Menu revista Cerrar Menu revista

Ciberseguridad

Ultimas historias

Desmintiendo los mitos y conceptos erróneos: ¿Realmente son seguras las nubes pública e híbrida?

  • Minutos de lectura
    • No se puede negar que proteger las aplicaciones y los datos en un espectro cada vez más diverso de entornos informáticos resulta un desafío. Por un lado, los líderes empresariales de hoy están bajo constante presión para innovar y mantenerse al día ante un mercado en rápida evolución. Por otro lado, la seguridad representa una constante piedra en el zapato en una época en la que grandes vulneraciones de datos aparecen en los titulares casi todos los días. Pero si bien los detractores pueden descartar las tecnologías en la nube como disruptivas e intrínsecamente menos seguras que la informática interna tradicional, pierden de vista un aspecto importante. La realidad es que, por lo general, el problema no es la nube en sí misma. Como ocurre con casi todas las vulneraciones de datos, el elemento humano suele ser el culpable. Esto podría incluir factores como evaluaciones de riesgo ineficientes, controles de acceso mal administrados, redundancia de datos deficiente y muchas otras amenazas, la mayoría de las cuales provienen de la empresa misma. El error conceptual extendido de que la nube es la fuente de estos desafíos es la razón por la cual el software como servicio aún no se ha convertido en una forma establecida y confiable de hacer negocios en muchas partes del mundo. Disipando el mito de la inseguridad de la nube Dejemos algo bien claro: los principales centros de datos de nube del mundo, operados por empresas como Amazon, Google y Microsoft, son algunos de los entornos más seguros del planeta. Esto realmente no debería sorprendernos, ya que estas empresas son algunas de las más poderosas del mundo. Tienen acceso a recursos financieros, experiencia y tecnología de vanguardia a un nivel que pocas empresas sueñan tener. No solo tienen controles físicos 24/7, como guardias de seguridad, video-vigilancia y cercas perimetrales similares a las de una prisión de máxima seguridad, también ofrecen controles administrativos y técnicos para proteger de los hackers a los datos que están bajo su cuidado. La seguridad y la integridad de la información son el núcleo de lo que hacen estos grandes proveedores de tecnología, por lo que se esfuerzan por eliminar cada punto de falla con redundancias incorporadas y recuperaciones automáticas. Distribuyen los datos con ayuda de muchas máquinas diferentes situadas en muchas ubicaciones diferentes para protegerlos de amenazas como desastres naturales y fallas en el hardware. La nube ofrece potencialmente una seguridad mejorada desde una perspectiva administrativa al reducir la necesidad de contar con capas de seguridad controladas por el cliente. Algunos proveedores de nube y proveedores de colocación de servidores también ofrecen un centro de operaciones de seguridad (SOC) completamente subcontratado, el cual es ideal para las pequeñas empresas que a menudo son blanco de amenazas como estafas de phishing y publicidad maliciosa. Incluso en los casos en los que la migración a la nube no proporciona una mejora en la seguridad de la información, la gran reducción en gastos de capital puede ofrecer un mayor control financiero para invertir en seguridad. Entonces, ¿de dónde provienen las amenazas? Ahora, no estoy diciendo que los centros de datos más grandes del mundo son fortalezas impenetrables, pero son lo más parecido a ello. ¿Por qué entonces vemos titulares con grandes vulneraciones de los datos, dirigidas a los activos comerciales digitales alojados en la nube? El eslabón más débil no es la tecnología, son las personas. Este suele ser el caso cuando se manejan entornos de nube complejos e híbridos en los que las empresas utilizan una combinación de infraestructuras públicas (como Amazon Web Services (AWS)) y una nube privada local o alojada consolidada en una red de área extensa (WAN). Sin embargo, con el enfoque correcto, la nube híbrida ofrece muchos beneficios, como la disminución de los costos de capital y una mayor flexibilidad. Estas son las principales amenazas a la seguridad en la nube híbrida que usted deberá superar: Derechos de acceso mal administrados Una de las mayores ventajas de los recursos alojados en la nube es que son accesibles desde cualquier dispositivo que cuente con conexión a Internet. Este también puede ser su mayor inconveniente en una época en que los ataques de ingeniería social dominan el mundo del delito cibernético. Después de todo, los ciberdelincuentes no siempre son hackers estereotipados que observan las líneas de código que cruzan el monitor. En vez de ello, dependen cada vez más de tácticas de subterfugio y manipulación para alentar a sus víctimas a entregar información confidencial, como sus detalles de inicio de sesión. Las tácticas de ingeniería social a menudo se utilizan para poner a funcionar su código malicioso. Para superar estos riesgos, los administradores de TI deben aplicar la autenticación multifactorial (MFA) para reducir la dependencia a las contraseñas. De esta manera, aquellos que acceden al sistema, en particular desde un dispositivo o red desconocidos, deben verificar sus identidades con un método de autenticación secundario. Esto podría consistir en un escaneo de huellas digitales o un token de seguridad temporal, como un código SMS. Dado que el método de verificación secundaria es dinámico o es una característica innata del usuario (como un escaneo de retinas o una huella digital), estará mucho mejor protegido de los ataques de ingeniería social. API desprotegidas Las implementaciones de la nube híbrida dependen de las interfaces de programación de aplicaciones (API) para garantizar la interoperabilidad entre las diferentes infraestructuras, como los centros de datos internos, los recursos de la nube pública y las nubes privadas alojadas. Estos sirven como conductos para garantizar el flujo continuo de datos entre los dos sistemas, con el fin de brindar a los usuarios finales una experiencia fluida. Pero cuando no están protegidas, estas API de endpoint pueden dejar expuestos los datos confidenciales. Esta vulnerabilidad a menudo se explota cuando los datos se transmiten entre dispositivos y conexiones inseguros. Otros ataques pueden explotar las API mal configuradas para obligar al sistema a hacer algo que lo comprometa. Por ejemplo, los atacantes comenzaron a explotar las API de Kubernetes mal configuradas para emitir comandos a las mismas. Al hacerlo, descargaron y ejecutaron una carga maliciosa desde el exterior. Dado que las API son, en la práctica, puertas de enlace (puntos de acceso a una aplicación o servicio en la nube pública), los administradores de TI deben tomar medidas adicionales para proteger los datos que pasan a través de ellas. La forma más fácil de protegerlas es garantizar que los datos nunca dejen un endpoint sin cifrar. De esta forma, incluso si un hacker tiene en sus manos los datos expuestos por una vulnerabilidad en la API, no tendrán utilidad para él. Tomaría 3×1051 años descifrar los algoritmos de cifrado AES-256 actuales sin conocer la clave de cifrado, tiempo en el que incluso el hacker más joven y paciente podría darse por vencido. Terceros no seguros En los entornos de la nube híbrida, sus proveedores son una fuente adicional de riesgo. 181 proveedores externos acceden a la red empresarial promedio cada semana, a causa de los cual dos tercios de las empresas sufren vulneraciones de los datos vinculadas con alguno de sus proveedores. Desafortunadamente, algunos proveedores de la nube no son claros cuando se trata de factores críticos como la propiedad y el manejo de los datos. Es posible que no tengan los controles necesarios para garantizar que sus datos se mantengan seguros durante su migración a la nube o cuando se alojan en sus propios servidores. Para reducir los considerables riesgos planteados por terceros, las empresas deben investigar cuidadosamente a los proveedores de la nube con los que elijan trabajar. Los gerentes empresariales deben verificar siempre los controles de la seguridad y la propiedad de los datos, y garantizar que todo esté claramente definido en sus acuerdos de nivel de servicio (SLA). Es necesario saber exactamente qué hace el proveedor con sus datos, qué controles de acceso y permisos tienen implementados y qué recursos ofrecen si algo sale mal. Idealmente, cualquier acuerdo debe ser revisado por un abogado antes de firmarlo. Vulnerabilidades en el cumplimiento de las normas Incluso si cuenta con todas las medidas de seguridad disponibles al migrar sus datos a la nube pública, aún queda pendiente la cuestión del cumplimiento normativo. Muchas normas para el procesamiento de datos, por ejemplo, requieren que los datos que pertenecen a ciudadanos de un país específico se almacenen dentro del mismo territorio. De alguna manera, esto contradice el espíritu de la nube como un ambiente informático descentralizado y distribuido. Para complicar aún más las cosas, la mayoría de los proveedores de la nube no pueden garantizar la ubicación física de sus datos, aunque hay algunas excepciones: AWS, por ejemplo, puede funcionar en modo regional para evitar mover sus datos fuera del territorio. Afortunadamente, las implementaciones de la nube híbrida son ideales para industrias altamente reguladas, ya que proporcionan un mayor control sobre dónde se almacenan físicamente los datos. Por ejemplo, un proveedor de atención médica sujeto a las regulaciones HIPAA e HITECH podría mantener la información de salud del paciente (PHI) en una nube privada, como un centro de datos interno o una instalación de colocación de servidores. Una empresa compatible con la RGDP podría hacer lo mismo para garantizar que los datos de sus clientes permanezcan dentro de la UE y a la vez trasladar sus aplicaciones comerciales a la nube. A fin de cuentas, el modelo híbrido brinda más control sobre dónde se almacenan sus datos y cómo están protegidos. Computación en la nube híbrida: el primer paso para innovar a escala La clave para implementar con éxito la nube híbrida es un enfoque de seguridad que brinde a los administradores de TI una visibilidad completa de sus activos digitales. Con ayuda de las soluciones de administración y las capas de software adecuadas, las empresas pueden crear un único entorno consistente que incorpore lo mejor de ambos mundos. Una implementación de la nube híbrida no es más o menos segura que la virtualización local, pero, si se le da el enfoque correcto, puede ser aún más segura. Todo lo que se necesita para comenzar es seleccionar un producto de seguridad en la nube que sea escalable y adaptable a sus necesidades.

Lo que quieren las PYMES: cómo implementar la ciberseguridad para satisfacer las necesidades de una empresa

  • Minutos de lectura
    • Se ve muy bien en el estante, pero cuando se la prueba, ¡ay! El estilo, el color y la tela están bien, pero cuando se trata del ajuste, se siente como si estuviera hecho para el cuerpo equivocado. Mangas tan largas que cuelgan a los lados, hombros tan estrechos que no puede moverse y la cintura en el lugar equivocado. En el mundo de los negocios, esto mismo sucede cuando una empresa ocupa un espacio para oficinas que no corresponde con su tamaño o sus necesidades. Puede ser demasiado pequeño o demasiado grande, carecer de salas de reuniones o incluso no tener baños para el personal en el turno de la noche. Posiblemente la empresa tenga que pagar por un estacionamiento que es demasiado grande o no haya una red con capacidad suficiente para las tareas empresariales. Al mismo tiempo, una empresa también puede enfrentarse a estos problemas respecto a cómo se encarga de la ciberseguridad. Quizás sea difícil reconocer lo que se necesita para mantenerla segura y que entonces se utilice un servicio o una solución que no sean adecuados para este propósito. En este escenario, es primordial que los proveedores de servicios de seguridad comprendan y respondan a las demandas empresariales específicas cuando ofrezcan protección a sus clientes. ¿Cuál es el nivel de protección que funciona mejor? Con las pequeñas empresas, integradas por varias docenas de empleados, y las grandes empresas, donde ambas cuentan con funciones principales de ciberseguridad similares, es posible confundirse acerca de cuál es el nivel de protección que funcionaría mejor. La única manera de comprender cuáles son las necesidades de ciberseguridad que requiere una empresa, cuando ella misma no tiene claro lo que quiere, es evaluar cómo funciona dicha empresa y qué tan consolidadas están sus TI. Esto permitirá identificar específicamente las herramientas y el nivel de personalización que sean más adecuados para ella. Imagine una compañía pequeña que fabrica y vende de manera local su propia marca de ropa, y que tiene una oficina con 50 personas. La empresa está creciendo rápidamente: en los últimos dos años el número de empleados casi se ha duplicado. Muchas personas se encargan de comprar telas, así como de la ropa confeccionada que se vende en las tiendas, pero casi nunca están en la oficina ya que trabajan de forma remota o en diferentes lugares. En una empresa de este tipo, las TI con frecuencia se subcontratan a un administrador de TI externo quien proporciona este servicio y da mantenimiento a los sistemas de ciberseguridad de forma remota. Junto con la instalación de las aplicaciones que se utilizan en la oficina y la compra de equipos PC para la empresa, también se encarga de administrar la protección mediante la instalación de una solución de seguridad para los nuevos dispositivos, realiza la verificación de las actualizaciones del programa y se asegura de que la protección esté siempre activa. La empresa no necesita un análisis profundo de los incidentes y adapta los permisos de acceso de los usuarios para diferentes servicios. Su infraestructura puede incluir un gabinete de servidores o incluso no contar con ningún servidor local, y tener todo almacenado en la nube. Existen muchas otras razones para que los clientes cambien su suministro de TI por proveedores de servicios administrados (MSP). Según Forrester, el 28 por ciento de las empresas que cuentan con 100 o más empleados y compraron SaaS (software como servicio) a partir de un MSP indican que "el servicio al cliente, el soporte y la experiencia" fueron su principal motivación durante la compra para elegir esta opción (Fuente:  Forrester Analytics, "Encuesta sobre la seguridad realizada por Global Business Technographics®", 2019). Cómo encontrar la solución correcta Esta marca local de ropa podría ser una empresa pequeña o mediana de cualquier otro tipo: una agencia de publicidad, una consultora o una pequeña editorial. Independientemente del rubro al que se dediquen, el enfoque es el mismo: para administrar la ciberseguridad en dichas empresas, los proveedores de servicios deben ofrecer una solución que sea económica y compacta desde la nube, la cual requiera recursos mínimos para su instalación y administración, pero que al mismo tiempo brinde protección a todos los dispositivos: desde los equipos de escritorio que se encuentran en la oficina hasta las tabletas y teléfonos móviles de los empleados que trabajan a distancia. Analicemos lo que una empresa más grande, con una infraestructura de TI bien establecida, espera y necesita de la ciberseguridad. Por ejemplo, una tienda en línea almacena y procesa una gran cantidad información confidencial, y utiliza diversos CRM, ERP y sistemas de servicio al cliente. Para darle servicio a un entorno tan complejo, debe haber un departamento interno de TI y un administrador dedicado a la ciberseguridad, o un equipo completo, ya sea interno o de un proveedor de servicios, para protegerlo. En este tipo de organizaciones, la superficie de ataque es mucho más amplia. Utilizan más aplicaciones que las empresas de menor tamaño, incrementando la probabilidad de que se vuelvan vulnerables, así como más dispositivos que podrían verse comprometidos debido al software malicioso que infecta la red. Trabajar con muchos contratistas y socios también propicia que la infraestructura se vuelva más vulnerable a los ataques en la cadena de suministros. La tarea de un administrador de ciberseguridad, ya sea un especialista interno o un proveedor de servicios, es habilitar la protección contra el malware en cada dispositivo. También deben configurarlo de una manera que garantice que todos los empleados tengan acceso a los servicios necesarios, según su función. Finalmente, los administradores necesitan informes detallados sobre el estado del sistema y, en caso de que se produzca un incidente, deberían ser capaces de detectarlo, analizarlo y responder rápidamente. ¿Cuáles son los riesgos de las vulneraciones a los datos? Cualquier tiempo de inactividad causado por un incidente o una vulneración a los datos puede costarle dinero, la fidelidad de sus clientes y la reputación de su empresa. Las compañías de tamaño mediano corren el riesgo de perder hasta $120,000 USD como resultado de una vulneración de los datos, gran parte de este dinero se destinará a reparar daños a la reputación, así como a pagar indemnizaciones y multas. Si bien ninguna empresa de seguridad de la información puede garantizar una protección del 100 por ciento contra ciberincidentes, el uso de herramientas de protección especializadas puede minimizar el daño y las consecuencias de un incidente. Podemos suponer que muy probablemente una empresa pequeña no pagará de más por un servicio de seguridad más costoso. Pero una empresa grande que busca ahorrar dinero y utiliza un producto que no satisface sus necesidades se dará cuenta rápidamente de sus errores. Para elegir correctamente cuál es la mejor opción de servicio para sus clientes, los proveedores deben buscar que la función de ciberseguridad de los clientes ya esté consolidada, lo cual frecuentemente se correlaciona con el tamaño y el nivel de consolidación que tenga toda la empresa. Weodeo se adapta a nuestras necesidades Hablamos de ello con Weodeo, una empresa con sede en Francia que se dedica a la administración de servicios. Su propietario, Philippe Aymonod, dijo lo siguiente: "Las empresas más pequeñas son conscientes de lo importante que es la seguridad de TI y se enfrentan a muchas de las mismas ciberamenazas que las grandes empresas. Pero no tienen los mismos recursos para lidiar con ellas. En consecuencia, esperan que su socio actúe como un asesor de seguridad que podrá ofrecerles protección de una manera simple y eficiente, sin afectar su productividad". "Nosotros evaluamos el nivel de protección de nuestros clientes de acuerdo con varios parámetros: el nivel de conciencia de la empresa con respecto a la seguridad y el panorama de amenazas, la complejidad en la infraestructura de los clientes, cualquier característica particular que esté relacionada con su empresa, el equipo y los posibles ajustes estratégicos que deban hacerse en el futuro". También es muy importante que los proveedores de servicios identifiquen sus propios objetivos y recursos, como su infraestructura, recursos humanos y habilidades técnicas. Por ejemplo, si los proveedores trabajan solamente con servicios en la nube (los MSP "nacidos en la nube") o buscan acelerar su implementación para nuevos clientes y administrar fácilmente a todos los clientes mediante una sola consola, estos funcionarán mejor si la ciberseguridad se proporciona como un servicio que puede supervisarse a través de una consola alojada en la nube. Por otro lado, los proveedores que ya han desarrollado su propia infraestructura pueden elegir una solución administrada en entornos locales y centrarse en los clientes cuyas infraestructuras de TI están más consolidadas y requieren una protección más granular. Esta es una buena oportunidad para proporcionar servicios flexibles a los clientes más exigentes, mantener acuerdos de nivel de servicio (SLA) y ser un experto según la opinión del cliente. En este caso, la empresa que proporciona el servicio también debe tener la capacidad adecuada en el equipo para administrar la protección avanzada. ¿Cuál es el mejor enfoque? Ambos enfoques tienen ventajas. Los proveedores que proporcionan seguridad en la nube pueden centrarse en ofrecer un mayor número de servicios en la nube y en ampliar su cartera para incluir PYMES que usen los servicios SaaS a un ritmo cada vez mayor. Los MSP que trabajan con empresas medianas y cuentan con una infraestructura propia pueden utilizar sus recursos para desarrollar servicios de seguridad avanzados y escalarlos. Aunque podría decir que cualquier tipo de protección de ciberseguridad es mejor que nada, si esta no satisface las necesidades de la compañía, ¿tiene sentido cambiar a una solución que se adapte perfectamente a la empresa?

Necesita un Centro de operaciones de seguridad, y puede pagarlo

  • Minutos de lectura
    • Un Centro de operaciones de seguridad (algunas veces llamado Centro de operaciones de seguridad de la información) es exactamente lo que su nombre indica: un equipo de expertos en tecnología que están en un centro dedicado a la ciberseguridad empresarial. Su función es trabajar las 24 horas del día para minimizar los riesgos, estar al tanto de las amenazas y riesgos, y responder a los ataques en computadoras y redes. Básicamente es el equivalente a las TI de un centro de seguridad normal, la diferencia es que el equipo está frente a las computadoras, no en un CCTV. Las amenazas de los cibercriminales evolucionan constantemente: el volumen de los datos aumenta de forma exponencial y la legislación cambia rápidamente. A medida que algunas tecnologías como la red 5G y el Internet de las cosas (IoT) se vuelven convencionales, los hackers y otros delincuentes digitales tienen más opciones cuando es momento de obtener acceso a los sistemas y datos de las empresas. No solo aumentan los riesgos, sino también los costos financieros asociados a ellos. Según una investigación realizada por Kaspersky, entre el 2017 y 2018, los costos asociados a una posible vulneración aumentaron un 24 por ciento hasta un promedio de $1.23 millones de dólares. ¿Por qué necesita invertir en un Centro de operaciones de seguridad? Entonces, ¿por qué solo una tercera parte de las empresas tienen un Centro de operaciones de seguridad? ? En el pasado, los Centros de operaciones de seguridad dedicados solían ser propiedad exclusiva de las grandes empresas. Esto se debía a que eran costosos y requerían una cantidad considerable de recursos y experiencia. Pero también se debió a que las pequeñas y medianas empresas, tradicionalmente, no usan cantidades tan grandes de datos como sus contrapartes, empresas transnacionales en expansión. Sin embargo, esto está cambiando por varias razones, algunas son positivas y otras negativas. En primer lugar, incluso las empresas más pequeñas actualmente utilizan datos. Pueden extraerlos a partir de las comunicaciones con los clientes para obtener información, monitorear las redes sociales y responder de manera inteligente para usar los datos de los clientes en campañas específicas. Esto puede significar una enorme cantidad de datos. A medida que los procesos de la empresa evolucionan hacia la automatización completa, las funciones relacionadas con las TI y la tecnología empresarial deben asumir una responsabilidad mayor para poder controlar el aumento de los riesgos. Actualmente, cada vez más ataques son realizados por atacantes altamente calificados, de modo que los equipos de especialistas en operaciones de seguridad deben esforzarse más para bloquearlos. Además, los cibercriminales, al igual que los escritores de ransomware, ya no solo atacan a las empresas más grandes. Más bien, su objetivo son todas: la diferencia entre el porcentaje de empresas pequeñas y grandes que son atacadas ahora es insignificante. De hecho, según un estudio sobre la preparación en ciberseguridad durante el 2019 realizado por la aseguradora de empresas transnacionales Hiscox, el costo promedio de una vulneración a la ciberseguridad para una PYME es de $77,000 dólares. Aunque el costo es bastante menor en comparación con el impacto que tiene para las empresas, es un precio importante e inesperado que debe pagarse. Es momento de defenderse. O, de una manera bastante literal, burlarse de ellos. Los SOC ahora están al alcance de las empresas de cualquier tamaño Entonces, ¿por qué solo una tercera parte de las empresas tienen un Centro de operaciones de seguridad? En el pasado, los Centros de operaciones de seguridad dedicados solían ser propiedad exclusiva de las grandes empresas. Esto se debía a que eran costosos y requerían una cantidad considerable de recursos y experiencia. Pero también se debió a que las pequeñas y medianas empresas, tradicionalmente, no usan cantidades tan grandes de datos como sus contrapartes, empresas transnacionales en expansión. Sin embargo, esto está cambiando por varias razones, algunas son positivas y otras negativas. En primer lugar, incluso las empresas más pequeñas actualmente utilizan datos. Pueden extraerlos a partir de las comunicaciones con los clientes para obtener información, monitorear las redes sociales y responder de manera inteligente para usar los datos de los clientes en campañas específicas. Esto puede significar una enorme cantidad de datos. A medida que los procesos de la empresa evolucionan hacia la automatización completa, las funciones relacionadas con las TI y la tecnología empresarial deben asumir una responsabilidad mayor para poder controlar el aumento de los riesgos. Actualmente, cada vez más ataques son realizados por atacantes altamente calificados, de modo que los equipos de especialistas en operaciones de seguridad deben esforzarse más para bloquearlos. Las grandes empresas también tratan de mejorar sus SOC De hecho, incluso para las grandes empresas, usar el Centro de operaciones de seguridad que adquirieron se está volviendo un objetivo cada vez más atractivo. En una encuesta reciente realizada por el Instituto SANS, el cual se especializa en seguridad de TI, se encontró que los especialistas que trabajan en los SOC sentían poca satisfacción con su desempeño, pero no tenían una idea clara de cómo mejorarlo. Probablemente esto se debe a que el mundo de la ciberseguridad se ha vuelto tan complejo que las grandes empresas luchan por mantenerse al día ante un panorama en constante y rápida evolución y desarrollar suficiente experiencia interna. En este punto, la nube proporciona una comparación bastante interesante. Ha revolucionado la forma en que muchas empresas abordan sus necesidades de TI. Esto significa que las empresas medianas pueden pagar el tipo de soluciones sofisticadas que antes únicamente estaban disponibles para las transnacionales. De hecho, muchos de los gigantes globales también han descubierto que la solución más rentable y eficiente es utilizar especialistas externos. Ahora vemos algo similar con la seguridad: cada vez aumenta más el número de SOC de alto nivel que están al alcance de todos, independientemente de qué tan grande (o pequeña) sea su empresa.

¿La migración hacia la nube puede beneficiar a su empresa?

  • Minutos de lectura
    • Es tentador imaginar la nube como una nube real llena de unos y ceros, pero en realidad consiste en una amplia variedad de servicios informáticos, como infraestructuras de TI virtualizadas, almacenamiento, procesamiento de datos y aplicaciones que se ofrecen a través de una red. Una nube pública es aquella en la que estos servicios están disponibles para cualquier persona (ya sea gratuita o de pago) y se accede a ellos a través de Internet. Los ejemplos más conocidos de nubes públicas son Amazon Web Services (AWS) y Microsoft Azure. Una nube privada difiere en que está diseñada para ser utilizada por una sola organización. Una nube híbrida, como su nombre lo indica, combina elementos de ambas. Muchas empresas también usan estrategias de nubes múltiples. Esto significa que utilizan más de una plataforma de nube pública y también pueden utilizar una nube híbrida. ¿Qué tipo de nube es la adecuada para mi empresa? Cada tipo de nube tiene ventajas y desventajas. Estas tienden a centrarse en el costo y la seguridad, una nube privada es más costosa y, en teoría, más segura para proteger los datos de su empresa. Las empresas que desean un acceso rápido a sus datos desde cualquier lugar podrían utilizar una nube pública: los principales proveedores del mercado de almacenamiento en la nube tienen un fuerte enfoque en proporcionar el más alto nivel de seguridad. Las empresas que poseen grandes cantidades de datos confidenciales, como las legales y financieras, y algunas compañías tecnológicas, podrían elegir una nube privada. Sin embargo, cada vez más empresas se vuelven híbridas: puede que almacenen los datos más sensibles de forma privada, mientras que la información y los recursos menos importantes, como las aplicaciones, pueden almacenarse en la nube pública. Todos nos dirigimos hacia las nubes La adopción de la nube está creciendo fuertemente. Según las investigaciones de Kaspersky, el 37 por ciento de las pequeñas y medianas empresas, y el 50 por ciento de todas las empresas, ya usan la nube o planean aumentar su uso de la nube. Hay buenas razones para esto. Encargarse internamente de mantener la infraestructura de TI y los recursos humanos especializados es costoso, y mantenerse actualizado con las nuevas tecnologías puede volverse algo como correr solo para quedarse en el mismo sitio. Por estas razones, incluso las grandes multinacionales a menudo tercerizan sus servicios de nube. Otro de los grandes impulsores es el cambio en los hábitos laborales: cada vez con más frecuencia, el personal está distribuído o trabaja de forma remota. Si todo lo que hacen está en la nube, pueden acceder a ello desde cualquier lugar y desde cualquier dispositivo. Aun así, Kaspersky también descubrió que la velocidad de adopción de la nube varía considerablemente de acuerdo con el sector industrial y la ubicación geográfica. Para las pequeñas y medianas empresas (PYMES), los argumentos a favor de la adopción de la nube son quizás los más convincentes: el costo de mantener la infraestructura de TI interna es a menudo prohibitivo. Como resultado, muchos se las han "arreglado" con tecnología que está lejos de ser de vanguardia. Ahora pueden tercerizar todo y acceder al mismo tipo de TI y poder de procesamiento que las grandes empresas. Las PYMES pueden usar el software de productividad más reciente y realizar minería de datos para obtener más información útil. Además, la computación en la nube también es sumamente escalable. Si necesita más servicios en la nube, simplemente los compra. Es como comprar electricidad, solo paga la que usa. Tradicionalmente, las pequeñas y medianas empresas carecían de las habilidades y capacidades especializadas para configurar la infraestructura como servicio (Iaas), así que solían utilizar soluciones de software como servicio (SaaS), las cuales son mucho más sencillas de implementar y eliminaban la necesidad de realizar el mantenimiento del software subyacente. Seguridad en la nube Cuando la nube era muy nueva, la seguridad era una preocupación para las empresas de cualquier tamaño. Gran parte de esto se debió a las noticias frecuentes de vulneraciones de datos y a la ansiedad en torno a la idea de que los datos confidenciales podrían almacenarse externamente. Sin embargo, la seguridad en la nube por lo general es bastante alta. Los datos están encriptados, lo cual reduce las posibilidades de una vulneración, y se puede utilizar una nube privada para los datos confidenciales. La nube también permite almacenar datos en un país determinado, lo cual puede ser necesario para cumplir con las leyes de protección de datos. Para las empresas con fuerzas de trabajo distribuidas que utilizan varios dispositivos, la nube también puede tener importantes beneficios de seguridad. Finalmente, las ofertas de seguridad en la nube ahora han terminado de madurar y ofrecen un equilibrio entre seguridad y facilidad de uso. Las empresas están comenzando a reconocer que incluir el uso de la nube en sus procesos comerciales puede lograr una mejor seguridad que la que solían tener cuando la implementaban completamente en sus instalaciones. De alguna manera, lo que estamos viendo con la nube es el próximo desarrollo de Internet: mayor velocidad, mejor conectividad y seguridad mejorada que hacen posible la existencia de más funciones en la red para poder acceder a ellas desde cualquier lugar. Algunas empresas, como las start-ups tecnológicas, se han pasado a la nube de inmediato, pero muchas empresas todavía se están acostumbrando a este nuevo mundo de productividad independiente de la ubicación. Sin embargo, dentro de cinco años, será la norma para todos. ¿Es este el momento adecuado para que su empresa haga la transición a la nube?

Cómo proteger a su pequeña empresa de las amenazas cibernéticas

  • Minutos de lectura
    • Dado que le costó tanto trabajo construir su empresa y desarrollar su marca, no puede darse el lujo de dejar en segundo plano la seguridad digital. Tampoco puede permitir que las amenazas le impidan innovar, en un época en la que empresas de cualquier tamaño enfrentan una presión constante para adaptarse a los rápidos cambios. Tomar control de la seguridad de la información significa obtener más control sobre el futuro éxito de su empresa. Según una reciente investigación de Kaspersky, el  costo promedio de una vulneración de seguridad para una pequeña o mediana empresa (PYME) es de unos USD $108,000. Aproximadamente la mitad de este monto es causado por daños a la información y a la infraestructura, mientras que el resto es el resultado de la interrupción del funcionamiento normal de la empresa. Si usted es dueño de una empresa, no puede ignorar esa estadística de ninguna forma. Los costos de un incidente de ciberseguridad no solo pueden ser catastróficos, sino que a menudo son muy difíciles de estimar. Además de los costos más obvios y directos, también debe tener en cuenta el daño a la marca, la cual podría tener consecuencias más profundas. Por ejemplo, el 60 por ciento de las empresas cierran en el transcurso de los seis meses posteriores a un ataque de grandes proporciones. ¿Por qué es importante que los propietarios de empresas se preocupen por la ciberseguridad? Según Andrey Dankevich, de Kaspersky: Muchos propietarios de empresas creen que no son objetivos atractivos, y que no vale la pena invertir una cantidad significativa de recursos económicos, humanos y técnicos en reforzar sus defensas. Consideran que los cibercriminales prefieren atacar objetivos mayores. Esta es una conclusión razonable, ya que las vulneraciones de datos sufridas por empresas como Yahoo! y Marriot son las que acaparan los titulares. Pero las grandes empresas son las que más a menudo implementan medidas de seguridad de última generación, o al menos es lo que piensa la mayoría de los cibercriminales. Estas empresas son consideradas objetivos lucrativos, pero sumamente difíciles de atacar. La mayoría de los cibercriminales son oportunistas. En vez de atacar a las grandes empresas, van tras el dinero fácil: alrededor del 36 por ciento de las pequeñas empresas han sufrido una vulneración de datos. Más aún, aproximadamente un cuarto de las empresas utilizan únicamente productos de consumo general para protegerse y, de las que sufren vulneraciones de datos, más de un cuarto no contaban con soluciones de TI adecuadas o personal experto propio. Cada organización, sin importar su tamaño o sector, tiene algo que los cibercriminales desean. Podría tratarse de datos de pago, información de identificación personal o propiedad intelectual, por poner solo algunos ejemplos. Las pequeñas empresas actualmente recopilan más datos valiosos que nunca, lo cual las convierte en objetivos aún más atractivos. Al mismo tiempo, su infraestructura de ciberseguridad a menudo es débil. Una empresa pequeña posiblemente no cuente con especialistas en TI propios ni confía en proveedores de servicios administrados (MSP), y tampoco cuenta con conocimientos técnicos al nivel de un consumidor básico. Gracias a que carecen de la infraestructura y los conocimientos técnicos necesarios para proteger su tesoro más preciado (sus datos más valiosos), los atacantes disponen de muchas vías por explotar. La buena nueva es que es posible poner en funcionamiento una infraestructura robusta de ciberseguridad para pequeñas empresas sin necesidad de elegir entre hacer una gran inversión o hacer peligrar sus esfuerzos por innovar. Una ciberseguridad fuerte comienza y termina en las personas La seguridad de la información a menudo se percibe como un desafío técnico. Pregunte a casi cualquier empleado de su oficina quién es el encargado de la ciberseguridad de la empresa, y con seguridad señalarán al departamento de TI. O, si no existe un equipo dedicado a las TI, seguramente señalen a la gerencia. La verdad es que, independientemente de la cultura de la empresa, la ciberseguridad es responsabilidad de todos. Esto se debe a que se trata fundamentalmente de un problem humano más que técnico. Aproximadamente el 90 por ciento de los ataques involucran un elemento humano. Los ciberciminales se aprovechan de los errores humanos, simplemente porque es mucho más fácil que intentar explotar errores tecnológicos. Por ejemplo, es mucho más fácil para un atacante manipular a alguien para hacer que entregue credenciales de inicio de sesión, que romper el cifrado o usar un ataque de fuerza bruta que teóricamente podría tomar más tiempo que el que duraría el universo. De hecho, la mayoría de los cibercriminales no conocen más sobre el funcionamiento interno de la tecnología que una persona no experta promedio. En cambio, utilizan tácticas de ingeniería social y "malware como servicio" (a menudo comprado en la dark web), gracias al cual los cibercriminales reclutan a otros socios, en un proceso muy semejante al de las empresas legítimas. La única forma real de mitigar los errores humanos es asegurarse de que sus empleados tengan, por lo menos, tanto conocimiento sobre el mundo de la ciberseguridad que quienes podrían intentar violarla. Si bien no sería razonable pretender que los ejecutivos de cuentas o el personal de Recursos Humanos comprendan las complejidades de temas como cifrado y protocolos de seguridad, puede capacitarlos para que reconozcan mejor las amenazas de ingeniería social, como correos electrónicos de phishing y riesgos de seguridad comunes como las contraseñas débiles. Todos deben participar de un programa de capacitación en conciencia de seguridad que prepare a sus empleados para detectar riesgos. Esto no solo redundará en un beneficio para su empresa, sino que también ayudará a sus empleados a cuidar su seguridad en sus vidas personales. Proteja su perímetro La defensa perimetral es el nivel de protección básico y fundamental. De forma análoga a las paredes de un castillo medieval, su único fin es mantener todo lo malo afuera y todo lo valioso adentro. Uno de los mayores desafíos es determinar, en primer lugar, dónde se encuentra el perímetro. No se trata únicamente, como antes, de proteger las redes internas con firewalls y software antivirus. Los sistemas de datos ya no están limitados a los servidores y estaciones de trabajo internas, sino que los líderes empresariales hoy deben tener en cuenta los dispositivos móviles usados para trabajar (incluyendo los de propiedad de los empleados) y los recursos alojados en la nube. Pero ya no basta con una defensa perimetral convencional. El volumen de datos que usted maneja en general se extiende más allá de los límites físicos de sus oficinas. Por eso, proteger sus cuentas en línea debe ser una de sus principales prioridades. El hardware se vuelve cada día menos importante para las pequeñas empresas, las cuales apenas están en plena transición hacia la computación en la nube y los servicios administrados. Todos estos dispositivos, conocidos como endpoints deben protegerse. Y esto no es realmente una tarea tan abrumadora como podría parecer en un principio. Para complementar a los administradores de TI internos, o sustituirlos, las pequeñas empresas a menudo se asocian a proveedores de servicios administrados (MSP) quienes ofrecen un conjunto de servicios de seguridad adecuado a sus necesidades, que incluye administrar el software antivirus, instalar firewalls y proteger el correo electrónico contra el contenido malicioso. Cómo la seguridad en capas ayuda a proteger sus activos más preciados Volviendo a la analogía del castillo, hay más que simples muros para proteger lo que hay dentro. Muchos castillos están construidos sobre colinas para brindar una ventaja defensiva. Otros tienen fosas o zanjas para ofrecer una capa adicional de defensa. Incluso si un ejército atacante logra atravesar las paredes, generalmente hay una ejército que presenta una última línea de defensa. Esta misma metodología se aplica a la seguridad de la información, en la cual la defensa del perímetro es apenas la primera barrera que intenta evitar que los atacantes accedan al sistema. Pero si esto fuera la única defensa, se trataría de un único punto de falla, que dejaría a su empresa sumamente vulnerable. La seguridad multicapa se basa en el concepto de usar varias soluciones de seguridad juntas para proteger sus activos más preciados: sus datos sensibles y de alto valor. Por ejemplo, un firewall ayuda a evitar que el código malicioso llegue a su red, el software antivirus protege cada dispositivo conectado a la red y el cifrado protege los datos tanto en el almacenamiento como cuando se envían a través de Internet. Todos estos son controles técnicos y administrativos relativamente fáciles y económicos de implementar, gracias a que ahora vienen incluidos de forma estándar con muchos sistemas de TI de nivel empresarial. Pero, si bien ayudan a proteger a su empresa, no pueden sustituir a la capacitación y el conocimiento experto. Agregue valor con una mejor seguridad de la información Es hora de que los propietarios de las empresas se tomen en serio la seguridad de la información, pero esto no significa que debería volverse una carga económica o una traba para la innovación. En vez de esto, debería añadir valor a su empresa en estos tiempos en que los clientes consideran la privacidad y seguridad de sus datos una de sus principales prioridades al elegir con cuáles empresas van a operar. Con ayuda de una combinación de políticas adecuadas y tecnología de punta, puede lograr que su empresa esté más cerca de lograr la inmunidad contra las amenazas cibernéticas.

Cómo generar una cultura de trabajo más consciente de la seguridad

  • Minutos de lectura
    • Sus empleados representan uno de los mayores factores de riesgo para la ciberseguridad de su empresa. Puede ofrecerles pláticas, pedirles que hagan pruebas en línea y hasta instalar software en sus computadoras, pero un simple clic distraído en un correo electrónico de phishing podría tener un enorme costo para su empresa. La solución: crear una sólida cultura con conciencia en la ciberseguridad para preservar la seguridad de su empresa. ¿Cuándo fue la última vez que logró motivar a sus empleados sobre temas de ciberseguridad? Quizás haya realizado una presentación o les haya hecho aprobar una serie de pruebas en línea, pero muy probablemente no le prestaron toda su atención. Hágase esta pregunta: si dijera "sesión de concientización en ciberseguridad", ¿cómo lo tomarían sus empleados? A: estarían interesados y motivados, B: lo verían como una oportunidad para distraerse o C: estarían demasiado preocupados por sus tareas pendientes como para prestar toda su atención. Si respondió A, bien hecho, ya está construyendo una organización con conciencia de ciberseguridad. Si respondió B o C, debe cambiar la dinámica de capacitación de sesiones puntuales a una cultura más integrada en la conciencia sobre la ciberseguridad. Cultura, no presentaciones Hace años trabajé en una empresa en la cual una de las principales reglas era: el teléfono nunca debe sonar por cuarta vez. Entonces, todos los empleados, apenas entrábamos a esa oficina, ya sabíamos qué hacer. Y no era necesario que nadie se lo enseñara a los nuevos empleados: podían ver por sí mismos lo que se esperaba de ellos. Simplemente lo hacíamos de forma instintiva. Era parte de nuestra cultura y se volvió un hábito. Una fuerte cultura de ciberseguridad no se crea con lecciones aisladas acerca de los peligros del mundo cibernético, se construye con base en participación y hábitos. Debe considerar las mejores prácticas de ciberseguridad como algo similar a limpiar sus armarios: lo puede hacer una vez, pero inevitablemente tendrá que repetirlo de forma periódica. O para ser más específico, es como instalar un software antivirus en una computadora y nunca actualizarlo. Las culturas sólidas en ciberseguridad no se crean con lecciones aisladas acerca de los peligros del mundo cibernético, se construyen con base en participación y hábitos. Cómo involucrar a sus empleados y proteger su negocio En primer lugar, si tiene suficientes fondos, invierta en especialistas en TI. Si designa a alguien para estar a cargo de proteger su negocio, monitorear las amenazas y capacitar a su personal, su empresa estará mejor equipada para hacer frente a los ciberataques. Y asegúrese de que sus equipos de TI cuenten con la capacitación en inteligencia de seguridad y las tecnologías necesarias para detectar y actuar sobre las amenazas. Pero, ¿qué sucede si la suya es una empresa pequeña o mediana (PyME) con recursos limitados que tal vez tenga pocos o ningún especialista dedicado a TI? Piense en una estrategia paso a paso: acciones pequeñas, pero frecuentes. A medida que sus esfuerzos cobren impulso en la oficina, las personas empezarán a darse cuenta de lo que intenta hacer. Por ejemplo, un póster en el que se muestren cinco formas de cuidar la ciberseguridad podría lograr llamar la atención si lo coloca en algún lugar transitado, como la cocina o al lado de sus otros pósters de seguridad laboral. O piense en sus procedimientos. Copie la metodología de los correos electrónicos de phishing dirigido (en los que los hackers asumen la identidad de uno de sus empleados) y envíe ataques dirigidos con mayor frecuencia. Asignar a varias personas la responsabilidad de aprobar las transacciones financieras podría bloquear las acciones de los ladrones de identidad. Recompensar a sus colegas y empleados también puede causar un gran efecto. Por ejemplo ¿quién informó acerca de la mayor cantidad de correos electrónicos de phishing? Un cupón de regalo como premio, seguramente logrará que todos quieran informar sobre estas amenazas. Y, de paso, fomente también otras prácticas de conciencia sobre la seguridad en el trabajo, por ejemplo, interrogue a personas desconocidas que estén en el edificio y evite el desorden digital, como dejar información confidencial en la impresora o en las memorias USB sin ninguna protección. En definitiva, la forma más efectiva de crear una mejor cultura de ciberseguridad es implementar acciones periódicas. Mi mejor consejo: organice actividades cortas y frecuentes: lecciones, pruebas, simulacros, incluso búsquedas del tesoro o una sala de reuniones transformada en una "sala de escape cibernético" por un día. Brinde a sus empleados, a menudo, una cantidad de información fácil de digerir. Recibirán información en porciones lo suficientemente pequeñas como para integrarlas a sus tareas cotidianas y esto creará la buena base para lograr una sólida cultura de ciberseguridad. ¿El resultado? Mayor protección para su empresa. Para obtener más consejos sobre conciencia en seguridad y mejores prácticas de ciberseguridad para el entorno laboral, lea una entrevista con Barton Jokinen, el Gerente de seguridad de la información y Cumplimiento normativo de Kaspersky para las Américas.
by Tecnología innovadora.
Innovando líderes.
Acerca de funciones seguras

La revista Secure Futures es su guía comercial de referencia para obtener opiniones, tendencias y conocimientos sobre el mundo de la tecnología y la ciberseguridad. Ayudamos a su negocio a traer el futuro. Presentado por Kaspersky, los expertos mundiales en ciberseguridad.

  • Para el resto de países