viernes, 17 de diciembre de 2010

Una filtración del FBI revela el coste y el modo de actuar en un ataque informático a gran escala


¿Cuánto le puede costar a una compañía como Google o Visa un ataque informático? ¿Cómo actúan las compañías ante tales ataques? Ahora que todos los medios comentan y parecen saber sobre los ataques informáticos, llegando a exponer de manera exhaustiva de qué se trata un ataque DDoS gracias a la relevancia de WikiLeaks, el New York Times (PDF) ha conseguido unas notas de control interno del FBI detallando el coste de un ataque y su “curiosa” resolución. Las notas adquieren hoy un valor más relevante. Por un lado veremos cómo actúa una compañía como Google ante un ataque así, por otro, nos podemos imaginar que los acontecimientos de estas semanas, con los ataques a Mastercard, Visa o PayPal deberán estar dando más de un quebradero de cabeza a las compañías.Las notas conseguidas se remontan al año 2005. No sé si os acordaréis del nombre de Santy. Se trataba de un gusano, un software malicioso que infectó miles de ordenadores introduciéndose automáticamente en las consultas de las búsquedas. Durante varios meses Google se vio abrumada, presentando el 22 de diciembre del 2005 una reclamación al FBI en el que explicaban el bajo rendimiento del motor de búsqueda por los continuos ataques.Tal y como explica Google en el informe, durante 18 meses vieron como su sistema se plagaba de gusanos que utilizaban las consultas para encontrar sitios web vulnerables, aprovechando un agujero de seguridad que se encontraba. Lo curioso del caso es que Google intentó tapar estas acciones a la voz pública debido a las presiones de varios grupos de antivirus. Evidentemente, al final no ha sido así.En una de las notas que expone el diario, una agente del FBI escribió en medio de la investigación abierta:

martes, 14 de diciembre de 2010

La cultura de la seguridad en la empresa



El martes 30 de Noviembre se celebró el Día Internacional de la Seguridad Informática, hecho que Cisco aprovechó para publicar algunos datos interesantes sobre amenazas y riesgos para la seguridad de la información de las empresas. El spam, el malware, los ataques de ingeniería social o las nuevas amenzas a través de las redes sociales, son las amenazas a las que se enfrentan los responsables de seguridad de las empresas, que, según Cisco, suponen unas 130 amenazas potenciales al mes por cada trabajador. Y ante esta cifra, ¿cómo reaccionan las empresas?
Los responsables de IT de las empresas implementan medidas y controles de seguridad (gestión de permisos, perímetros de seguridad, controles de acceso, zonas seguras, firewalls, antivirus, etc), sin embargo, este tipo de medidas por sí solas, necesitan complementarse con factores algo más humanos. Lo normal es que cada empresa mantenga una política de seguridad, ya sea mediante procedimientos internos o, directamente, alineados con un sistema de gestión, como puede ser la norma ISO 27001, pero ni las medidas tecnológicas ni los procedimientos lo son todo, nos sigue faltando algo: la concienciación del personal y el establecimiento de una cultura alrededor de la seguridad.
Recientemente, el fabricante de software de seguridad Clearswift ha publicado un estudio, realizado entre unos 2.000 empleados de diversas empresas, con un dato que me ha parecido muy interesante; un 74% de los participantes afirmó que conocía y comprendía las políticas de seguridad de la información establecidas en sus empresas, sin embargo, de este grupo, más de dos tercios afirmaban, además, que no habían recibido nunca ningún tipo de formación o charla sobre la seguridad de la información o la política de la seguridad.
Precisamente es la falta de concienciación de los empleados de una organización uno de los mayores riesgos para las empresas; riesgo que, por cierto, se suele olvidar. La falta de una cultura de la seguridad dentro de las organizaciones es un problema, por desgracia, demasiado común.
¿Cómo concienciar a una organización? ¿cómo implantar esa cultura de la seguridad en la empresa? ¿mediante una formación regular? ¿un curso muy completo tan sólo una vez?. Tras implantar un sistema de gestión de la seguridad, la norma ISO 27001, por ejemplo, indica que se deben impartir sesiones formativas al personal para concienciarlos y familiarizarlos con el sistema y sus procedimientos, un aspecto que todas las empresas cumplen; sin embargo, tras esto, rara es la organización que realiza jornadas de reciclaje o las repite para el personal de nueva incorporación.
La mayoría de incidentes de seguridad que suceden en las empresas podrían haberse evitado, simplemente, prestando un poco de atención a lo que se estaba realizando, por tanto, un personal bien instruido y concienciado puede ser tan eficaz como un antivirus, o al menos, un buen complemento de éste.
En definitiva, no sólo las medidas físicas de seguridad van a garantizar la integridad de los activos de la compañía, por tanto, las empresas además de invertir en soluciones de seguridad deben invertir en el capital humano de la compañía, implantando planes de concienciación en torno a la seguridad de la información y asumiéndolos como parte de la cultura de la organización.




Vía: PC World y Cibersur Imagen: Tecnicias


Visto en: http://www.bitelia.com/