Con la colaboración de la Asociación Ecuatoriana de Ciberseguridad, AECI, elaboramos un listado de las 10 amenazas y las 10 soluciones de seguridad informática más comunes entre las empresas ecuatorianas.
Este ranking se puso a consideración de líderes de tecnología y de seguridad para tener una idea sobre las percepciones sobre éstos dos rubros y nos permitan conocer de buenas prácticas frente a dichas amenazas.
1.- Fuga de información crítica o estratégica
Acciones preventivas
CIO Delcorp
Seguir algunas políticas como firma de acuerdos de confidencialidad a todos los funcionarios, informar sobre las políticas de uso de internet, email, computadoras portátiles, dispositivos externos de almacenamiento. Además, implementarherramientas de protección al hardware, software, redes, contar con un buen sistema de respaldo de información automatizado. Y procedimientos internos dentro de IT que incluyan revisión de logs, filtraciones del lado de usuarios internos, número de bloqueos.
2.- Empleados descontentos, no cualificados, o no capacitados
Ingeniería social y capacitación
David Chiriboga, jefe de proyectos de GMS, señala que existen empresas en la región que han perdido más de 500 mil dólares por ataques de ingeniería social. Una situación que bien puede prevenirse con políticas de seguridad y concientización de sus colaboradores.
Para Chiriboga una inversión adecuada en concienciación costaría apenas el 2% de esa posible pérdida y evitaría un impacto económico muy fuerte para las empresas.
Una adecuada Gestión de Ingeniería Social a través de la concientización en base a la experiencia del usuario permite que el usuario sea capaz de detectar un posible ataque. Esta metodología se diferencia de las tradicionales charlas y/o capacitaciones esporádicas que tienen muy baja efectividad.
3.- Violación a la privacidad de los datos
Almacenamiento, cifrado y copias de seguridad
Oficial de Seguridad de la Información
Banco Solidario
Para asegurar la información de las amenazas que ponen en riesgo la confidencialidad, integridad y disponibilidad se debe establecer un proceso de almacenamiento con esquemas de cifrado de los datos más sensibles y complementarlo con copias de seguridad fiables de la información relevante.
Las copias de seguridad se pueden hacer en dispositivos externos, en servidores especializados o en la nube, sin dejar de lado un esquema de cifrado sea cual fuese el repositorio de la información.
4.- Abuso de derechos con uso indebido de credenciales de acceso
Gestionar el acceso a información de los usuarios
Jefe de Inteligencia y Seguridad Informática
Corporación Maresa
Con los permisos únicos podemos limitar la colaboración, edición, lectura e inclusive permisos para usuarios externos a la organización con períodos de caducidad y limitaciones al compartir la información.
De igual manera, se debe crear alertas a la medida para identificar accesos indebidos y un monitoreo constante para mitigar el riesgo de fuga de información.
Además, de las herramientas tecnológicas de control es de mucha importancia la concientización a los usuarios, un tema en el que trabajamos arduamente en Corporación Maresa.
5.- Ramsomware
Medidas preventivas frente al ransomware
Gerente de Tecnología Informática de Leterago
En 2018 en Leterago del Ecuador desarrollamos una estrategia de capacitación a los usuarios basados en los resultados de un programa de Ethical Hacking.
Con la metodología se exploró las vulnerabilidades de seguridad las mismas que se concentran en las personas. A partir de allí, tomamos acciones como capacitación obligatoria sobre ataques de ingeniería social, campañas de contraseña segura, detección de correo malicioso y acceso seguro a Internet.
Logramos una reducción del 30% en la efectividad de los ataques luego de la capacitación.
una estrategia de capacitación a los usuarios basados en los resultados de un programa de Ethical Hacking. Con la metodología se exploró las vulnerabilidades de seguridad las mismas que se concentran en las personas. A partir de allí, tomamos acciones como capacitación obligatoria sobre ataques de ingeniería social, campañas de contraseña segura, detección de correo malicioso y acceso seguro a Internet.
Logramos una reducción del 30% en la efectividad de los ataques luego de la capacitación.
6.- Spear fishing
Estrategia para disminuir robos
Coordinador Nacional de Infraestructura de Acerocenter
En Acerocenter:
se han manejado estrategias de seguridad que permitan disminuir los robos de información con fines maliciosos.
Se han realizado bloqueos de puertos USB y seguimiento de correo electrónico para evitar que los usuarios intenten sacar información de la empresa.
Además, se han realizado campañas de concientización.
7.- Ataques a infraestructuras críticas del Estado
Asegurar la arquitectura
Director de Sistemas
CNEL EP
Se debe seguir un conjunto de prácticas.
Análisis detallado de brechas de seguridad considerando todas las capas de la arquitectura de los servicios.
Contrastar el cumplimiento de las Políticas Internas de Privacidad y de Seguridad con las condiciones que guarda el tratamiento real de los datos dentro del catálogo de servicios.
Seguimiento y monitoreo permanente con actualizaciones oportunas contra amenazas identificada a través de servicio de escaneado de malware y spam, preferiblemente con un algoritmo especializado capaz de clasificar y calcular el nivel de las amenazas.
8.- Amenazas Avanzadas Persistentes
Herramientas Anti-APT´s
PwC Risk Assurance Director
Las APT son prácticamente imposibles de ser detectadas manualmente. Para gestionar esta amenaza se deben implementar herramientas anti APT que mediante el uso de inteligencia artificial permiten identificar ataques mediante la recolección y análisis de información, y enviar alertas y/o bloquear el ataque. Es importante adoptar una metodología apropiada para la implementación de la herramienta que considere: configuraciones de la herramienta, registro de eventos, definición de alertas, políticas y procedimientos y el esquema de gestión de incidentes.
9.- Troyanos Financieros
Aplicación de metodologías
Oficial de Seguridad de la Información/Cooperativa de la Policía Nacional.
Asegurar la información según el grado de criticidad o de importancia aplicando varias metodologías como políticas, controles o planes de tratamiento para disminuir el riesgo en las organizaciones.
En la Cooperativa Policía Nacional aplicamos las normas ISO27001 (Información Security) que nos ayuda a obtener controles sistematizados, de igual manera integramos métodos internacionales de protección de información como MAGERIT para controles y planes de tratamientos por amenazas.
10.- Secuestro de dispositivos IoT
Acciones Anti-secuestro
Coordinador de Infraestructura de DPWorld
El secuestro de dispositivos IoT implica una amenaza y robo de datos a través de la red y el acceso a modificar la configuración de los dispositivos. Para evitar ser víctima de secuestros sobre todo de dispositivos inteligentes de hogar es necesario contar con un firewall especializado, cambiar las configuraciones por default con que vienen estos dispositivos IoT, por ejemplo IP default de configuración, usuario y clave. Eliminar o deshabilitar el acceso a los dispositivos IoT de usuarios anónimos, desactivar la gestión remota del dispositivo, agregar direcciones con permiso para gestionar remotamente el dispositivo IoT.