Herramientas de seguridad en la PYME – Garantía de seguridad
Contar con herramientas de seguridad TIC es fundamental si queremos alcanzar un adecuado nivel de seguridad en las organizaciones y en especial en las PYMES.
El concepto de seguridad en empresas y organizaciones ha evolucionado desde la seguridad informática, de carácter puramente técnico, hasta la seguridad TIC actual, o la seguridad de la Información, conceptos similares pero no iguales, que van más allá de aspectos puramente técnicos y que también hacen referencia a aspectos organizativos y jurídicos. De esta forma, cualquier organización que desee alcanzar un adecuado nivel de seguridad, deberá de atender no solo el ámbito técnico de la seguridad, sino también el jurídico y el organizativo. Los describimos brevemente a continuación:
•
Técnico: se refiere a los sistemas, los dispositivos, el software y cualquier elemento, mecanismo o aparato, que permite implementar seguridad.
•
Jurídico: se refiere al cumplimiento de la legislación en materia de seguridad TIC, que afecta a las organizaciones y las empresas, en función por ejemplo, de su actividad, del sector al que pertenecen o de los datos que utilizan en sus procesos de negocio.
•
Organizativo: se refiere al cumplimiento de normativas relativas a seguridad, como normas ISO, políticas de seguridad, buenas prácticas, etc.
Lo cierto es que en la realidad es muy difícil separar estos tres ámbitos, debido a la interrelación que existe entre ellos, en especial, entre el ámbito jurídico y organizativo, puesto que son muy similares y se complementan y a su vez se apoyan en el ámbito técnico.
En el mercado de soluciones de seguridad TIC encontramos multitud de soluciones que nos permiten alcanzar un adecuado nivel de seguridad en las organizaciones y las empresas, desde el punto de vista técnico, jurídico y organizativo. Los distintos proveedores ofrecen soluciones en forma de productos, como las soluciones contra código malicioso o los cortafuegos, además de soluciones en forma de servicios, como los relativos a adecuación y cumplimiento de LOPD, elaboración de planes de continuidad de negocio o auditoría técnica.
Debido a la tipología de las empresas españolas, el mercado de seguridad TIC nacional, ha ido orientándose a la PYME, puesto que en España, estas suponen más del 99% del tejido empresarial e industrial. Pero históricamente, la PYME siempre ha sido un objetivo difícil para los proveedores de soluciones de seguridad. Actualmente, esta tendencia ha cambiado, en gran medida debido a la mayor penetración de las TIC en las PYMES, como el uso de Internet o el correo electrónico, que han acercado las TIC a las PYMES, pero también nuevas amenazas.
Por otro lado, las amenazas actuales han cambiado, de forma que en la actualidad, la motivación detrás de la mayoría de las amenazas es fundamentalmente económica, por lo que cualquier empresa u organización, independientemente de su tamaño, ha pasado a convertirse en un objetivo de los cibercriminales.
A lo largo del siguiente apartado vamos a realizar un breve repaso sobre cuáles son las soluciones de seguridad fundamentales para cualquier PYME que haga uso de las TIC. En realidad, estas soluciones son independientes del tamaño de la empresa u organización, pero daremos alguna indicación específica para PYMES. En esta primera entrega, nos centraremos en soluciones de seguridad que están enfocadas a todas las empresas y organizaciones, independientemente de su tamaño o actividad. Veamos cuales son:
•
Protección contra código malicioso. La protección contra el código malicioso, también conocido como malware, es una de las prioridades de cualquier organización o empresa. Es un tipo de solución de seguridad que debería de estar presente siempre en cualquier organización, independientemente de su tamaño o actividad. Si dispone de sistemas informáticos, servidores o puestos de trabajo, ya sea en movilidad o en la oficina, es fundamental disponer de soluciones de este tipo. El elevado número de tipos de malware y su constante evolución, lo convierten en una de las amenazas más peligrosas y difíciles de combatir.
En las PYMES, por pequeñas que sean, se ha popularizado el uso de soluciones de seguridad, como las suites de protección en Internet, que incorporan herramientas de protección contra este tipo de amenazas. Hoy día, muchos fabricantes las proporcionan de forma gratuita para uso doméstico o personal.
•
Protección contra ingeniería social y fraude. Este tipo de soluciones, junto con las soluciones de protección contra el código malicioso, son una de las medidas de protección básicas y fundamentales hoy día. La ingeniería social, es decir, el engaño, se ha convertido en una de las principales herramientas de los grupos criminales en Internet, para conseguir información de los usuarios o infectar cientos de sistemas.
Por desgracia, las técnicas utilizadas son cada vez más sofisticadas y enfocadas a grupos de usuarios especifícos, de forma que, aunque las soluciones de seguridad nos pueden ayudar a luchar contra estas amenazas, el sentido común es la herramienta más importante que tenemos a nuestra disposición para luchar contra la ingeniería social y el fraude en Internet. Aún así, el mercado ofrece muchas soluciones, que en ocasiones están integradas en los propios navegadores de Internet y en las suites de seguridad, junto con soluciones contra código malicioso o cortafuegos, que ayudan a las empresas y las organizaciones a defenderse de este tipo de amenazas.
•
Contingencia y continuidad. Las soluciones de contingencia y continuidad, son soluciones destinadas a conseguir por distintos medios la supervivencia de la empresa u organización, después de un incidente de seguridad. Ejemplos muy representativos de este tipo de soluciones son las soluciones de copias de seguridad, que permiten mantener a salvo la información más importante de las organizaciones, sin la cual, no podrían desempeñar su actividad. Las soluciones de copias de seguridad, cada vez son más utilizadas, ante el riesgo de pérdida de información, pero es necesario extender más su uso y sobre todo su correcta utilización, puesto que es muy habitual contar con copias de seguridad pero desactualizadas.
Otras soluciones dentro de esta categoría son las herramientas de recuperación de sistemas, que permiten la restauración de sistemas completos, no solo de la información o la virtualización, entendida como solución de recuperación y despliegue rápido de infraestructuras en caso de desastre. Actualmente, están proliferando los servicios de copias de seguridad en la nube, con soluciones muy interesantes que permiten, por un precio reducido, contar con una copia de seguridad actualizada y transparente al usuario, pero hay que disponer de una conexión a Internet adecuada y conocer las garantías que nos ofrece el proveedor del servicio.
•
Protección de las comunicaciones. Desde el momento que una empresa u organización se conecta a Internet, aparecen un conjunto de amenazas, como los accesos no autorizados, los ataques de denegación de servicio o la interceptación de las comunicaciones, que precisan soluciones de seguridad destinadas a la protección de las comunicaciones, como son los cortafuegos, tanto corporativos como destinados al puesto de trabajo, las VPN (Virtual Private Networks) o la electrónica de red con funcionalidad NAC (Network Access Control).
Las amenazas que provienen de las redes de comunicaciones, no se originan exclusivamente en Internet, sino que también puede provenir del interior de las organizaciones. La protección de las comunicaciones es fundamental cuando se dispone de varias sedes u oficinas en distintas ubicaciones geográficas, o cuando se realizan habitualmente trámites a través de Internet.
Estas cuatro categorías, conforman una base fundamental de soluciones de seguridad necesarias en cualquier organización. A partir de aquí podremos ir mucho más lejos (próxima nota, parte II), siempre en función de los recursos disponibles y de las necesidades de la organización.
No debemos olvidar que las soluciones de seguridad no son más que una parte del puzle de la seguridad, y que, es necesario completar las soluciones técnicas, con una adecuada formación y educación en seguridad TIC y en el uso de las TIC. En relación con esto último, desde INTECO-CERT, estamos preparando un informe con el objetivo de ayudar a las empresas y organizaciones a educar y sensibilizar en el uso de las TIC.
Ahora vamos a conocer otro tipo de soluciones que también son muy importantes y que nos permiten ir un paso más allá a la hora de alcanzar un adecuado nivel de seguridad.
•Cumplimiento de Legislación y Normativa. Las soluciones de seguridad destinadas a facilitar el cumplimiento de la legislación y normativa relacionada con la seguridad de la información, han proliferado en los últimos años debido a la necesidad de cumplir con la LOPD, la LSSI o la implementación de Sistemas de Gestión de Seguridad de la Información (SGSI), cada vez más populares entre las empresas y organizaciones que desean disponer de una certificación en ámbito de la seguridad TIC y de la información. En el caso de la LOPD, existen multitud de soluciones que ayudan a empresas y organizaciones de cualquier tamaño a adecuarse, proliferando las soluciones destinadas a las pymes, que tienen la obligación de adecuarse. Este tipo de soluciones suelen ir acompañadas de un servicio de consultoría, puesto que una buena parte del proceso, no es técnico, sino de carácter jurídico y organizativo.
•Identidad y acceso. La gestión de la identidad y el control de acceso en las organizaciones, independientemente de su tamaño, se ha convertido en una herramienta fundamental de seguridad. El control de acceso, está en ocasiones, reñido con la facilidad de uso, puesto que supone que cada trabajador debe de ser registrado a lo largo de las actividades que realiza en la empresa y esto en muchas ocasiones no es bien acogido por los trabajadores. Pero la aplicación de ciertas normativas, como es el caso de la LOPD, que obliga en ciertos casos a la implementación de este tipo de soluciones, o el control de los recursos que las empresas ponen a disposición de los empleados, como Internet, o los propios ordenadores, han popularizado este tipo de soluciones, que están fundamentalmente destinadas al control interno en las organizaciones, evitando accesos no autorizados por el propio personal de la empresa o posibilitar el registro de ciertas actividades que deben de ser reportadas como parte de una política de seguridad o del cumplimiento de la legislación aplicable, como es el caso de la LOPD.
•Auditoría técnica. son soluciones de seguridad destinadas a la realización de auditorías internas o externas, con diversos propósitos, como puede ser descubrir fallas de seguridad, vulnerabilidades, o conocer por qué se ha producido un incidente de seguridad. Las organizaciones y empresas, en caso de realizar auditorías técnicas, las realizan de forma posterior a un incidente, cuando lo recomendable, es realizarlas antes, como mecanismo preventivo, que ayude a evitar incidentes de seguridad. En el caso de las pymes, sobre todo si no disponen de medios, ni siquiera se realizan este tipo de auditorías, lo que supone que en muchos casos, ni siquiera se conoce la razón exacta por la que se ha producido un incidente. Es recomendable, realizar llevar a cabo una auditoria para conocer el nivel de seguridad real, al menos, desde el punto de vista técnico.
•Prevención de fuga de información. El aumento de los dispositivos móviles en el ámbito empresarial, los ordenadores portátiles o el acceso a Internet desde el puesto de trabajo, han derivado en un importante aumento de los incidentes de seguridad relacionados con la pérdida o fuga, intencionada o no, de la información de las organizaciones y las empresas. La sustracción de ordenadores portátiles o dispositivos móviles, el envío de correos electrónicos con información sensible o el uso de dispositivos de almacenamiento, como los pendrive en las organizaciones, suponen una vía que información sensible escape del control de las organizaciones, lo que puede originar importantes pérdidas o acarrear importantes sanciones, si se trata de información de carácter personal. La prevención de la fuga de información, se ha convertido en una de las prioridades en las organizaciones. Afortunadamente, existen mecanismos y soluciones relativamente sencillas que permiten minimizar este tipo de incidentes.
•Inteligencia de seguridad. La inteligencia de seguridad hace referencia a una disciplina de la seguridad, enfocada a la obtención de información de un gran volumen de datos, de forma que sea posible detectar un incidente antes de que este ocurra. Este tipo de soluciones están muy enfocadas a grandes organizaciones, que disponen de redes de comunicaciones de cierto tamaño y otra infraestructura, de forma que necesitan conocer el estado de toda esta infraestructura y tomar decisiones, anticipando cualquier incidente o problema que pueda surgir. A pesar de que su uso está enfocado a pymes, la aparición de los centros de seguridad gestionada, a través de los cuales pasa el tráfico que llega a una empresa u organización, hace que empresas y organizaciones de cualquier tamaño, puedan disfrutar de esta tecnología por una fracción muy reducida de su coste.
Para finalizar este breve recorrido por las soluciones de seguridad TIC, con esta segunda entrega, debemos recordar que las soluciones de seguridad no son más que una parte del puzle de la seguridad, y que, es necesario completar las soluciones técnicas, con una adecuada formación y educación en seguridad TIC y en el uso de las TIC.
Fuente: http://cert.inteco.es/cert/Notas_Actualidad/herramientas_seguridad_pyme_parte_garantia_seguridad_20120308?postAction=getLatestInfo
El concepto de seguridad en empresas y organizaciones ha evolucionado desde la seguridad informática, de carácter puramente técnico, hasta la seguridad TIC actual, o la seguridad de la Información, conceptos similares pero no iguales, que van más allá de aspectos puramente técnicos y que también hacen referencia a aspectos organizativos y jurídicos. De esta forma, cualquier organización que desee alcanzar un adecuado nivel de seguridad, deberá de atender no solo el ámbito técnico de la seguridad, sino también el jurídico y el organizativo. Los describimos brevemente a continuación:
•
Técnico: se refiere a los sistemas, los dispositivos, el software y cualquier elemento, mecanismo o aparato, que permite implementar seguridad.
•
Jurídico: se refiere al cumplimiento de la legislación en materia de seguridad TIC, que afecta a las organizaciones y las empresas, en función por ejemplo, de su actividad, del sector al que pertenecen o de los datos que utilizan en sus procesos de negocio.
•
Organizativo: se refiere al cumplimiento de normativas relativas a seguridad, como normas ISO, políticas de seguridad, buenas prácticas, etc.
Lo cierto es que en la realidad es muy difícil separar estos tres ámbitos, debido a la interrelación que existe entre ellos, en especial, entre el ámbito jurídico y organizativo, puesto que son muy similares y se complementan y a su vez se apoyan en el ámbito técnico.
En el mercado de soluciones de seguridad TIC encontramos multitud de soluciones que nos permiten alcanzar un adecuado nivel de seguridad en las organizaciones y las empresas, desde el punto de vista técnico, jurídico y organizativo. Los distintos proveedores ofrecen soluciones en forma de productos, como las soluciones contra código malicioso o los cortafuegos, además de soluciones en forma de servicios, como los relativos a adecuación y cumplimiento de LOPD, elaboración de planes de continuidad de negocio o auditoría técnica.
Debido a la tipología de las empresas españolas, el mercado de seguridad TIC nacional, ha ido orientándose a la PYME, puesto que en España, estas suponen más del 99% del tejido empresarial e industrial. Pero históricamente, la PYME siempre ha sido un objetivo difícil para los proveedores de soluciones de seguridad. Actualmente, esta tendencia ha cambiado, en gran medida debido a la mayor penetración de las TIC en las PYMES, como el uso de Internet o el correo electrónico, que han acercado las TIC a las PYMES, pero también nuevas amenazas.
Por otro lado, las amenazas actuales han cambiado, de forma que en la actualidad, la motivación detrás de la mayoría de las amenazas es fundamentalmente económica, por lo que cualquier empresa u organización, independientemente de su tamaño, ha pasado a convertirse en un objetivo de los cibercriminales.
A lo largo del siguiente apartado vamos a realizar un breve repaso sobre cuáles son las soluciones de seguridad fundamentales para cualquier PYME que haga uso de las TIC. En realidad, estas soluciones son independientes del tamaño de la empresa u organización, pero daremos alguna indicación específica para PYMES. En esta primera entrega, nos centraremos en soluciones de seguridad que están enfocadas a todas las empresas y organizaciones, independientemente de su tamaño o actividad. Veamos cuales son:
•
Protección contra código malicioso. La protección contra el código malicioso, también conocido como malware, es una de las prioridades de cualquier organización o empresa. Es un tipo de solución de seguridad que debería de estar presente siempre en cualquier organización, independientemente de su tamaño o actividad. Si dispone de sistemas informáticos, servidores o puestos de trabajo, ya sea en movilidad o en la oficina, es fundamental disponer de soluciones de este tipo. El elevado número de tipos de malware y su constante evolución, lo convierten en una de las amenazas más peligrosas y difíciles de combatir.
En las PYMES, por pequeñas que sean, se ha popularizado el uso de soluciones de seguridad, como las suites de protección en Internet, que incorporan herramientas de protección contra este tipo de amenazas. Hoy día, muchos fabricantes las proporcionan de forma gratuita para uso doméstico o personal.
•
Protección contra ingeniería social y fraude. Este tipo de soluciones, junto con las soluciones de protección contra el código malicioso, son una de las medidas de protección básicas y fundamentales hoy día. La ingeniería social, es decir, el engaño, se ha convertido en una de las principales herramientas de los grupos criminales en Internet, para conseguir información de los usuarios o infectar cientos de sistemas.
Por desgracia, las técnicas utilizadas son cada vez más sofisticadas y enfocadas a grupos de usuarios especifícos, de forma que, aunque las soluciones de seguridad nos pueden ayudar a luchar contra estas amenazas, el sentido común es la herramienta más importante que tenemos a nuestra disposición para luchar contra la ingeniería social y el fraude en Internet. Aún así, el mercado ofrece muchas soluciones, que en ocasiones están integradas en los propios navegadores de Internet y en las suites de seguridad, junto con soluciones contra código malicioso o cortafuegos, que ayudan a las empresas y las organizaciones a defenderse de este tipo de amenazas.
•
Contingencia y continuidad. Las soluciones de contingencia y continuidad, son soluciones destinadas a conseguir por distintos medios la supervivencia de la empresa u organización, después de un incidente de seguridad. Ejemplos muy representativos de este tipo de soluciones son las soluciones de copias de seguridad, que permiten mantener a salvo la información más importante de las organizaciones, sin la cual, no podrían desempeñar su actividad. Las soluciones de copias de seguridad, cada vez son más utilizadas, ante el riesgo de pérdida de información, pero es necesario extender más su uso y sobre todo su correcta utilización, puesto que es muy habitual contar con copias de seguridad pero desactualizadas.
Otras soluciones dentro de esta categoría son las herramientas de recuperación de sistemas, que permiten la restauración de sistemas completos, no solo de la información o la virtualización, entendida como solución de recuperación y despliegue rápido de infraestructuras en caso de desastre. Actualmente, están proliferando los servicios de copias de seguridad en la nube, con soluciones muy interesantes que permiten, por un precio reducido, contar con una copia de seguridad actualizada y transparente al usuario, pero hay que disponer de una conexión a Internet adecuada y conocer las garantías que nos ofrece el proveedor del servicio.
•
Protección de las comunicaciones. Desde el momento que una empresa u organización se conecta a Internet, aparecen un conjunto de amenazas, como los accesos no autorizados, los ataques de denegación de servicio o la interceptación de las comunicaciones, que precisan soluciones de seguridad destinadas a la protección de las comunicaciones, como son los cortafuegos, tanto corporativos como destinados al puesto de trabajo, las VPN (Virtual Private Networks) o la electrónica de red con funcionalidad NAC (Network Access Control).
Las amenazas que provienen de las redes de comunicaciones, no se originan exclusivamente en Internet, sino que también puede provenir del interior de las organizaciones. La protección de las comunicaciones es fundamental cuando se dispone de varias sedes u oficinas en distintas ubicaciones geográficas, o cuando se realizan habitualmente trámites a través de Internet.
Estas cuatro categorías, conforman una base fundamental de soluciones de seguridad necesarias en cualquier organización. A partir de aquí podremos ir mucho más lejos (próxima nota, parte II), siempre en función de los recursos disponibles y de las necesidades de la organización.
No debemos olvidar que las soluciones de seguridad no son más que una parte del puzle de la seguridad, y que, es necesario completar las soluciones técnicas, con una adecuada formación y educación en seguridad TIC y en el uso de las TIC. En relación con esto último, desde INTECO-CERT, estamos preparando un informe con el objetivo de ayudar a las empresas y organizaciones a educar y sensibilizar en el uso de las TIC.
Ahora vamos a conocer otro tipo de soluciones que también son muy importantes y que nos permiten ir un paso más allá a la hora de alcanzar un adecuado nivel de seguridad.
•Cumplimiento de Legislación y Normativa. Las soluciones de seguridad destinadas a facilitar el cumplimiento de la legislación y normativa relacionada con la seguridad de la información, han proliferado en los últimos años debido a la necesidad de cumplir con la LOPD, la LSSI o la implementación de Sistemas de Gestión de Seguridad de la Información (SGSI), cada vez más populares entre las empresas y organizaciones que desean disponer de una certificación en ámbito de la seguridad TIC y de la información. En el caso de la LOPD, existen multitud de soluciones que ayudan a empresas y organizaciones de cualquier tamaño a adecuarse, proliferando las soluciones destinadas a las pymes, que tienen la obligación de adecuarse. Este tipo de soluciones suelen ir acompañadas de un servicio de consultoría, puesto que una buena parte del proceso, no es técnico, sino de carácter jurídico y organizativo.
•Identidad y acceso. La gestión de la identidad y el control de acceso en las organizaciones, independientemente de su tamaño, se ha convertido en una herramienta fundamental de seguridad. El control de acceso, está en ocasiones, reñido con la facilidad de uso, puesto que supone que cada trabajador debe de ser registrado a lo largo de las actividades que realiza en la empresa y esto en muchas ocasiones no es bien acogido por los trabajadores. Pero la aplicación de ciertas normativas, como es el caso de la LOPD, que obliga en ciertos casos a la implementación de este tipo de soluciones, o el control de los recursos que las empresas ponen a disposición de los empleados, como Internet, o los propios ordenadores, han popularizado este tipo de soluciones, que están fundamentalmente destinadas al control interno en las organizaciones, evitando accesos no autorizados por el propio personal de la empresa o posibilitar el registro de ciertas actividades que deben de ser reportadas como parte de una política de seguridad o del cumplimiento de la legislación aplicable, como es el caso de la LOPD.
•Auditoría técnica. son soluciones de seguridad destinadas a la realización de auditorías internas o externas, con diversos propósitos, como puede ser descubrir fallas de seguridad, vulnerabilidades, o conocer por qué se ha producido un incidente de seguridad. Las organizaciones y empresas, en caso de realizar auditorías técnicas, las realizan de forma posterior a un incidente, cuando lo recomendable, es realizarlas antes, como mecanismo preventivo, que ayude a evitar incidentes de seguridad. En el caso de las pymes, sobre todo si no disponen de medios, ni siquiera se realizan este tipo de auditorías, lo que supone que en muchos casos, ni siquiera se conoce la razón exacta por la que se ha producido un incidente. Es recomendable, realizar llevar a cabo una auditoria para conocer el nivel de seguridad real, al menos, desde el punto de vista técnico.
•Prevención de fuga de información. El aumento de los dispositivos móviles en el ámbito empresarial, los ordenadores portátiles o el acceso a Internet desde el puesto de trabajo, han derivado en un importante aumento de los incidentes de seguridad relacionados con la pérdida o fuga, intencionada o no, de la información de las organizaciones y las empresas. La sustracción de ordenadores portátiles o dispositivos móviles, el envío de correos electrónicos con información sensible o el uso de dispositivos de almacenamiento, como los pendrive en las organizaciones, suponen una vía que información sensible escape del control de las organizaciones, lo que puede originar importantes pérdidas o acarrear importantes sanciones, si se trata de información de carácter personal. La prevención de la fuga de información, se ha convertido en una de las prioridades en las organizaciones. Afortunadamente, existen mecanismos y soluciones relativamente sencillas que permiten minimizar este tipo de incidentes.
•Inteligencia de seguridad. La inteligencia de seguridad hace referencia a una disciplina de la seguridad, enfocada a la obtención de información de un gran volumen de datos, de forma que sea posible detectar un incidente antes de que este ocurra. Este tipo de soluciones están muy enfocadas a grandes organizaciones, que disponen de redes de comunicaciones de cierto tamaño y otra infraestructura, de forma que necesitan conocer el estado de toda esta infraestructura y tomar decisiones, anticipando cualquier incidente o problema que pueda surgir. A pesar de que su uso está enfocado a pymes, la aparición de los centros de seguridad gestionada, a través de los cuales pasa el tráfico que llega a una empresa u organización, hace que empresas y organizaciones de cualquier tamaño, puedan disfrutar de esta tecnología por una fracción muy reducida de su coste.
Para finalizar este breve recorrido por las soluciones de seguridad TIC, con esta segunda entrega, debemos recordar que las soluciones de seguridad no son más que una parte del puzle de la seguridad, y que, es necesario completar las soluciones técnicas, con una adecuada formación y educación en seguridad TIC y en el uso de las TIC.
Fuente: http://cert.inteco.es/cert/Notas_Actualidad/herramientas_seguridad_pyme_parte_garantia_seguridad_20120308?postAction=getLatestInfo
Comentarios
Publicar un comentario
siempre es bueno, leer tus comentarios