10 maneras para abordar la ciberseguridad que todo el mundo debería conocer

Los nuevos fallos de seguridad nos han enseñado lecciones (o han aclarado otras que ya deberíamos haber aprendido). Este artículo sobre ciberseguridad repasa muchas cuestiones clave y centra la atención en 10 respuestas que todos debemos adoptar en nuestro enfoque de la seguridad.

La mayoría de las violaciones de la seguridad son evitables, pero sólo si aprendemos de los errores del pasado y del daño experimentado por otros. Las brechas de seguridad suelen demostrar fallos, revelar configuraciones erróneas y exponer errores de diseño que muchas otras organizaciones siguen teniendo.

1. El email no es privado

El correo electrónico siempre ha sido un medio de comunicación de texto plano. Sin embargo, con el paso del tiempo muchos lo han olvidado o se han confundido sobre su seguridad.

Quienes utilizan un navegador web para acceder a su correo electrónico suelen ver HTTPS como prefijo de la URL, lo que significa que la conexión a su correo electrónico es segura. Pero esa conexión encriptada por TLS sólo protege el acceso y la lectura de sus mensajes, no al enviarlos o recibirlos. Del mismo modo, los usuarios de clientes de correo electrónico pueden haber configurado conexiones TLS a su servidor de correo electrónico en su ISP u oficina. Este tipo de conexión proporciona seguridad para el envío y la recepción de mensajes, pero sólo entre el cliente y su servidor de correo electrónico local. Los mensajes enviados a otros destinatarios a través de Internet y recibidos de otros suelen enviarse en texto plano.

Los mensajes de correo electrónico enviados y recibidos a través de un enlace público de Internet se envían probablemente en su forma original de texto plano. Varios proveedores de servicios de correo electrónico, como Google, Microsoft y Yahoo, están en proceso de establecer transmisiones de correo electrónico cifrado para los mensajes entre ellos y otros que se sumen a su iniciativa. Sin embargo, es posible que pasen años antes de que la mayoría de los mensajes estén encriptados para el tránsito.

Enfoques que debe tener en cuenta sobre el correo electrónico

En primer lugar, reduzca al mínimo la transmisión de información a través del correo electrónico que podría causarle problemas (o dolores de cabeza) si fuera interceptada en tránsito, ya sea por su empleador, su familia, el gobierno o los hackers. Busque una forma más segura de transferencia de información, como el intercambio de archivos encriptados, el chat seguro o la videoconferencia, para aquellos elementos de importancia o valor.

En segundo lugar, empiece a utilizar una solución de cifrado de correo electrónico. Aunque desde hace años existen complementos independientes para los clientes de correo electrónico, ahora hay numerosas opciones para añadir servicios de cifrado al correo electrónico basado en la web a través de extensiones del navegador, así como servicios de correo electrónico cifrado. Algunas de las extensiones del navegador que hay que tener en cuenta son Mailelope, PassLok for Email y SendSafely. Algunos ejemplos de servicios de correo electrónico cifrado son ProtonMail y Hustmail.

Si sigues utilizando un cliente de correo electrónico independiente, siempre puedes utilizar la solución estándar S/MIME obteniendo un certificado digital. O puedes optar por añadir una herramienta de cifrado propietaria como PGP (comercial), GPG (con licencia GNU) u OpenPGP (de código abierto).

Independientemente de la solución que implementes, el principal inconveniente de las soluciones de encriptación de correo electrónico basadas en el cliente es que tu destinatario debe tener una solución correspondiente para descifrar tus mensajes o verificar tus mensajes firmados digitalmente.

2. Ninguna red es completamente segura

Si has asistido a alguna formación sobre seguridad, seguro que te han informado del hecho de que la seguridad nunca es un proyecto terminado, siempre es un viaje cuyo destino cambia a menudo.

No existe una red perfectamente segura y es imposible construirla. Siempre hay medios para vulnerar la seguridad, ya sea a través de explotaciones técnicas, brechas físicas o ingeniería social. Sin embargo, muchas organizaciones parecen actuar como si su seguridad fuera completa, que su red es infranqueable y que se puede confiar plenamente en su entorno. Pero cada año, cientos de organizaciones aprenden por las malas que sus redes no son perfectamente seguras cuando los hackers entran para causar daños y robar información confidencial.

Todos tenemos que darnos cuenta de que la mayor parte de la tecnología que utilizamos es bastante joven y aún no ha tenido tiempo de madurar. A menudo nos esforzamos por hacernos con el último y mejor artilugio o por actualizarnos a la última versión de un producto. Sin embargo, "nuevo" significa que no ha sido probado y, por lo tanto, se desconocen sus defectos y sus ventajas. Confiamos demasiado en los desarrolladores, fabricantes y programadores de nuestro hardware y software. No estoy sugiriendo que huyamos de la tecnología y volvamos al papel y al bolígrafo, sino que adoptemos un enfoque más cauteloso a la hora de utilizar la tecnología para almacenar y proteger nuestra información y activos más importantes.

Necesitamos tener copias de seguridad más fiables. Una copia de seguridad no sirve de nada si no se pueden recuperar los datos a partir de ella, y una única copia de seguridad sólo protege de la pérdida de datos si el suceso perjudicial no destruye también la copia de seguridad. Todo el mundo debe seguir la regla 3-2-1 de las copias de seguridad:

3) Ten siempre tres copias de tus datos, el original y dos copias de seguridad;

2) Utilizar dos tipos diferentes de medios para almacenar o alojar las copias de seguridad, como un disco duro y un almacenamiento en la nube

1) No almacenar ambas copias de seguridad en la misma ubicación física/geográfica.

Tenemos que añadir capas adicionales de seguridad a la infraestructura existente, incluyendo el cifrado del almacenamiento, el uso de la autenticación multifactor, el seguimiento/auditoría de todos los intentos de acceso, tener cortafuegos de inspección de estado, y la supervisión de todo ello con sistemas de detección y prevención de intrusiones (IPDS).

3. Las grandes organizaciones no son siempre las más seguras

El hecho de que una empresa haya tenido éxito y se haya convertido en una gran corporación no implica que ofrezca la mejor seguridad a sus clientes. A menudo, las prioridades y obligaciones de una gran organización son contrarias a los deseos e intereses de sus clientes.

Nunca dé por sentado que usted es la principal preocupación de una empresa. Piénselo dos veces antes de poner su información más importante o personal en línea. Tanto si se trata de una red social como de una solución de almacenamiento en la nube o de un sitio de comercio electrónico, te estás poniendo en peligro cuando publicas información privada, sensible o valiosa en línea.

Configura siempre la información de tu cuenta como privada cuando esa opción esté disponible. Proporcione sólo la cantidad mínima de información en la creación de una cuenta en línea, especialmente para los nuevos servicios que podría no seguir utilizando. Considere la posibilidad de tener una dirección de correo electrónico separada para utilizarla en sitios nuevos, de modo que no exponga su dirección de correo electrónico principal antes de comprender mejor un sitio o servicio en línea. Tenga una tarjeta de crédito que se utilice principalmente para las compras en línea. Supervise esta cuenta para detectar cualquier actividad dudosa con frecuencia.

La automatización del pago de las facturas, del depósito de la nómina y de la inversión para la jubilación puede suponer un gran ahorro de tiempo y ayudarle a ahorrar dinero para la jubilación. Sin embargo, debe comprobar estos sistemas con regularidad para asegurarse de que los números son correctos y los procedimientos funcionan tal y como los ha definido.

Si encuentra un error o una equivocación poco después de que se produzca, puede corregirse sin mayores consecuencias. Pero no advertir un problema al cabo de meses o años puede costarle caro. Debes defenderte a ti mismo.

4. Cuidado con la suplantación de identidad y la desinformación en las redes sociales

Como seres humanos, confiamos en lo que nos resulta familiar, ya sean los últimos tres kilómetros de nuestro viaje a casa en los que no prestamos tanta atención o un compañero de trabajo al que le pedimos que vigile nuestras pertenencias mientras nos alejamos.

Los piratas informáticos y los medios de comunicación lo saben y se esfuerzan por hacerse lo más familiar posible. Por eso oyes y ves los mismos anuncios con demasiada frecuencia en tantos medios diferentes (prensa, radio, televisión, online, etc.) y las empresas establecen marcas comerciales para sus productos. Esta misma preocupación se aplica a muchos otros aspectos de nuestra vida, tanto en el mundo real como en Internet.

Todos confiamos en nuestros amigos, por eso los llamamos amigos y no enemigos. Sin embargo, al comunicarnos con un amigo a través de una red social, corremos el riesgo de sufrir ataques de suplantación de identidad. Si un atacante puede hacerse con la cuenta de un amigo, entonces las comunicaciones de esa cuenta hacia ti ya no son de tu amigo sino del atacante. Al principio, no lo sabrás y es probable que te engañen haciéndote creer algo falso o descargando e instalando algo malicioso. No creas la información que veas en Internet, especialmente a través de las redes sociales, aunque esté relacionada con alguien que conoces y en quien confías. Si algo le parece extraño o fuera de lugar, póngase en contacto con esa persona a través de algún otro medio (NO el mismo sitio de la red social), para preguntar sobre la preocupación.

También hay una amplia gama de personas que disfrutan elaborando información falsa para engañar a todo el mundo. A veces quieren agitar a un grupo, a veces quieren conseguir una reacción fuerte, a veces quieren vender un producto, y a veces quieren utilizar la farsa como distracción. Las fuentes de información en línea, incluso las agencias de noticias, deben ser filtradas a través de una lente de escepticismo. Tómate el tiempo de investigar una afirmación, un informe, una publicación o un titular. Averigua la fuente, ten en cuenta los puntos de vista y las perspectivas opuestas, y no te lo creas sólo porque se haya publicado en Internet.

5. Tu actividad online es monitorizada

El seguimiento es un hecho de la actividad en línea. La mayoría de los sitios web son gratuitos porque los anunciantes pagan a los propietarios del sitio. Este pago no es sólo por el privilegio de mostrarle anuncios, sino para rastrear sus actividades y elaborar un dossier sobre sus hábitos e intereses.

Este tipo de seguimiento es un gran negocio y constituye una parte importante de sus actividades en línea. Es posible que conozca varias iniciativas para reducir el rastreo, como la bandera "Do Not Track" (no rastrear) que se coloca en el navegador para informar a los sitios web de que no se vigilan sus actividades ni se venden a terceros. Hay otras medidas que puede tomar para reducir la cantidad de rastreo que se dirige a usted, entre ellas:

• Utilizar el modo de incógnito o de navegación privada de su navegador.
• Desactivar las cookies de terceros.
• Configurar su navegador para que elimine todas las cookies al cerrarse.
• Utilizar un complemento del navegador para controlar el contenido de los sitios web, como NoScript para Firefox y uBlock Origin para Chrome.
• Utilice un rastreador de cookies para ser más consciente de la cantidad de seguimiento que se realiza, como Lightbeam para Firefox.
• Utiliza bloqueadores de publicidad y de seguimiento, como Adblock Plus, Ghostery, Disconnect y Privacy Badger.

Estas sugerencias reducirán en gran medida la cantidad o el nivel de rastreo que se dirige a usted, sin embargo, son insuficientes para bloquear todo el rastreo. Hay técnicas, comúnmente etiquetadas como super-cookies, que no se pueden bloquear fácilmente. Estas técnicas hacen un inventario de su navegador web y de los subsistemas relacionados o accesibles para crear una huella digital única de su sistema.

Como no depositan nada en su sistema, no hay nada que bloquear. Si su sistema permanece configurado relativamente igual a lo largo del tiempo, entonces su huella digital única puede ser reconocida cada vez que regrese al sitio. Para conocer este tipo de rastreo, visite el sitio Cover Your Tracks (Cubre tus huellas), gestionado por la Electronic Frontier Foundation (EFF).

Creo que todo el mundo debería considerar el uso de algún tipo de mecanismo de bloqueo o filtrado del rastreo. Pero quiero presentar una importante perspectiva alternativa sobre el rastreo en línea. Si nosotros, como consumidores de Internet, podemos bloquear con éxito todo el rastreo (y, en consecuencia, toda la publicidad dirigida), entonces muchos de los sitios web y servicios en línea que actualmente utilizamos de forma gratuita tendrán que empezar a cobrarnos por su uso. Puede que merezca la pena permitir un cierto nivel de seguimiento masivo anónimo para orientar la publicidad, de modo que podamos seguir utilizando los contenidos en línea sin tener que pagar más que nuestra cuota de conexión inicial a nuestro proveedor de servicios de Internet.

6. Permanecer anónimo es todo un desafío

Las noticias sobre los hackers detenidos suelen indicar que los delincuentes utilizaban servicios de anonimización, pero que cometieron algunos errores. A menudo esos errores consisten en no utilizar su herramienta de anonimización cada vez que se conectan a su objetivo de ataque. Cuando los atacantes se olvidan de utilizar sus herramientas, a menudo dejan un rastro que puede ser seguido por los investigadores - también debes ser consciente de esto.

No estoy condonando los ataques ni animando a cometer delitos o incluso a actuar de forma poco ética, pero hay razones válidas para ser anónimo cuando se utilizan algunos servicios de Internet. Ya sea para denunciar un delito, para buscar ayuda debido a una relación abusiva o para necesitar consejo cuando se está involucrado en una situación embarazosa, hay algunas razones válidas y éticas para necesitar el anonimato en línea.

Sin embargo, para el usuario típico, ser anónimo es extremadamente difícil. Esto se debe, sobre todo, a que muchos delincuentes utilizan servicios de anonimato para ocultar su identidad mientras cometen delitos, por lo que las fuerzas del orden han dedicado un esfuerzo considerable a romper el anonimato de esos mecanismos.

Sin embargo, si te encuentras en la necesidad de ser anónimo (de nuevo, por una razón legítima y ética), aquí hay algunas sugerencias para mantenerte tan anónimo como sea razonablemente posible para cualquier persona no criminal:

• No utilices tu sistema personal para cualquier comunicación que necesites que sea anónima. No utilices tu smartphone, tableta o el sistema operativo principal de tu ordenador principal.
• Instala un producto de virtualización o hipervisor, como Virtual Box (que es un producto gratuito de Oracle), en un ordenador. Puede ser tu sistema principal o un segundo sistema que dediques a este fin.
• Ejecuta una versión viva o ISO de Ubuntu en una máquina virtual. Ubuntu es una versión de Linux fácil de usar que cualquier usuario de Windows puede manejar. La versión live o ISO de un sistema operativo no guardará ni conservará ningún cambio a través de los reinicios.
• Desde Ubuntu, instale y utilice el servicio de anonimización TOR, consulte torproject.org para obtener instrucciones.
• Utilice un navegador diferente al que se incluye con la herramienta TOR. Tendrás que establecer la configuración del proxy para que este navegador alternativo utilice TOR, normalmente la dirección 127.0.0.1 y el puerto 9150.
• Utiliza el modo de incógnito o navegación privada del navegador alternativo.
• Cuando acceda a Internet, no entre en ningún sitio para el que tenga una cuenta.
• Si se necesitan cuentas para determinados servicios, no utilice nada sobre usted en el proceso de registro. Configure una dirección de correo electrónico temporal (busque en "correo electrónico temporal") y no utilice su nombre real, su dirección de correo electrónico real, su número de teléfono real o cualquier otro factor de identificación al configurar una cuenta.

Estos pasos no son convenientes, pero le proporcionarán un nivel razonable de anonimato mientras utiliza los servicios en línea. Tenga cuidado. Aunque puede ser "fácil" ser anónimo, es "difícil" mantener el anonimato. La mayoría de las veces, los usuarios anónimos se delatan a sí mismos al ser infectados por herramientas de rastreo, al no utilizar su proxy correctamente, al olvidarse de utilizar el proxy o al revelar accidentalmente su identidad al proporcionar información personal o al iniciar sesión en sus cuentas normales en línea.

7. El código de los proveedores podría tener puertas traseras

Una puerta trasera es un medio para obtener acceso a un sistema que evita la puerta principal. La puerta principal es la autenticación normal utilizando credenciales de cuenta válidas. Las puertas traseras son más conocidas por ser plantadas por un hacker una vez que han comprometido un sistema a través de algún otro medio. Sin embargo, nos hemos enterado de que varios productos y servicios ampliamente utilizados tienen puertas traseras que fueron plantadas por los vendedores a propósito o por un miembro sin escrúpulos de su equipo de desarrollo.

Ha habido un número incontable de descubrimientos de puertas traseras presentes en productos de proveedores. A veces esas puertas traseras son mecanismos de desarrollo sobrantes que se pasaron por alto al preparar el producto para su lanzamiento y distribución. Pero también ha habido casos de desarrolladores internos que han añadido su propia puerta trasera no autorizada, acceso remoto o código "god-mode" que puede ser abusado por ellos mismos o por otros.

El problema de que el código del proveedor pueda tener puertas traseras es una cuestión difícil de abordar. Ya que suelen ser problemas desconocidos hasta que se descubren y se hacen públicos. Yo recomendaría que se mantuviera una estrecha vigilancia sobre las discusiones de seguridad y las publicaciones de vulnerabilidades. Y ser conscientes de que los sistemas en los que confías hoy pueden resultar defectuosos e inseguros mañana. No pongas toda tu confianza en un solo proveedor o en una sola protección de seguridad. Disponer de un entorno heterogéneo y de una seguridad diseñada teniendo en cuenta la defensa en profundidad es esencial para estar preparado para lo desconocido.

8. La segmentación/compartimentación de las redes es esencial

Es más sencillo configurar una red privada como un grupo interno. Un único colectivo de clientes y servidores es mucho más fácil de gestionar y también mucho más cómodo para acceder a los recursos. Sin embargo, esta apertura, libertad y comodidad es también una vulnerabilidad. Debemos asumir la perspectiva de que la seguridad de nuestra empresa fallará en algún momento. Cuando eso ocurra, ¿cuán fácil hemos hecho nuestro entorno para el descubrimiento y el acceso a nuestros activos más valiosos? Las empresas deben reconsiderar su despliegue de red.

La segmentación o compartimentación es la clave para limitar los daños y el acceso una vez que el malware se ha afianzado o cuando un troyano de acceso remoto ha permitido que un hacker remoto entre en su organización. Los diferentes departamentos, grupos de procesamiento o sistemas de nivel de valor/sensibilidad deben estar separados unos de otros en subredes con asignaciones de direcciones IP únicas, reforzadas por cortafuegos y supervisadas por IPDS.

Este concepto es una postura de seguridad bien conocida, denominada "confianza cero". Se basa en la noción de que no se puede confiar en nada de forma inherente, ni siquiera en los elementos que forman parte de la red de Internet o que llevan años en uso. Todas y cada una de las interacciones o intercambios de datos deben ser autentificados, autorizados y auditados cada vez.

Aunque este enfoque puede parecer un poco desalentador de implementar, a menudo es mucho menos molesto que recuperarse de una brecha causada por la falta de protección y mecanismos de defensa proactivos.

9. Aclaración de la respuesta a los incidentes

Muchas empresas que sufrieron infracciones descubrieron que estaban mal preparadas para responder a las violaciones. Esto dio lugar a que los ataques duraran más de lo necesario, permitiendo que se comprometieran más sistemas, lo que dificultó la localización de los autores.

Su organización puede hacer frente a esto haciendo el esfuerzo de clarificar su respuesta a los incidentes. Es necesario tener una política escrita, un equipo de respuesta formado (es decir, un equipo de respuesta a incidentes (IRT)) y realizar simulacros y prácticas regulares. Debemos entender que operamos en un mundo en el que las brechas de seguridad son inevitables. Por lo tanto, además de reforzar nuestras defensas para reducir la posibilidad de que se produzcan, debemos estar preparados para hacer frente a un compromiso si se produce. Un procedimiento de respuesta a incidentes bien gestionado es el mecanismo de esa preparación.

10. Respete los informes y las alertas de sus productos de seguridad

Muchos compromisos se detectan mucho antes de que se produzcan la mayoría de los daños o las fugas de información. Se permite que los ataques continúen cuando los informes de estas brechas detectadas se pasan por alto o se ignoran.

A menudo, los compromisos iniciales o incluso los eventos iniciales de sondeo del sistema se detectan meses antes de que se produzca la ofensiva principal de un ataque. Si los responsables de nuestras organizaciones respetan los informes y las alertas de los productos y equipos de seguridad, se puede evitar una parte importante de los compromisos que podemos experimentar.

Sí, habrá falsos positivos. Pero la forma adecuada de abordar los falsos positivos es responder e investigar cada alerta. A continuación, afinar y ajustar el sistema de detección para evitar que se desencadene el mismo falso evento.

Cuando la información personal identificable (PII) de millones de clientes, la información financiera, la reputación de la empresa y millones de dólares están en riesgo, es esencial respetar los informes y las alertas de las soluciones de alerta temprana.

Pasar a la acción

Hay lecciones sólidas que aprender de cada error, accidente, compromiso y ataque. Es inteligente aprender de los fallos de otros en lugar de cometer los mismos errores y experimentar la misma pérdida.

Ya sea en nuestras vidas personales y actividades en línea o en relación con una corporación global, tenemos que ser más maduros en lo que respecta a nuestra gestión de la seguridad. Tenemos que hacer estos cambios nosotros mismos.

Ahora que sabes más sobre las perspectivas y enfoques de la ciberseguridad, debes reconocer que esto es sólo un punto de partida para obtener conocimientos sobre seguridad. Hay muchas otras preocupaciones importantes en materia de seguridad que debes conocer. Porque sólo con el conocimiento se puede hacer un cambio a mejor. Todo el mundo tiene responsabilidades en materia de seguridad, tanto para sí mismo como para su empleador. Esa responsabilidad empieza por saber más y buscar los medios para adquirir más conocimientos.

Una fuente de conocimientos adicionales son los diversos contenidos de formación y certificación que ofrece Global Knowledge. Global Knowledge, líder mundial en formación en directo y a la carta, ofrece una gran cantidad de recursos en línea.