Cybersecurity News
Mostrando entradas con la etiqueta riesgo. Mostrar todas las entradas
Mostrando entradas con la etiqueta riesgo. Mostrar todas las entradas

El bastionado de equipos y redes, crucial en la ciberseguridad corporativa



La protección de los sistemas y datos existentes en las organizaciones debe de ser la prioridad número uno. Existen multitud de estrategias, modus operandi, mecanismos, servicios y herramientas para conseguirlo. Una de ellas es el bastionado de equipos, dispositivos y redes corporativas.

El bastionado consiste en una estrategia de ciberseguridad especialmente orientada a fortalecer la defensa de los sistemas informáticos/digitales de las empresas con el objetivo final de protegerlos contra riesgos y amenazas, ya sean estos internos y externos. De este modo se pueden prevenir gran cantidad de incidentes y ciberincidentes provocados por vulnerabilidades, brechas de seguridad, etc.

Las tareas de bastionado deben ser definidas e implementadas por profesionales expertos, que, de forma personalizada, aplicarán lo justo y necesario para cada estructura, arquitectura, dispositivos, red de cada empresa en concreto.

Entre las tareas que podrán realizarán estos técnicos, podemos identificar las siguientes:

  • Diseño y definición de maquetas seguras. Antes de implementar cualquier sistema o red, es fundamental diseñar una maqueta segura. Esto implica planificar la arquitectura de la red, identificar puntos de entrada posibles para intrusos y determinar cómo se deben configurar los dispositivos y sistemas para minimizar riesgos.
  • Configuraciones seguras. Los servicios de bastionado requieren configurar cada componente del sistema (de forma independiente, pero pensando en la totalidad) de manera segura. Esto significa que se deberá tener en cuenta la definición y revisión de políticas de contraseñas sólidas, la desactivación de los servicios que ya sean innecesarios, las actualizaciones periódicas de software, así como las configuraciones generales, las de los firewalls y demás componentes que controlen el tráfico en la red.
  • Selección de aplicaciones. Saber elegir aplicaciones más adecuadas para cada caso, es de vital importancia. Las empresas deben de emplear software confiable y aplicaciones confiables que, en la medida de lo posible, carezcan de bugs o vulnerabilidades. Además, los responsables de ellas en las empresas, deben mantenerlas continuamente actualizadas a la última versión.
  • Gestión de identidad y acceso. Existen diferentes mecanismos, el principio de menor privilegio, etc. Pero es necesario identificar, definir, gestionar y controlar quién tiene acceso a qué. Esta es una tarea esencial del bastionado. Para conseguirlo, se deben implementar sistemas de autenticación sólidos y asegurarse de que tanto empleados, como socios, proveedores y colaboradores solo tengan acceso a lo estrictamente necesario.
  • Supervisión y detección de amenazas. Por supuesto, el contar con una monitorización continua y servicios/sistemas de detección de amenazas, es crítico, pues permite a las empresas una respuesta rápida en te incidentes o situaciones indeseadas.

Pero, ¿Cómo se realiza la labor de bastionado dentro de una empresa?:

  1. Evaluación de riesgos. Antes de ponerse manos a la obra, es necesario realizar una evaluación de riesgos, con el objetivo de identificar las posibles amenazas y riesgos a los que está expuesta la empresa y sus entornos.
  2. Planificación de la estrategia. Una vez conocidos los potenciales riesgos y amenazas, con esta información de contexto se puede definir una estrategia de bastionado. En ella se deben determinar los alcances, objetivos específicos, políticas de seguridad y, en concreto, elaborar un detallado plan de implementación del bastionado.
  3. Implementación gradual. Comencemos con la ejecución. Ésta debe realizarse de forma concienzuda y progresiva, prestando especial atención y priorizando las actividades de los sistemas considerados más críticos. A posteriori, el bastionado deberá irse ocupando del resto de sistemas, dispositivos y redes.
  4. Mantenimiento continuo. Esta actividad no debería ser un hito que se realiza en una ocasión y se considera como finalizada. El bastionado requiere una revisión, gestión y mantenimiento constante que pasa por la ejecución repetitiva y periódica del plan, que incluirá la aplicación de parches de seguridad, actualización de políticas y revisiones periódicas de la estrategia, del plan ejecutado y del estado actual.
  5. Educación y concienciación. Por último, la concienciación, capacitación, formación y entrenamiento de la plantilla es clave, pues ésta será quien maneje las aplicaciones y sistemas corporativos. No se trata solo de que conozcan y manejen aspectos clave de ciberseguridad, sino que, además, deben estar informados y actualizados sobre las políticas establecidas y conocer perfectamente las recomendaciones y buenas prácticas a aplicar en todo momento.

Pero, las empresas no cuentan con un equipo experto dedicado a esta actividad, por lo que subcontratan este tipo de servicios especializados de ciberseguridad, ciberdefensa y ciberinteligencia, como los que ofrecemos en ZerolynxBastionado de Equipos y Redes.

¿Quieres que te ayudemos en el bastionado de los equipos y redes de tu empresa?

Puedes ampliar detalles sobre nuestros servicios visitando la página de Zerolynx.

Si lo prefieres, contáctanos y hablamos.

GRC, resiliencia y servicios de Análisis de Cumplimiento Normativo

 



El panorama actual al que las empresas se tienen que enfrentar en materia de seguridadprivacidad ciberseguridad, es complejo y dicha complejidad crece exponencialmente con el tiempo.

Si ese, junto con la protección y prevención, es uno de los puntos sobre sobre los que las empresas deben poner foco, no lo es menos el cumplir con los requisitos normativos al respecto.

Quizá todas no (aunque convendría que sí) pero, dependiendo de su actividad, sector al que se dedican, tamaño, tipo de clientes, etc., muchas empresas estarán obligadas a cumplir con determinadas normativasdirectivasreglamentosregulaciones leyes. Y, en caso de no cumplir con ellas, además de estar expuestas a posibles incidentes, podrán verse afectadas por sanciones multas por dicho incumplimiento.

El objetivo final es la seguridad, la protección, la prevención y la resiliencia. Por ese motivo, la regulación en materia de protección de datosseguridad ciberseguridad es clave y se ampara en la necesidad de implementar robustos sistemas de GRC (Gobierno GobernanceRiesgo Gestión del Riesgo / Risk Management y Cumplimiento Compliance) en las organizaciones afectadas.

Pero, ¿conocemos las normativas que podrían afectar o aplicar en nuestra empresa? ¿Sabemos si tenemos obligatorio cumplimiento de las mismas o sólo a nivel de recomendación? ¿Sabemos si las cumplimos y en qué grado las cumplimos? Y, si no las cumplimos, o no al 100%, ¿sabemos qué tenemos que hacer para cumplirlas?¡Quizá haya que ponerse a ello lo antes posible!

Pero, en términos de GobiernoRiesgo Cumplimiento (GRC) respecto a la ciberseguridad, ¿de qué estamos hablando exactamente? Hablamos del establecimiento, implementación y gestión de determinadas políticasprocedimientosrecursosmodos de funcionarservicioscontrolestecnologías, etc., en nuestra empresa, con las que poder garantizar que cumplimos con los principales marcos normativos internacionales de seguridad.

Existen multitud. Pero centrándonos en marcos o normas relativas a la ciberseguridad y a la protección de datos, entre las cuales podríamos identificar las siguientes (entre muchas otras):

  • ISO/IEC (International Standarization Organization), y concretamente, la norma ISO 27001, que se focaliza en garantizar la seguridad, confidencialidad e integridad de los datos en los sistemas digitales que los procesan.
  • NIST (Instituto Nacional de Estándares y Tecnología).
  • CIS (Centro de Ciberseguridad), que ofrece controles críticos de seguridad para la prevención y mitigación de ciberamenazas.
  • Directivas NIS y NIS2 (Network and Information Security), directiva europea para garantizar la seguridad en las redes y sistemas TI de la Unión Europea.
  • ENS (Esquema Nacional de Ciberseguridad), que establece la política de seguridad para el uso de medios electrónicos en la Administración Pública (afectada y obligada y las empresas que trabajen con ella).
  • RGPD / GDPR (Reglamento General de Protección de Datos), para el establecimiento de normas de protección de los derechos y libertades en lo que a los datos personales respecta.
  • LOPDGDD (Ley Orgánica de Protección de Datos y Garantía de los Derechos Digitales), que viene a -sustituir a la antigua LOPD (Ley Orgánica de Protección de Datos) y trata de ser la equiparación de la RGPD al ordenamiento jurídico español.
  • LSSICE (Ley de Servicios de la Sociedad de la Información y comercio Electrónico), que regula cómo deben ser los servicios TI y las contrataciones electrónicas.
La adhesión a estas normativas no solo es un requisito legal en muchos casos, sino que también es esencial para proteger los activos digitales de la empresa y la confianza de los clientes.

Por tanto, la evaluación del cumplimiento normativo es el primer paso en el proceso de consecución de un buen modelo GRC en materia de privacidad ciberseguridad.

Esto implica un análisis exhaustivo por parte de expertos de las prácticas de seguridad y privacidad de la empresa, teniendo en cuenta los requisitos establecidos por los marcos normativos aplicables a cada caso.

En dicha tarea, los analistas revisan las políticas procedimientos existentes en la organización, identifican vulnerabilidades y brechas de seguridad, y, con todo ello, determinan acciones de mejora y/o correctivas para incrementar el cumplimiento al mayor nivel posible.

Tras una concienzuda evaluación del cumplimiento normativo por parte de expertos, la empresa debe realizar una serie actividades recomendadas, con el fin de garantizar la adecuación técnica al cumplimiento normativo en materia de ciberseguridad, correspondiente al framework que haya sido analizado.

Digamos que el ejercicio o servicio profesional se compone de dos fases. La primera de ellas la auditoría del estado actual y la segunda de ellas la consultoría. El asesoramiento técnico profesional y experto, es vital, orientando sobre las medidas específicas que una organización concreta debe tomar para cumplir con los requisitos normativos.

La implementación de medidas para alcanzar un buen nivel de GRC, implica:

  • Configuración y administración de sistemas de seguridad.
  • Concienciación, educación y capacitación del personal en las políticas de seguridad.
  • Implementación de controles y medidas técnicas de seguridad.
  • Definición y aplicación de un Plan de Respuesta a Incidentes.
  • Definición y puesta en marcha de una nueva estrategia y de consultorías periódicas.
Como decíamos, cada empresa, dependiendo de su sector, mercado, tipo de clientes, volumen, etc., tendrá sus propias necesidades y desafíos particulares y únicos en el ámbito de la ciberseguridad y la privacidad.

Esto es lo que hace necesario que, cada una de ellas, cuente con estrategias de consultoría y acción personalizadas, adaptadas 100% a las casuísticas específicas de cada empresa, con un enfoque particular para abordar ausencias detectadas y diseñar soluciones convenientes ajustadas a las circunstancias particulares de cada organización.

Las empresas no cuentan con un equipo experto dedicado a esto, por lo que subcontratan este tipo de servicios especializados de ciberseguridad y ciberinteligencia, como los que ofrecemos en ZerolynxGRCAnálisis de Cumplimiento Normativo y Adecuación Técnica para el Cumplimiento Normativo.

¿Quieres que averigüemos si tu empresa cumple con la/s normativa/s que le pueda/n afectar y, si no cumple, indicarte qué debes hacer para cumplir?

Puedes ampliar detalles sobre nuestros servicios visitando la página de Zerolynx

Si lo prefieres, contáctanos y hablamos.





Los riesgos del Shadow IT en las organizaciones



Curioso término el de Shadow IT. Algo como “Sombra o fantasma de IT”, que viene a consistir en el conjunto de todos los sistemas, servicios, aplicaciones, software y dispositivos que los empleados de una empresa utilizan en ella sin que el departamento de TI sea consciente y quizá incluso sin que sean elementos corporativos o cuyo uso se haya aprobado.

Del mismo modo, aquellos activos digitales, servicios, sistemas y aplicaciones que quizá la empresa utilizó (internamente o hacia el público externo) en el pasado pero que cayeron en el desuso, en la obsolescencia, en el olvido, podrían consistir en parte del “inventariado de Shadow IT” de una compañía, ampliando así la superficie de ataque y exponiéndola a futuros problemas de seguridad.

Esto, al margen de parecer una nimiedad, puede entrañar graves riesgos y amenazas para la ciberseguridad de cualquier organización. Por ese motivo es crítico identificar qué empleados realizan esta actividad, con qué herramientas, cómo, y qué otras herramientas corporativas descontroladas existen para tomar medidas al respecto que eliminen o mitiguen riesgos.

Las políticas y procedimientos establecidos a nivel corporativo, son vitales y de obligatorio cumplimiento para toda la plantilla. En realidad, un empleado que se salte dichas reglas está incurriendo en una falta muy grave, pudiéndosele considerar incluso como un insider.

Asimismo, el mantenimiento (e incluso la retirada) de los activos, servicios, aplicaciones y sistemas en desuso o no actualizados de la organización, es una tarea que debería ser obligatoria para todo departamento de IT que se precie.

Los empleados recurren al Shadow IT como alternativa cuando los servicios, aplicaciones y herramientas corporativas son complejas, difíciles de utilizar, lentas, antiguas, etc. Algunos servicios o aplicaciones habitualmente utilizadas como Shadow IT podrían ser las colaborativas, dispositivos, repositorios o incluso nubes propias personales, servicios de videoconferencia y mensajería, etc., todas ellas no autorizadas previamente por el departamento de TI ni la organización.

Por tanto, el Shadow IT provoca una brecha de seguridad amplia y continua ya que esas herramientas que utilizan los empleados de forma no autorizada, no están controladas, ni gestionadas, siendo imposible mantenerlas y tampoco actualizados. Esto se traduce en que la empresa se encontrará desprotegida ante una posible explotación de vulnerabilidades y otras consecuencias.

Nuestro servicio de Búsqueda de Shadow IT, identifica riesgos a través de la búsqueda de activos e infraestructuras expuestas que no se encuentran bajo el control del área de IT.

¿Qué deberían hacer las organizaciones? El primer paso debería ser la identificación. La búsqueda de Shadow IT requiere que se rastreen y monitoricen proactivamente todas y cada una de las actividades tecnológicas para identificar aplicaciones, servicios y sistemas no autorizados en le organización. Para ello se pueden realizar tareas de:
  • Auditoría de software en todos los dispositivos y sistemas corporativos, para identificar aplicaciones no aprobadas.
  • Control de acceso para identificar quién tiene acceso a recursos no autorizados.
  • Monitorización de los servicios y sistemas en la nube corporativa, para identificar cuentas utilizadas sin permisos.
  • Análisis del tráfico de red, en busca de dispositivos y servidores desconocidos no inventariados, conexiones extrañas, comportamientos y patrones inusuales, etc.
Cuando ya conozcamos y tengamos identificados los focos de Shadow IT, deberíamos realzar un análisis de riesgos de cada uno de ellos, determinando si podrían llegar a provocar problemas de accesos indebidos, fuga de datos, agujeros de seguridad debido a vulnerabilidades, etc.

El siguiente paso es la mitigación de riesgos, gracias al conocimiento obtenido previamente y al análisis de lo detectado. Es necesario tomar medidas entre las cuales pueden estar la eliminación de los elementos Shadow IT detectados, la concienciación de empleados, e incluso la aceptación de dichas herramientas y su consistente y segura integración entre las herramientas corporativas de la empresa.

¿Te ayudamos a encontrar os Shadow IT de tu empresa?

Puedes ampliar detalles sobre nuestros servicios visitando la página de Zerolynx

Si lo prefieres, contáctanos y hablamos.



Análisis de riesgos de ciberseguridad en entornos cloud



Nuestro servicio de Análisis de Entornos Cloud presta a las empresas el apoyo técnico necesario para el chequeo del nivel de ciberseguridad de sus entornos y servicios cloud en la nube (propia y/o de terceros) y detectando y analizando los riesgos potenciales de los mismos, para tratar de darles solución.

Hoy en día la mayoría de las empresas, ya sean micropymes, pymes, medianas empresas, grandes organizaciones o multinacionales, ya cuentan son entornos en la nube, suyos o de terceros, y de diferentes índoles.

Y, las que no los tienen, están migrando a ellos o lo irán haciendo en breve, puesto que les da más versatilidad, ventajas y beneficios como el retorno de la inversión, la simplicidad, la escalabilidad de entornos, sistemas y servicios, la flexibilidad, la eficiencia, etc.

Pero esto también entraña otro tipo de exposición, riesgos y amenazas, propios e inherentes al modelo cloud, en lo que a la ciberseguridad respecta. Ese es el motivo por que el que es necesario, ser conscientes de ellos, de los que nos afectan a nuestra empresa en concreto, para poder protegernos de ellos, mitigarlos o paliarlos.

Así, el análisis de riesgos de ciberseguridad en entornos cloud debe de ser una de las prioridades en las empresas a la hora de protegerse, proteger sus datos, activos, personal, operaciones y garantizar la continuidad del negocio.

Existirán múltiples tipos de amenazas, por lo que lo primero es identificarlas. Algunas de ellas podrán ser evidentes (dependiendo del tipo de empresa, el sector, etc.), tales como ataques de denegación de servicios, explotación de vulnerabilidades, configuraciones incorrectas, fallos o descuidos humanos, autenticaciones, modelos de acceso, perfiles, roles, políticas, privilegios, etc.

Por todo ello, es conveniente realizar búsquedas periódicas de vulnerabilidades concretas en nuestros entornos cloud y, con los resultados, tratar de resolverlas, aplicando actualizaciones, aplicando parches a errores o bugs, etc.

Como en cualquier análisis de riesgos y amenazas una vez identificados, debemos estudiarlos, valorarlos, asignarles una peligrosidad y capacidad de impacto, criticidad y prioridad en función de sus características, nuestro negocio y objetivos.

Con todo ello, el paso final es ponerse manos a la obra. De todo en análisis anterior se deben sacar unas conclusiones y un plan de acción, plan de mejora o plan de mitigación de riesgos desde el cual articular todas las medidas y controles a adoptar para fortalecer la ciberseguridad en nuestro entorno cloud.

A partir de ese momento, entramos en un nuevo ciclo PDCA (Plan, Do , Check, Act - Planificar, Hacer, Consultar y Actuar) donde la monitorización continua es de esencial importancia para volver a ese re-análisis de riesgos de ciberseguridad (que nunca debe detenerse).

Ese chequeo consistirá en otro tipo de servicios como la detección temprana de actividades sospechosas , la defensa, la prevención de ciberataques, la detección de intrusos, en análisis de comportamiento, el análisis de actividades sospechosas, etc., y el minimizar al máximo sus posibles efectos en caso de que ocurran.

¿Quieres que te ayudemos?

Puedes ampliar detalles sobre nuestros servicios visitando la página de Zerolynx.

Si lo prefieres, contáctanos y hablamos.


¿Sabes qué es un pentesting y como ayuda a tu empresa?



Si no has oído hablar antes de ello, quizá te suene a chino este término, pero es una excelente manera de verificar el estado de seguridad real de la empresa e identificar las vulnerabilidades y otros problemas de seguridad por donde ésta podría ser atacada, con el objetivo de corregirlos y estar mejor protegidos.

Quizá hayas oído hablar de él como test de penetración (penetration + testing) e incluso como hacking ético, aunque este último término guarda algunas pequeñas diferencias con el pentesting.

El pentesting consiste en el “intento de penetración o acceso”, intencionado, pero sin un objetivo malicioso, a los sistemas informáticos de una organización, para desvelar posibles problemas de seguridad y poder tomar medidas.

Así, un servicio de pentest busca y analiza todos los posibles agujeros y fallos de seguridad informática que puede tener un determinado sistema (la web, aplicaciones corporativas, etc.), valorando también su criticidad, alcance, y el posible impacto en caso de que alguien consiguiese explotar dichas vulnerabilidades.

Sin embargo, el hacking ético va un poco más allá completando al pentesting, puesto que, no sólo se centra en la localización e identificación de vulnerabilidades, sino que, una vez encontradas, su siguiente objetivo es la explotación de dichas vulnerabilidades, como si de un ciberataque provocado por un ciberatacante se tratase.

Un ejercicio de pentest puede plantearse de dos modos:

  • Focalizándose en el análisis y la detección de vulnerabilidades y riesgos en la superficie corporativa que se encuentra expuesta en Internet, lo que se denomina pentest externo.
  • O centrándose en la búsqueda de agujeros de seguridad en la red corporativa y en las actividades que podía llevar a cabo un atacante que haya conseguido entrar en ella, o incluso un insider que trabaje en la organización, lo que se conoce como pentest interno.
Por otro lado, existen tres tipos de pentests:

  • De caja negra, donde no se cuenta inicialmente con ningún tipo de información acerca de la empresa ni de los sistemas informáticos de la misma que van a ser analizados (black box pentesting).
  • De caja blanca, donde se cuenta inicialmente con toda la información posible acerca de la empresa y de todos los sistemas informáticos de la misma que van a ser analizados (white box pentesting).
  • De caja gris, que es una mezcla de los dos anteriores, donde se cuenta inicialmente con información parcial o incompleta de la empresa y de los sistemas informáticos de la misma que van a ser analizados (grey box pentesting).
Este tipo de servicios de seguridad ofensiva debe de ser prestado por expertos en ciberseguridad que aplican sus amplios conocimientos y experiencia, siguiendo un plan de actuación concreto y unos determinados pasos, de forma metódica:

  • En primer lugar, su objetivo es localizar toda la información posible sobre la empresa y sobre cada uno de sus sistemas de informáticos, a modo de descubrimiento de objetivos.
  • En segundo lugar, encuentran las vulnerabilidades que estén afectando a dichos sistemas.
  • En tercer lugar, analizan las vulnerabilidades encontradas y cómo podrían afectar a los sistemas informáticos y a la empresa.
  • Si se trata de un hacking ético, se dedican a la explotación de vulnerabilidades encontradas.
  • Y, finalmente, preparan un informe de conclusiones y recomendaciones, para solventar todos los problemas encontrados.

¿Conoces nuestros servicios de pentesting? ¿Podemos ayudarte?

Puedes ampliar detalles sobre nuestros servicios de Pentesting visitando la página de Zerolynx.

Si lo prefieres, contáctanos y hablamos.








Ciberamenazas: el mayor riesgo para las empresas en 2022


El Informe de Riesgos Globales 2022 (The Global Risks Report 2022) analiza las principales alarmas a nivel internacional con carácter anual y las clasifica en función de su impacto e incertidumbre. Este año el catálogo se compone de 37 riesgos globales.  

Uno de los riesgos a considerar es la falta de seguridad cibernética. Nuestra, cada vez mayor, dependencia de sistemas digitales ha convertido la ciberseguridad en uno de los principales desafíos que enfrenta la humanidad y, la falta de esta, en una amenaza que supera la capacidad de las sociedades para prevenirla y gestionarla eficazmente.  A nivel global en el año 2021 ha habido un incremento de un 358% de ciberataques basados en software malicioso (malware) y un 435% en secuestro informático (ransomware). Esto, sumado a los 3 millones de profesionales necesarios en todo el mundo, convierten a las ciberamenazas en un riesgo cada vez más cercano y real. 

Ante estos ciberataques, podemos ayudar a protegerte, para más información sigue este enlace. Y si quieres conocer más información sobre los riesgos globales de 2022, consulta el informe completo