Índice. 1. Diagnóstico 2. Iniciativas 3. Caso Particular: efraude sobre Dominios.es 4. Formación e información 5. Retos y oportunidades INTECO

Transcripción

1 Cuarta jornada de la segunda edición de la Cátedra de Riesgos en Sistemas de Información: Compliance, Controles Internos y Gestión de Riesgos en el ámbito del Sector Bancario Español Marcos Gómez Hidalgo Subdirector econfianza INTECO Diagnóstico de Seguridad de la Banca Online y el resto de actores implicados Índice 1. Diagnóstico 2. Iniciativas 3. Caso Particular: efraude sobre Dominios.es 4. Formación e información 5. Retos y oportunidades 2 1

2 1. Diagnóstico Nuestro Usuario: 22 millones de internautas. Crecimiento exponencial de usuarios de banca y transacciones online: más de millones de transacciones al año, mas de 18 millones de usuarios de banca. Incremento del número de usuarios que acceden a servicios on-line: 23,4% ha comprado a través de Internet según el INE. Conciencia de seguridad: Aumento de reclamaciones por parte de los usuarios: El Servicio de Reclamaciones del Banco de España recibió un total de reclamaciones o quejas de usuarios de servicios financieros en el primer trimestre de 2008, lo que significa un incremento del 8,7% en relación al mismo período de Diagnóstico Cultura de Seguridad del usuario 4 2

3 1. Diagnóstico Nuestro Banca: Más de 200 entidades bancarias. Más de 6 años de experiencia en servicios online. Más de 18 millones de usuarios y más de millones de transacciones online. Oferta heterogénea de productos y servicios. Servicios y productos de gran relevancia: Carteras y fondos de inversión. Depósitos ( millones de durante el año 2007, un 3,5-4 % del total de depósitos) Diagnóstico Nuestro Banca: Cuántas redes y sistemas?: Al menos 2 redes: Corporativa y servicios al cliente + Servicios de Internet. Posibilidades: Red Corporativa: de trabajo del empleado Parametros/política de Seguridad? da sólo servicio al empleado? Red de cajeros Red de sistemas al cliente en oficinas. Red de Sistemas y Servicios de Internet: Banca Online. Cuántas políticas de seguridad? Cuántos responsables de sistemas y/o seguridad? Qué sistemas tienen recursos en común? Qué formación tienen los empleados?: Directivos Empleados internos. Empleados de cara al cliente. Sistemas y Seguridad física y lógica. 6 3

4 1. Diagnóstico Las amenazas: Datos publicados Informes del Anti-Fraud Command Center de RSA. Ranking de países hacia los que se dirigen ataques: - España con Presencia variable puesto 4 a 7 Ranking países alojadores: -España con Menciones puntuales en el puesto 10 - Baja utilización de recursos españoles para alojar phishing No hay referencias a dominios.es 7 1. Diagnóstico Las amenazas: Datos publicados Informes del Anti-Phishing Working Group España: Actualmente NO aparece entre los 10 primeros alojadores de phishing. Apariciones puntuales como alojador de troyanos en puestos del 7 al 10. Diciembre

5 1. Diagnóstico Las amenazas: Datos publicados Informe de fraude online 2007 y primer semestre Diagnóstico Las amenazas: Datos del Servicio de antifraude de INTECO-CERT Páginas fraudulentas detectadas Consideraciones: 400 Datos desde la puesta en marcha del servicio en abril de Las actuaciones se centran en la 280 atención a: Ataques a entidades españolas Ataques que utilizan recursos 160 ubicados en España: Dominios.es o ISPs españoles Fuentes de información de nuevos casos a través del buzón de fraude@cert.inteco.es: Ciudadanos y Entidades extranjeras desde Enero sep-07 oct-07 nov-07 dic-07 ene-08 feb-08 mar-08 abr-08 may-08 jun-08 jul-08 ago-08 sep-08.es otros TOTAL 10 5

6 2. Iniciativas Iniciativas para recolección de datos globales (I) Repositorio de Fraude Electrónico de INTECO Recoge información estructurada de todos los tipos de fraude a partir de los casos de fraude electrónico detectados: Detalles técnicos de los recursos y servicios electrónicos utilizados y/o afectados. Otra información: ingeniería social asociada, comportamiento atacante, peculiaridades id d del caso, etc. Explotación de la información recogida: Estadísticas detalladas de los casos detectados. Correlación entre recursos y servicios electrónicos presentes en diferentes casos, ataques dirigidos, etc. Estudio de la evolución del fraude electrónico en España. Detección de nuevas tendencias de fraude. Evaluación de la incidencia del fraude en el usuario Iniciativas Iniciativas para recolección de datos globales (II) Grupo de trabajo de FCSE Creado en diciembre 2007 y coordinado por INTECO, participan: CNP Brigada de Investigación Tecnológica Guardia Civil Grupo de Delitos Telemáticos Mossos d Esquadra Unidad de Delitos Informáticos Ertzaintza Sección de Delitos en Tecnologías de la Información Centro Criptológico Nacional Banco de España Objetivo: Poner a disposición de las FCSE un repositorio centralizado de información técnica de casos de fraude electrónico. 12 6

7 2. Iniciativas Iniciativas para recolección de datos globales (III) Grupo de Trabajo de Entidades Financieras Creado en Enero de 2008 y coordinado d por ASNEF. Objetivo: Evaluar vías de comunicación para la aportación de datos de fraude electrónico al Repositorio de Fraude de INTECO. Estado actual: En proceso de aprobación de propuesta de comunicación entre INTECO y entidades. Beneficios para las entidades: Acceso a la información estructurada del repositorio. Complemento a sus servicios de seguridad Iniciativas Iniciativas para recolección de datos globales (IV) Detección y estudio de malware INTECO dispone de recursos para detectar y analizar el malware utilizado en intentos de fraude Detección: para detectar malware utiliza un rastreador de páginas web. Análisis: el equipo de I+D analiza las muestras obtenidas. Los resultados de ambas pruebas se contrastan con los datos recogidos en nuestra base de datos de virus y vulnerabilidades. 14 7

8 2. Iniciativas Iniciativas para recolección de datos globales (V) Red de sensores de SPAM Sensores distribuidos para capturar direcciones IP origen de SPAM análisis del correo emitido desde 1,5 millones de direcciones IP al día Objetivo: Establecer relaciones con la distribución de malware y fraude. CORREOS ELECTRÓNICOS Actuación contra fraudes en dominios.es Protocolo.es Objetivos: Generación rápida de notificaciones Acopio de información y análisis de casos A largo plazo, minimizar la presencia de intentos de actividades fraudulentas bajo dominios.es 16 8

9 3. Actuación contra fraudes en dominios.es Datos del Servicio de fraude de INTECO-CERT Actuación contra fraudes en dominios.es Entidades suplantadas según RSA 18 9

10 3. Actuación contra fraudes en dominios.es Tendencias: No es necesario registrar un dominio similar Reutilización de dominios para suplantación de diferentes entidades: 30 dominios contra 6 entidades diferentes en 48 horas Resultados Protocolo.es: Se ha notificado un total de 248 dominios.es relacionados con casos de fraude. El inicio del procedimiento de cancelación de oficio se ha iniciado tras un periodo medio de 24 horas. La resolución de cancelación de oficio de dominios notificados como fraudulentos se ha producido tras un periodo medio de 15 días naturales Servicios de formación e información Promoción de seguridad por parte de las entidades (I) Información al usuario integrada en el propios portales de prestación de servicios: Advertencias sobre las políticas de seguridad de la entidad Demos de acceso y utilización de los servicios on-line Recomendaciones para creación y gestión de claves seguras Información sobre medios adicionales de autenticación en el momento de solicitarlos (tarjetas de coordenadas, OTP, etc. ) Advertencias para comprobación de datos introducidos 20 10

11 4. Servicios de formación e información Promoción de seguridad por parte de las entidades (II) Contenidos para la formación del usuario en el uso seguro de los servicios: contenidos interactivos vídeos y animaciones didácticas información general, etc Servicios de formación e información Promoción de seguridad por parte de la administración (I) INTECO-CERT para PYMES y Ciudadanos Servicio público de información y formación: Virus, Vulnerabilidades, Spam. Información sobre actualizaciones de software, parches etc.. Guías y Manuales. Buenas prácticas. Preguntas frecuentes

12 4. Servicios de formación e información Promoción de seguridad por parte de la administración (II) INTECO-CERT para PYMES y Ciudadanos Útiles gratuitos de seguridad Zonas de seguridad por plataformas: Linux, Microsoft, MacOS, Dispositivos Móviles Servicios de formación e información Promoción de seguridad por parte de la administración (III) INTECO-CERT para PYMES y Ciudadanos Información sobre fraude electrónico: Métodos y tipos de fraude Servicio de Gestión de fraude electrónico: fraude@cert.inteco.es Cómo evitar ser víctima Dónde acudir cuando el fraude ya se ha cometido 24 12

13 5. Reto/oportunidad de fomento seguridad Conciencia de seguridad Conocimiento de herramientas Protección del entorno. Mejorar la usabilidad y disminuir la gestión. Uso adecuado de herramientas que proporciona la entidad Comportamiento responsable Reto y oportunidad para usuarios, administración y las entidades Retos VS oportunidades Algunos retos Consolidación del mercado de la banca online. Mantener la confianza del usuario y conseguir su fidelidad. Seguridad contra usabilidad. Mercado de la seguridad de la banca online. Integración de nuevas herramientas: Para la gestión y protección. Para la identificación. Políticas proactivas de vigilancia y prevención ante nuevas amenazas. Coordinación nacional e internacional en la prevención del fraude. Banca online como dinamizador de la innovación en seguridad. Que en realidad son oportunidades Dinamización del sector financiero. Acceso a nuevos productos y servicios. Optimización de costes del servicio. Más cambios en el esquema tradicional: Oficinas tradicionales Vs. Oficinas virtuales Acceso a nuevos mercados: núcleos urbanos sin oficina pero con internet expansión internacional on-line Mejora de la competitividad en el mercado español

14 5. Retos VS oportunidades Algunos retos Análisis y taxonomía de: Servicios, Sistemas (análisis de diversas redes en función de distribución geográfica), Empleados, Políticas de seguridad, Formación, etc. Implantación de políticas de seguridad por entorno. Implementación de análisis de riesgos disminución del impacto de las amenazas. Auditoría de seguridad continua. LA SEGURIDAD DE UNA GRAN EMPRESA PASA POR LA SEGURIDAD DE LOS SISTEMAS Y REDES PERO TAMBIÉN POR LA SEGURIDAD DE LAS PERSONAS Y LOS PROCEDIMIENTOS 27 Preguntas Muchas gracias 28 14