1. La falsa sensación de seguridad 2. La falsa creencia de que la seguridad de la información es meramente tecnológico.

Transcripción

1 Para la Gerencia de Negocios Estratégicos de SEGURIDAD ONCOR LTDA., es muy importante tener esta ventana de información, en la cual tratamos cada mes temas de gran sensibilidad para nuestros clientes en materia de Business Intelligence, seguridad integral y continuidad de negocios. En esta ocasión presentamos una serie de conceptos y recomendaciones frente a un tema de gran trascendencia que implica entre otros aspectos una vulnerabilidad en materia de continuidad de negocios. La seguridad de la información cobra gran importancia en la organizaciones, teniendo en cuenta que en un entorno globalizado como el que enfrentamos, esta se convierte en un activo de alto impacto, y esta merece un capítulo aparte en la estrategia de seguridad de las empresas, puesto que todos los estudios realizados indican que un alto porcentaje de las empresas a nivel global tienen dos percepciones que fundamentalmente son las causantes de la debilidad en las políticas y procedimientos en materia de seguridad de la información en sus redes informáticas, equipos e instalaciones, estas son: 1. La falsa sensación de seguridad 2. La falsa creencia de que la seguridad de la información es meramente tecnológico. Para mejorar esta situación, se deben tener en cuenta una serie recomendaciones de actuación para aplicar en todas las instancias empresariales y por qué no, también para el uso cotidiano en los espacios domésticos: 1. Dar un uso adecuado a las medidas y herramientas de seguridad: Afrontar la seguridad de la información como algo global, es un tema de la estrategia de continuidad de las empresas, se debe tener como premisa fundamental la difusión de una cultura que tenga como premisa fundamental en el desarrollo cotidiano la utilización y actualización de las herramientas y la actualización de los programas. Este enfoque implica que las empresas sean capaces de: Entender mejor los riegos a los que se enfrentan, alineándolos con sus objetivos de negocio y activos de información. Ser conscientes de las consecuencias de no abordarlos adecuadamente. Conocer qué activos de información son los más importantes para su negocio. Aplicar un presupuesto limitado de seguridad allí donde más se necesite. Estar preparados ante las incidencias que impidan el normal funcionamiento.

2 2. En materia de informática aplicar las 10 medidas básicas que sugiere el CAT (Centro de alerta Anti-Virus): Antivirus: Un antivirus es un programa informático específicamente diseñado para detectar y eliminar virus. Es necesario uno en su ordenador y programarlo para que revise todo su PC de forma periódica. También es conveniente verificar periódicamente que está activo (muchos virus detienen los programas antivirus y dejan a su ordenador indefenso frente a otros ataques). Además, cada día aparecen virus nuevos y para poder protegerse de ellos, el antivirus necesita conocer la firma, es decir, las características de esos virus. Por tanto, hay que actualizar el antivirus, bien manualmente bien de forma programada, frecuentemente o, si fuera posible, a diario. Cortafuegos: Un cortafuegos o firewall es un 'software' destinado a garantizar la seguridad en sus comunicaciones vía Internet al bloquear las entradas sin autorización a su ordenador y restringir la salida de información. Es recomendable la instalación de un 'software' de este tipo si dispone de conexión permanente a Internet, por ejemplo mediante ADSL, y sobre todo si su dirección IP es fija. Actualizar frecuentemente sus aplicaciones con los parches de seguridad : Las vulnerabilidades que se detectan en los programas informáticos más utilizados (navegadores de Internet, procesadores de texto, programas de correo, etc.) suelen ser, precisamente por su gran difusión, un blanco habitual de los creadores de virus. Para evitarlo, una vez detectada una vulnerabilidad, las compañías fabricantes de 'software' ponen rápidamente a disposición de sus clientes actualizaciones, llamadas parches de seguridad, en Internet. El usuario, para estar protegido, necesita visitar periódicamente los sitios web de estas compañías e instalar dichas actualizaciones. Software Legal: En necesario que todo el 'software' instalado en el ordenador proviene de una fuente conocida y segura. No conviene instalar copias de 'software' pirata. Además de transgredir la Ley, pueden contener virus, 'spyware' o archivos de sistema incompatibles con los del ordenador, lo cual provocará inestabilidad en el equipo.

3 Tampoco hay que confiar en los archivos gratuitos que se descargan de sitios web desconocidos, ya que son una potencial vía de propagación de virus. En cualquier caso, se debe analizar con el antivirus cualquier fichero que se descargue de una página web. Precaución con el correo electrónico: Conviene analizar, antes de abrir, todos los correos electrónicos recibidos y sospeche de los mensajes no esperados, incluso si provienen de algún conocido. En caso de duda, se puede llamar por teléfono al remitente para asegurarse. Los virus utilizan la libreta de direcciones de la máquina infectada para enviar sus réplicas y tratar de infectar a otros usuarios haciéndoles creer que están recibiendo un mensaje de un conocido. Prudencia con los archivos: Se recomienda no descargar de Internet ni de adjuntos de correos electrónicos, ni distribuya o abra ficheros ejecutables, documentos, etc., no solicitados. Para ello, se puede revisar con la aplicación antivirus cada nuevo elemento que se trate de incorporar a su ordenador. No hay que abrir ningún archivo con doble extensión (como archivos.txt.vbs). En condiciones normales nunca se necesitan este tipo de archivos. Se puede configurar el sistema para que muestre las extensiones de todos los archivos. Copias de Seguridad: Es importante realizar de forma periódica copias de seguridad de la información más valiosa. En caso de sufrir un ataque de un virus o una intrusión, las secuelas serán mucho menores si puede restaurar fácilmente los datos. Ayudar a los demás: No es bueno distribuir indiscriminadamente bromas de virus, alarmas, o cartas en cadena. Deben remitirse a los departamentos de informática o a centros especializados como el Centro de Alerta Antivirus. Debe comprobarse la veracidad de los mensajes recibidos y se puede ayudar a los demás colaborando en la detención de su distribución. No se debe contestar a los mensajes 'spam' (publicidad no deseada) ya que al hacerlo se reconfirma la dirección. Mantenerse Informado: Sobre todo de las novedades de seguridad informática, a través de los boletines de las compañías fabricantes de

4 'software', así como de los servicios de información y boletines del Centro de Alerta Antivirus, sobre las nuevas apariciones de virus informáticos. Si se sabe cómo actuar ante una situación de riesgo, se podrá minimizar al máximo las posibles pérdidas. Utilizar la papelera: Todos aquellos correos que resulten sospechosos, si no se conoce al remitente o presentan un 'Asunto' desconocido, deben ir a la papelera. Es importante vaciarla después. 3. Establecer procedimientos, planes y políticas de seguridad: Son pocas las entidades que disponen de una política de concientización que indique cuál es el uso adecuado que se debe dar a los sistemas de información de la empresa. Es necesario conseguir que los empleados sean conscientes de la política y la respeten. El objetivo principal es que los empleados de la empresa utilicen los recursos de información de manera constructiva. 4. Erradicar la falsa percepción de seguridad utilizando como herramienta la información y la sensibilización: La falsa sensación de seguridad se convierte en mayor inhibidor para que la se puede desarrollar una buen programa de seguridad de la información, permitiendo que la vulnerabilidades sean fácilmente detectadas y explotadas. Se debe combatir de manera abierta la creencia de no necesitar este tipo de medidas. Mediante el conocimiento de los incidentes a los que se está expuesto logramos conocer los problemas de seguridad y eliminar las amenazas de manera contundente. 5. Implantar Sistemas de Gestión de la Seguridad de la Información (SGSI). La gestión de la seguridad de la información debe realizarse mediante un proceso sistemático, documentado y conocido por toda la organización. La utilización de un SGSI (sistema de gestión de la seguridad de la Información) permite dotar a la compañía de las herramientas o mecanismos necesarios para poder afrontar los riesgos. 6. Formación y Capacitación en materia de seguridad de la información a todos los niveles de la organización:

5 La actualización constante en los conceptos, permite mantener un sistema eficiente en materia de sustentación de la continuidad del negocio, la seguridad de la información es un tema que atañe a la a todos los niveles de las organizaciones y en especial debe ser tenido en cuenta en los planes estratégicos de la alta dirección. Es recomendable generar un plan de formación y capacitación en esta materia el cual debe ser aplicado de manera real y eficaz. De la seguridad de la información dependen aspectos fundamentales en el desarrollo de las organizaciones. Esperamos que estas recomendaciones y conceptos sean de mucha utilidad para cada uno de ustedes y no tengan ningún reparo en aplicarlas, recuerden las palabras de Jean-Jackes Pertus No hay que perder de vista que lo que cuesta caro no es la seguridad, lo que cuesta caro es la inseguridad. Gerente de Negocios Estratégicos SEGURIDAD ONCOR LTDA.