Por ron teixeira
En los últimos dos años, ha habido una serie de casos de violación de datos de alto perfil que involucran a grandes corporaciones. Si bien esto puede dar la percepción de que solo las grandes corporaciones son atacadas por piratas informáticos y ladrones, la realidad es que los piratas informáticos están atacando cada vez más a las pequeñas empresas porque generalmente no tienen los recursos ni los conocimientos técnicos que tienen las grandes corporaciones.
Sin embargo, eso no significa que las pequeñas empresas deben gastar una gran suma de dinero y recursos para protegerse de las amenazas más recientes. De hecho, según un reciente Informe de amenazas de Symantec, el 82% de los datos que se extraviaron o se robaron podrían haberse evitado si el negocio siguiera un simple plan de seguridad cibernética.
Para comenzar a desarrollar un plan de seguridad cibernética, debe comprender las amenazas de Internet y cómo la protección de su empresa contra esas amenazas afecta directamente a sus resultados. Como resultado, la National Cyber Security Alliance, cuyos socios incluyen el Departamento de Seguridad Nacional, la Oficina Federal de Investigaciones, la Administración de Pequeños Negocios, el Instituto Nacional de Estándares y Tecnología, Symantec, Microsoft, CA, McAfee, AOL y RSA, desarrollaron los principales 5 amenazas que su pequeña empresa puede enfrentar en Internet, casos de negocios sobre cómo esas amenazas pueden hacerle daño y medidas prácticas que puede tomar para evitarlas.
Aquí hay un resumen de las cinco principales amenazas:
- # 1: Código malicioso. Una bomba de software de la empresa de fabricación del noreste destruyó todos los programas de la empresa y los generadores de códigos. Posteriormente, la compañía perdió millones de dólares, fue desalojada de su posición en la industria y finalmente tuvo que despedir a 80 trabajadores. Para asegurarse de que esto no le ocurra, instale y use programas antivirus, programas antispyware y cortafuegos en todas las computadoras de su empresa. Además, asegúrese de que todo el software de la computadora esté actualizado y contenga los parches más recientes (es decir, el sistema operativo, antivirus, anti-spyware, anti-adware, firewall y software de automatización de oficina).
- # 2: Laptop o dispositivo móvil robado / perdido. El año pasado, una computadora portátil de un empleado del Departamento de Asuntos de Veteranos fue robada de su casa. El portátil contenía 26.5 millones de antecedentes médicos de veteranos. Al final, la computadora portátil se recuperó y los datos no se utilizaron; sin embargo, el VA tuvo que notificar a 26.5 millones de veteranos del incidente, lo que resultó en audiencias en el Congreso y escrutinio público. Para asegurarse de que esto no le ocurra, proteja los datos de sus clientes cuando los transporte a cualquier lugar en un dispositivo portátil mediante el cifrado de todos los datos que residen en ellos. Los programas de cifrado codifican los datos o hacen que sean ilegibles para terceros, hasta que ingrese una contraseña o clave de cifrado.
- # 3: Spear Phishing. Un fabricante de bicicletas de tamaño mediano se basó en gran medida en el correo electrónico para hacer negocios. En el curso normal de un día hábil, la compañía recibió hasta 50,000 correos electrónicos de spam y phishing. En un caso, un empleado recibió un correo electrónico de "spear phishing" que parecía provenir del Departamento de TI y le pidió que confirmara la "contraseña del administrador". Afortunadamente para la compañía, cuando el empleado le pidió al gerente de línea el " contraseña de administrador ", investigó más y se dio cuenta de que el correo electrónico era una estafa. Para asegurarse de que esto no le ocurra, indique a todos los empleados que se comuniquen con su gerente o simplemente levante el teléfono y comuníquese con la persona que envió el correo electrónico directamente. Es importante que sus empleados estén al tanto de lo que es un ataque de phishing con lanza y que estén atentos a cualquier cosa en su bandeja de entrada que parezca sospechosa.
- # 4: Redes inalámbricas de Internet sin garantía. Según informes de noticias, los piratas informáticos lograron la "mayor violación de datos" a través de una red inalámbrica. A una cadena minorista global se le robaron la información financiera de más de 47 millones de clientes por piratas informáticos que se abrieron paso a través de una red inalámbrica que estaba protegida por la forma de cifrado más baja disponible para la empresa. Actualmente, esta brecha de seguridad le ha costado a la compañía $ 17 millones, y en particular $ 12 millones solo en un trimestre, o 3 centavos por acción. Para asegurarse de que esto no le ocurra a usted, al configurar una red inalámbrica, asegúrese de cambiar la contraseña predeterminada y asegúrese de cifrar su red inalámbrica con WPA (acceso protegido a Wi-Fi).
- # 5: Amenaza de empleados internos / insatisfechos. Un ex empleado de una compañía que maneja operaciones de vuelo para las principales compañías automotrices, eliminó la información crítica de empleo dos semanas después de que renunciara a su cargo. El incidente causó alrededor de $ 34,000 en daños. Para asegurarse de que esto no le ocurra, divida las funciones y responsabilidades críticas entre los empleados dentro de la organización, limitando la posibilidad de que una persona pueda cometer sabotaje o fraude sin la ayuda de otros empleados dentro de la organización.
Lea a continuación para obtener más información y consejos detallados sobre cómo proteger sus sistemas informáticos.
1. Código malicioso (spyware / virus / troyano / gusanos)
Según un estudio de delitos informáticos del FBI de 2006, los programas de software malintencionado comprendían la mayor cantidad de ataques cibernéticos informados, lo que resultó en una pérdida promedio de $ 69,125 por incidente. Los programas maliciosos son programas informáticos que se instalan en secreto en la computadora de su empresa y pueden causar daños internos en una red de computadoras, como eliminar archivos críticos, o pueden usarse para robar contraseñas o desbloquear software de seguridad para que un pirata informático pueda robar información de clientes o empleados. La mayoría de las veces, los delincuentes utilizan este tipo de programas para obtener ganancias financieras mediante extorsión o robo.
Caso de estudio:
Una empresa manufacturera del noreste obtuvo contratos por varios millones de dólares para hacer dispositivos de medición e instrumentación para la NASA y la Marina de los Estados Unidos. Sin embargo, una mañana, los trabajadores se encontraron incapaces de iniciar sesión en el sistema operativo, en lugar de recibir un mensaje de que el sistema estaba "en reparación". Poco después, el servidor de la empresa se bloqueó, eliminando todos los programas de fabricación y herramientas de la planta. Cuando el gerente fue a buscar copias de seguridad de las cintas, descubrió que se habían ido y que las estaciones de trabajo individuales también habían sido eliminadas. El CFO de la compañía testificó que la bomba de software había destruido todos los programas y generadores de código que permitieron a la firma personalizar sus productos y, por lo tanto, reducir los costos. Posteriormente, la compañía perdió millones de dólares, fue desalojada de su posición en la industria y finalmente tuvo que despedir a 80 trabajadores. La compañía puede sentirse aliviada por el hecho de que la parte culpable fue finalmente arrestada y condenada.
Consejo:
- Instale y use programas antivirus, programas antispyware y firewalls en todas las computadoras de su empresa.
- Asegúrese de que sus computadoras estén protegidas por un firewall; Los firewalls pueden ser dispositivos separados, integrados en sistemas inalámbricos o un firewall de software que viene con muchas suites de seguridad comerciales.
- Además, asegúrese de que todo el software de la computadora esté actualizado y contenga los parches más recientes (es decir, el sistema operativo, antivirus, anti-spyware, anti-adware, firewall y software de automatización de oficina).
2. Ordenador portátil o dispositivo móvil robado / perdido
Créalo o no, las computadoras portátiles robadas o perdidas son una de las formas más comunes en que las empresas pierden datos críticos. Según un Estudio de delitos del FBI de 2006 (PDF), una computadora portátil robada o perdida generalmente resultó en una pérdida promedio de $ 30,570.Sin embargo, un incidente de alto perfil, o un incidente que requiere que una empresa se ponga en contacto con todos sus clientes, ya que sus datos financieros o personales podrían haberse perdido o haber sido robados, pueden resultar en pérdidas mucho mayores debido a la pérdida de la confianza del consumidor, la reputación dañada e incluso responsabilidad legal.
Caso de estudio:
El año pasado, un empleado del Departamento de Asuntos de Veteranos se llevó una computadora portátil a casa que contenía 26.5 millones de historiales médicos de veteranos. Mientras el empleado no estaba en casa, un intruso entró y robó la computadora portátil que contenía los datos de los veteranos. Al final, la computadora portátil se recuperó y los datos no se utilizaron; sin embargo, el VA tuvo que notificar a 26.5 millones de veteranos del incidente, lo que resultó en audiencias en el Congreso y escrutinio público. Este fenómeno no se limita al gobierno, en 2006 hubo varios casos corporativos de alto perfil relacionados con computadoras portátiles perdidas o robadas que dieron lugar a violaciones de datos. Una computadora portátil con 250,000 clientes de Ameriprise fue robada de un auto. El Sistema Hospitalario Providential Health Care tuvo una computadora portátil robada que contenía miles de registros médicos de pacientes.
Consejo:
- Proteja los datos de sus clientes al transportarlos a cualquier lugar en un dispositivo portátil mediante el cifrado de todos los datos que residen en ellos. Los programas de cifrado codifican los datos o hacen que sean ilegibles para terceros, hasta que ingrese una contraseña o clave de cifrado. Si una computadora portátil con datos confidenciales es robada o perdida, pero los datos están encriptados, es muy poco probable que alguien pueda leer los datos. El cifrado es su última línea de defensa en caso de pérdida o robo de datos. Algunos programas de encriptación están integrados en el popular software financiero y de base de datos. Simplemente revise el manual del propietario de su software para averiguar si esta función está disponible y cómo activarlo. En algunos casos, es posible que necesite un programa adicional para cifrar adecuadamente sus datos confidenciales.
3. Spear Phishing
Spear phishing describe cualquier ataque de phishing altamente dirigido. Los phishers de Spear envían correos electrónicos que parecen genuinos a todos los empleados o miembros de una determinada compañía, agencia gubernamental, organización o grupo. El mensaje puede parecer que proviene de un empleador o de un colega que puede enviar un mensaje de correo electrónico a todas las personas de la empresa, como el jefe de recursos humanos o la persona que administra los sistemas informáticos, y podría incluir solicitudes de Nombres de usuario o contraseñas.
La verdad es que la información del remitente del correo electrónico ha sido falsificada o "falsificada". Mientras que las estafas de suplantación de identidad (phishing) tradicionales están diseñadas para robar información de personas, las estafas de suplantación de identidad (spear) para obtener acceso a todo el sistema informático de la empresa.
Si un empleado responde con un nombre de usuario o contraseña, o si hace clic en los enlaces o abre archivos adjuntos en un correo electrónico, ventana emergente o sitio web de phishing, puede poner en riesgo su empresa u organización.
Caso de estudio:
Un fabricante de bicicletas de tamaño mediano que producía bicicletas que se usaban en carreras bien conocidas, dependía en gran medida del correo electrónico para hacer negocios. En el curso normal de un día hábil, la compañía recibió hasta 50,000 correos electrónicos de spam y phishing. Como resultado, la compañía instaló numerosos filtros de spam en un intento por proteger a los empleados de correos electrónicos fraudulentos. Sin embargo, muchos correos electrónicos fraudulentos siguen llegando a los empleados. En un caso, un empleado recibió un correo electrónico de "spear phishing" que parecía provenir del Departamento de TI y le pidió que confirmara la "contraseña del administrador". Afortunadamente para la compañía, cuando el empleado le pidió al gerente de línea el " contraseña de administrador ", investigó más y se dio cuenta de que el correo electrónico era una estafa. Si bien este ejemplo no resultó en una pérdida financiera, podría haberlo hecho fácilmente, y es un problema común para todas las empresas.
Consejo:
- Los empleados nunca deben responder a mensajes de spam o mensajes emergentes que digan que pertenecen a una empresa u organización con la que podría tratar, por ejemplo, un proveedor de servicios de Internet (ISP), un banco, un servicio de pago en línea o incluso una agencia gubernamental. Las compañías legítimas no solicitarán información confidencial por correo electrónico o un enlace.
- Además, si un empleado recibe un correo electrónico que parece ser de otro empleado y solicita una contraseña o cualquier tipo de información de cuenta, no debe responder a ella ni proporcionar información confidencial por correo electrónico. En su lugar, pídale al empleado que se comunique con su gerente, o simplemente levante el teléfono y comuníquese con la persona que envió el correo electrónico directamente.
- Es importante que sus empleados estén al tanto de lo que es un ataque de phishing con lanza y que estén atentos a cualquier cosa en su bandeja de entrada que parezca sospechosa. La mejor manera de evitar ser víctima de un ataque de phishing con spear es hacer que todos sepan que está sucediendo antes de que alguien pierda información personal.
4. Redes inalámbricas de Internet no seguras
Los consumidores y las empresas están adoptando e implementando rápidamente redes inalámbricas de Internet. Según un estudio de InfoTech, la penetración de las redes inalámbricas de Internet alcanzará el 80% en 2008. Mientras que las redes inalámbricas de Internet brindan a las empresas la oportunidad de optimizar sus redes y construir una red con muy poca infraestructura o cables, existen riesgos de seguridad que las empresas deben afrontar mientras utilizando redes inalámbricas de internet. Los piratas informáticos y los estafadores pueden acceder a las computadoras de las empresas a través de una red de Internet inalámbrica abierta y, como resultado, podrían robar la información de los clientes e incluso la información confidencial. Desafortunadamente, muchas empresas no toman las medidas necesarias para proteger sus redes inalámbricas. De acuerdo con un estudio de Symantec / Small Business Technology Institute de 2005, el 60% de las pequeñas empresas tienen redes inalámbricas abiertas. Además, muchas otras pequeñas empresas pueden no usar una seguridad inalámbrica lo suficientemente fuerte como para proteger sus sistemas. No asegurar adecuadamente una red inalámbrica es como dejar la puerta de un negocio abierta por la noche.
Caso de estudio:
Según informes de noticias, los piratas informáticos lograron la "mayor violación de datos" a través de una red inalámbrica. A una cadena minorista global se le robaron la información financiera de más de 47 millones de clientes por piratas informáticos que se abrieron paso a través de una red inalámbrica que estaba protegida por la forma de cifrado más baja disponible para la empresa. En 2005, dos piratas informáticos supuestamente estacionaron fuera de una tienda y usaron una antena inalámbrica de telescopio para descodificar datos entre escáneres de pago portátiles, lo que les permitió ingresar a la base de datos de la empresa matriz y obtener registros de tarjetas de crédito y débito de casi 47 millones de clientes. Se cree que los piratas informáticos tuvieron acceso a la base de datos de tarjetas de crédito durante más de dos años sin ser detectados. En lugar de utilizar el software de cifrado más actualizado para proteger su red inalámbrica, el Acceso protegido Wi-Fi (WPA), la cadena minorista utilizó una antigua forma de cifrado llamada Privacidad equivalente inalámbrica (WEP), que según algunos expertos puede ser fácil hackeado en tan poco como 60 segundos. Actualmente, esta brecha de seguridad le ha costado a la compañía $ 17 millones, y en particular $ 12 millones solo en un trimestre, o 3 centavos por acción.
Consejo:
- Al configurar una red inalámbrica, asegúrese de cambiar la contraseña predeterminada. La mayoría de los dispositivos de red, incluidos los puntos de acceso inalámbrico, están preconfigurados con contraseñas de administrador predeterminadas para simplificar la configuración. Estas contraseñas predeterminadas se encuentran fácilmente en línea, por lo que no proporcionan ninguna protección. Cambiar las contraseñas predeterminadas hace que sea más difícil para los atacantes tomar el control del dispositivo.
- Además, asegúrese de cifrar su red inalámbrica con el cifrado WPA. WEP (Privacidad equivalente por cable) y WPA (Acceso protegido Wi-Fi) cifran la información en los dispositivos inalámbricos. Sin embargo, WEP tiene una serie de problemas de seguridad que lo hacen menos efectivo que WPA, por lo que debe buscar específicamente equipos que admitan cifrado a través de WPA. La encriptación de los datos evitaría que cualquier persona que pudiera monitorear el tráfico inalámbrico de su red pueda ver sus datos.
5. Amenaza de empleados internos / insatisfechos
Un empleado descontento o un empleado interno puede ser más peligroso que el pirata informático más sofisticado de Internet. Dependiendo de las políticas de seguridad y la administración de contraseñas de su empresa, los usuarios internos pueden tener acceso directo a sus datos críticos y, como resultado, pueden robarlos y venderlos a su competidor, o incluso eliminarlos, causando daños irreparables. Hay pasos y medidas que puede tomar para evitar que un empleado interno o un empleado descontento obtengan acceso a información clave y dañen las redes de su computadora.
Caso de estudio:
Un ex empleado de una compañía que maneja operaciones de vuelo para las principales compañías automotrices, eliminó la información crítica de empleo dos semanas después de que renunciara a su cargo. El incidente causó alrededor de $ 34,000 en daños. Según los informes, el empleado estaba molesto por haber sido liberado por la empresa antes de lo que había previsto. Al parecer, el firewall de la compañía se vio comprometido y el autor ingresó a la base de datos de los empleados y eliminó todos los registros. Las declaraciones de la compañía indican que el ex empleado descontento era una de solo tres personas que conocían la información de inicio de sesión y contraseña para el firewall que protegía la base de datos de los empleados.
Consejo:
Hay varias formas en que su empresa puede protegerse de amenazas internas o insatisfechas de los empleados:
- Divida las funciones y responsabilidades críticas entre los empleados dentro de la organización, lo que limita la posibilidad de que una persona pueda cometer sabotaje o fraude sin la ayuda de otros empleados dentro de la organización.
- Implementar contraseñas estrictas y políticas de autenticación. Asegúrese de que cada empleado use contraseñas que contengan letras y números, y no use nombres ni palabras.
- Además, asegúrese de cambiar las contraseñas cada 90 días y, lo que es más importante, elimine la cuenta de un empleado o cambie las contraseñas a sistemas críticos, después de que un empleado abandone su empresa. Esto dificulta que los empleados descontentos dañen sus sistemas después de que se hayan ido.
- Realice la diligencia debida ANTES de contratar a alguien. Haga verificaciones de antecedentes, verificaciones educativas, etc. para asegurarse de que está contratando a buenas personas.
Sobre el Autor: Como director ejecutivo de la National Cyber Security Alliance (NCSA), Ron Teixeira es responsable de la administración general de los programas de concientización sobre la seguridad cibernética y los esfuerzos de educación nacional. Teixeira trabaja estrechamente con varias agencias gubernamentales, corporaciones y organizaciones sin fines de lucro para aumentar el conocimiento de los problemas de seguridad de Internet y para capacitar a los usuarios domésticos, pequeñas empresas y la comunidad educativa con herramientas y mejores prácticas diseñadas para garantizar una experiencia de Internet segura y significativa.
9 comentarios ▼
