transférer
transférer

RSSI : Sensibilisation, Sécurité et Analyse

Definición Con la evolución de la tecnología y sus nuevas funcionalidades han aparecido, junto a nuevas vulnerabilidades, nuevas tareas técnicas las cuales hay que trabajar día a día para continuar mejorando. Con esta evolución han aparecido nuevos puestos de trabajo para mejorar el funcionamiento de las empresas. Hoy queremos hablaros de la figura del CISO dentro de una empresa. Toda empresa que trabaje con una parte IT necesitará la figura del CISO en su organización. Para entender las funciones, su día a día, los problemas y errores que nunca debe cometer; es necesario entender y definir que es un CISO.  Hemos recurrido a la definición de Tech Target la cual dice: el Chief Information Security Officer (CISO) es un ejecutivo de alto nivel responsable de desarrollar e implementar un programa de seguridad de la información, que incluya procedimientos y políticas diseñadas para proteger las comunicaciones, los sistemas y los activos de la empresa de amenazas internas y externas. El CISO también puede trabajar junto con el director de información o CIO para adquirir productos y servicios de ciberseguridad y gestionar la recuperación de desastres y los planes de continuidad del negocio. Para entender también que poder de decisión tiene un CISO es importante ver el cronograma habitual en una organización. Este variará según la escala de la empresa y sus necesidades. El CISO tiene un papel ejecutivo y trabaja bajo el mando del CSO (Chief Security Officer), a la vez, este informa al CEO (Chief Executive Officer) para tomar decisiones. Todo y la existencia de este cronograma la figura del CISO, en estos últimos años, está cogiendo peso en las decisiones de negocio. Es lógico el camino que está cogiendo viendo la importancia que ha cogido la ciberseguridad dentro de las estrategias de transformación digital. Funciones La función principal del CISO debe ser mejorar el sistema de seguridad IT siguiendo, de muy cerca, los pasos de mejora y evolución de la empresa. A la vez, para crecer de manera acorde con la organización, deberá entender los objetivos y las necesidades que tiene la empresa y adaptar la seguridad a esta para que pueda mejorar con seguridad y estabilidad. Con esto se logra obtener un menor riesgo de fuga o ataque. Los cambios o avances vendrán en medida de las posibilidades técnicas, humanas y económicas de la empresa.   Así pues las funciones específicas de un CISO según IEBS són:  Alinear la estrategia de ciberseguridad con los objetivos de la empresa. Definir la normativa de seguridad y procurar que se cumpla.  Prevenir, detectar y analizar vulnerabilidades. Informar y reportar a dirección cualquier cuestión relacionada con la ciberseguridad. Dar respuesta rápida ante cualquier incidente de ciberseguridad. Formar, concienciar y sensibilizar a la organización en materia de seguridad de la información. Establecer e implementar políticas relacionadas con la seguridad de la empresa. Garantizar la privacidad de los datos de la empresa. Llevar a cabo el descubrimiento electrónico y las investigaciones forenses digitales.  Supervisar y gestionar la arquitectura, auditorías de seguridad y el control de acceso de información.   A la vez deberá ser capaz de desarrollar y formar a un equipo para el traspaso eficaz de tareas. El tiempo para el CISO es vital, en ciberseguridad cada segundo cuenta, es por eso que un buen traspaso de tareas dará más libertad para poder focalizarse en tareas prioritarias.   Otra función, aunque a veces no es considerada como tal, es la de convencer a la empresa correspondiente de la necesidad de invertir en seguridad de manera continuada. Esta inversión es de tiempo y dinero pero es necesaria para una evolución segura a largo plazo. Son muchos los expertos que piensan que solo existen dos tipos de empresas: ‘las que ya han sido atacadas y lo saben y las que han sido atacadas y no lo saben’. Para los CISOs es un problema la reticencia existente en muchas empresas a invertir en ciberseguridad. Es por eso que los CISOs deben focalizar su atención en la concienciación ya que aún son muchas de estas organizaciones las que empiezan a actuar cuando ya es tarde. Actuar cuando han sufrido un robo, desaparición de datos, detección de actividades sospechosas, salida de documentos confidenciales u otras, ya no sirve, el daño está hecho. Aquí recae la importancia de la concienciación.   También será importante dar a conocer a las empresas que recurrir a la ciberseguridad solo cuando tienen problemas con sus datos o quieren cumplir con lo que la ley marca, no es la solución. Las empresas resuelven el problema y no profundizan en su seguridad para mejorarla. ‘El 66% de los Ciso de todo el globo estima que su organización no está preparada para hacer frente a un ciberataque en la actualidad, un 53% en España’, según el estudio Voice of the Ciso, elaborado por Proofpoint Tareas de un CISO Las tareas que debe realizar el CISO son muy extensas e importantes y no puede estar todo el día revisando pequeños detalles y generando reportes. Estas tareas son muy importantes, pero esos procesos pueden ser llevados de manera automatizada o por el equipo. Por eso la importancia de un buen equipo. En ciberseguridad ningún elemento puede pararse y todos son necesarios.   Las tareas diarias fijas que un CISO debería realizar son:  Reunirse con su equipo. No es necesario que sea una reunión física y ni que sea una reunión larga. Esta reunión es un primer contacto cada mañana para ver qué proyectos están en marcha, se asignan funciones y se asignan las tareas diarias, con sus plazos respectivos. Gestionar el correo electrónico. Esta gestión debe ser diaria y, el objetivo, es lograr tener la bandeja de entrada a cero.   Reconocer el trabajo bien hecho. Es una tarea importante para mantener al equipo motivado y unido para que se sientan reconocidos y valorados. Pasar un tiempo trabajando solo. En el día a día de los CISOs no todo deben ser reuniones. También es necesario tiempo en soledad para analizar, pensar, revisar, definir estrategias, etc. Estar al día … Lire la suite

cyber-assurance

La implementación del teletrabajo ha sido un hito para las empresas de tecnología y una mina para los ciberatacantes. El mercado ha reaccionado de forma rápida aumentando la popularidad de las aseguradoras especializadas en ciberseguridad; los ciberseguros se encuentran en pleno auge. Las compañías que ofrecen los seguros más convencionales proponen el siguiente paradigma: Si proteges tu casa, tu coche y los bienes materiales de tu empresa, ¿por qué no proteger la parte IT para mitigar la posibilidad de ciberataques? No es ninguna noticia que la tendencia del mercado son los cibercrímenes, por este motivo, además de la oferta de seguros tradicionales como el de responsabilidad civil, empresarial o de daños de instalaciones, se oferta uno para ciberriesgos, cuyas primas ascienden a los 75 millones de Euros a nivel nacional, un incremento del 35% respecto al 2019 según Red Seguridad.   Entonces, ¿Qué son los seguros de ciberriesgos o ciberseguros? Son una póliza de seguros que ayuda a las empresas a protegerse de las consecuencias de la aparición de ciberdelincuentes y a reducir los riesgos que sufren las compañías de IT a diario.   “Es más probable que una empresa sufra un ciberataque que un incendio o robo en estos momentos”, afirma Cátedra Pérez-Lloca / IE   ¿Cuál es el funcionamiento? En primera instancia se evalúa la necesidad real del cliente para luego ofrecer una solución en base al análisis realizado. En segundo lugar, una vez decidido el plan de acción, la aseguradora toma un rol pasivo a la espera de la entrada de un ataque para tomar las medidas necesarias. No sólo cubre la parte técnica, sino que también ante el caso de robo de datos y extorsión hay una  intervención en la negociación del rescate. Será vital definir 2 planes: uno de acción y otro de contingencia. «El papel del asegurador no es solo supervisar los daños que ha habido y fijar una cifra de indemnización, sino que puede haber un problema de paralización de la actividad por el ciberataque. El apoyo técnico y la recuperación de los datos es fundamental«, afirma Cátedra Pérez-Lloca / IE   ¿Qué debe cumplir una empresa para contratar un ciberseguro? Debemos partir de la base que el ciberseguro es la última línea de defensa, es por este motivo que para que una empresa pueda adquirir uno debe cumplir con unos requisitos mínimos en lo que respecta a la seguridad IT. Estas medidas no sólo son necesarias para la adquisición de este tipo de servicios, sino que también son indispensables en materia legal ya que las infracciones pueden llegar a alcanzar los 20.000 millones de euros o el 4% de la facturación anual según Ayudaley. Como mencionamos anteriormente, la empresa contratante del seguro deberá tener las medidas de prevención necesarias para evitar o mitigar al máximo los ciberataques, cumpliendo con la exigencias del RGPD (reglamento general de protección de datos) y siguiendo el reglamento que dicta la LOPD (Ley orgánica de protección de datos de carácter personal). Otras medidas necesarias a implementar serán la planificación de una política de seguridad que tenga en cuenta las principales medidas de prevención, donde se tenga todos los dispositivos protegidos de manera óptima; y tener un esquema de copia de seguridad efectivo para que, en caso de ataque o secuestro, no se pierda todo.   Ciberseguros en las Pymes Aunque los ciberseguros son vitales para todas las empresas, muchas de las aseguradoras tienen como principal foco a las pymes. Para este tipo de compañías la adquisición de estos servicios no solucionan de manera definitiva la protección IT pero proporcionan un cierto respiro en caso de un ataque. Pese a la importancia de la tranquilidad que ofrece estar correctamente protegidos de los ciberdelincuentes son muchas las pequeñas y medianas empresas que se resisten a la contratación de seguros. Analizando las cifras del año pasado (120.000 ciberataques a pymes con un coste medio de 102.000€) sigue siendo difícil comprender la reticencia de adquirir ciberseguros.  Según un informe de AON en el 2020 solamente un 32% de pymes adquirieron este tipo de servicios a diferencia de empresas que superan los 250 millones de euros en facturación han aumentado un 24% (de 2019 a 2020) la adquisición de seguros.  Está claro que la concienciación juega un importante rol a la hora de decidir en qué se invierte el dinero y cuál es la prioridad.   ¿Qué cubren las pólizas? Cada aseguradora trabaja de manera independiente cubriendo distintas partes, son las organizaciones quienes deberán valorar sus necesidades y definir qué les interesa. Una empresa grande no contratará las mismas pólizas que una pyme. Paquete genérico:  Responsabilidad civil contra terceros ya sea por un fallo de privacidad y seguridad de la red, como también por el contenido digital de la web o ataque Daños propios causados por una extorsión cibernética   Paquete específico: Pérdida de beneficio provocada por la interrupción del sistema debido a un acto informático malicioso Recuperación de datos y sistemas Servicios y gastos de respuesta a incidentes: contención tecnológica, asesoramiento jurídico, notificación a entidades reguladoras y afectados, monitorización de la información, entre otros Respuesta de emergencias a incidentes dentro de las primeras 48 hrs Delito cibernético derivado del robo de dinero o valores de la sociedad Garantías Gastos de recuperación de datos, de notificación y de Beneficio   Es imprescindible ser conscientes de que hay ciertos aspectos que una aseguradora no puede proteger, algunos de ellos son: Ataques de phishing Pérdidas a mediano y largo plazo (por imagen, por percepción, etc…) Restitución de la reputación Gastos (en caso de que no se cumpla con las medidas de seguridad previamente estipuladas) Aquellos daños que resulten de los actos ilícitos llevados a cabo por el asegurado de manera deliberada Violación de la normativa sobre secretos comerciales y patentes   Para cubrir la grieta que queda descubierta es importante utilizar herramientas que aseguren el total control de la seguridad empresarial.   Con Tranxfer podrás obtener la tranquilidad que necesitas: *  Reducción al 100% del Shadow IT evitando la entrada de Malware y ataques … Lire la suite

RGPD et Shadow IT : deux casse-tête

la loi sur la protection des données et le shadow IT comme problèmes

Las empresas en el día a día conviven con una serie de riesgos derivados de la actividad de sus empleados. Entre ellos, uno de los más importantes es el humano, es decir, cualquier tipo de error de gestión o derivado de un mal uso de las herramientas que tienen a su disposición. En las siguientes líneas, vamos a exponer uno de los riesgos que enfrentan las compañías europeas o con actividad en Europa y que está en sus manos evitarlo. Hablamos de la normativa GDPR. Para abordar el tema podemos empezar haciéndonos una pregunta, ¿qué es una brecha de seguridad y qué tienen que ver los datos personales en todo esto? Según la AEPD, una brecha de seguridad es un incidente que afecta a datos de carácter personal de distintos individuos. Este incidente, de carácter generalmente accidental, es un suceso que ocasiona la pérdida, alteración o acceso no autorizado por un tercero a estos datos personales y sensibles. Dicho de otra forma, todas las empresas europeas están en constante exposición a una infracción de la normativa debido a una mala praxis, descuido o uso de herramientas incorrectas por parte de los empleados en su día a día. Otras posibilidades son la pérdida de dispositivos de carácter físico, como pendrives u otros sistemas de almacenamiento de información. Pero si hay un fenómeno que afecte a la empresa de forma importante, es el relacionado con la tecnología. El fenómeno del shadow IT o IT paralelo es un fenómeno que enfrentan las organizaciones de todos los tamaños. El shadow IT hace referencia a toda la tecnología que, de forma consciente o inconsciente a los departamentos de control corporativo, convive en el día a día para satisfacer las necesidades de los empleados. Ejemplos de shadow IT serían desde aplicaciones de almacenamiento en nube privada como cuentas gratuitas de Dropbox o Box personales, nubes como las de OneDrive o Google Drive personales y la guinda, que suelen ser herramientas para el intercambio de ficheros de gran tamaño como vendría a ser WeTransfer. Estas herramientas anteriormente mentadas son un peligro tanto para la información propiedad de la empresa como para la compañía en sí. En términos generales, los riesgos son los siguientes: Almacenamiento de información de forma deslocalizada, fuera de alcance de IT y en ubicaciones no controladas por la empresa. O dicho de otra forma, desconocimiento de qué información reside en los sistemas corporativos, qué información está en servidores externos y en qué localizaciones se ubica su cloud. Esto es un gran riesgo si a su vez sumamos que no solo es una acción llevada a cabo por un empleado, hay empresas en las que son decenas de miles quienes trabajan con estos tipos de software gratuitos. Desconocimiento por parte de IT de qué pueden hacer esas empresas de software a la sombra con la información almacenada. Dicho de otra forma, muchas de las herramientas gratuitas que satisfacen este tipo de necesidades bajo sus condiciones está el derecho al acceso para fines comerciales y extracción de datos para terceros. Desconocimiento qué condiciones de seguridad están almacenadas. Y este es el principal riesgo, no saber dónde está y bajo qué condiciones de seguridad la información está almacenada. Dicho de otra forma, es uno de los motivos por los cuales las empresas sufren exfiltraciones de seguridad, por pérdida del control de los datos. ¿Cómo acabar con estos quebraderos de cabeza? Hoy día, en un mundo marcado por la pandemia y el nuevo escenario de teletrabajo, son muchos los responsables de seguridad que deben garantizar la seguridad de la información en sus organizaciones. El trabajo en remoto y el COVID-19 han dado un vuelco por completo en la agenda del CISO y sus planes del 2020. Ahora, las organizaciones tienen la necesidad de adoptar nuevos canales y establecer nuevas fórmulas para garantizar la seguridad de la información en el puesto de trabajo moderno y descentralizado. Para paliar esta necesidad, muchas organizaciones están poniendo a disposición de sus trabajadores Tranxfer como herramienta segura que integra políticas avanzadas de seguridad y que se complementa junto a los métodos «tradicionales» como el correo electrónico. Con Tranxfer, las organizaciones dejan de preocuparse por la seguridad en las conexiones de red domésticas o por el uso «invisible» del shadow IT por parte de los empleados desde sus hogares. Con Tranxfer se evita el incumplimiento del GDPR gracias a sus políticas avanzadas de seguridad centradas en la exposición mínima de la información, cifrado y capas como antivirus y DLP, además de trazabilidad y control de las transferencias. ¿Cómo puede perjudicar un incumplimiento de la normativa? Para comenzar, el incumplimiento de la normativa europea de protección de datos trae consigo unas consecuencias económicas causadas por sanciones que conllevan, según el tamaño de la organización, desde 10 hasta 20 millones de euros o entre el 2 o el 4% del volumen de la facturación anual de la empresa. Sin olvidar la más delicada, las relacionadas con la reputación. Su impacto, incalculable valor, puede perjudicar a una marca desprestigiándola y haciéndola perder su valor de mercado, por lo que hablaríamos de consecuencias mucho más graves que pueden acarrear interrupciones del negocio incluso pérdida de clientes. ¿Cómo evitar estos riesgos? Ponemos Tranxfer a la disposición de todas las organizaciones, sin importar su tamaño, para garantizar el flujo de intercambio de información seguro y garantizar el teletrabajo en condiciones óptimas sin preocupar a los responsables de seguridad y tecnología del uso de herramientas no corporativas y del shadow IT. ¿Quieres más información? ¡Ponte en contacto con nosotros y prueba gratis Tranxfer 15 días! Prueba ahora Tranxfer Looking for help? Get in touch with us