Formación, formación y más formación en materia de ciberseguridad

Imaginemos que tenemos un Ferrari último modelo, una autopista nueva de 4 carriles sin límite de velocidad y el combustible que más rendimiento ofrece del mercado, pues bien, todo esto no sirve de nada si no nos hemos formado como conductores. Lo mismo pasa con la formación en ciberseguridad.

Según McAfee Labs el 93 % de los responsables de ciberseguridad están desbordados, no es de extrañar pues España es el tercer país del mundo que más ataques recibe, sólo por detrás de EE.UU. y el Reino Unido. Esta carga de trabajo inevitablemente conduce a cometer errores. Una solución (no la única) para paliar esta situación es distribuir la responsabilidad entre todos los activos humanos de la organización.

Como hemos comentado en artículos anteriores el personal de nuestra organización viene a suponer un 80 % de la efectividad y/o la vulnerabilidad de nuestros activos informáticos. Efectivamente: “la vulnerabilidad”. El CCN (Centro Criptológico Nacional, Organismo del Ministerio de Presidencia y para las AA.TT.) gestionó en el año 2016 más de 19.000 incidentes cibernéticos, un 5% más que en 2015. De ellos 570 (un 3%) se consideraron de peligrosidad muy alta o crítica. Los de mayor gravedad los sufrieron organismos públicos o empresas españolas de interés estratégico y procedieron de Gobiernos extranjeros no revelados por los responsables del CCN. ¿Qué conclusiones sacamos de estas estadísticas? Pues utilizando el sentido común sólo podemos pensar que, si estos ataques proceden de gobiernos extranjeros con unos medios ilimitados contra otros gobiernos y empresas que, se supone también tienen medios ilimitados, el riesgo de nuestras organizaciones, es proporcional en base a los medios de que disponemos y cómo les sacamos partido.

La mayoría de nuestros empleados o trabajadores tienden a pensar que la ciberseguridad no va con ellos: “eso es cosa de la empresa”. De hecho la respuesta más común del personal cuando se le dice que tiene que tener precaución a la hora de tratar los datos siempre es la misma: “- ¿yo? Yo ¿por qué? Eso es cosa de los informáticos.” No se dan cuenta de una cuestión importante: si no ponemos interés en este tema y provocamos un incidente o accidente de seguridad, al afectar a nuestra organización y ponerla en peligro, TAMBIÉN AFECTA Y PONE EN PELIGRO NUESTRO PUESTO DE TRABAJO.

Por parte del responsable o directivo, también se tiene la impresión de que su personal no trabaja bien “porque no se ha reciclado y está obsoleto” pues bien, la responsabilidad de reciclar al personal es compartida, no es únicamente del personal; es más, yo diría que es más responsabilidad de la empresa que del empleado pues si les damos las últimas y más modernas herramientas pero no los formamos para que saquen el máximo partido, evidentemente la responsabilidad no es del empleado.

Ya que el personal es el que modifica, procesa, transmite y elimina los datos de la organización, deberían tener acceso a la información estrictamente necesaria; acceder a un almacenamiento seguro y poder transmitir la información de forma cifrada.

Todo ello es importante ya que la mayoría de los incidentes se producen por visitar páginas maliciosas desde el puesto de trabajo, desactivar el antivirus para instalar tal o cual aplicación o app, ejecutar un archivo adjunto al correo o conectar un Pen Drive vía USB a su terminal.

Hemos de ser conscientes de que una implantación estricta de las medidas de control, por regla general, suele resultar ineficaz a la vez que contraproducente ya que genera malestar en los usuarios y mal ambiente de trabajo. Siempre se ha dicho que el respeto no se impone: se gana. Hay que concienciar a los trabajadores en el sentido de la efectividad y el respeto por las normas y los procesos operativos de la empresa, y ello se hace mediante la formación. Formación que ha de ser continua, especializada para cada puesto y, sobre todo, concienciadora de los riesgos que se corren a la hora de procesar la información. No se manejan los mismos datos por parte de un/a responsable de recepción que por parte de un auditor contable o un diseñador de producto. Sin desmerecer a ninguno, los niveles de seguridad varían, por lo tanto, la formación también debe variar. ¿De qué me sirve formar a un mozo de almacén para que maneje el programa de auditoría contable de la empresa si lo que necesita es una aplicación relacionada con la logística? Evidentemente cada puesto necesita una formación específica adaptada a su puesto de trabajo y con ello ganaremos en competitividad y aumentaremos la autoestima de nuestro personal.

Está ampliamente demostrado que un empleado bien formado comete menos errores y trabaja con mayor seguridad, lo que redunda en mayor eficacia y menor número de accidentes e incidentes de todo tipo.

La formación en la época digital que nos ha tocado vivir es esencial.

La formación no es un gasto: es una inversión.

El virus Wanna Cry

El virus que está atacando en todo el mundo se llama Wanna Cry. Es un virus informático calificado de importancia 5 o crítica. Es del tipo ‘ransomware’, es decir, que encripta los datos de nuestro ordenador. Está infectando los ordenadores y las redes internas de grandes empresas en el mundo. El virus afecta al sistema Windows de Microsoft y ha infectado ordenadores en más de 150 países que no tenían las últimas actualizaciones instaladas.

El virus Wanna Cry restringe el acceso a su sistema y exige el pago de un rescate a sus dueños para eliminar la restricción.

Recursos afectados:

- Windows XP

- Windows Vista

- Windows Server 2003

- Windows Server 2008 SP2 and R2 SP1

- Windows 7

- Windows 8

- Windows 8.1

- Windows RT 8.1

- Windows Server 2012 and R2

- Windows 10

- Windows Server 2016

¿Cómo prevenir el ataque?

Actualizar el sistema operativo Windows con los últimos parches de seguridad ya que el malware aprovecha una vulnerabilidad para el que ya existe un parche de seguridad. Dicha actualización de seguridad impide que el malware se pueda propagar fácilmente por la red. El boletín de seguridad de Microsoft que lo soluciona es MS17-010.

Debido a la afectación que está habiendo a nivel mundial, Microsoft ha decidido publicar parches de seguridad para versiones de su sistema operativo que ya no contaban con soporte oficial como son Windows XP, Windows Server 2003 y Windows 8 a través de su Blog Oficia.

En caso de que no sea posible aplicar los parches de seguridad, se debería optar por las siguientes medidas de mitigación:

• Aislar la red donde haya equipos infectados.
• Aislar los equipos infectados.
• Desactivar el servicio SMBv1.
• Bloquear la comunicación de los puertos 137/UDP y 138/UDP así como los puertos 139/TCP y 445/TCP en las redes de las organizaciones.
• Bloquear el acceso a la red de anonimato Tor.

Además:

* Tener la licencia de Windows original y actualizada.

* Asegurarse de que todo el software de su equipo esté actualizado, incluyendo su navegador y los complementos de barra de herramientas que utilice.

* Utilice un software antivirus con la protección cortafuegos activado y actualizado.

* No abrir adjuntos en correos de usuarios desconocidos o que no se hayan solicitado, eliminarlos directamente.

* No contestar en ningún caso a este tipo de correos.

* Precaución al seguir enlaces en correos, mensajería instantánea y redes sociales, aunque sean de contactos conocidos.

* Precaución al descargar ficheros adjuntos de correos aunque sean de contactos conocidos.

Datos conseguidos de la página web del INCIBE (Instituto de Ciberseguridad)