Documenti di Didattica
Documenti di Professioni
Documenti di Cultura
EMPRESAS
Conoce a tu enemigo
Parte teórica
ciro.dussan00@usc.edu.co
índice
1 PRINCIPALES AMENAZAS ►
2 ACTORES ►
3 AMENAZAS INTERNAS ►
5 CONCLUSIONES ►
2
Objetivos
Clasificación
Cuáles son sus objetivos
Cuáles son sus motivaciones
3
1. PRINCIPALES AMENAZAS
4
1. PRINCIPALES AMENAZAS
5
1. PRINCIPALES AMENAZAS
6
1. PRINCIPALES AMENAZAS
El Malware, también llamado código malicioso, es el software diseñado para tener acceso a
los sistemas informáticos específicos, robar información o interrumpir las operaciones
del ordenador. Erróneamente se conocen como virus informáticos, pero realmente los virus
son un tipo de malware. Hay otros tipos de malware: como los gusanos y los caballos de Troya,
que se diferencian por la forma en que operan o se propagan.
7
1. PRINCIPALES AMENAZAS
8
1. PRINCIPALES AMENAZAS
El
ciberdelincuente
El le proporciona
usuario las claves para
El paga descifrar la
ciberdelincuente la información para
El virus busca se pone en cantidad. poder acceder
archivos para contacto con el otra vez a ella.
Si el usuario no cifrarlos. usuario y le
está solicita un
El usuario ya no
Normalmente debidamente «rescate».
puede acceder a
empieza con un capacitado
su propia
correo abre el fichero!
información, es
infectado.
como si la
secuestraran pero
en tu casa.
9
1. PRINCIPALES AMENAZAS
Una de las vías de infección más habituales en las páginas web son los anuncios, que redirigen a
otra página comprometida que puede infectar tus dispositivos.
Por lo que parece, este tipo de amenazas tienen por objetivo llegar a la
mayor cantidad de personas posibles.
10
1. PRINCIPALES AMENAZAS
INCIBE pone a disposición de tu empresa un servicio gratuito que permite saber de manera fácil y sencilla si
algún equipo de tu empresa está infectado por una botnet [2]
11
1. PRINCIPALES AMENAZAS
Te recomendamos ampliar información con la siguiente infografía : ¿Qué hacen los ciberdelincuentes con los
datos robados? [3]
12
1. PRINCIPALES AMENAZAS
Así es. Esto nos impediría seguir ofreciendo nuestros productos y servicios, por lo que si tienes
un negocio de venta online verías interrumpida tu actividad.
13
1. PRINCIPALES AMENAZAS
Phishing
Los mensajes de phishing han mejorado notablemente, cada vez son más sofisticados
y personalizados. Lo más novedoso de este tipo de ataques es el uso combinado del
correo electrónico y del teléfono. Se usa este engaño (llamado ingeniería social) para
obtener información que de otra forma no daríamos.
Spear Phishing
El spear phishing es otra de las modalidades utilizadas para realizar este tipo de
ataques. El atacante redacta el correo electrónico utilizando información obtenida del
contexto de la víctima (en muchos casos de las redes sociales) para dar mayor
verosimilitud al email, incluyendo un enlace a contenidos de carácter malicioso
dirigido a dañar los sistemas de la víctima. Las garantías de éxito son, por tanto, muy
elevadas.
15
1. PRINCIPALES AMENAZAS
¿Yde todas las amenazas que hemos visto cuáles son las más frecuentes?
Fauna y flora del mundo de los virus: en la Oficina de Seguridad del Internauta (OSI) tienes a tu
disposición una infografía que resume los tipos de virus [4]
16
2. ACTORES
17
2. ACTORES
Los agentes que ejecutan los ataques se pueden clasificar en función de sus motivaciones: amistosos
(cuyo objetivo es detectar fallos de seguridad para anticiparse) o malintencionados (que tienen fines
lucrativos o políticos generalmente).
CIBERAGENTES
AMISTOSOS MALINTENCIONADOS
Cibervándalos
Agentes del orden
Ciberactivistas
Agencias de seguridad
Exempleados
Corporaciones /empresas
Investigadores
Ciberterroristas
Cibercriminales
Hay que señalar que las empresas pueden tener distintas motivaciones en el ámbito de la
ciberseguridad pues además de proporcionar seguridad a sus usuarios y empleados,
podrían realizar acciones poco éticas como espionaje industrial, competencia desleal, etc.
o mantener líneas de investigación con el objetivo de mejorar su protección.
Esto también es cierto para los estados. Por un lado, están obligados a promover la
ciberseguridad y la confianza de los usuarios en Internet pero también pueden utilizar sus
conocimientos para su defensa o para espiar a otros estados.
19
2. ACTORES
Es importante conocer a los actores ya que sus acciones pueden perjudicar tu negocio.
Conociéndoles puedes anticiparte a ellos y adoptar medidas adecuadas para proteger tu
negocio. Estos son algunos:
29
2. ACTORES
21
2. ACTORES
Por lo tanto, existen diferentes actores con distintos niveles de conocimientos técnicos y
distintas motivaciones que pueden amenazar la seguridad de mi negocio comprometiendo
mi información y mis recursos tecnológicos (ordenadores móviles, página web…)
Organizaciones Obtener o vender Alto / Medio / Bajo Competidores, clientes, público en general.
privadas información valiosa
Ofrecer productos y servicios con muchos
detalles sobre datos de identidad o
Beneficio económico financieros.
Ciberdelincuentes Alto / Medio Básicamente, cualquiera puede ser un
(directo o indirecto)
objetivo, si puede obtenerse beneficio
económico.
22
3. AMENAZAS INTERNAS
23
3. AMENAZAS INTERNAS
24
3. AMENAZAS INTERNAS
25
3. AMENAZAS INTERNAS
Los usuarios internos con falta de formación son el origen de algunas brechas de
seguridad que son fácilmente evitables con la debida concienciación en ciberseguridad.
Piensa que por mucha inversión que uno pueda hacer en tecnología, los usuarios son los
que en último término manejan la información.
Por otro lado, los empleados que han salido de la empresa de forma poco amistosa o que
estén descontentos con su situación laboral pueden realizar ataques o causar daños en el
negocio de forma intencionada.
Y por último, no siempre es culpa del empleado, sino que se producen a causa de la
inexistencia de políticas y procedimientos o bien por que éstos no se han aplicado bien.
Es el caso de cuentas de acceso de empleados que dejan la empresas y no se eliminan; o
cuando no se tiene una buena gestión de los accesos a la información sensible de nuestro
negocio (financiera o datos personales de clientes, proveedores o colaboradores).
26
3. AMENAZAS INTERNAS
Ahora piensa en tu empresa, ¿cuáles son los principales factores de riesgo que
pueden afectar a tu negocio desde un punto de vista interno?
Falta de
conocimiento y Administración ineficaz de Inexistencia de
Respuesta reactiva
formación usuarios con privilegios acuerdos de
La mayoría de los confidencialidad con
enfoques actuales para
Cualquier usuario no debería tener
abordar las amenazas los empleados
privilegios con acceso total a los
sistemas, las aplicaciones y la internas son reactivos,
información clave. no predictivos. Es importante solicitar por
Asignación escrito la conformidad con
inapropiada de roles diversas normas internas,
como la política de
y derechos
confidencialidad o de
seguridad, entre otras.
Auditorías y
Uso de tecnologías no análisis
apropiadas, no inadecuados
Deficiente clasificación de aprobadas o sin Muchas empresas no Ausencia de
la información y control por parte de la
tienen forma de auditar
procedimientos y
cumplimiento de políticas el acceso para
organización asegurarse de que solo establecimiento de
las personas pautas y obligaciones
Desconocimiento en la empresa de Servicios en la nube para el debidamente para los trabajadores en
dónde se encuentra su información almacenamiento de autorizadas obtengan el ámbito de
confidencial o cómo se debe información o uso de acceso, y que su uso de
dispositivos móviles la información cumpla
ciberseguridad
manejar.
personales. con la política
establecida.
27
4. FORMACIÓN A LOS EMPLEADOS
28
4. FORMACIÓN A LOS EMPLEADOS
Actividades de
formación y
concienciación
Establecimiento
No conectar a de políticas de
tus Una de las medidas más
dispositivos importantes seguridad y de
un USB de un normativas de
desconocido usos de activos
corporativos
Cláusulas de
confidencialida
No ejecutar d en contratos
programas o con empleados
ficheros de y terceros
origen dudoso
Se extiende incluso después de la
finalización de la relación
contractual.
Actualización Administración
constante del adecuada de
equipo y las roles y perfiles
credenciales con privilegios
(contraseñas) No usar cuentas compartidas.
Reportes de actividades del
usuario avanzados
Gestión de
permisos de
Soluciones anti- exempleados
malware y anti-
fraude
Es aconsejable eliminar
Establecer cuentas de usuario que no
un sistema están en uso.
de
clasificación
de la
información
29
4. FORMACIÓN A LOS EMPLEADOS
Podemos implantar medidas de seguridad más o menos complejas, pero al final el empleado es el
que trata con la información.
Podemos aplicar todo tipo de políticas y normativas, pero es el empleado el que debe aplicarlas.
El acceso a la información por parte de empleados es necesario y tanto intencionada cómo no
intencionadamente, se pueden producir situaciones de riesgo.
Sí, también hemos visto que la mejor forma de evitar este tipo de amenazas es la
concienciación de los empleados en temas de seguridad y las buenas prácticas
diarias en el puesto de trabajo…
¿Pero cómo lo hago? ¿Con qué herramientas?
30
4. FORMACIÓN A LOS EMPLEADOS
Kit de concienciación
En la web de INCIBE hay un kit de concienciación [5]: conjunto de materiales mediante los cuales cualquier
empresa será capaz de hacer comprender a sus empleados lo importantes que son para mantener el buen
nivel de ciberseguridad de la organización.
El Kit está compuesto por diferentes tipos de materiales: fondos de pantalla, salvapantallas, carteles, posters,
presentaciones en PowerPoint para ciclos de formación, videos interactivos y otros tipos de documentación
variada.
¡En el Kit se propone un plan de trabajo que es completamente flexible para que se
amolde a las necesidades de tu empresa!
31
CONCLUSIONES
Existen distintos tipos de amenazas que pueden afectar la seguridad de la información
en mi negocio como la infección de equipos por malware o los casos de phishing y spear
phishing. Estas amenazas pueden estar dirigidas a mí expresamente o ir dirigidas en
general a los usuarios de servicios TIC.
Los actores que más atacan a las empresas son ciberdelincuentes, organizaciones y
insiders. Estos últimos son los actores internos que pueden ser malintencionados como
los exempleados o empleados descontentos, o sin malas intenciones como los empleados
descuidados o engañados.
32
Referencias
[3] Infografía ¿qué hacen los ciberdelincuentes con los datos robados?
https://www.incibe.es/protege-tu-empresa/blog/que-hacen-los-ciberdelincuentes-con-los-
datos-robados
33
33
34