualquier parte, desde cualquier tipo de dispositivo y en cualquier momento. Dado esto, un nuevo enfoque ha emergido para abordar estos nuevos retos. Este nuevo enfoque está orientado a aplicar controles a los usuarios, datos y sistemas en los niveles apropiados, según la criticidad para el negocio. También, esta estrategia toma en cuenta muy fuertemente el enfoque de “Security by Design”, el cual permite formalizar el diseño de la infraestructura y automatizar los controles de seguridad para que pueda generar seguridad en cada parte del proceso de administración de TI. Algunos de los conceptos clave que sobresalen sobre este enfoque de transformación de la ciberseguridad está el definir controles, lo más cercanos a los datos posibles y el establecer un nuevo perímetro de seguridad, basado en la identidad de los usuarios. Dentro los principales controles que predominan en este nuevo enfoque están: La protección de la de la identidad de los usuarios. Control de acceso basado en riesgo. Técnicas de ofuscación de datos para la protección de la privacidad. Controles de acceso a los datos. Monitoreo del comportamiento de usuarios, endpoints, sistemas y la red. En la próxima entrega, vamos a profundizar sobre estos controles y sobre las capacidades de las tecnologías disponibles en la industria que nos permitirán apalancar esta transformación.



Escribe un comentario