NextVision
0
En el siguiente artículo hablaremos sobre los Riesgos de las Terceras Partes y Normativas Europeas que afectan a las organizaciones.
Las organizaciones comienzan a tomar conciencia del riesgo derivado de su vinculación con terceras partes, resultante de la contratación de servicios digitales o tecnológicos.
NextVision
0
Los investigadores advierten sobre “funcionalidades peligrosas” que pueden otorgar acceso no autorizado a archivos almacenados en Microsoft SharePoint y OneDrive.
NextVision
0
No podemos negar que la protección de datos personales ha sido una temática en auge durante los últimos años, potenciada además por la pandemia. Ahora bien, si es tan importante como muestra la realidad, ¿por qué es uno de los últimos temas del orden del día de una empresa?
Sabemos que, en el día a día, una compañía se enfrenta a diversos problemas pero la protección de datos personales de sus clientes no debería ser un tema menor.
Las consecuencias negativas que acarrea la falta de cuidado y prevención en el tratamiento de los datos de cualquier organización puede llegar a ser difícil de reparar.
En un estudio presentado en Dell Technologies Forum 2021, los resultados demuestran que, en muchos casos, los datos dejan de ser una utilidad para pasar a ser un problema y una de las causas de este fenómeno está en las debilidades de seguridad y privacidad de los datos.
A nivel Europeo la llegada del RGPD ha llevado a las empresas a implementar mejoras en sus sistemas de protección de datos personales. Sabemos que las sanciones por incumplimiento de RGPD pueden llegar a afectar gravemente, no solo a la economía de una empresa si no también a su reputación.
Sin embargo, para algunas empresas, la protección de datos no es un tema “tan importante”. Esto lo podemos atribuir a distintos motivos como: las bajas cantidades de las multas por incumplimiento, la falta de actualización de nuestra Ley de Protección de datos Personales o incluso a una cultura reactiva y no preventiva.
Por otro lado, también encontramos un camino esperanzador donde empresas de diversas industrias invierten en una cultura de protección de datos, capacitan a su personal, adoptan medidas técnicas y organizativas para luchar por una mejor gestión y cuidado de sus datos. También, implementando programas de cumplimiento de la legislación vigente.
Estas compañías saben que cuidar de sus datos, lejos de suponer un gasto supone una inversión. Algunas de las consecuencias positivas de esta cultura en protección de datos personales en las compañías son:
Desde NextVision creemos que es fundamental implementar una cultura en protección de datos personales en las compañías como respuesta ante incidentes que afecten a nuestros datos personales y como prevención y protección de lo que, hoy en día, se considera el activo más valioso de un negocio, sus datos.
Por ello, gracias a nuestro servicio NV Protección de Datos Personales, podrás desarrollar una Cultura en Protección de Datos en tu organización e implementar las herramientas y sistemas necesarios para proteger todos tus datos sensibles y los de tus clientes.
Abogada Consultora
Legal IT en NextVision
NextVision
0
La interdependencia de nuestras empresas con aquellas que integran la cadena de suministros es cada vez más alta.
La cantidad de productos y servicios que se contratan a terceros hacen que no podamos ignorar a nuestros proveedores en el análisis de ciberriesgos que realizamos para nuestra organización. Precisamente, en 2020 el Foro Económico Mundial destaca la importancia de la ciberseguridad en este ámbito, el de la cadena de suministros. Entre sus recomendaciones se encuentra:
“el uso de herramientas de ciberinteligencia para poder enfrentar el escenario de amenazas que tienen las organizaciones en la actualidad”.
La Gestión del Riesgo de Terceras Partes (TPRM) o Vendor Risk Management (VRM) es una preocupación que cada vez estará más presente entre las prioridades del CISO. No se trata ya de regulaciones, que hay que cumplirlas, sino de una necesidad de negocio que se ha disparado debido a la transformación digital y la digitalización acelerada por la pandemia. Los incidentes originados en ataques a terceros son cada vez más frecuentes y resonantes, como SolarWinds, Kayesa, Pulse. Según Gartner, para 2025, el 60 % de las organizaciones utilizarán el riesgo de ciberseguridad como un factor determinante en la realización de transacciones de terceros.
La falta de medidas específicas para prevenir el riesgo de terceros es considerable en la mayoría de las empresas. Como sabemos, la superficie de ataque está integrada no solo por aplicaciones y dispositivos propios, sino que la integración de los terceros en esta superficie tiene un impacto directo en nuestra seguridad. De hecho, no solo son los terceros el problema, sino también las cuartas partes, es decir, sus proveedores, a los que ellos delegan servicios. Esto es también fuente de vulnerabilidades que afectan a nuestra red.
En consecuencia, los CISO tienen desafíos para TPRM:
> Mejorar el análisis de terceros que actualmente se ejecuta a través de hojas de cálculo, correos electrónicos o procesadores de texto.
> La Transformación Digital que ha expandido la superficie de ataque de modo exponencial.
> Digitalización acelerada.
> Acceso remoto, tanto de propios como de terceros.
> Compliance.
> Los boards, particularmente aquellos donde los Fondos de Inversión tienen un peso significativo. Estos pueden exigir un buen nivel de ciberseguridad y un reporting adecuado.
> Los ciberseguros que hacen una evaluación de la postura de ciberseguridad de la empresa y de su cadena de suministros.
Los equipos de trabajo están desbordados de tareas, problema que se agudiza con los frecuentes incidentes. En consecuencia, el team de seguridad no tiene otra opción que enfocarse en lo urgente, es decir, los problemas a corto plazo y el mediano o largo plazo quedan pospuestos hasta próximo aviso.
Sin embargo, es posible agilizar la mejora en TPRM. Esta mejora debe tener una perspectiva 360º. Esto se logra obteniendo información consistente de todo el ecosistema del proveedor. La mirada es tanto desde afuera, evaluando la huella digital, como interna mediante formularios de requisitos de seguridad.
Son ampliamente conocidas las plataformas de scoring que miden la postura de ciberseguridad con información pública. Las mejores lo hacen detallando en forma transparente su proceso de análisis. Pero como el análisis de terceros también debe contemplar los procesos internos, estas plataformas ofrecen formularios que valoren las prácticas internas de la organización a estudiar. Se potencia este trabajo cuando a su vez se integran a herramientas de gestión y de seguridad como SIEM, Ticketing, Análisis de Vulnerabilidades, etc.
Es decir, que las herramientas que permiten la gestión del riesgo de terceros utilizan tanto fuentes de información externas como internas y así determinan indicadores muy útiles, que no pretenden ser perfectos, sino óptimos.
Es claro que en estos momentos más que nunca, tenemos un grado de exposición considerable. Y para disponer de una visibilidad completa de esta exposición, es indispensable que seamos capaces de reconocer a una parte vital de nuestra superficie de ataque como son los terceros, y en consecuencia, los ciberriesgos que estos nos generan. Por lo tanto, la implementación de un buen Plan de Gestión de Riesgos de Terceros hace posible mitigar estos riesgos. Y dentro de ese plan, la utilización de una potente solución de scoring y formularios de requisitos de seguridad, son clave para la homologación y monitorización continua de la cadena de suministros.
“El eslabón que no podemos permitir que se rompa”.
NextVision
0
¡Sí! Estuvimos presente en el III Foro Regional de ISMS Forum, en Barcelona, junto a nuestro partner SecurityScorecard, aliado estratégico de nuestra solución Vendor Risk Management.
El jueves 17 de marzo, nuestro equipo se presentó en la mesa redonda organizada en Casa Convalescéncia UAB Campus.
Nos presentamos ante más de 200 profesionales del sector de la ciberseguridad, reunidos en este evento centrado en novedades del gobierno de la ciberseguridad, ciberamenazas, el nuevo marco de certificación para los profesionales de la ciberseguridad, entre otras temáticas.
Como representante de NextVision, nuestro director Roberto Heker presentó su exposición en relación a la Gestión del Riesgo de Terceras Partes (TPRM) o Vendor Risk Management (VRM).
Presentó los principales desafíos que tienen los CISO entorno al TPRM:
> Mejorar el análisis de terceros que actualmente se ejecuta a través de hojas de cálculo, correos electrónicos o procesadores de texto.
> La Transformación Digital que ha expandido la superficie de ataque de modo exponencial.
> Digitalización acelerada.
> Acceso remoto, tanto de propios como de terceros.
> Compliance.
> Los boards, particularmente aquellos donde los Fondos de Inversión tienen un peso significativo. Estos pueden exigir un buen nivel de ciberseguridad y un reporting adecuado.
> Los ciberseguros que hacen una evaluación de la postura de ciberseguridad de la empresa y de su cadena de suministros.
• Conoce más acerca de VRM en el artículo de Roberto Heker “Terceros: el eslabón débil de la cadena” haciendo click aquí.
NextVision
0
En este artículo, vamos a hablar sobre Zloader, Elephant-beetle y Avoslocker-ransomware, campañas de malware que han tenido miles de víctimas y gran perjuicio económico para sus afectados.
A continuación, podrás encontrar una descripción detallada de en qué consisten estas campañas de malware además de recomendaciones para evitar caer en ataques de estas características.
Si requieres más información sobre nuestros excelentes planes y servicios de Awareness para concientizarte en ciberseguridad junto a tu equipo y evitar caer en ataques, no dudes en comunicarte con nosotros haciendo click aquí.[/vc_column_text]
Zloader, un malware bancario diseñado para robar credenciales de usuario e información privada. Las campañas anteriores de Zloader, que se vieron en 2020, usaron documentos maliciosos, sitios para adultos y anuncios de Google para infectar sistemas.
La evidencia de la nueva campaña se anunció por primera vez a principios de noviembre de 2021. Dicha campaña se cobró 2170 víctimas en 111 países al 2 de enero de 2022, con la mayoría de las partes afectadas ubicadas en los EE.UU, Canadá, India, Indonesia y Australia.
Las técnicas incorporadas en la cadena de infección incluyen el uso de software de administración remota (RMM) legítimo para obtener acceso inicial a la máquina objetivo.
El malware explota el método de verificación de firma digital de Microsoft para inyectar su carga útil en una DLL firmada del sistema para evadir aún más las defensas del sistema.
La infección comienza con la instalación del software Atera en la máquina de la víctima.
Atera es un software de administración y monitoreo remoto empresarial legítimo, diseñado para uso de TI. Los autores de la campaña crearon este instalador (b9d403d17c1919ee5ac6f1475b645677a4c03fe9) con una dirección de correo electrónico temporal: ‘ Antik.Corp@mailto.plus ‘. El archivo imita una instalación de Java, al igual que en campañas anteriores de Zloader.
Una vez que el agente está instalado en la máquina, el atacante tiene acceso completo al sistema y puede cargar/descargar archivos, ejecutar scripts, etc. Atera ofrece una prueba gratuita de 30 días para nuevos usuarios, tiempo suficiente para el atacante para obtener sigilosamente el acceso inicial.
Después de la instalación del agente, el atacante carga y ejecuta dos archivos .bat en el dispositivo mediante la función “Ejecutar script“:
El resto de archivos están alojados en el dominio teamworks455[.]com y se descargan desde allí.
El script load.bat descarga y ejecuta new.bat, que verifica los privilegios de administrador y los solicita mediante el script BatchGotAdmin . Luego continúa descargando otro archivo bat (new1.bat).
Este nuevo script agrega más exclusiones a Windows Defender para diferentes carpetas, deshabilita diferentes herramientas en la máquina que podrían usarse para detección e investigación, como cmd.exe y el administrador de tareas. También descarga otros archivos en la carpeta %appdata%:
El ataque se basa en la simplicidad para ocultarse a simple vista, sin necesidad de desarrollar herramientas sofisticadas o exploits.
Utilizan más de 80 herramientas y scripts únicos, el grupo ejecuta sus ataques durante largos períodos de tiempo, mezclándose con el entorno del objetivo y pasando completamente desapercibido mientras libera silenciosamente a las organizaciones de grandes cantidades de dinero.
Elephant Beetle parece enfocarse principalmente en objetivos latinoamericanos.
El grupo es muy competente con los ataques basados en Java y, en muchos casos, tiene como objetivo aplicaciones Java heredadas que se ejecutan en máquinas basadas en Linux como medio de entrada inicial al entorno. Más allá de eso, el grupo incluso implementa su propia aplicación web Java completa en las máquinas de las víctimas para cumplir sus órdenes mientras la máquina también ejecuta aplicaciones legítimas.
Elephant Beetle opera en un patrón sigiloso y bien organizado, realizando de manera eficiente cada fase de su plan de ataque una vez dentro de un entorno comprometido:
Durante la primera fase, que puede durar hasta un mes, el grupo se enfoca en desarrollar capacidades cibernéticas operativas dentro de la organización infectada . El grupo estudia el panorama digital y planta backdoors mientras personaliza sus herramientas para trabajar dentro de la red de la víctima.
En una segunda fase, el grupo pasa varios meses estudiando este entorno, enfocándose en la operación financiera e identificando cualquier falla. Durante esta etapa, observan el software y la infraestructura para comprender el proceso técnico de las transacciones financieras legítimas.
El grupo crea transacciones fraudulentas en el medio ambiente durante la tercera fase. Estas transacciones imitan el comportamiento legítimo y extraen cantidades incrementales de dinero de la víctima. Aunque la cantidad de dinero robado en una sola transacción puede parecer insignificante, el grupo acumula numerosas transacciones por lo que asciende a millones de dólares.
Si durante sus esfuerzos se descubre y bloquea cualquier actividad de robo, el grupo simplemente permanece oculto durante unos meses solo para regresar y apuntar a un sistema diferente.
Una vez que el servidor web se ha visto comprometido, el atacante utiliza un escáner Java personalizado que obtiene una lista de direcciones IP para un puerto específico o una interfaz HTTP.
Habiendo identificado posibles puntos de pivote del servidor interno, los actores usan credenciales comprometidas o fallas de RCE para propagarse lateralmente a otros dispositivos en la red.
Los investigadores de Sygnia han observado al grupo durante dos años y pueden confirmar que los actores de la amenaza explotan las siguientes fallas:
Las cuatro vulnerabilidades anteriores permiten a los actores ejecutar código arbitrario de forma remota a través de un shell web ofuscado y especialmente diseñado.
‘Elephant Beetle’ usa variables de código y nombres de archivos en español, y la mayoría de las direcciones IP C2 que usan están basadas en México.
Además, el escáner de red escrito en Java se cargó a Virus Total desde Argentina, probablemente durante la fase inicial de desarrollo y prueba.
Para más información ingresar al link.
Una familia de ransomware emergente que se autodenomina Avos Locker ha estado intensificando los ataques al mismo tiempo que realiza un esfuerzo significativo para deshabilitar los productos de seguridad de endpoints.
Sophos Rapid Response descubrió que los atacantes habían iniciado sus computadoras de destino en modo seguro para ejecutar el ransomware, como lo habían hecho los operadores de las ahora desaparecidas familias de ransomware Snatch , REvil y BlackMatter.
La razón de esto es que muchos, si no la mayoría, de los productos de seguridad de endpoints no se ejecutan en modo seguro, una configuración de diagnóstico especial en la que Windows desactiva la mayoría de los controladores y el software de terceros, y puede hacer que las máquinas protegidas no sean seguras.
Los atacantes de Avos Locker no solo reinician las máquinas en modo seguro para las etapas finales del ataque. También, modifican la configuración de inicio del modo seguro para poder instalar y usar la herramienta comercial de administración de TI AnyDesk mientras las computadoras con Windows aún se ejecutaban en modo seguro.
Los atacantes también parecen haber aprovechado otra herramienta comercial de administración de TI conocida como PDQ Deploy para enviar scripts por lotes de Windows a las máquinas que planeaban atacar.
Trabajar en Modo seguro hace que proteger las computadoras sea aún más difícil, porque Microsoft no permite que las herramientas de seguridad de endpoints se ejecuten en Modo seguro.
Los productos de Sophos detectan, por comportamiento, el uso de varias claves de registro Run y RunOnce para hacer cosas como por ejemplo reiniciar en modo seguro o ejecutar archivos después de un reinicio.
NextVision
0
La ciberseguridad se ha convertido en una de las mayores preocupaciones de las juntas directivas de las organizaciones. Debido a la pandemia ocasionada por el Covid-19, y a la acelerada transformación digital que trajo aparejada, nuevos riesgos y brechas de seguridad han surgido.
El nuevo paradigma establecido por la actual normalidad de “teletrabajo” o “trabajo híbrido” ha ocasionado que todas las organizaciones deban desarrollar o establecer una postura defensiva en ciberseguridad para evitar o minimizar los ciberataques que pueda sufrir su organización.
1- Red/malla de ciberseguridad: una red de ciberseguridad permitirá desplegar las herramientas de ciberseguridad donde más se necesiten.
Debido a la acelerada digitalización de los negocios, la ciberseguridad de las empresas necesita estar en constante transformación y adaptación a las nuevas tecnologías. Esto requiere soluciones de ciberseguridad flexibles y ágiles que permitan a la organización avanzar hacia el futuro de manera segura.
2- Intensificación de las medidas de seguridad en las empresas:
Debido al aumento de ataques, a las nuevas brechas de ciberseguridad a partir del traspaso de las oficinas a las casas, y a la cada vez más frecuente paralización de la actividad en las organizaciones por motivos de ciberseguridad, los directivos al mando de las organizaciones están desarrollando estrategias a través de expertos y especialistas en la materia. Esto produce que los controles de seguridad sean intensificados. La detección de los riesgos, su análisis y posterior estrategia de mitigación, mediante la incorporación de un servicio como NV Plan Director de Seguridad , incentivará a tu organización a llegar a una situación ideal de control de la ciberseguridad.
3- Autenticación como medida de ciberseguridad:
El teletrabajo o trabajo híbrido y la migración a aplicaciones en la nube han consolidado la tendencia en ciberseguridad actual de autenticación y establecimiento de usuario y contraseña como medida principal de seguridad. La verificación de la identidad no es una medida nueva pero adquiere especial importancia a partir de que los atacantes comienzan a apuntar con sus ataques a estos procesos y herramientas de acceso. El servicio de NV Awareness nos permite inculcar en los empleados de nuestra organización una concienciación y formación técnica en el cuidado de la información sensible y el uso de sus habituales herramientas digitales para evitar que caigan en este tipo de ciberfraudes.
4- Las contraseñas inseguras son actualmente la principal brecha explotada en los ataques:
Los ciberdelincuentes están atacando directamente las infraestructuras de identidad de las instituciones y organizaciones públicas/estatales para el robo de información sensible. La multi-verificación de identidad está creciendo como una solución a esta brecha de seguridad pero no debería ser la única medida a establecer. Los factores de autenticación deben estar debidamente configurados, mantenidos y monitorizados para que sean totalmente efectivos.
5- Análisis y gestión del ciberriesgo de terceras partes y proveedores:
La consolidación de la estrategia de seguridad en nuestros vendors es una pieza clave en el sistema de ciberseguridad de cualquier empresa. Cada vez se conocen más noticias de grandes empresas que han sido vulneradas a través de brechas de seguridad de sus vendors. Saber si las terceras partes que conforman nuestra cadena de valor son seguras es sumamente importante, ya que forman parte de nuestra superficie de ataque. Disponer de un servicio en tu organización como NV Vendor Risk Management, te permitirá automatizar procesos de manera segura con tus proveedores y gestionarlos eficientemente. Además, detectará brechas de seguridad en vuestras relaciones.
6- La gestión de identidad de las máquinas:
A medida que avanza la transformación digital, crece exponencialmente la incorporación de entidades artificiales que componen las aplicaciones modernas. Por lo tanto, la gestión de identidad de las máquinas se ha convertido en una parte crucial de las operaciones de ciberseguridad.
Todas las aplicaciones modernas se componen de servicios que están conectados por API. Los atacantes pueden usar el acceso API de sus proveedores a datos sensibles. Las herramientas y técnicas para la administración de identidades de máquinas en toda la empresa aún están en pleno desarrollo. Sin embargo, una estrategia para administrar las identidades, los certificados y la información contenida en estas máquinas, permitirá que su organización asegure eficazmente su transformación digital.
7- Simulación de brechas y ataques: un método para validar el nivel de seguridad de las organizaciones.
El continuo testeo y validación de los controles de seguridad ayudará a verificar el sistema de seguridad de una empresa frente a los potenciales ciberataques. Los ataques de ingeniería social como el phishing y el ransomware ponen en constante riesgo los datos e información sensible de las empresas por lo que deben ser un foco de constante verificación de los sistemas de ciberseguridad frente a ellos ya que los cibercriminales aprovechan que es más fácil vulnerar a las personas para obtener información de las empresas que intentando atacar los sistemas o tecnologías. Un servicio de Awareness con un programa único e integral que guía a la organización con estrategias que incluyan la educación y transformación de los hábitos de los empleados es fundamental para combatirlos.
8- Técnicas de privacidad y protección de datos en uso:
Las técnicas informáticas que mejoran la privacidad y que protegen los datos mientras se utilizan, a diferencia de cuando están en reposo, permiten el procesamiento seguro de datos, el intercambio, las transferencias transfronterizas y el análisis, incluso en entornos no confiables.
Esta tecnología se está transformando rápidamente de la investigación académica a proyectos reales, lo que permite nuevas formas de uso compartido de datos e información sensible con un riesgo reducido de filtraciones.
Según FortiGuard Labs, en 2022 los ciberdelincuentes estarán más activos que nunca con los ataques ransomware.
Las amenazas continuarán apuntando hacia toda la superficie de ataque de manera que los equipos de seguridad deberán luchar y asegurar todas las vías de entrada posibles, especialmente a medida que estas mismas organizaciones hagan la transición a los entornos de trabajo híbridos, es decir, al teletrabajo.
En consideración de todas estas cuestiones, recomendamos un enfoque holístico e integrado de los sistemas de ciberseguridad para protegerse ante esta nueva oleada de ataques. Es fundamental implementar una estrategia unificada de seguimiento en las organizaciones para proteger los datos, la información y las transacciones de principio a fin.
Una administración centralizada de la ciberseguridad permitirá garantizar la aplicación de las políticas de seguridad, que las configuraciones y actualizaciones de los sistemas se lleven a cabo en los plazos establecidos y por último, que los eventos sospechosos que puedan surgir en cualquier parte de la red de la organización se detecten y recopilen de manera organizada y centralizada.
Las ciberamenazas parecen estar en plena aceleración por lo que, si los sistemas y herramientas de ciberseguridad no están actualizados y listos para proteger a su organización de las próximas generaciones de amenazas que surgen constantemente, puede ser demasiado tarde para implementar una solución.
Como hemos visto a lo largo de este artículo, en NextVision, un servicio de Awareness te permitirá una organización cibersegura y protegida mediante la educación de tus empleados en el uso de la tecnología y el cuidado de la información para evitar estos nuevos métodos de ciberataques; un servicio de VRM (Vendor Risk Management) ayudará a consolidar tu sistema de ciberseguridad mediante el control de tus proveedores/vendor y además, con tu servicio de Plan Director de Seguridad podrás desarrollar planes estratégicos de ciberseguridad creados en función de los objetivos de tu organización, que te permitan definir y priorizar los proyectos de seguridad a fin de anticipar y reducir los riesgos a los que tu empresa está expuesta. Para más información contacta con nosotros: info@nextvision.com
NextVision
0
Se acercan las Navidades y comienza la época de mayor consumo del año. La mayoría de las compras se realizan a través de plataformas e-commerce y los ciberdelincuentes aprovechan especialmente estas fechas para atacar a los usuarios
Debemos estar prevenidos y tener conciencia de los posibles riesgos a los que nos enfrentamos cuando tratamos de hacer una compra online.
Aquí te compartimos recomendaciones que es importante que tengamos en cuenta para comprar de manera segura:
Desde NextVision, creemos que es fundamental promover una cultura de la ciberseguridad para evitar vernos afectados por los ciberatacantes que aprovechan los despistes de los usuarios para robar información sensible o realizar estafas.
Ante la duda, ¡evita hacer clic!
NextVision
0
*Por Roberto Heker, Director de NV. Para ISMS Forum.
El diseño de una estrategia de ciberseguridad requiere evaluar diferentes aspectos que abarcan la predicción, prevención, detección y respuesta. Dentro de este esquema es importante considerar la relación que hay entre la compañía y sus proveedores.
Efectivamente, en la búsqueda de lograr más eficiencia para el negocio esta relación ha ido creciendo con la digitalización. Sin embargo, esta interdependencia ha creado un potencial impacto en la ciberseguridad que no debe desdeñarse. Por lo que las compañías deben no solo proteger sus propias redes sino también disponer de medidas que mitiguen riesgos sobre las conexiones con la cadena de suministros.
Es ya redundante, pero no por innecesario, mencionar a los incidentes sufridos por Colonial cuyo incidente afectó a gran cantidad de compañías, ocasionando falta de combustible en varios estados de EEUU. O el de Kaseya, un proveedor de servicios administrados de tecnología, que, debido a una alteración en su solución, llevó a que 1500 clientes recibieron un malware en sus redes.
Es entonces necesario disponer de un programa de seguridad que contemple el riesgo proveniente de terceras partes. Cada industria tiene sus propias regulaciones, particularidades y desafíos que difieren de otras. Pero el problema es el mismo para todas las organizaciones: una huella digital expandida a través de los proveedores que las hace más vulnerables. Y esta combinación crea el escenario perfecto para ser aprovechado por los ciberdelincuentes.
Se pueden hacer varias aproximaciones sobre el abordaje a realizar para el gobierno de terceras partes, pero podemos resumirlo en:
Cuando planeamos la contratación de un servicio, debemos primero evaluar qué criticidad tendrá para nuestra organización, y así determinar si es crítica, alta, moderada o baja. A partir de aquí podremos definir qué tipo y con qué frecuencia ejecutaremos nuestros assessment.
Para el assessment podemos adoptar distintos modelos de análisis, que van desde el uso de cuestionarios para evaluación de requerimientos de seguridad, hasta ratings, evaluaciones técnicas de seguridad y certificaciones.
Todas son utilizadas en distintas instancias. Por ejemplo, soluciones de ratings cómo SecurityScorecard permiten una muy buena escalabilidad, monitorización continua con bajo o ningún esfuerzo de implementación. Lógicamente deben complementarse con una mirada interna, como es el uso de cuestionarios. Disponer de una herramienta como SecurityScorecard permitiría implantar reglas antes las que, si el rating de un tercero se reduce en un valor determinado, enviarle a éste entonces un cuestionario que indague en las causas de esta modificación.
En cuanto a los contratos, éstos dependerán de la industria, la criticidad del negocio y del servicio, considerándose incluir en el mismo tópicos como análisis de riesgo, assessments, colaboración en la respuesta ante incidentes, cloud security, endpoint security entre otros.
Al vendor no solo se lo debe evaluar durante el onboarding sino a lo largo de todo el ciclo de vida de la relación. Es un trabajo complejo, pero si lo queremos hacer más gestionable, es conveniente segmentar de acuerdo a la criticidad de cada servicio. De este modo se podrá focalizar el monitoreo más minucioso en los proveedores más críticos.
Precisamente mencionábamos arriba herramientas de rating como SecurityScorecard que facilitan esta monitorización con muy bajo esfuerzo, automatizando acciones ante eventos que hacen más confortable el trabajo del equipo de profesionales de nuestra organización. Este tipo de soluciones no son por sí mismas las únicas que deberían instrumentarse, pero sí son claves en cualquier programa. Incluso integrables a un SOAR o soluciones de ticketing, por ejemplo.
Por lo tanto, cuando hablamos de decenas, cientos o incluso miles de proveedores,es importante saber que disponemos de potentes servicios de evaluación y monitorización de fácil implementación que nos ayudará en la tarea de gestión y evaluación.
Debe insistirse en el punto de que la evaluación de terceros es un área que más pronto que tarde las empresas deben madurar. Se debe lograr un programa integral que reúna herramientas y procesos que lleven a mitigar este riesgo. Y no se trata de implantar una herramienta o un cuestionario estándar. Una herramienta de scoring o rating no nos dará toda la perspectiva para una evaluación completa. Pero como cualquier herramienta de scoring en otras industrias (como la financiera o seguros), nos permitirán identificar cuando algo no está bien. Y nos llevarán a indagar más a fondo sobre qué está ocurriendo con lo que se está evaluando.
Concluyendo, la ciberseguridad cada día debe incorporar nuevas perspectivas. Ya hemos visto que durante 2020 fue necesario revisar los modelos de trabajo, obligando a una aceleración de la digitalización de las empresas que trajo un fuerte impacto en la ciberseguridad. La interdependencia tecnológica con proveedores es incluso anterior a la pandemia, y requiere que se preste atención a este tema. No es necesario esperar que una brecha en un tercero nos haga reflexionar sobre esta problemática. En ciberseguridad hay que ser. No cabe el no ser.
NextVision
0
Cada 30 de noviembre conmemoramos el Día Mundial de la Ciberseguridad con nuestra visión de construir una cultura cibersegura. .
Por ello y para concienciar sobre los riesgos que existen en el mundo digital, aconsejamos implementar las siguientes recomendaciones de ciberseguridad para evitar ser víctimas de un ciberataque.
Una actualización de software puede incluir parches de seguridad, corrección de errores y solución de vulnerabilidades.
Es indispensable que mantengas actualizado tu sistema operativo, tus aplicaciones, tu navegador, etc.
Te recomendamos que nunca abras un archivo adjunto y no hagas clic en un enlace de remitentes no reconocidos o correos que no esperabas recibir.
En promociones, ofertas, sorteos o mensajes de remitentes conocidos que realizan solicitudes extrañas, confirma primero su veracidad.
Las huellas digitales son un conjunto de acciones digitales rastreables.
Es sumamente importante que compruebes tus actividades con regularidad y elimines las cuentas que no utilizas, a modo de detectar actividades sospechosas.
Restablece la contraseña de las cuentas a las que no ingresaste durante un largo tiempo.
Actualiza tus contraseñas periódicamente y no las reutilices en tus redes sociales ni en sitios potencialmente inseguros. Crea contraseñas fáciles de recordar y difíciles de adivinar.
Utiliza 8 caracteres como mínimo y combina, por ejemplo, mayúsculas, minúsculas, números y caracteres especiales.
En aplicaciones, plataformas, correos electrónicos, redes sociales y en todo software que lo permita, implementa el doble factor de autenticación para añadir una barrera más de seguridad.
Compartimos tutoriales para implementarlo en:
Contar con un backup de la información almacenada es una medida para minimizar el impacto de un ciberataque y asegurar la continuidad del trabajo.
Las copias de seguridad deberían estar cifradas y disponibles para restaurar en caso de ser necesario.
No conectes tus dispositivos a redes Wi-Fi públicas y recuerda utilizar una red privada virtual (VPN). Esto, garantizará que la conexión esté encriptada, dificultando el acceso de un atacante.
Comparte estas recomendaciones de ciberseguridad y fomentemos juntos la concientización para mantenernos más seguros y atentos, evitando caer en ciberataques.
