bSecure
Publicación dirigida a satisfacer los requerimientos de información de los directivos involucrados con la continuidad de las operaciones del negocio y la integridad del activo más valiosa de toda organización: la información. En sus páginas se exploran todos los aspectos relacionados con la seguridad, desde software anti-virus y técnicas de encriptación, hasta casos de éxito de empresas que cuentan con una visión integral para mantener la continuidad del negocio y proteger la integridad de los datos.

Artículo 1- Ingeniería Social: el arte de hacernos mensos–http://www.bsecure.com.mx/opinion/ingenieria-social-el-arte-de-hacernos-mensos/

Artículo 2- Ingeniería Social: el arte de hacernos mensos (segunda parte)-http://www.bsecure.com.mx/opinion/ingenieria-social-el-arte-de-hacernos-mensos-segunda-parte/

Para esta conferencia estaré presentando el tema:  “Integración de las Redes Sociales en la Enseñanza” .

Los objetivos de esta presentación serán:

1.Describir que son las redes sociales.

2.Discutir los requisitos para que los educadores interactuen con las redes sociales.

3.Mencionar las redes sociales más populares de hoy día.

4.Discutir el impacto de las redes sociales en la sociedad y en la enseñanza.

5.Discutir las aplicaciones educativas de las redes sociales.

6.Mencionar las estrategias de integración de las redes sociales en la enseñanza.

7.Mencionar los retos que enfrentan los educadores para la integración de las redes sociales en la enseñanza.

Les invito para que vean la presentación en:

Esta presentación cubre los siguientes objetivos:

•Definir que es seguridad informática, seguridad física y lógica de las tecnologías de la información.

•Enumerar las principios básicos de seguridad.

•Mencionar los conceptos básicos de Confidencialidad, Integridad y Disponibilidad de datos.

•Discutir las políticas y mecanismos de seguridad en informática.

•Discutir el impacto de las redes sociales y la importancia de contar con una política de uso de las redes sociales en el negocio.

A través de esta presentación pretendemos proveer unas guías generales sobre los aspectos de seguridad en informática para las PYMES de modo que podamos generar una discusión sobre este tema en Puerto Rico.

Trendsmap

Ahora bien  Trendsmap no es una herramienta de tendencias cualquiera, lo caracteriza su tecnología de GeoIP gracias a Google, lo cual nos permite tener cierta precisión sobre la ubicación de un hashtag en una determinada región.

Fuente: http://trendsmap.com/

Yo escogí el Vaticano, Roma y esto fue lo que encontré:

Fuente: http://www.opentopia.com/webcam/14241

La respuesta es simple y compleja a la vez… por un lado la respuesta apunta a la falta de conocimiento principalmente.  Sin embargo existen muchas variasbles que explican este fenómeno.  A través de está presentación se discutirán los temas sobre que es ingeniería social (IS), como opera el ciclo de IS, principios de la IS, defensas en contra de la IS, y por que caen.

Esta presentación es parte de una de las ponencias en las que estaré participando en Bogotá, Colombia en el 5to Congreso de Prevención de Fraude y Seguridad

Existen varias  definiciones al respecto:

En general muchos ha definido el concepto “las normas de comportamiento que conciernen al uso de la tecnología”.

Ahora bien de acuerdo a Eduteka:

La ciudadanía digital puede definirse cómo las normas de comportamiento que conciernen al uso de la tecnología. Para que se entienda la complejidad de lo que comprende la ciudadanía digital y los problemas del uso, mal uso y abuso de la tecnología, hemos detectado nueve áreas generales de comportamiento que la deben conformar.

1. Netiqueta: (etiqueta) estándares de conducta o manera de proceder con medios electrónicos.
2. Comunicación: intercambio electrónico de información
3. Educación: el proceso de enseñar y aprender sobre tecnología y su utilización
4. Acceso: participación electrónica plena en la sociedad
5. Comercio: compraventa electrónica de bienes y servicios
6. Responsabilidad: responsabilidad por hechos y acciones en los medios electrónicos.
7. Derechos: las libertades que tienen todas las personas en el mundo digital
8. Ergonomía: bienestar físico en un mundo tecnológico digital
9. Riesgo: (auto protección): precauciones para garantizar la seguridad en los medios electrónicos.

Cofer Black, actual presidente de Total Intelligence Solutions (una subsidiara del proveedor militar más grande de Estados Unidos Blackwater) declaró lo siguiente en el pasado evento de BlackHat en las Vegas:

Hasta hace un par de años las tres principales amenazas para un país, de acuerdo al Pentágono y la CIA, eran los ataques bacteriológicos, radiológicos y los nucleares. En la segunda década del siglo XXI esa realidad cambió, colocando a los ciberataques como uno de los principales riesgos para la estabilidad de una nación.

Black tambien indicó que “todos los conflictos del futuro tendrán un componente cibernético”.

Me parece muy importante discutir este aspecto a nivel de global  ya que hoy día los ciberataques son cada vez más comunes. Para eso me di a la tarea de revisar cientos de fuentes de información relacionadas al tema de la ciberseguridad y los ecosistemas de los ciberataques.

A continuación presento un corto análisis de los esfuerzos realizados a  nivel global para tratar el tema de los ciberataques, tambien reseño algunos incidentes importantes de fuga de  información y sus consecuencias:

Un importante detonador….Lockheed Martin

LOCKHEED MARTIN HACKED

Era una mañana tranquila cuando me levanté y leía sobre la noticia de la empresa americana Lockheed Martin la cual recibió un ciberataque que buscaba obtener información clasificada.  Lockheed Martin es una de las principales contratistas del ejército estadounidense que posee información altamente confidencial.  Esta compañía, el Departamento de Seguridad Interna y el Pentágono confirmaron que el ataque tuvo lugar el pasado 21 de mayo 2011, aunque la teniente coronel April Cunningham, a nombre del Departamento de la Defensa, señaló que el impacto para el Pentágono “es mínimo y no esperamos ningún efecto adverso”.

De acuerdo con la noticia los hackers  violaron los controles de seguridad de la mayor compañía aeroespacial del mundo y el primer abastecedor del Pentágono.  Los piratas crearon duplicados de las “llaves electrónicas” utilizadas para acceder al sistema, explicó la empresa.  Aunque por ahora se desconoce qué clase de datos fueron robados, esta violación a los sistemas de seguridad de la multinacional evidenció el riesgo que corre la información confidencial de defensa del país, ya que las redes de Lockheed y otros contratistas de defensa conservan datos importantes sobre futuros sistemas de armas, además de información acerca de la tecnología militar que actualmente se utiliza en las guerras en Irak y Afganistán.

A consecuencia de este ataque el Pentágono salió a la prensa local para informar que desde ahora los actos de sabotaje computacional que provengan de otra nación constituirán un acto de guerra, es decir, que EU podría usar su cibercomando o sus fuerzas militares para responder a la agresión.

POSTURA DE USA Y REINO UNIDO EN CONTRA DE LOS CIBERATAQUES

En varios medios noticiosos se discutió la postura de USA y Reino Unido sobre conocer que considerarán un acto de guerra en contra de sus soberanías a los ciberataques que sus sistemas reciban por parte de otro país.

El gobierno del Reino Unido anunció que pondrá al mismo nivel a las operaciones militares por mar, tierra y aire que a las de ciberguerra, por lo que reclutará a cientos de expertos en seguridad informática para armar las defensas de las redes computacionales de país.  Para ello, el gobierno británico destinará 650 millones de libras a proyectos relacionados con la ciberseguridad, de acuerdo con el Ministerio de Defensa. Ahora que tanto EU como el Reino Unido están de acuerdo en sus posturas sobre la ciberguerra, será cuestión de tiempo que convenzan a los países aliados de asumir estrategias similares.

Miremos un poco que esta haciendo CHINA…

EJERCITO AZUL DE CHINA

Los hechos antes mencionados coinciden con la confirmación de que China cuentaba con un escuadrón de expertos en ciberseguridad, cuya misión es responder a cualquier ciberataque o intento de ciberguerra contra la nación asiática.

Este equipo es conocido como ‘Ejército Azul”.  El Ejercito Azul está conformado por 30 elementos, expertos en los temas de infiltración y ataque de redes, espionaje cibernético y mecanismos de defensa electrónica, según información atribuida a Geng Yansheng, vocero del Ministerio de la Defensa de China.

Datos oficiales indican que el escuadrón existe desde hace por lo menos dos años y que han sido destinados decenas de millones de dólares para el entrenamiento del Ejército Azul.

Entre sus tareas se encuentra el desarrollo de escenarios de ciberguerra para responder a ciberataques, bombardeo a sistemas y redes con códigos maliciosos y correos basura, así como misiones de infiltración y ciberespionaje.

Esta noticia fue dada a conocer  a través de The Times y The Australian.

¿Cómo ha respondido Estados Unidos y otras naciones a los Ciberataques? ¿Qué mecanismos han desarrollado si algunos? Veámos a continuación una recopilación de esfuerzos llevados a cabo durante los años 2009-2011

Obama propuso legislación que detalla estrategia de ciberseguridad

La Casa Blanca envió a los legisladores su propuesta de ley en la que detalla una serie de medidas para proteger a los Estados Unidos de ciberataques y sus consecuencias.

Algunas de las acciones más importantes del que ya es conocido como el “plan de ciberseguridad de Obama” son medidas para minimizar el impacto en la infraestructura crítica del país, previsiones para proteger la privacidad de la información de los ciudadanos, métodos para reportar brechas de seguridad y la propia seguridad de la infraestructura tecnológica del gobierno.

Una de las virtudes del plan de ciberseguridad de Obama es que aglutina diversos aspectos del problema pues, por ejemplo, el Senado en particular ha promovido diversas iniciativas de ciberseguidad, entre ellas relacionadas con temas específicos como la privacidad de la información, lo que sería solo una parte de una estrategia integral de ciberseguridad.

En lo que respecta  podrían ser ser las nuevas obligaciones para las empresas es que, serán responsables de desarrollar planes integrales de ciberseguridad que cubran los riesgos mencionados, los cuales debería reportar y registrar con el gobierno e incluso podrían ser auditados, según lo que hasta ahora se conoce del plan.

Ya en el pasado la Casa Blanca ha tenido intenciones de elevar a ley el poder que el presidente de EU podría tener sobre infraestructura crítica como internet.  En junio de 2010 el Senado de EU propuso dar poderes al presidente para ‘bajar el switch’ a internet ordenando a los proveedores de servicios de internet (ISP, por sus siglas en inglés) a desconectar la infraestructura crítica concesionada para impedir el acceso a redes críticas en caso de una ciberamenaza.

Una mirada más profunda a este plan..

The Comprehensive National Cybersecurity Initiative – Iniciativa Nacional Comprensiva para Ciberseguridad

Howard Schmidt, coordinador de Ciberseguridad del Consejo Nacional de la oficina del Presidente de la Casa Blanca indicó:

“El presidente Obama  ha identificado la ciberseguridad como uno de los temas más serios para la economía  y una de los mayores retos que enfrenta nuestra nación, pero como gobierno  y como país no estamos preparados adecuadamente para enfrentarlo”

Para enfrentar el cambiante y global escenario del cibercrimen y la seguridad IT el funcionario afirmó que el gobierno necesita trabajar de la mano con todos los involucrados en la materia como el sector privado y la academia, pero una colaboración que sólo puede ser posible, dijo, con transparencia y comunicación.  Pueden descargar el documento (plan) en .pdf – http://www.whitehouse.gov/sites/default/files/cybersecurity.pdf

ESTADOS UNIDOS Y SU CAMPAÑA MASIVA DE CIBERSEGURIDAD

Janet Napolitano, del Departamento de Seguridad Interna de Estados Unidos invitó durante el año 2010 a todos los miembros del sector privado, academia y expertos en seguridad  IT a desarrollar la campaña de publicidad en ciberseguridad más importante en la historia del país.

El Departamento de Seguridad Interna ha desarrollado un concurso de talento que tiene como base la búsqueda de las mejores ideas y conceptos para educar a los estadunidenses en el tema de seguridad IT.

Napolitano informó que el concurso  tomará en cuenta el uso de herramientas y tecnologías Web 2.0, el cuidado y protección de los datos, el trabajo en equipo, el impacto y distribución del mensaje y  la retroalimentación del público.

“Tenemos retos difíciles  en materia de ciberseguridad desde instituciones federales, sector privado hasta las persona que entran a la web son blanco de ataque para estas amenazas. Tenemos que trabajar juntos para solucionarlo, movernos rápido, de manera innovadora y tratar de poner el ejemplo, como lo hemos hecho en ocasiones anteriores”, apuntó Napolitano.

Este programa se llamó “National Cybersecurity Awareness Campaign Challenge”

RESUMEN DE ESTRATEGIAS DE ESTADOS UNIDOS PARA TRABAJAR EL TEMA DE LA CIBERSEGURIDAD

Abril 2011- President Obama Releases the National Strategy for Trusted Identities in Cyberspace- http://www.whitehouse.gov/blog/2011/04/15/president-obama-releases-national-strategy-trusted-identities-cyberspace?utm_source=related   Se puede descargar el reporte – http://www.whitehouse.gov/sites/default/files/rss_viewer/NSTICstrategy_041511.pdf

Mayo 2011- The Administration Unveils its Cybersecurity Legislative Proposal–http://www.whitehouse.gov/blog/2011/05/12/administration-unveils-its-cybersecurity-legislative-proposal?utm_source=related

• Fact Sheet: Cybersecurity Legislative Proposal- http://www.whitehouse.gov/sites/default/files/fact_sheet-administration_cybersecurity_legislative_proposal.pdf
• Cyberspace Policy Review- http://www.whitehouse.gov/assets/documents/Cyberspace_Policy_Review_final.pdf

• Launching the U.S. International Strategy for Cyberspace- http://www.whitehouse.gov/blog/2011/05/16/launching-us-international-strategy-cyberspace?utm_source=related

Junio 2011- Announcing the Stop.Think.Connect. PSA Challenge Winners

Stop.Think.Connect. Campaign–http://www.dhs.gov/files/events/stop-think-connect.shtm

Youtube channel- http://www.youtube.com/dhsengage

Septiembre 2011–A Dynamic Approach to Federal Cybersecurity-http://www.whitehouse.gov/blog/2011/09/29/dynamic-approach-federal-cybersecurity?utm_source=related

FRANCIA

Sarkozy llama a gobiernos a regular internet

El presidente de Francia, Nicolás Sarcozy llamó a los gobiernos de los países desarrollados y del mundo a regular internet. Sarcozy pidió que sean emitidas más leyes para la protección del derecho de autor y la privacidad de los usuarios de internet.  En Francia, Sarkozy ha decretado leyes como la llamada de los “tres strikes” que castiga con la desconexión de internet además de multas e indemnizaciones al usuario de internet que sea culpado por descargar de internet música ilegalmente. Si desde la dirección IP de su computadora “bajó” piratería, la autoridad le dará tres avisos para que deje de hacerlo. Otra ley recién aprobada por el mandatario galo es la que filtrará el contenido web para evitar que sitios de pornografía infantil estén activos.

MÉXICO

El Senado de la República de México aprobó por unanimidad la Ley de Protección de Datos Personales en Posesión de Particulares, la cual pretende castigar el uso no autorizado o indebido de la información que identifique a los invididuos. La Ley también busca que los datos de las personas en posesión de empresas como bancos, hospitales, operadores de telefonía celular o tiendas departamentales, entre otras, protejan la información de sus clientes y que les informen sobre su uso.

Del Dip. Rodrigo Pérez-Alonso, del Grupo Parlamentario del Grupo Parlamentario del Partido Verde Ecologista de México, contiene un punto de acuerdo por el que se exhorta al Ejecutivo Federal para que México se adhiera formalmente al Convenio de Budapest. En La exposición de motivos del comunicado se hace referencia a la importancia de la adopción del Convenio de Budapest para facilitar la cooperación a nivel internacional y para la aprobación de una legislación adecuada para combatir delitos tales como los fraudes informáticos y la pornografía infantil a nivel nacional.

Asimismo, el comunicado exhorta al Ejecutivo Federal para que haga las diligencias necesarias para que México se adhiera formalmente al mismo y destaca que dicho instrumento “es un mecanismo bien articulado, vasto en sus concepciones, explícito en sus medios y fines, así como respetuoso de la soberanía y los sistemas judiciales de los países adherentes, a los que concede un notable campo de acción y de esta forma México coadyuve a nivel internacional en la investigación, persecución y sanción de los delitos informáticos.”–http://www.senado.gob.mx/index.php?ver=sp&mn=2&sm=2&id=4179&lg=61

Documentos relacionados a leyes en México:

1. Comunicado de prensa del Presidente de la Comisión Especial de Acceso Digital de la H. Cámara de Diputados-http://joelgomez.mx/uploads/Boletin_Prensa_Perez_Alonso_Ciberdelitos.pdf

2. Protección de datos y privacidad- http://www.protecciondedatos.org.mx/2010/08/proposicion-con-punto-de-acuerdo-para-que-la-camara-de-diputados-exhorte-al-ejecutivo-federal-para-que-mexico-se-adhiera-formalmente-al-convenio-de-budapest/

PERÚ

De acuerdo a varios portales de seguridad lo sistemas de seguridad en Perú son de tercer mundo.  Se informó que la firma Netcraft reveló que casi la mitad de los intentos de “phishing” o robo de información bancaria desde servidores gubernamentales mundiales, salieron de dominios peruanos gob.pe.

A consecuencia de este evento el despacho del parlamentario Juan Carlos Eguren presentó un Proyecto de Ley que Regula los Delitos Informáticos. Sin embargo se advierte que las normas deben ser analizadas y explicadas a la perfección para evitar generar corrientes que vean en la legislación algún intento de frenar las libertades en la red.

Ver documento -http://www2.congreso.gob.pe/Sicr/TraDocEstProc/Contdoc01_2011.nsf/0/9acc347a13bfb859052578e9007c116f/$FILE/PL00034110811.pdf

VIRUS Y SEGURIDAD NACIONAL DE PERÚ

Voceros de Péru indicaron que los ataques informáticos serán cada vez más sofisticados y dentro de cinco años o menos explotarán los ataques APT o dirigidos “*cuyo objetivo será extraer o comprometer información confidencial sensible de carácter de seguridad de una nación*”.

“En cinco años, las naciones iberoamericanas producirán sus propios ataques y espiarán a sus vecinos”, pronosticó, en lugar de usar inteligencia militar. Esto podría llevar a conflictos bilaterales siempre y cuando se descubran. “La seguridad informática está en crisis”.

DATO CURIOSO: Brasil es el país con mayor cibercriminalidad en Latinoamérica

BRASIL

Brasil es considerado el país donde hay más cibercriminales que se benefician de esta actividad.  De acuerdo con Misha Glenny una periodista britanica que viajo a este país durante el año 2009.   De acuerdo a Kaspersky Lab, en Brasil existe 10 millones de computadoras; 73 millones de accesos a Internet, 38 millones de usuarios en línea; 2.2 millones de usuarios de banca móvil.

PROFESIÓN Raúl, Raúl es el nombre que utilizan los cibercriminales para designar a aquellos brasileños que viven de robar la banca en línea, la clonación detarjetas de crédito y huyen de la policía, la “Raulzada”.

Fabio Assolini, Analista de Malware, Kaspersky Lab – indicó que  realizó un análisis de la situación de cibercriminaldiad en Brasil e hizo una comparación entre los cibercriminales de Brasil y Latinaomérica.

En Brasil el robo de bancos se los hace en su mayor parte con troyanos a diferencia de lo que ocurre en Latinoamérica que lo hace a través de botnet. Los troyanos con que se atacan en la banca brasileña en un 95% la hacen por brasileños, dice Assolini.

Assolini, comentó que el comportamiento de los cibercriminales en Brasil se orienta a atacar y obtener resultados inmediatos, aunque sostuvo que la finalidad entre los cibercriminales de este país y Latinoamérica es igual, “su objetivo es ganar dinero”. Los unos lo hacen con mecanismos que permiten el robo de forma inmediatamente y los otros con mecanismos como los botnet que infecta a más personas, roba información y cuyos resultados son a mediano plazo. Este experto brasileño se habló de en Brasil se utiliza más la ingeniería social para cometer delitos informáticos a través de malware de baja calidad.

EUROPA

La Comisión Europea incide en la importancia de reforzar la ciberseguridad de los países miembros

Para fortalecer al compromiso de los estados de la Unión Europea y a fin de mejorar y reforzar sus capacidades de ciberseguridad nacional la Comisión Europea anunció que se prepara para mejorar la seguridad de la información y las infraestructuras en Europa. En este plan, también se contempla una modernización de la agencia ENISA.

La Vicepresidenta de la Comisión Europea, Neelie Kroes, presentó ante el Consejo Europeo el informe (Informe-http://europa.eu/rapid/pressReleasesAction.do?reference=MEMO/11/345&format=HTML&aged=0&language=EN&guiLanguage=en) sobre telecomunicaciones de la Comisión correspondiente en el que, entre otras propuestas, se presta atención a la ciberseguridad en Europa.

En el informe se insta a establecer esfuerzos, tanto a nivel de la UE como globales, para abordar de forma efectiva todo tipo de ciberataques, ya sean ataques para explotar vulnerabilidades de los sistemas TI, interrupciones deliberadas o intentos de destruir sistemas TI.

La vicepresidenta Kroes pidió en su intervención un mayor compromiso de los estados miembros para mejorar y reforzar sus capacidades de ciberseguridadnacionales.  De forma particular, la Comisión monitorizará la implementación de CERTs nacionales y la creación de una red de centros de alerta temprana en Europa para 2012 apoyados por estrategias nacionales efectivas. Asimismo, propone desarrollar planes de contingencia ante incidentes informáticos a nivel nacional y contribuir al desarrollo de un plan de contingencia europeo ante ciberincidentes para 2012; y organizar ejercicios de ciberseguridad nacionales y paneorupeos de forma regular; entre ellos, propone un ejercicio junto aEstados Unidos para finales de 2011 y un ejercicio de toda la Unión Europea en 2012.

OTROS Acuerdos y Documentos globales para tratar el tema de ciberataque

1. ENISA-Good Practice Guide for Incident Management–http://www.enisa.europa.eu/act/cert/support/incident-management

2. Convenio sobre cibercriminalidad Budapest, 23.XI.2001- http://conventions.coe.int/Treaty/en/Treaties/Html/185-SPA.htm

3.  Resoluciones generales-http://ciberdelincuencia.org/fuentes/resoluciones.php#onu

• Consejo de Europa (CoE)

• Comisión Europea

• Naciones Unidas (ONU)

• Unión Internacional de Telecomunicaciones (UIT)

• Organización de los Estados Americanos (OEA)

Este corto ensayo presenta una idea general sobre el panorama que enfrentan las naciones sobre el tema de los ciberataques.  Aún queda mucho por hacer sobretodo por el lado de educar a la población sobre los riesgos y problemas que representa para la seguridad de una nación los ataques de informática. 

FUENTES:

1. http://www.netmedia.info/featured/obama-propuso-legislacion-que-detalla-estrategia-de-ciberseguridad/

2. http://www.netmedia.info/ultimas-noticias/sarkozy-llama-a-gobiernos-a-regular-internet/

3. http://comunicacion.senado.gob.mx/

4. http://www.dailytech.com/Reports+Hackers+Use+Stolen+RSA+Information+to+Hack+Lockheed+Martin/article21757.htm

5. http://www.dhs.gov/files/cyber-awareness-campaign.shtm

6. http://globalspin.blogs.time.com/2011/05/27/meet-chinas-newest-soldiers-an-online-blue-army/

7. http://www.whitehouse.gov/cybersecurity/comprehensive-national-cybersecurity-initiative

8. http://www.zdnet.com/blog/security/chinas-blue-army-when-nations-harness-hacktivists-for-information-warfare/8686

9. http://www.pcworld.com.ec/2011/08/26/profesion-%E2%80%9Craul%E2%80%9D-analisis-de-cibercriminalidad-en-brasil/

10. http://ciberdelincuencia.org/fuentes/prensa.php

11. http://www.scansafe.com/downloads/gtr/2009_AGTR.pdf