Kaspersky Lab encuestó a 250 directores de seguridad informática de todo el mundo, sus opiniones resultaron muy interesantes.

Por ejemplo, cuando se les pregunta acerca de los indicadores de ejecución claves de un CISO (Director de Seguridad de la Información), no sorprende que la mayoría de encuestados afirmara que su criterio laboral principal es la calidad y la velocidad con la que se gestiona la respuesta a un incidente.

En las empresas modernas, ya no se piensa que los ciberincidentes sean fallos de seguridad. Resulta positivo comprobar que la mayoría de los especialistas empiezan a comprender que los incidentes son sucesos normales e inevitables.

Hoy, la ciberseguridad consiste básicamente en la supervivencia de la compañía. Tomando por supervivencia contar con un nivel de protección avanzada en un ataque de amenaza persistente, filtración de datos o DDoS masivos. Que permita a la empresa recuperarse por sí misma sin daños o pérdidas serias, a excepción del mínimo predefinido.

En otras palabras, el objetivo actual de los CISO apunta hacia la respuesta a incidentes.

La mayoría de los CISO coinciden en que el mayor riesgo al que se expone una organización tras una brecha es la pérdida de reputación.

El daño reputacional es la base del resto de consecuencias: disminución de existencias, confianza del cliente o ventas.

La reputación es la razón real por la que no escuchamos sobre la mayoría de los incidentes de seguridad. Una empresa puede ocultar un ciberincidente, aunque en algunos países la ley las obliga a revelar cualquier información sobre problemas de seguridad a sus accionistas y clientes.

Resultó interesante comprobar el nivel de implicación de los directores de seguridad en la toma de decisiones empresariales. Básicamente, existen dos estrategias, la seguridad puede controlar cada paso que toma la empresa, aprobando cada movimiento o en su lugar, pueden ejercer de asesores y que la compañía les pregunte si van por el camino correcto.

A simple vista, el control total parece más efectivo y lo sería si la ciberseguridad fuera el objetivo en sí.

En realidad, esta estrategia requiere mucho más personal y puede frenar el desarrollo del negocio. Esto puede ser un auténtico reto para las empresas innovadoras que utilizan procesos comerciales que no cuenten aún con las mejores prácticas para la protección.

En las respuestas a la pregunta “Sin un ROI claro, ¿cómo justifican su presupuesto?” La mayoría se justifica mostrando informes de brechas de ciberseguridad y evaluaciones de daños de ataques que ha sufrido la compañía en el pasado.

Funciona, al menos la primera vez y puede que la segunda, pero en la tercera lo normal es que respondan: “Has conseguido asustarnos, pero ¿cómo se enfrentan los demás a esta situación?”.

Las empresas deben conocer las experiencias de otras compañías. Desafortunadamente, los “puntos de referencia de la industria y las mejores prácticas” ocuparon el séptimo lugar en la lista de resultados de la encuesta.

Informe What it takes to be a CISO realizado por Kaspersky Lab.

Fuente https://www.kaspersky.es/blog/ciso-report/17241/

Los ciberatacantes generalmente tienen una ventana de oportunidad promedio de siete días para explotar una vulnerabilidad conocida, antes de que los defensores se logren percatar de haber sido vulnerables.

Así lo informó Tenable, tras resaltar que la falta de visibilidad hace difícil encontrar vectores de amenaza aislados y aún más complicado abordarlos una vez que se encuentran. Esto se debe a que en la mayoría de los casos, las herramientas y tácticas disponibles solo están diseñadas para abordar áreas específicas y no integradas.

“Los  profesionales de TI y seguridad cibernética expresan continuamente el gran reto de  proteger  todas las aplicaciones aisladas, así como los dispositivos de tecnología operacional (OT) e Internet de las Cosas  (IoT) que se están implementando fuera del departamento de TI”, destacó Luis Isselin, director general de Tenable México.

De acuerdo con Isselin, los CISO (Chief Information Security Officer) deben crear una estrategia integral de ciberseguridad que les permita establecer cuatro acciones básicas para evitar un ciberataque:

1. Visibilidad. El CISO requiere visibilidad en todos los aspectos de la superficie de ataque de la organización, incluidos los recursos de la Nube, contenedores, sistemas de control industrial y  dispositivos móviles, que pueden estar o no en el radar de TI. El tener conocimiento sobre dónde están las exposiciones o dónde es probable que se encuentren, revela un panorama mucho más amplio de lo que está en riesgo en la empresa.
2. Prioridad. El CISO debe comprender el problema y la criticidad de los activos. Deberá dar prioridad en función de la importancia de los activos afectados para el negocio y la probabilidad de que se explote una vulnerabilidad determinada.
3. Medir el progreso. Evaluar el progreso de cada decisión tomada como parte de las estrategias de ciberseguridad es esencial. Los CISO deberán identificar las métricas y los KPI (Key Performance Indicator) con los que medirá sus esfuerzos;  dichas métricas deben ser visibles por unidad de negocio, geografía y tipo de activo. El objetivo es comprender cómo cambia el perfil de exposición diario, semanal, mensual, de modo que pueda ayudar a comprender si las inversiones de la empresa en ciberseguridad están dando frutos.
4. Comparar prácticas de seguridad (Benchmarking). Es importante conocer las experiencias de otros colegas en materia de seguridad; el CISO deberá investigar sobre otras prácticas de ciberseguridad que se estén llevando a cabo en su mismo rubro, así como en otras industrias fuera del ámbito de su empresa.

¨La  capacidad de los CISO de llevar a cabo una estrategia de ciberseguridad integral y dar seguimiento a estas 4 acciones básicas  será  vital para comprender la exposición total al riesgo y la efectividad de sus medidas de ciberseguridad en la organización ¨ finalizó Luis Isselin.

Fuente http://computerworldmexico.com.mx/prevencion-para-ciberataque-tenable/

Los líderes empresariales enfrentan lo que podría ser la mayor amenaza en la historia del comercio moderno: brechas de ciberseguridad que cuestan 600 mil millones de dólares al año en todo el mundo.

A medida que lo “digital” se convierte en sinónimo de negocios y vida personal, los ciberataques no mostrarán señales de detenerse.

En realidad, los atacantes se vuelven cada vez más hábiles, rápidos y agresivos.

En 2015, el presidente y CEO de IBM, Ginny Rometty, hizo una predicción precisa: “El cibercrimen será la mayor amenaza para las empresas de todo el mundo”.

Pero los atacantes no son el único problema. Según un estudio de Kapersky Lab de 2018, los miembros de las propias empresas contribuyeron al 46% de los incidentes de ciberseguridad en 2017.

Un ejemplo notorio es la brecha de seguridad en Equifax. Se presume que el error de un empleado impactó a más de 146 millones de estadounidenses y costó a la compañía más de 4 mil millones de dólares. Peor aún, las pérdidas financieras no son los únicos costos.

Bajo la superficie del impacto financiero inicial hay un impacto negativo a largo plazo para clientes, empleados y la reputación de una marca.

Deloitte llama a esto el impacto empresarial oculto de los ataques cibernéticos. A medida que aumenta el costo de las brechas de seguridad, los líderes de todos los niveles de una organización son responsables y hasta pueden llegar a perder sus puestos de trabajo a causa de ello.

Tom Corn, gerente general de productos de seguridad en VMware, cree que el costo seguirá aumentando de manera astronómica, a menos que las empresas “cambien el campo de batalla”.

También sostiene que el enfoque actual de la seguridad empresarial está creado para perder el juego. “Tienen que interceptar todas las flechas y los atacantes solo necesitan dar en el blanco con una”, dice Corn. Cree que la única forma en que las empresas ganarán la lucha contra los ataques cibernéticos es ganando lo que él llama una ventaja en el campo.

Esta nueva estrategia da la vuelta al modelo actual. En lugar de intentar mitigar las amenazas, muchas de las cuales son falsas alarmas, el modelo de ventaja en el campo se basa en la identificación del comportamiento.

Corn propone un nuevo modelo de seguridad que se centra en definir cómo se ve lo “normal” dentro de su ecosistema digital:

-Cómo deben comportarse sus aplicaciones.
-Cómo deben actuar los usuarios.
-Cómo debería funcionar la red
-Lo que deberían hacer las máquinas virtuales.
-Dónde deben ir sus datos.

Los equipos de TI deben poder identificar actividades anormales, no autorizadas o errantes. Para lograr esta ventaja, se requiere dos cambios estratégicos:

1. Limitar la superficie de ataque en lugar de únicamente asegurar un perímetro.
2. Enfocarse no solo en el Centro de Datos sino en la protección de aplicaciones y datos.

Para ello, se debe considerar lo siguiente:

-Construir políticas inteligentes.
-Crear accesos de privilegios mínimos.
-Segmentar el ecosistema tecnológico.

Corn cree que comprender cómo actúan las aplicaciones y los datos en los siguientes segmentos de tecnología es clave para tener una ventaja sobre los atacantes:

Cómputo: el aprendizaje automático ayudará al equipo de TI a comprender cómo se ve un buen comportamiento de las máquinas virtuales en los entornos de cómputo. De esta manera, los equipos de virtualización pueden establecer políticas para restringir la funcionalidad solo a esos buenos comportamientos, adaptándose de manera inteligente a las nuevas aplicaciones y actualizaciones a medida que ocurren.

Red: Corn define el siguiente paso en la seguridad de red como microsegmentación adaptativa. Este modelo ayuda a detener los ataques de red y de aplicaciones laterales al bloquear servicios compartidos y establecer políticas de buen comportamiento.

Puntos finales: TI puede establecer políticas para el comportamiento de usuario final y del dispositivo que permiten lo bueno y bloquean lo que no.

VMware brinda las herramientas necesarias para la implementación de estas acciones. En Adaptix Networks hacemos uso de las soluciones VMware para brindar a nuestros clientes los mejores recursos en virtualización y automatización del centro de datos. Le invitamos a ponerse en contacto con nosotros para proveerle más información al respecto, así como los casos de éxito con nuestros clientes.

Fuente https://www.vmware.com/radius/rising-costs-cybersecurity-breaches/

Reconocer la vulnerabilidad, trabajar en el rezago de los diversos sectores, así como mayor atención en sistemas tecnológicos, son algunos de los retos en el tema de ciberseguridad en México.

De acuerdo con Forbes México, representantes de bancos y entidades financieras como Banco de México, Santander, Banorte y Finamex, coinciden en que las vulnerabilidades de seguridad y específicamente el caso SPEI (Sistema de Pagos Electrónicos Interbancarios), dejaron enseñanzas básicas. Como reconocer que existe displicencia en el tema de ciberseguridad en el país.

El 22 de mayo, Banxico emitió un documento en donde señala que registró 5 participantes con vulneraciones de ciberseguridad:

“Los ataques que se han observado fueron dirigidos hacia los bancos, casas de bolsa y otros participantes del sistema de pagos. Estos han estado enfocados en los sistemas de los participantes con los que se conectan al SPEI”.

En este sentido, representantes de diversas entidades financieras, señalan que se debe reconocer las vulnerabilidades en diversos sectores de México para trabajar ante este tipo de amenazas.

Octavio Berges, director general de tecnologías de la información del Banco de México, detalló que todavía existe un rezago en el tema de seguridad cibernética:

“Lo que nos dejó y descubrimos del acontecimiento de SPEI, fue que existe displicencia en el tema de ciberseguridad. Sí se habla mucho de inversión, pero cuando se presentó el escenario crítico, descubrimos un rezago muy importante en todos los participantes”.

Por su parte, Ricardo Morales, director ejecutivo de seguridad de la información de Banorte, señaló que el caso SPEI sirvió para tener mejores candados de seguridad y trabajar más rápido en la implementación de soluciones.

En su participación José Luis Cisneros, CIO de Casa de Bolsa Finamex y presidente del Consejo de Seguridad AMIB, llamó a crear conciencia en los diferentes niveles organizacionales de las empresas porque sin esto, dijo, ninguna estrategia puede funcionar.

“Aprendimos que somos vulnerables, comprendimos esa parte. Creo que en el pasado pudimos haber pensado que esto era una película y que no iba a suceder. Ahora hemos visto que somos vulnerables. Como sugerencia, se debe hacer conciencia con los comités ejecutivos, presidentes y accionistas, porque estas estrategias no se pueden implementar de la mejor manera, si no tenemos el apoyo de las cabezas de las organizaciones”, detalló.

Raúl Gómez Voguel, director de riesgo informático y operacional de Santander, se refirió a que “las amenazas y vulnerabilidades, que sólo imaginábamos, se hicieron reales”. Ante esto hay que dejar de pensar que no nos puede pasar.

Fuente https://www.forbes.com.mx/que-aprendieron-los-bancos-en-mexico-del-caso-spei/

Muchos de los intentos de intrusión resultan de la explotación de vulnerabilidades ya identificadas y para las que se disponía de correctivos: actualizaciones y parches que únicamente requieren su aplicación.

Sin embargo, un gran número de organizaciones todavía tienen problemas para monitorear y administrar el proceso de aplicación de estas actualizaciones.

Una vez que se anuncia alguna vulnerabilidad, los cibercriminales comenzarán la carrera por explotarla.

Incluso, hay quienes pueden pensar que los intentos de intrusión y los peligros que implican son poco frecuentes, pero definitivamente no es así.

Un ejemplo de ello, son dos de los casos de seguridad informática más conocidos en fechas recientes, la fuga de datos de Equifax y el ransomware Wannacry.

Estos dos casos, que a primera vista parecen completamente ajenos entre sí, tienen un gran punto en común: ambos implicaron intentos maliciosos en los que se explotan vulnerabilidades no corregidas.

También resaltan el hecho de que muchas compañías todavía usan Sistemas Operativos como Windows 7 o Windows 8 (a pesar de las altas tasas de penetración del 87% y del 38%, respectivamente), que por lo tanto son objetivos de elección.

Las organizaciones que dependen de estos Sistemas Operativos deben estar atentos para mantenerse al día con los parches de seguridad y aplicarlos de manera oportuna.

En primer lugar, muchas personas, tanto usuarios ‘privados’ como usuarios en el ámbito profesional, no son conscientes del peligro. Por lo tanto, ignoran las múltiples advertencias de actualización que reciben.

Otros, más desconfiados, no saben si el mensaje de notificación de actualización es real. Y por miedo, puede elegir ignorar una advertencia de parche legítima.

El uso masivo de software sin licencia también afecta la aplicación de parches. Decenas de millones de personas usan software descargado ilegalmente, y muchos temen que el último parche lo eliminará o deshabilitará.

En cuanto al momento de la aplicación del parche, es lógico que todos los parches se apliquen tan pronto como sea posible.

Las organizaciones deben priorizar su estrategia para abordar soluciones críticas primero. Una posible estrategia es enfocarse primero en las vulnerabilidades llamadas “N-Day” (ya identificadas) que han causado violaciones a otras compañías.

Mediante la adopción de una estrategia de gestión de parches simplificada que incluya horarios de distribución de parches y responsabilidades definidas para los involucrados en la evaluación de vulnerabilidades, las organizaciones pueden posicionarse para actuar con rapidez.

De este modo, pueden reducir significativamente el tiempo entre la detección de información sobre nuevas vulnerabilidades de seguridad, vulnerabilidades y evaluación de parches o soluciones temporales, en su caso.

Más allá de la aplicación de los parches, puede ser interesante realizar una auditoría de los sistemas de información para identificar controles y acciones adicionales.

Si no se tiene una imagen completa de la situación de la seguridad de TI, nunca se tendrá una visión global de fortalezas y debilidades. Lo que dificultará la estrategia de gestión de vulnerabilidades.

Fuente https://globbsecurity.com/por-que-las-vulnerabilidades-no-parcheadas-son-una-amenaza-real-para-la-seguridad-43480/

IBM ha publicado los resultados de un estudio global que examina el impacto financiero de una violación de datos en los resultados de una empresa.

El estudio 2018 Cost of a Data Breach Study descubrió que los costos ocultos en el robo de datos, como la pérdida de negocios, el impacto negativo en la reputación y el tiempo empleado en la recuperación, son altamente difíciles de administrar.

Basado en entrevistas a 500 compañías que experimentaron una violación de datos, el estudio analiza cientos de factores de costos que rodean una violación de datos. Desde investigaciones técnicas y recuperación hasta notificaciones, actividades legales y regulatorias, y el costo de pérdida de negocios y reputación.

Este año, por primera vez, el estudio también calculó los costos asociados con “mega infracciones” que van de 1 millón a 50 millones de registros perdidos. Proyectando que estas brechas les cuestan a las compañías entre $40 millones y $350 millones de dólares, respectivamente.

Durante los últimos 13 años, el Instituto Ponemon ha examinado el costo asociado con las infracciones de datos de menos de 100,000 registros y ha constatado que los costos han aumentado a lo largo del tiempo. El costo promedio de una violación de datos fue de $3.86 millones en el estudio de 2018, en comparación con $3.50 millones en 2014, lo que representa un aumento neto de casi 10% en los últimos 5 años.

El estudio también examina los factores que aumentan o disminuyen el costo de la infracción, descubriendo que los costos se ven muy afectados por la cantidad de tiempo dedicado a contener una violación de datos, así como las inversiones en tecnologías que aceleran el tiempo de respuesta:

• El tiempo promedio para identificar una violación de datos en el estudio fue de 197 días, y el tiempo promedio para contener una violación de datos una vez identificado fue de 69 días.
• Las empresas que contuvieron un incumplimiento en menos de 30 días ahorraron más de $1 millón de dólares en comparación con las que tardaron más de 30 días ($3,09 millones frente a un total promedio de $4,25 millones de dólares).

El estudio examinó varios factores que aumentan o disminuyen este costo:

• Tener un equipo de respuesta a incidentes fue el principal factor de ahorro de costos, reduciendo el costo en $14 por registro comprometido.
• El uso de una plataforma de inteligencia artificial para la ciberseguridad redujo el costo en $8 por pérdida o robo de registro.
• Las compañías que indicaron una “prisa para notificar” tuvieron un costo más alto por $5 por registro perdido o robado.

Este año, por primera vez, el informe examinó el efecto de las herramientas de automatización de seguridad que utilizan inteligencia artificial, aprendizaje automático, análisis y orquestación para aumentar o reemplazar la intervención humana en la identificación y contención de una violación. El análisis encontró que las organizaciones que implementaron ampliamente las tecnologías de seguridad automatizadas ahorraron más de $1.5 millones de dólares en el costo total de una infracción ($2.88 millones de dólares, en comparación con $4.43 millones de dólares para aquellos que no implementaron la automatización de seguridad).

Existen estrategias para ayudar a las empresas a reducir el costo potencial de una violación de datos. Por cuarto año consecutivo, el estudio encontró una correlación entre la rapidez con que una organización identifica y contiene una infracción y el costo total.

Las empresas que trabajaron para mejorar la confianza del cliente redujeron la cantidad de clientes perdidos, lo que redujo el costo de una infracción. Cuando desplegaron un líder de alto nivel, como un jefe de privacidad (CPO) o un jefe de seguridad de la información (CISO), para dirigir iniciativas de confianza del cliente, las empresas perdieron menos clientes y minimizaron las consecuencias financieras.

Si desea consultar el estudio 2018 Cost of a Data Breach Study by Ponemon, ingresar a https://www.ibm.com/security/data-breach

Fuente http://computerworldmexico.com.mx/costos-ocultos-de-las-brechas-de-datos-aumentan-los-gastos-para-las-empresas/