FORTALEZAS CON PUERTAS DE CRISTAL

Tamaño: px

Comenzar la demostración a partir de la página:

Download "FORTALEZAS CON PUERTAS DE CRISTAL"

FORTALEZAS CON PUERTAS DE CRISTAL SEGURIDAD DE LA INFORMACIÓN Conoce usted a alguien que proteja su patrimonio o seres queridos con puertas de cristal?

1 FORTALEZAS CON PUERTAS DE CRISTAL SEGURIDAD DE LA INFORMACIÓN Conoce usted a alguien que proteja su patrimonio o seres queridos con puertas de cristal? En lo que respecta a seguridad de la información, nosotros, sí. Y por ello, los servicios SEGLOSER de seguridad de la información, van más allá de la certificación ISO/IEC y promueven la urgencia de adoptar medidas de seguridad extraordinarias ante el incesante aumento de la vigilancia electrónica. La seguridad de la información está actualmente asociada, prácticamente en todas las mentes de los profesionales de seguridad, a la IT Security y la seguridad física. La realidad es que se están centrando todos los esfuerzos en ese campo, sobre todo en el informático, olvidando que la seguridad de la información contempla otros ámbitos que, por haber estado en el pasado relacionados con metodologías propias de servicios de inteligencia, no son considerados con la importancia que se merecen. Puesto que pretendemos llamar enérgicamente la atención de muchos profesionales y destacar que en lo que respecta a la seguridad de la información queda mucho por hacer, intentamos concienciar de la necesidad de implantar políticas de seguridad de la información, que consideren como parte fundamental la eliminación de vulnerabilidades explotables electrónicamente.

Y por ello, los servicios SEGLOSER de seguridad de la información, van más allá de la certificación ISO/IEC 27001 y promueven la urgencia de adoptar medidas de seguridad extraordinarias ante el

2 Si realmente queremos proteger nuestra información, es el momento de reaccionar y cambiar las puertas de cristal por acero de alta resistencia. Más adelante, para evidenciar el aprovechamiento de vulnerabilidades informáticas mediante la ingeniería social, haremos la distinción básica que regula el uso de unos canales (medios) u otros en función de la clasificación de la información, pero antes pasaremos por describir la presencia de algunos elementos de vigilancia que, por cotidianos, pasan totalmente inadvertidos como tales. Hoy en día, encontramos con enorme facilidad equipos electrónicos corrientes susceptibles de ser utilizados como ESD (Electronic Surveillance Devices), es decir, aparatos electrónicos de vigilancia. Para ello no es necesario, ni mucho menos, acudir a tiendas especializadas, puesto que con un poco de ingenio y algunos pequeños conocimientos, se

función de la clasificación de la información, pero antes pasaremos por describir la presencia de algunos elementos de vigilancia que, por cotidianos, pasan totalmente inadvertidos como tales.

3 pueden hacer verdaderas maravillas para obtener información. Valga como ejemplo básico, relacionar brevemente la cantidad de funcionalidades de un terminal telefónico celular: cámara incorporada, posibilidad de localización GPS, respuesta automática en modo silencio, grabación de conversaciones presenciales o telefónicas, envío de archivos, almacenamiento de datos, etc. Seguramente aquellos que han estado relacionados con la seguridad de la información dentro del mundo de las auditorías, están perfectamente familiarizados con las infinitas posibilidades que un teléfono móvil ofrece para obtener información valiosa en escasos segundos (fraudes tan simples como la utilización de tarjetas de crédito para la realización de compras vía internet, se llevaron a cabo fotografiando las tarjetas, anverso y reverso, con móviles de calidad media). Como se imaginarán, no vamos a conformarnos con enumerar las posibilidades de dispositivos comunes, sino que debemos poner el acento en que, a día de hoy, el mercado nos ofrece libremente dispositivos de vigilancia electrónica, concebidos específicamente para la obtención discreta de información, con características profesionales. Es decir, cualquiera tiene a su disposición un catálogo de equipos genéricos de nivel profesional para llevar a cabo la adquisición o robo de información confidencial, privilegiada o clasificada. Volviendo al comentario anterior sobre la sectorización del canal de comunicación en función de la clasificación o importancia de la información, debemos matizar que cada canal está socialmente asociado. Esto quiere decir, que la costumbre y la formación juegan un papel determinante en la selección del canal que se elige. Cuando decimos socialmente nos referimos no sólo al entorno social en sí mismo, sino también a las prácticas corporativas habituales. La frase que mejor ejemplifica la selección por clasificación sería: No, por teléfono no, te lo diré en persona.

silencio, grabación de conversaciones presenciales o telefónicas, envío de archivos, almacenamiento de datos, etc.

4 Es evidente que hay cierto tipo de conversaciones que no pueden tener lugar por teléfono porque requieren una interacción constante y es necesaria también la identificación del lenguaje corporal y por ello se prefiere que sea en persona. Pero cuando un interlocutor desestima el canal telefónico para mantener una conversación personal por el alto grado de confidencialidad de la información, nos encontramos ante un caso diferente, en el que se percibe una precaución específica (política de seguridad electrónica adecuada). La cuestión es que la idea social de privacidad telefónica enmascara la realidad. Gran parte de la sociedad (excepto algunos profesionales de seguridad, muchos criminales y todos los conspiranoicos ) se siente muy cómoda al teléfono y revela informaciones de alta relevancia. Si no existiera esa malsana costumbre y además se fomentara adecuadamente el mantenimiento de una política óptima de seguridad de la información mediante una concienciación específica continua, se evitarían muchas situaciones comprometedoras. El objetivo de los servicios SEGLOSER es precisamente esa concienciación específica y como ejemplo vamos a describir la situación actual en cuanto a telefonía móvil se refiere. Las señales de telefonía celular están en el ambiente como las ondas de radio comercial. Interceptarlas es tarea fácil pues todos sabemos, si leemos las especificaciones de nuestros terminales, la tecnología empleada y en qué banda trabajan (TACS-GSM-GPRS-EDGE-UMTS 850/900/1800/1900 Mhz). De forma muy coloquial para no entrar en terminología técnica de modulaciones, multiplexado, cifrado, etc., diremos que monitorizar, descifrar, escuchar y grabar conversaciones de telefonía celular en tiempo real es posible, es habitual y no es muy caro ( euros aproximadamente es el coste de un equipo en el mercado negro). Tan sólo es necesario un receptor en la frecuencia adecuada y pasar la información contenida en las señales que circulan en esas frecuencias por unos procesos determinados.

Pero cuando un interlocutor desestima el canal telefónico para mantener una conversación personal por el alto grado de confidencialidad de la información, nos encontramos ante un caso diferente, en

5 Pero no pensemos que la vigilancia electrónica se lleva a cabo solamente mediante escuchas telefónicas (ya sean terminales fijos o móviles). También existe lo que se denomina escucha ambiental y es aquí donde cobra especial importancia la concienciación. Por qué se detienen, en líneas generales, las medidas de seguridad cuando no hay un canal de comunicaciones tangible o perceptible? Dicho de otra manera, por qué los responsables de información de entidad considerable, estiman que en conversaciones personales no pueden ser escuchados o grabados incluso en vídeo? Por qué no se toman medidas estrictas de seguridad en esas situaciones? Las preguntas anteriores tienen una triste respuesta: porque no se considera la amenaza. Está tan lejos de las mentes, que ni siquiera lo tienen en cuenta como una posibilidad. Motivo: falta de concienciación, consecuencia de una carencia de formación e información y un arraigo profundo a las costumbres sociales. No se trata de ser un paranoico y creerse objeto de vigilancia permanente. Hay que saber diferenciar atendiendo a unos protocolos. Acaso el responsable de la seguridad informática de una empresa es considerado un desequilibrado por actualizar el antivirus a diario, instalar y comprobar el firewall o mantener una política de cifrado, cambio de claves y auditorías periódicas? La utilización de dispositivos de vigilancia electrónica (ESD) es un paso más para el robo de información. De hecho es un paso obligado para el robo de información de alto nivel y es, por ende, obligación de todos aquellos que manejan información relevante, conocer perfectamente las amenazas, las vulnerabilidades y las políticas de seguridad de la información en todas sus modalidades, prestando igual interés a todas y cada una de ellas.

Por qué se detienen, en líneas generales, las medidas de seguridad cuando no hay un canal de comunicaciones tangible o perceptible?

6 Terminaremos describiendo cómo durante la fase 1 del hacking, suele emplearse la ingeniería social para la obtención de información encaminada a la entrada no FASES DEL HACKING autorizada en sistemas informáticos. El objetivo principal es aprovechar situaciones de descuido, fallos en la seguridad física o engaños. La cuestión es que mediante el uso de los ESD puede prolongarse la presencia del hacker en una estancia (micrófonos o cámaras camufladas) una vez que ha abandonado el local y obtener de este modo información muy útil para planear posteriormente, con tranquilidad y elevado grado de detalle, una estrategia óptima para el robo de información de nivel superior. Con un poco de experiencia y capacidad de improvisación es posible, a través del uso de ESD, conseguir la llave de auténticas fortalezas informáticas. Porque la seguridad al cien por cien no existe, existe SEGLOSER. En constante evolución para ofrecer la mayor calidad posible en sus soluciones de seguridad de la información, innovando en la implantación de políticas de seguridad actualmente no consideradas con la importancia que se merecen, para reforzar de una manera dinámica, la seguridad de sus activos de información. Eduardo J. Orenes Nicolás Director de Coordinación y Gestión de Servicios SEGLOSER

La cuestión es que mediante el uso de los ESD puede prolongarse la presencia del hacker en una estancia (micrófonos o cámaras camufladas) una vez que ha abandonado el local y obtener de este modo

Documentos relacionados

PARA COMERCIANTES Y AUTÓNOMOS. INFORMACIÓN SOBRE TARJETAS DE CRÉDITO.

PARA COMERCIANTES Y AUTÓNOMOS. INFORMACIÓN SOBRE TARJETAS DE CRÉDITO. QUÉ DEBES SABER CUANDO ACEPTAS UNA TARJETA COMO FORMA DE PAGO EN TU ESTABLECIMIENTO? Hace ya muchos años que la mayoría de las microempresas