Demasiada información, demasiados datos y demasiados equipos como para que éstos no estén protegidos. El riesgo para una empresa es muy elevado. No sólo por lo que puede perder sino también por lo que puede dejar de ganar. Recuperarse de un problema propiciado por la falta de seguridad puede tardar varios días y ese tiempo implica no atender a los clientes, tener a los trabajadores parados y, evidentemente sufrir importantes pérdidas. Así que conviene no bajar la guardia y sobre todo, no creerse que se está protegido en todo momento. Las nuevas amenazas se crean cada pocas horas y estar atentos a ellas es una obligación de las empresas independientemente del tamaño que éstas tengan.
Sin embargo, y a pesar de la importancia no es menos cierto que en la actual coyuntura económica, ciertos sectores de las TI pueden verse afectados cuando las empresas tengan que priorizar inversiones. Sin embargo dada la importancia de la seguridad en la apreciación de los gestores de TI, no parece que vaya a haber una caída importante de los ingresos de este mercado. Los últimos años han visto un repunte de las inversiones en seguridad, especialmente alimentadas por elementos de cohesión como los sistemas de monitorización de la seguridad y análisis de log, que buscan proporcionar inteligencia adicional al administrador que previamente debía manejar enormes cantidades de información de forma poco efectiva.
Según Alejandro García Nieto, Responsable de los servicios de seguridad tecnológica de IBM, “el mercado de la seguridad sigue evolucionando en función de los sectores en los que nos movemos. A grandes rasgos podemos ver cómo los sectores más maduros intentan poner la seguridad en un primer plano y es una prioridad cada día más cerca del negocio. Por otro lado podemos ver sectores menos maduros donde las inversiones en seguridad siguen siendo reactivas y en algunos casos poco eficientes.
En nuestro país, los sectores de banca y seguros son los que tienen mayor nivel de concienciación de la necesidad de contar con planes de continuidad, junto con las grandes empresas. Pero en la pequeña y mediana empresa el nivel de concienciación disminuye, a pesar de que las tecnologías de la información están muy presentes en sus procesos de negocio, por lo que es aquí donde hay que seguir trabajando”.
No obstante, últimamente, se hable del tema del que se hable, la crisis siempre aflora. Y el mercado de la seguridad informática no es ajeno a esta situación. Como muestra de ello las declaraciones de María Ramírez, Ingeniero Preventa de Trend Micro: “Evidentemente, España no se mantiene ajena ante esta situación económica, que está afectando a las partidas presupuestarias de las empresas en materia tecnológica, aunque, ante la constante aparición de nuevos ataques y las pérdidas que estos están provocando, es posible que las compañías, cuando menos, mantengan su presupuesto en seguridad o lo incrementen, dando prioridad a este área frente a otras. Desde nuestro punto de vista, el crecimiento de la demanda de soluciones de seguridad se verá impulsado por el incremento de los ataques informáticos a nivel mundial, sumado a la mayor conciencia respecto a la necesidad de infraestructuras de seguridad completas y robustas”.
Sin embargo y según numerosos analistas, a pesar de la situación económica actual, la inversión en seguridad seguirá incrementándose, tanto a nivel mundial como en el mercado español. Dentro de estas previsiones, los antivirus, cortafuegos, antispam, antiphishing y, en general, programas de bloqueo de malware serán las medidas de seguridad que mayor crecimiento tendrán durante el próximo año. Según INTECO, el mercado de la seguridad en España alcanzó los 617 millones de euros en España, de los cuales los servicios de seguridad representan el 54,9% del mercado, el software de seguridad un 36,4% y el hardware de seguridad el 8,7%.
En definitiva, la seguridad es un sector que sigue creciendo año tras año debido a que las amenazas no descansan, y requieren una continua evolución y una mayor protección cada vez. Dentro del sector, existen tendencias claras entre los diferentes tipos de soluciones. Mientras las soluciones de seguridad más tradicionales como Firewalls, IDS/IPS, Antivirus, etc. tienden a sufrir un estancamiento en los próximos años – y algunas ya lo están sufriendo hoy en día-, la evolución de las amenazas ha hecho que los clientes demanden ahora soluciones eficaces. Así, para el sector de la Seguridad Web, IDC prevé un tasa de crecimiento anual continuado pasando de una estimación de 670 $M en 2008 a 738 &M en 2011, diferenciándose claramente del sector de filtrado web no asociado a la seguridad, para el cual se prevé un estancamiento.
Otro sector del que se espera un crecimiento muy rápido en los próximos años son las soluciones de seguridad gestionada, tanto para seguridad Web como para mensajería. La mayor dispersión de las empresas, la mayor movilidad de los trabajadores, la mayor colaboración con partner y compañías externas, hacen que los despliegues en red comiencen a presentar ciertas desventajas sobre los sistemas gestionados «on the cloud», que permite disponer de los servicios de seguridad allá donde hagan falta, reduce los costes de inversión y operación y mantiene todas las capacidades de gestión, administración y reporte de la solución.
Las mayores riesgos
Robos de identidades o contraseñas, así como todo tipo de ataques a equipos fijos, móviles y redes inalámbricas, virus y acceso a los datos de la empresa son alguno de los peligros a los que se enfrentan las empresas de hoy en día. Además, los ataques están evolucionando hacia técnicas más complejas que las vistas hasta ahora, combinando distintos frentes de acción para tratar de ser más complicados de frenar. Por ello, conviene adoptar una perspectiva de seguridad centralizada y global.
Pero se añaden otros problemas. Según afirma María Campos, country manager Stonesoft Ibérica “con la llegada de la virtualización, muchos dispositivos de seguridad basados exclusivamente en hardware carecen de valor en estos nuevos escenarios, en los que lo físico ha sido suprimido. Para no lastrar las ventajas de la virtualización ni llegar al punto de que los problemas excedan con mucho a los que existían anteriormente bajo entornos físicos, es necesario protegerse de forma específica, con funciones destinadas concretamente a los entornos virtuales”.
Para Alfonso Martínez Ingeniero de Preventa de Audema, lo primero que hay que proteger y dónde se encuentran los mayores riesgos es en “la información y la privacidad de los datos. Cada día es más importante evitar la fuga de información de las empresas y más difícil de controlar, ya sea mediante llaves USB, por correo electrónico, en CDs, etc”.
En esta misma línea se enfocan las declaraciones de Asier Ortega, Sales Engineer de Websense Iberia: “Hoy día, los principales riesgos residen en la WEB. Más del 80% de las amenazas que acechan a los usuarios usan la navegación como forma de propagación, habiendo dejado obsoletos otros mecanismos como la dispersión de virus o código malicioso mediante correo, etc”.
Además, la evolución que la propia web ha seguido, pasando de ser un sitio de consulta en el que unos pocos ofrecían el contenido a la gran mayoría de los usuarios, para convertirse en un sitio en el que cualquiera puede volcar su información y compartirla, ha cambiado por completo el concepto de navegación y ha abierto la puerta a muchas nuevas amenazas. La web 2.0 no es solamente una revolución en el concepto y en el uso de la web, sino también una revolución en lo referente a las amenazas a las que hay que hacer frente, mucho más dinámicas, rápidas, dirigidas y cambiantes. Ortega señala asimismo “una amenaza que aunque siempre ha estado latente, en los últimos meses se ha tomado mayor consciencia de ella: la fuga de información.
Según los últimos estudios de consultoras independientes como Gartner e IDC, la fuga de información sensible es, hoy por hoy, la mayor preocupación de los administradores y responsables de seguridad TI”. Antonio Gracia, director de marketing de GTI cree que “en el ámbito de la seguridad existen diferentes riesgos, desde amenazas que provienen del exterior, hasta los riesgos que provienen del aparente uso inofensivo de la tecnología por parte de los empleados o mediante el intercambio o movimiento de información que puede dar lugar a las temidas fugas de datos. Cualquier actividad cotidiana y aparentemente inofensiva puede poner en peligro la seguridad interna de las compañías”.
Desde IBM se considera que los principales riesgos vienen dado por varios motivos:
– Por un lado el creciente número de regulaciones y normativas que deben ser puestas en marcha por las compañías, ya que derivan en riesgos asociados a multas o pérdida de imagen.
– Por otro el aumento en la complejidad de los nuevos ciber ataques y la “profesionalización” de los ciber delincuentes. Según un informe del equipo de investigación IBM ISS X-Force, existe un preocupante aumento en la sofisticación de los ataques a la seguridad tecnológica en todo el mundo, así como un incremento en la organización de las redes de ciberdelincuentes.
– Además la complejidad de los sistemas incrementa también el riesgo en las organizaciones.
Todos estos riesgos hacen que los departamentos de tecnologías de la información se encuentren desbordados a la hora de solucionar los problemas de seguridad y de cumplimiento de normas. Para Josep Micolau Services Delivery Director CISSP de CA, “en el entorno empresarial, además de las amenazas que presenta Internet, hay que prepararse ante el riesgo que supone el acceso de personas no autorizadas a los sistemas o datos de la empresa. Para ello, es preciso disponer de un sistema de gestión de identidades y accesos que garantice que sólo los usuarios autorizados tienen acceso a los sistemas. Además, la empresa deberá hacer cumplir las políticas dispuestas y auditar de forma continuada los sistemas y los procesos”.
¿Son conscientes las empresas?
Las empresas han estado escuchando durante muchos años discursos de seguridad ligados a dos conceptos que hoy en día no son válidos en el entorno actual: sistemas de seguridad frente a ataques de red o de conexión, y ataques de tipo altruista, en el que los atacantes respondían a aquella imagen tópica del hacker estudiante que solamente busca notoriedad. Hoy en día los ataques tienen un fin en su mayor parte económico, y ya no buscan explotar vulnerabilidades propias de redes o sistemas, sino que buscan la información en sí misma, utilizando todos los mecanismos para conseguirla: ingeniería social, troyanos, keyloggers, accesos inadecuados, psicología, etc.
Según el portavoz de Websense, “podemos decir que la importancia de la seguridad está íntimamente ligada a la importancia de la información: aquellas empresas que consideran la información como un activo de gran valor para la organización, e incluso como el más valioso de todos, comprenden la importancia que tiene proteger esta información. En España esta valoración de la información como un valioso objeto de negocio no se produce de una forma clara en la mayoría de las organizaciones, y la seguridad informática parece un nicho entre los departamentos de sistemas y telecomunicaciones.
Cuando el concepto del valor de la información se difunda de un modo más amplio, se entenderá entonces la necesidad de su protección no desde uno o dos departamentos de la empresa, sino a nivel global, siendo un proceso en el que ha de implicarse toda la compañía en si”. Según afirma Pilar Santamaría, Directora de Desarrollo de Negocio para seguridad en Cisco, “muchas veces las empresas no son conscientes de que el cibercrimen está evolucionando delante de nuestros ojos. Ya no se pueden ver las amenazas a la seguridad de la información como una batalla independiente frente a un virus o un ataque phishing. Ahora se utilizan técnicas sociales y tecnología, uso y confianza.
Hoy, el esfuerzo por mantener la seguridad en empresas, identidades personales e información confidencial frente a la fuga de datos, requiere un mayor nivel de coordinación entre todas las partes que componen las comunicaciones empresariales, es decir, una mayor inteligencia en la red para gestionar y automatizar la protección.. Equipos de seguridad tecnológica, empresas, responsables del cumplimiento de la ley, consumidores, ciudadanos… todos somos objetivo, así que también todos debemos ser aliados. La efectividad de la seguridad personal, empresarial y nacional dependerá de la colaboración y la comunicación entre todas estas partes. Para facilitar esta colaboración, la red tomará un papel fundamental en la automatización de las políticas de seguridad, así como el refuerzo de las mismas”.
Y es que, en más ocasiones de las deseadas la seguridad no es algo que se vea materializado en niveles de protección adecuados; sin ir más lejos, las copias de seguridad suelen quedar relegadas a las aplicaciones críticas y dependen de los usuarios, por lo que no hay fiabilidad de la constancia de dichas copias, y en el caso de los trabajadores individuales este problema se agrava aún más si cabe. Las empresas deben de ser conscientes de que, tal y como señala Fernando Ayllón, Director de Servicios y Proyectos de Afina, “hoy en día, el activo más importante en casi todas las compañías es su información y a pesar de ello no suele estar debidamente protegida. Ahí radica la importancia de un Plan de Recuperación frente a Desastres y un Centro de Contingencia. En caso contrario, las pérdidas pueden ser irreparables, hasta el punto incluso de provocar la quiebra del negocio”.
También hay que matizar que es entre las pymes donde más hincapié hay que hacer pues diversos estudios ponen de manifiesto que la sensación que están menos protegidas de lo que realmente piensan y, por tanto, se encuentran más en peligro. Según una investigación realizada por Trend Micro en el sector de las pymes, el 59% de los profesionales de TI/SI de las pymes consideran que están bien protegidos, mientras que se ha detectado que estas compañías carecen de la protección adecuada para muchos de los tipos de amenazas web emergentes en la actualidad.
Así, en el 88% de las pymes sondeadas se advierte una falta de protección ante el fraude online, como es el caso de ataques de pharming. Por otro lado, menos del 45% de las empresas encuestadas dispone de seguridad contra ataques Wi-Fi, contenido web peligroso, intrusiones de red y ataques de phishing.
Estos resultados las convierten en blanco perfecto para los ciber-criminales, pues las pymes todavía no están dedicando los suficientes recursos a proteger sus infraestructuras, y mucho menos cuentan con políticas de seguridad, todo lo contrario que en la gran cuenta.
Lo obligatorio
Pero, ¿Qué es lo más importante cuando hablamos de seguridad en TI? ¿A qué deben prestar las empresas una mayor atención? Se puede afirmar que Las empresas deben adaptar sus mecanismos de protección a dos hechos que han cambiado el concepto de protección: la desaparición del perímetro como tal y el nuevo concepto de Internet como elemento de colaboración. Por tanto, las compañías deben hacerse con sistemas que por una parte, permitan sacar todo el provecho de la nueva Web 2.0, sin que ello suponga un riesgo para la organización, abandonando el antiguo concepto de filtrado estático de URL y análisis basados en firmas, para pasar a un concepto de análisis en tiempo real, detección de amenazas de hora cero y categorización y filtrado dinámico.
Además, deben proporcionar herramientas que permitan compartir la información esencial con aquellos que resulte necesario, pero que proteja frente a la posible fuga de esta información. De este modo, deberán tener la capacidad de clasificar su información, definir sus políticas de uso de la información y disponer de una herramienta que permita controlar que dicho uso se ajusta a las políticas definidas.
Y todo ello sin olvidarnos de la protección del correo electrónico como herramienta de comunicación número uno hoy en día. Sin embargo, las empresas deben empezar a analizar cuáles de estos sistemas compensa tenerlos en propiedad, y cuales pueden ser externalizados y adquiridos como un servicio, lo cual en sistemas de protección de correo (antispam, antivirus, etc) e incluso de protección web puede aportar grandes ventajas a la organización.
Según la portavoz de Trend Micro, “las empresas deberían combinar la protección a todos los niveles de todos los sistemas y dispositivos de la empresa (desde los pcs corporativos, hasta el gateway de acceso a Internet, pasando por los servidores de ficheros, de correo electrónico, etc.). En seguridad hay que estar alerta constantemente tanto de ataques externos como de los que se producen desde dentro de la compañía, ya sean de forma accidental o intencionada. (Se estima que entre un 80 y un 85% de los casos de fuga de datos o pérdida de información de las empresas se producen por descuidos accidentales de los trabajadores, y estos porcentajes son muy altos)”.
Emilio Román, director general de Fortines asegura que “las organizaciones ya sean pequeñas, medianas y grandes, llegando hasta las Telcos están demandando soluciones de UTM, ya que han podido comprobar las enormes ventajas que les aportan: cobertura total frente a ataques, facilidad de gestión, reducción de costes directos e indirectos, y lo que es más importante, con un rendimiento tal que no introduzca retardo en sus redes”.
Las soluciones de seguridad hoy en día, se podrían clasificar de muchas maneras. Sin embargo, podríamos diferenciarlas entre las soluciones de seguridad “Todo en uno” (UTM) o aquellas que utilizan un equipo para cada tipo de amenaza, con sistemas especializados. Este último tipo de soluciones sólo son aplicables en grandes empresas que cuentan con los recursos económicos y humanos necesarios para su puesta en marcha y mantenimiento.
La solución UTM, que integra varios elementos de seguridad en un solo equipo, tales como firewall, router, antivirus de red, antispam, antiphising, filtrado de contenidos y VPN, cubriendo la seguridad perimetral de una pyme con un único dispositivo, reducen considerablemente el presupuesto de adquisición y se pueden mantener de forma externalizada, lo que reduce notablemente su coste de mantenimiento.
Estas soluciones son las recomendadas para las pequeñas y medianas empresas. Sin embargo, como señala Miguel Ángel Martínez, Project Manager de IronGate, “para saber con exactitud las medidas de seguridad en la mediana y gran empresa, la mejor manera de ver sus necesidades reales es realizar una auditoría de seguridad personalizada, ya que cada empresa funciona de forma diferente y tiene distinta infraestructura de red. Un análisis en profundidad de los usos y costumbres de los usuarios, así como de los sistemas informáticos de la empresa es necesario para poder identificar los posibles puntos débiles del diseño de red. Una vez identificados los puntos débiles se puede ofrecer una solución completa y ajustada en coste al cliente”.
Desde Stonesoft, María Campos, country manager de la compañía considera que “el malware no deja de diversificarse y de buscar nuevas formas de infectar los sistemas, recurriendo para ello a ataques combinados y cada vez más dañinos, por lo que reforzar la continuidad del negocio es esencial para las empresas. Se trata de un campo en constante y permanente evolución, que recientemente se ha empezado a centrar en garantizar la conectividad permanente de forma segura y sin importar ni la ubicación ni el tipo de dispositivo que se utilice –y es que la movilidad ha cambiado profundamente las reglas-.
En este sentido, los puntos de acceso SSL VPN protagonizarán los mayores avances”. Para Xavier Lleixà, Sales Engineer de Netgear, “es fundamental mantener una política de seguridad que evite los accesos no autorizados y que prevenga ante las amenazas (evitando la infección de virus y malware), pero es fundamental mantener una política de protección que incluya las copias de seguridad y la protección de datos como parte fundamental de la estrategia de la empresa”.
Los que pasan
No obstante, y aunque la seguridad que tengamos en nuestro equipos sean efectivas y se encuentren actualizadas una empresa nunca estará segura al 100%. Esto es importante tenerlo claro. Hay un porcentaje, mínimo eso sí, que puede burlar los sistemas y existen amenazas que una vez que han traspasado la barrera principal pueden ser muy perjudiciales ya que confían, sobre todo, en la inocencia o en la avaricia humana. Un claro ejemplo de esto puede ser el phising. Son muchos los que han oído hablar de esta técnica, pero sigue habiendo personas confiadas que se creen lo que les dice el mensaje de turno.
Ante estas situaciones, es evidente, que los elementos de seguridad nada pueden hacer. ¿Entonces dónde radica la clave para que no nos la den con queso? Para Alejandro García Nieto de IBM, “las campañas de concienciación han demostrado su eficacia. En términos de seguridad es necesario hacer participar a los usuarios en eventos o sesiones que les permitan ser conscientes de los riesgos a los que se enfrentan, de las posibles consecuencias y de las medidas a tomar”. En la misma línea de opinión se sitúa el portavoz de CA que asegura que “las campañas de concienciación de los empleados son fundamentales para reducir el riesgo de las amenazas. Es crucial que los empleados conozcan tanto los riesgos y amenazas que existen en el ámbito del desarrollo de su trabajo, y el grado en el que pueden comprometer los activos de la empresa, así como las responsabilidades que se derivan de sus acciones.
La empresa debe hacer campañas de concienciación para dar a conocer a los empleados los riesgos asociados al uso de los dispositivos móviles y sus responsabilidades como custodios de los datos a fin de minimizar los riesgos y cumplir con las normativas pertinentes. Los problemas de seguridad surgen de los empleados en gran medida debido a errores y a la falta de conocimiento. Y es que a menudo, los empleados no se dan cuenta de que determinadas prácticas son un riesgo para la seguridad de la información.
Anotarse los usuarios y contraseñas que sirvan de ayuda para recordarlos, llevar información confidencial en un USB sin protección con contraseña, o reenviar documentos confidenciales como favor a un amigo que es presuntamente discreto, etc., son algunos de los ejemplos de comportamientos habituales que pueden llevar directamente a comprometer la seguridad.
No basta con confiar simplemente en que los usuarios aplicarán el sentido común y actuarán responsablemente. Cada organización tiene el deber de crear un entorno en el que la seguridad se vea como una parte natural de la cultura y de la forma en que trabajan las personas, y que permite hacer el trabajo de forma más eficaz y productiva”
El responsable de Websense cree que “los sistemas de protección de correo por si solos, o los sistemas de filtrado web, no son suficientes: son necesarias tecnologías que trabajen de un modo integrado para poder detectar estos ataques combinados”. Por su parte, Salvador Ferrer, Director Preventa de Enterasys, afirma que “las empresas deben abordar el problema de una forma más completa incluyendo los interesas de la empresa en esta información y teniendo en cuenta que la información obtenida mediante phising u otros medios puede ser información confidencial de la empresa y obrar en consecuencia. Métodos de barrera basados en proxies de aplicación pueden aumentar la seguridad en este aspecto pero el apartado de formación por personal especializado es fundamental”.
Hoy en día, los profesionales emplean diferentes herramientas de comunicación y colaboración en su actividad diaria. Aunque, gracias a estas soluciones, la productividad empresarial se incrementa, el entorno de trabajo es más vulnerable y difícil de proteger. En general, los profesionales no suelen tener en cuenta las medidas de seguridad adecuadas y sin embargo la seguridad es esencial para el correcto desarrollo empresarial de cualquier organización. Un estudio realizado por Cisco muestra como uno de cada tres encuestados asegura que no bloquea o apaga su ordenador a la hora de la comida y uno de cada cinco deja a la vista sus contraseñas para acceder a su ordenador o las comparte con sus compañeros de trabajo.
Estas malas prácticas acaban invitando a los intrusos a utilizar las claves para acceder a datos sensibles de la compañía. Si, además, el empleado utiliza el PC para su uso personal, la información corporativa también es susceptible de sufrir un ataque. De forma paralela al uso indebido de las infraestructuras tecnológicas por parte de los profesionales, cada vez es más común que los empleados trabajen de forma remota y, en este sentido, el 46% de los empleados encuestados afirma que ha transferido archivos entre su ordenador de la empresa y el personal para poder trabajar fuera de la oficina. El 75% de los profesionales que han tomado parte del estudio asegura que no suele preocuparse de la privacidad cuando se encuentra trabajando en remoto en lugares públicos, mientras que el 68% no guarda discreción cuando hablan por teléfono sobre asuntos corporativos fuera de la empresa.
Seguridad y movilidad
Uno de los problemas que se lleva apreciando en los últimos años es el de la seguridad en los dispositivos móviles. Los ordenadores y servidores ya no son los únicos que sufren las amenazas de los ciberdelincuentes y los peligros de los virus. Teléfonos móviles, PDAs, smartphones y hasta consolas de videojuegos pueden sufrir un ataque. En el ámbito empresarial el problema radica en que la información sale de lo que se considera la red corporativa, y por tanto queda expuesta a los riesgos de los que los sistemas de seguridad tradicionales trataban de proteger con defensas perimetrales. Por tanto, las tendencias principales serán dos: por un lado, controlar qué información debe salir y cuál no; por otro, garantizar que si esta información está fuera de nuestras defensas perimetrales, no puede ser accedida por quien no deba, ni utilizada de forma fraudulenta o inadecuada por nadie, ni siquiera por los usuarios autorizados.
Para Fernando Ayllón, Director de Servicios y Proyectos de Afina, “tras la popularización de los dispositivos móviles, es necesario proteger los datos corporativos expuestos al peligro mediante las conexiones WiFi o Bluetooth. Las políticas de seguridad corporativa deben proteger a los usuarios móviles, generar claves de acceso, cifrar la información para ponerla a salvo de usuarios o autorizados y utilizar sistemas de fuerte autenticación, a grandes rasgos. De igual modo, las amenazas tradicionales de las redes corporativas se han trasladado también a los dispositivos móviles, en los que resulta más sencillo realizar escuchas y accesos no autorizados a través del hacking o el spoofing (suplantación de identidad).
Además, la posibilidad de extravío o robo del dispositivo físico añade un plus de peligrosidad, pues dejar caer la información que contiene en manos de extraños puede constituir un claro y grave problema –sobre todo en cuanto a datos sensibles y personales se refiere-. Entre las modalidades de acceso malicioso a los dispositivos móviles, cobran especial protagonismo el BlueSnarfing, que aprovecha una vulnerabilidad del protocolo Bluetooth; el Backdoor, que utiliza la opción de programación de emergencia para cambiar parámetros de configuración; o el Bluejacking, que consiste en el envío anónimo de mensajes a dispositivos con Bluetooth. Por su parte, los virus en teléfonos móviles, PDAs y similares siguen sin constituir todavía una amenaza extendida, aunque su presencia va en aumento”.
Ramsés Gallego, Director General de Security and Risk de Entel cree que “vivimos etapas en las que la información es móvil y se mueve más allá de las fronteras corporativas. Por ello, creemos que el concepto de ‘protección perimetral’ es cambiante ya que obliga a la pregunta ‘¿dónde está mi perímetro?’. Por ello, opinamos que la seguridad debe viajar con la información y debe ser un atributo más de ésta de manera que, inteligentemente, conozca en qué ámbito se puede mover e incluso generar ‘círculos de confianza’ donde esa información puede ser leída y fuera de éste, ni siquiera pueda existir. Debemos tener en cuenta que existe información corporativa en múltiples dispositivos, algunos de ellos incluso personales y la corporación debe conocer cuáles son y aplicar políticas de encriptación o incluso borrado remoto si fuera necesario proteger esos datos”.
En los últimos años, tanto la tecnología móvil como la movilidad en el trabajo han aumentado. Mientras esto puede beneficiar a la accesibilidad, efectividad y productividad del trabajador, también puede incrementar los riesgos. Según un informe de Trend Micro, cuanta mayor movilidad tenga el trabajador, más propenso es a enviar información confidencial vía Instant Messaging o Web mail. Estas tendencias de comportamiento de riesgo resultan preocupantes, pues actualmente las amenazas web son más globales y son el vector que más está creciendo.
Éstas son más sofisticadas, comprenden múltiples componentes y aprovechan la web para actualizar, ocultar, comunicar y transmitir información robada. Con los hackers estando cada vez más organizados y motivados por la obtención de beneficios, la oportunidad criminal es mayor que nunca. El uso generalizado de la web y su acceso desde cualquier dispositivo, combinado con la complejidad de proteger contra las amenazas web está dando lugar a uno de los mayores desafíos para la seguridad corporativa y del usuario doméstico en la última década.
Desde la propia Trend Micro se cree que las medidas de protección tradicionales no ofrecen la seguridad adecuada contra las amenazas web, y ningún método por si solo o tecnología mejorará esta situación. En su lugar, se debe apostar por un conjunto de técnicas completo y multicapa, que permita dirigir las nuevas clases de amenazas. “Hasta ahora, los ataques a dispositivos móviles han sido eventos menores de “prueba de concepto”, pero es probable que estas amenazas se vuelvan más comunes en un futuro no muy lejano.
Por este motivo, Trend Micro sigue centrando su interés en mejorar las soluciones que impidan que posibles atacantes se introduzcan en el dispositivo y causen daños o interrupciones, ya sea mediante código malicioso o intentos de piratería”, afirma María Ramírez, ingeniero preventa de Trend Micro.
La LOPD
La Ley Organica de Protección de Datos ha supuesto un paso adelante en el mercado de la seguridad. Gracias a ella, muchas empresas (especialmente las pequeñas) han puesto en marcha medidas de seguridad en su infraestructura de TI. Tal y como asegura el responsable de IBM, “La LOPD exige que se garanticen los derechos de los ciudadanos a tener el control sobre sus datos. Hace unos años se debatió si el modelo de obtención de datos debía ser por defecto o intencionado.
Es decir, si implícitamente el usuario daba consentimiento en el tratamiento de sus datos al contratar un servicio, o lo debía hacer de manera expresa. Finalmente quedó fijado que el consentimiento debía ser manifiesto, por lo que las empresas deben velar por la integridad de los datos que poseen y respetar los términos en que se obtienen.
La LOPD ha supuesto para muchas empresas el principio de la seguridad. Ha servido como lanzadera para que se den cuenta de la importancia de la seguridad, no sólo en los aspectos que cubre la ley”. Y es que, la LOPD da un paso más en la obligación de las empresas a proteger cierta información, sobre todo de índole personal, y le confiere ya un valor implícito en sí misma, si bien creemos que aun ha de evolucionar hacia una norma más estricta y sobre todo, que comprometa más a las organizaciones en el buen uso de la información, las obligue a adoptar medidas para garantizarlo, y publicite cuando dichas medidas no han sido debidamente adoptadas, tal y como ya se hace en otros países.
