Consultoría en seguridad física, de personal e información

Go to Blogger edit html and find these sentences.Now replace these sentences with your own descriptions.

BRINDAMOS CAPACITACIONES

Go to Blogger edit html and find these sentences.Now replace these sentences with your own descriptions.

ANALISIS DE RIESGO EN SEGURIDAD

Identificación de medidas en protección que ayuden al correcto tratamiento de los riesgos en SEGURIDAD

This is default featured slide 4 title

Go to Blogger edit html and find these sentences.Now replace these sentences with your own descriptions.

This is default featured slide 5 title

Go to Blogger edit html and find these sentences.Now replace these sentences with your own descriptions.

Thursday, January 26, 2006

MENTIRAS O VIRUS

MENTIRAS O VIRUS


Diofanor Rodriguez CPP

Cundo se aborda el tema de las mentiras, nos trasladamos a una muy antigua actitud humana, con la cual se sorprende a algunas personas, se hace reír a otras y definitivamente se molesta a muchos, sobre todo cuando las mentiras tienen como consecuencia la pérdida de tiempo y dinero.

Con esta pequeña introducción, quiero iniciar el tema de la seguridad informática conocido como “HOAXES” y que muchos mal llaman virus.

Los hoaxes son una de las expresiones apócrifas con más difusión en la autopista de la información y se trata de mensajes que invocan virus fantasmas, que son reproducidos a través de los correos electrónicos y que generan falsas alarmas. Podemos decir que son incómodos mensajes reflejo de esta sociedad globalizada. Debe aclararse que no son virus reales, si no alarmas sobre virus imaginarios.

La estrategia de los hoaxes es muy simple, pues debido a que su reproducción la realiza a través de correo electrónico, el mensaje siempre invitara a que sea retransmitido a la mayor cantidad de contactos posibles, con el único objetivo de advertir de un nuevo virus, conseguir algún favor celestial, contribuir con una causa noble y otros propósitos similares.

Uno de los hoaxes más famosos en la Internet fue el “good times”, que aún continua deambulando por la red y que consistía en advertir del peligro de abrir correos electrónicos y adjuntos que contengan una leyenda específica.

El fenómeno de estas mentiras o virus apócrifos es estacional y muchas veces coincide con temas del día a día de los cuales la comunidad internauta está enterada. Así ocurrió por ejemplo en 2003, cuando se produjo el estallido del transbordador espacial challenger, hecho a partir del cual durante varias semanas circularon en la Internet correos alertando de un nuevo virus, falso por su puesto, que incluía un archivo adjunto con la frase “challengers explosion”.

Una de las dificultades más importantes es la forma de detectar y clasificar los hoaxes, debido a su rápida y masiva difusión y por supuesto al hecho de que siempre cabe la posibilidad que, preciso en esa ocasión, no se trate de una broma de mal gusto, si no efectivamente de un virus. Por ello, se aconseja mantener una actitud de desconfianza permanente con respecto a los correos que prometan dinero por reenviar un mail o favores especiales.

Hasta ahora está demostrado que ningún Príncipe de país africano alguno está repartiendo su herencia si usted reenvía un mensaje, ni Hotmail ha cerrado su correo si no reenvía el correo a sus contactos, ni a nadie le ha caído una plaga especial por no retransmitir un mensaje a sus amigos, ni se ha ganado la lotería por haberlo hecho. Esos correos siempre tendrán como fin el engaño o simplemente la tomadura de pelo..

A pesar de no generar amenazas reales en comparación con los virus, los hoaxes o mentiras cumplen con el mismo objeto y se comportan como dignos representantes de las variedades nocivas de la Internet; comprometen el flujo de la información y afectan la productividad.

Las noticias arregladas, distorsionadas o totalmente falsas formas que podemos encontrar y de las que hay que estar atentos. Las páginas de salud son sin duda unas de las más afectadas por quienes utilizan la mentira. De igual forma existe alerta por las páginas de belleza, que pueden traer graves consecuencias a la salud.

Para finalizar es importante entender que este tipo de mensajes generalmente recurre a los sentimientos de los usuarios para lograr su credibilidad.

Tuesday, January 17, 2006

LAS POLÍTICAS DE SEGURIDAD INFORMÄTICA EN LAS ORGANIZACIONES

LAS POLÍTICAS DE SEGURIDAD INFORMÁTICA EN LAS ORGANIZACIONES
Diofanor Rodríguez CPP



La seguridad informática tiene como objetivo proteger los recursos informáticos del daño, modificación, hurto y perdida, lo cual incluye equipos software, hardware, medios de almacenamiento, listado de impresoras y algo muy importante, los datos.

La seguridad es un elemento fundamental de cualquier sistema y servicio informático: No obstante, muchas veces es un tema que preferimos tomar más adelante, a pesar de que una vulnerabilidad en la seguridad puede generar graves daños o incluso la quiebra de una organización.

Por esta razón se hace necesario abordar el tema de la seguridad de inmediato, generando los procesos y las normas que deben regular o controlar el uso de la tecnología informática, toda vez que siempre existirán eslabones débiles en una cadena, que para nuestro caso se trata sin duda del factor humano.

Tras el impulso que ha tomado la seguridad informática, motivado por los constantes cambios y las nuevas tecnologías disponibles en el mercado, se ha hecho posible que las organizaciones interactúen entre si mediante las redes internas (LAN) y externas (WAN), generando con esto un aumento en la productividad y la competitividad de las organizaciones. Pero como contraparte, también inherente a estos avances, han llegado nuevos riesgos y amenazas a los sistemas de información.

Estas nuevas amenazas a las que nos enfrentamos han hecho que se generen un sin número de documentos, procedimientos, reglas y directrices que contribuyen de forma activa al direccionamiento de la utilización de la tecnología en forma segura, generando recomendaciones para obtener un mejor provecho y evitar el mal uso de la misma.

Con esta perspectiva, las políticas de seguridad informática llegan como una herramienta organizacional dirigida a lograr el apoyo y la concientización del recurso humano sobre la importancia y la sensibilidad de la información, que permiten a las empresas mantenerse en un mercado compitiendo. Visto así, el generar políticas de seguridad lleva consigo un alto compromiso con la organización, una habilidad técnica para establecer fallas y debilidades y una perseverancia para mantener actualizadas dichas políticas, siempre pensando en función del ambiente cambiante de las organizaciones modernas.

¿QUE ES LA POLÏTICA DE SEGURIDAD?

Una política de seguridad son las normas, los procedimientos, el control y el mecanismo de comunicación con los usuarios, toda vez que en ella se plasma una forma de comportamiento formal del usuario con los sistemas de información de la organización.

No podríamos decir que una política de seguridad es una descripción técnica de mecanismos, ni tampoco un procedimiento legal que involucre sanciones a conductas de los usuarios. Considero que es más bien una descripción de lo que vamos a proteger y el por que de esa protección.

Cada una de las políticas generadas por las empresas se debe convertir en una invitación para los empleados a reconocer que la información es uno de los activos más valiosos que poseen las organizaciones modernas, además el inductor de intercambio en los negocios.

Es este el motivo por el cual las políticas deben tener como fin una posición conciente y vigilante por el uso y limitaciones de los servicios y recursos informáticos.

ELEMENTOS DE UNA POLÍTICA DE SEGURIDAD INFORMÁTICA

Como las políticas están enfocadas a orientar las decisiones que se toman en lo que hace referencia a seguridad, se hace necesario el compromiso de todos los actores del proceso, con el único fin de lograr una visión compartida de lo que se considera importante.

Una política de seguridad debe considerar los siguientes elementos:

Alcance de las políticas, incluyendo estructuras, sistemas y factor humano sobre la cual aplica.
Objetivos de la política y descripción clara de los elementos involucrados en su definición.
Responsabilidades por cada uno de los servicios y recursos informáticos aplicado a todos los niveles de la organización.
Requerimientos mínimos para configuración de la seguridad de los sistemas que abarca el alcance de la política.
Definición de violaciones y sanciones por no cumplir con las políticas.
Responsabilidades de los usuarios con respecto a la información a la que tiene acceso.

Las políticas de seguridad informática también deben dar explicaciones del por que se deben tomar ciertas decisiones. Obviamente estas deben ser claras y precisas. Además, se debe realizar una explicación de los recursos. De igual manera se deberán comunicar las expectativas que la organización tiene con respecto a la seguridad y ser específica en el tema de quien es la autoridad responsable de aplicar las correcciones y sanciones según sea el caso.
Otro tema importante en la creación de políticas de seguridad informática es el uso de un lenguaje sencillo y fácil de entender, quizás sin tecnicismos y sin términos ambiguos, que causen confusión y generen un mal entendimiento de la misma; obviamente sin realizar sacrificios en su exactitud.

Quiero con esto contribuir un poco al cambio de la forma como se miran las políticas de seguridad informática en las organizaciones, pues en el camino siempre encontraremos quienes nos ayuden a defenderlas como también los detractores que se ingenian nuevas formas para desvirtuarlas.

Friday, January 06, 2006

LA GERENCIA DE SEGURIDAD

LA GERENCIA DE SEGURIDAD
Diofanor Rodríguez CPP


En el mundo de hoy, los gerentes en general, de cualquier área, deben desarrollar y tener competencias para administrar, esto es para planear, organizar, dirigir, controlar, campo dentro del cual deben en especial tomar decisiones y lograr los resultados esperados.

En el campo de la seguridad, la gerencia de los tiempos actuales, enfrenta además factores de desconocimiento, confusión y cambios repentinos. Por esta razón, las personas responsables de dirigir la seguridad en las empresas públicas o privadas deben tener un particular método de gestionar y una manera especial de pensar, dilucidar y proceder.

La gestión de seguridad está muy ligada al funcionamiento efectivo y eficiente de las empresas y departamentos de seguridad y al logro de la misión para el cual fueron contratados. En gran parte, los resultados de seguridad dependen de la capacidad que tenga el gerente para alcanzar las metas a través de la cooperación voluntaria y el concurso de todos y cada uno de los actores.

El gerente es quizás el único responsable del éxito del grupo que dirige, del éxito de la seguridad de la empresa y por supuesto de su éxito personal. Por obvias razones, para tomar decisiones y adelantar actividades de calidad, se hace necesario tener, además de una formación en gerencia, unos muy buenos criterios de seguridad, un conocimiento con entendimiento de la filosofía administrativa de la organización de la que se hace parte, la concepción del equipo de trabajo basado en el factor humano y una buena concepción del trabajo que le permita ganar adeptos con apoyo efectivo por la visón y la misión de la seguridad (cultura de seguridad).

La evolución en el campo de la gestión de seguridad avanza hoy en día hacia una división del trabajo del gerente, en el cual se conjugan una serie de roles interpersonales, que incluyen las visiones modernas de seguridad con las clásicas funciones de la administración. Así, el alma del accionar gerencial de seguridad en el presente, según dicen algunos expertos, esta en el visionar, imaginar, innovar, crear y hacer seguimiento para lograr un optimo control.

Pero lo que constituye un rasgo básico en el gerente de seguridad es la acción. La acción esta en la mente y en el corazón del gerente, pues es el quien tiene la responsabilidad de alcanzar los cambios trazados a través de sus programas de seguridad.

La forma de pensar del gerente de seguridad sobre las personas, las organizaciones y las cosas es un componente crítico para el mejoramiento de la calidad, la productividad y la integración del personal con los sistemas y procesos de seguridad de cualquier organización. El eje de toda gerencia siempre va a ser el factor humano,

Considero desde mí creer que el gerente de seguridad debe ser la luz que guía al desarrollo del trabajo en un ambiente humano; donde se cultive el respeto, la confianza, la motivación y prevalezca la sincronización y alineación con lo que la organización de la que hacemos parte quiere y necesita.

Una práctica gerencial de seguridad con calidad solo será posible con gerentes que basen su acción y esfuerzo en una teoría gerencial y hagan del aprendizaje y el conocimiento profundo una base sólida como lo afirman los teóricos de la calidad.

Hablar de conocimiento profundo lleva consigo tener una visión sistémica de la organización con un conocimiento profundo y arraigado del propósito de la misma.

Para finalizar quiero dejar una pregunta a manera de reflexión y de juicio interno de cada uno de nosotros: ¿Estaremos los gerentes de seguridad caminando al ritmo de los cambios?

Wednesday, January 04, 2006

seguridad integral

SEGURIDAD INTEGRAL
Diofanor Rodríguez CPP

Las amenazas que día a día tienen que enfrentar las organizaciones modernas, están en crecimiento constante: los virus, los hoaxes, worms, spamming y robo de identidad, son ejemplos de una cruel y dura realidad. Las perdidas económicas en que las empresas pueden incurrir son grandísimas, sin contar por supuesto las perdidas intangibles como son la imagen y la credibilidad ante los stakeholders.

Mucha gente se preguntara por que si se realiza una alta inversión en tecnología para tratar de minimizar estos problemas, aun se siguen presentando. La respuesta no es nada fácil. La seguridad informática es un proceso “enrevesado”, que lleva implícito el triangulo recurso humano, procesos y tecnología. Si estos tres componentes no son evaluados como un todo, el resultado no será otro que un completo caos.

RECURSO HUMANO

Hay quienes predicamos que la seguridad es una cultura organizacional. No obstante, esta forma de ver la seguridad no es fácil de llevar a la práctica, pues cuando por ejemplo ingresamos a una oficina y encontramos el pos it pegado en el monitor con el nombre de usuario y la contraseña, se esta caminando en contravía de la cultura de la seguridad; otro caso de la antitesis de la cultura de seguridad es que, existiendo un control de accesos electrónico, no se le de el uso adecuado por parte de los usuarios, facilitando el ingreso de personas extrañas a la organización.

Todo implica básicamente que los seres humanos siempre hemos sido reacios al cambio y a convertir una regla en disciplina. Solo a través de un seguimiento estricto, procesos y entrenamiento, sería posible conseguir en el mediano plazo que el ser humano adquiera conciencia de lo importante de la cultura de seguridad y seguramente lograr así una reducción de los riesgos. Es de anotar que, sin perjuicio del esfuerzo señalado, también en muchos casos se hace necesaria la medida disciplinaria, para lograr una alineación del empleado con el objetivo de seguridad.

PROCESOS

Cada vez que hablamos de procesos realizamos el símil con el paso a paso de realizar una actividad para conseguir el resultado esperado.

Uno de los procesos es el de administración de eventos obliga a las empresas a llevar un libro de registro para problemas y soluciones, logrando establecer con esto las tendencias y la identificación de cual fue la causa raíz.

Como valor agregado de estos registros está el poder identificar con rapidez en otros casos difíciles y complejos a quien se le puede solicitar ayuda.

El proceso antes mencionado es vital, pero no podemos decir bajo ninguna óptica que es el único, por el contrario hace parte de todo el compendio de procesos que constituyen las operaciones de una organización que se denomine “consciente” en el tema de seguridad.


TECNOLOGÍA

Los procesos de compra de tecnología nueva en las organizaciones por lo general siempre concluyen de forma contraria. La razón es muy sencilla: muchas veces tomamos información del proveedor y posteriormente buscamos cual es el equipo que necesitamos.

Todo pasa por el concepto de los gerentes financieros y nuestros ingenieros de sistemas que compran software y hardware, motivados por el muy sonado y propagandista marketing.

La reflexión es que siempre que se necesite realizar una compra de tecnología, es necesario realizar unos pasos previos que ayudarán a minimizar el riesgo de adquirir algo que posteriormente no funcionara para la organización. Los posibles pasos pueden ser:


1. Defina las necesidades de la organización
2. Realice una propuesta con las características deseadas
3. Póngala en consenso con las personas que la van a utilizar
4. Hágala publica a los proveedores con el fin de conseguir la mejor solución.
5. De ser posible obtenga una demostración
6. Verifique las referencias de clientes suministradas por el proveedor


Después de realizados estos pasos, que no son camisa de fuerza pues seguramente existirán otros, podremos llegar a realizar una buena compra con bajos niveles de riesgo. No obstante debemos recordar que la seguridad de la información de una organización es un proceso que hace que la gente conviva con el tema generando una cultura de trabajo, dirigida y obligada por técnicas y formulas que estarán apoyados por la tecnología.