Consultoría en seguridad física, de personal e información

Go to Blogger edit html and find these sentences.Now replace these sentences with your own descriptions.

BRINDAMOS CAPACITACIONES

Go to Blogger edit html and find these sentences.Now replace these sentences with your own descriptions.

ANALISIS DE RIESGO EN SEGURIDAD

Identificación de medidas en protección que ayuden al correcto tratamiento de los riesgos en SEGURIDAD

This is default featured slide 4 title

Go to Blogger edit html and find these sentences.Now replace these sentences with your own descriptions.

This is default featured slide 5 title

Go to Blogger edit html and find these sentences.Now replace these sentences with your own descriptions.

Thursday, April 23, 2020

LA CUARENTENA ENCIERRA LOS BUENOS ¿Y LOS DELINCUENTES QUÉ?




Diofanor Rodríguez Lozano CPP, PSP, PCI


En tiempos en los que las cuarentenas son la regla y la indisciplina de las personas cada vez se muestra más, el delincuente también aprovecha para cometer sus delitos. Si bien es cierto, muchos de los delitos han disminuido por la falta de aglomeraciones y la disminución del transporte público y particular; las estadísticas de riesgo público se han disminuido, pero la mutación a hurto de equipos médicos, de oxígenos que son esenciales en estos momentos, podrá aumentar como le podría pasar al transporte de valores. Otros delitos, como los informáticos, van en aumento.
     Al analizar datos de interés mundial, los ataques de móviles superan los ataques de equipo de escritorio por primera vez. Según el informe de lexisNexis risk solution de 2019 se muestra un aumento del 56% de los ataques cibernéticos a móviles año a año. Esto hace que la ciberdelincuencia haya aprovechado la conexión en la actualidad de todos los seres humanos y hace más fácil este tipo de delito, sobre todo en poblaciones que hasta ahora están ingresando al medio tecnológico; un mundo que es nuevo para ellos conlleva muchos riesgos que, incluso, personas expertas muchas veces no alcanzan a determinar.

        Gráfica tomada del informe FRAUD WITHOUT BORDERS An Analysis of Global Cybercrime Across Industries and Geographies 

Como podemos observar en la gráfica, el aumento de ataques es importante al cierre del año 2019. En el momento actual en que vivimos los datos se han aumentado de forma exponencial, pues las condiciones para el delincuente cibernético están dadas. Si revisáramos el triángulo del delito en sus tres escenarios: Deseo, Racionalización y Oportunidad, nos podremos dar cuenta que estos elementos están dados para que el ciberdelicuente cumpla con su objetivo, que es realizar su acto delictivo.
     Lo que significa que la delincuencia, al igual que los negocios legales y las personas de a pie, debió reinventarse en esta época de pandemia, como lo muestran todas las estafas que han aparecido en internet frente a productos que curan el COVID 19, temas de tapabocas y fiestas clandestinas en las que ofrecen toda clase de productos alucinógenos y licor.
     Nos volvemos blanco cuando iniciamos las compras por la red. Existen páginas web que están siendo utilizadas para ofrecer servicios médicos fraudulentos y existen delincuentes que llegan a las puertas suplantando a las autoridades sanitarias con la excusa de que van a tomar la prueba de COVID 19. Estando en este punto, la persona es robada en su domicilio.
     Otro delito cibernético interesante para revisar es el Phishing que, en términos coloquiales, por su definición, es pescar, y en el mundo cibernético es utilizado por los delincuentes para engañar a incautos y conseguir contraseñas, números de tarjetas de crédito y cuentas bancarias para realizar el fraude.
     Delitos como sextorsión, que son conocidos por todos, han aumentado debido a los tiempos de ocio que tienen todas las personas y que sin conocimiento y sentido común comparten fotos íntimas a personas que distinguen en red sin saber quién está al otro lado. Producto de ello se ven extorsionados con estas fotos y muchas veces pagan para no ser expuestos ante familiares y esposos o, por qué no, a la red misma.
     Como vemos, el delito no para; continúa su actividad transformando su negocio.
     De esta manera queremos aportar diez consejos comunes para la seguridad ante el ciberdelito.
1.    Paciencia y sentido común: actúe pensando y que la prisa no sea una excusa. Recuerde, el eslabón más débil de la cadena de seguridad es usted mismo.
2.    Cuidado con los adjuntos en su correo: si no lo conoce, no lo abra. Recuerde, la curiosidad mata al gato; muchas veces los ciberdelincuentes utilizan esta técnica para infectar su equipo y robar sus datos.
3.    Privacidad e información personal: Mantenga una gestión estricta y periódica de los permisos individuales y corporativos.
4.    No pierda de vista sus dispositivos móviles: portátiles, smartphone y demás dispositivos móviles son sujeto de robo o pérdida; pero recuerde, en ellos hay mucha información de su organización y personal que dejaría expuesta.
5.    Cree mejores contraseñas y cámbielas periódicamente: más dificultad, menos previsibilidad. Y si la dificultad es aprendérnosla, recuerde que existen gestores de contraseñas.
6.    Ojo con lo que publica en redes sociales: piense en las cosas antes de subirlas a redes sociales. Puede estar revelando a todos mucho más de lo que imagina. A través de la redes pueden hacerle inteligencia y conocer sus vulnerabilidades.
7.    Desconéctese de internet cuando no la necesite: menor grado de exposición, menor tasa de infección; esto se da porque los ciberdelincuentes, cuando estamos conectados, utilizan nuestra conexión para atacarnos.
8.    No instale software gratis: si no conoce la fuente, sospecha; si instala software free, recuerde que puede estar instalando virus, puertas traseras que pueden robarle las contraseñas y acceder a documentos clasificados o secretos comerciales.
9.    Realice copias de seguridad: configure las copias de seguridad automáticas de los datos importantes en todos los ordenadores del negocio.
10.   Proteja su wifi: use una contraseña fuerte y no se la ofrezca a cualquiera. Para las visitas que necesitan acceso a Internet mientras están en el negocio o en su casa, configure una red para invitados. Eso le ayudará.


Referencias:

LNRS-CybercrimeReport_JulyDec2019-US-EN


Monday, March 23, 2020

EL MEJORAMIENTO DEL MODELO DE ANÁLISIS DE RIESGOS


Gestión de Riegos de Seguridad Empresarial  
Diofanor Rodríguez CPP, PCI, PSP


Cuando revisamos el entorno actual de la seguridad y los estándares aplicables en la seguridad, todos hablan del riesgo, pensamiento basado en riesgos, y un etcétera sobre el tema.
Cuando revisamos a fondo todo es llevado a una matriz, que vista de forma rápida, me muestra la foto de un momento, cuando la dinámica del riesgo está obligando a que la misma sea dinámica, para poder dar el soporte y el valor agregado que se le atribuye a esta herramienta.
En las actuales circunstancias, el modelo de la administración del riesgo deberá moverse con los cambios que ocurren minuto a minuto en los entornos de negocios, esto nos llevará a poder cuantificar el costo del riesgo en las operaciones que desarrollan las empresas modernas.

Por ello el concepto de PML (perdida máxima probable, por sus siglas en ingles), es de mucha importancia al momento de administrar los riesgos corporativos, teniendo en cuenta que cuando se habla de PML se está diciendo que es el valor máximo sujeto a destrucción bajo un riesgo determinado. Esto visto desde los seguros está basado en que el PML busca estimar el valor de la cartera asegurada que será reclamada en caso de siniestro.
Esto desde ya es un elemento muy importante a la hora de adquirir seguros y la administración del riesgo contribuye a que no se compren seguros innecesarios.
En la actualidad el ESRM (Enterprise security risk management) es una guía para poder ver administrar el riesgo y ver el marco de la administración del riesgo y no solo una metodología para hacerlo.  Esto convierte al profesional de la seguridad en un verdadero asesor y no un ejecutor como lo hacemos en el momento.
Lo que hace que la seguridad se  convierta en un actor estratégico ayudando a los profesionales de seguridad  a relacionar las decisiones de riesgo de seguridad con la  estrategia corporativa. Lo que hace que la seguridad funcione como un facilitador comercial y un instrumento para ayudar a la organización a  cumplir su misión.



Partiendo de esta nueva tendencia de la administración del riesgo las empresas  Que antes sólo se centraban en medir los acontecimientos que ocurren, pero no analizaban aquellos que no suceden, ni tampoco integraban a todas las áreas y unidades de negocio de la compañía, deberán hacer los análisis más holísticos.
Porque deberán considerar factores ambientales que van desde la idiosincrasia de una región, un país, el costo beneficio, el impacto en el mercado y el cumplimiento con las regulaciones y leyes. Realizar un análisis de los procesos y diversos factores permitirán una administración mucho más acertada del riesgo.
El modelo ESRM describe cómo hacer las cosas y describe lo que se debe hacer.
Pero no por ello presupone una metodología que cuadricula como se deben hacer las actividades y las tareas. Más bien ESRM puede ser adaptado en donde no existe un marco o una metodología definida para la administración del riesgo.
Lo que hace ESRM en la seguridad es poder mostrar el compendio de dominios que se tienen como son seguridad física, seguridad de la información y seguridad de personal.
Esto obliga a que seguridad encuentre la convergencia de conceptos y criterios en la organización, es decir, identificar los riesgos de seguridad y su dependencia con las distintas funciones corporativas.
Esto genera muchos beneficios a las corporaciones como el hecho de poder alinear los recursos de seguridad y la estrategia corporativa partiendo de la priorización eficaz del riesgo.
Otro elemento importante es que las partes interesadas entiendan la función de la seguridad corporativa volviéndose participes de esa seguridad.
Lo que hace que la seguridad sea más efectiva como resultado de la eficiencia más la eficacia.
ESRM posee un ciclo que está dividido en cuatro pasos  ellos son:
1.    Identificar y priorizar activos
2.    Identificar y priorizar riesgos
3.    Mitigar riesgos priorizados
4.    Mejora continua


Imagen tomada de ESRM Draft Guideline Sept. 2018

Cada uno de estos elemento presupone unas acciones que el profesional de seguridad deberá realizar y que se describen muy claramente en la Guía de ASIS  International,  y que ayudan a transmitir  qué acciones específicas deben tomarse para adoptar ESRM como un proceso de gestión de riesgos de seguridad.

Cuando revisamos el ciclo de ESRM podemos desglosar un poco más el concepto partiendo de lo siguiente:
Identificar y priorizar los activos: para nadie es un secreto que todos los activos de una organización tiene una importancia, pero existen algunos más importantes que otros que de sufrir algún daño podrían en aprietos a la organización, por ello debemos tener muy claro cuáles son, qué son, dónde están y por qué son importantes. Todo es basado en el concepto del impacto que sufriría la organización si se materializará un riesgo en uno de sus activos estratégicos.
Identificar y priorizar los riesgos: cuando ya están identificados y priorizados los activos, nos debemos centrar en el riesgo entendiendo cuales son las áreas de preocupación, que riesgos se podrían materializar y generar una afectación al activo que termine generando pérdidas importantes en la organización. El producto de este paso es la lista de riesgos con su nivel de importancia.
Mitigar los riesgos priorizados: en este paso se proponen la estrategias de cómo sería posible la mitigación de riesgos priorizados vs los activos priorizados. Esta actividad podría suponer la realización de una matriz para poder cruzar los riesgos y los activos y su posible control de mitigación.
Mejora continua: en este paso del ciclo se debe revisar los controles existentes frente a los riesgos identificados y priorizados, para poder determinar si esos controles han sido o no efectivos, lo que nos llevara a realizar investigaciones de eventos, como fueron las respuestas ante la materialización del riego.
Es importante entonces poder considerar todos los tipos de riesgos de seguridad, hacer una verdadera vinculación de todas las parte interesadas, la transparencia que el profesional de seguridad debe tener con los interesados del proceso y por último esta le creación de un comité para hablar de apetito del riesgo y tolerancia del riesgo que permita la toma de decisiones de alto nivel.


Referencia
ESRM Draft Guideline Sept. 2018






Thursday, February 20, 2020

Los profesionales de seguridad física deben también adquirir la experticia suficiente para beneficiarse de los nuevos avances tecnológicos

Diofanor Rodríguez  CPP, PCI, PSP


Los especialistas de seguridad física se encuentran hoy con los últimos avances de la tecnología para la seguridad. Y en el entendido que los dispositivos de seguridad física son cada vez más inteligentes, la pregunta que emerge  es: ¿están los profesionales de seguridad física  están adquiriendo el conocimiento y la “inteligencia” suficientes  para beneficiarse de los avances tecnológicos?.
Esta es una pregunta que, contra lo que podría pensarse, no resulta obvia, porque en temas de seguridad si es importante tener en cuenta los aspectos de tecnología. Muchas veces se compran equipos que poseen características tecnológicas importantes, pero que desafortunadamente son subutilizadas, porque no contamos con el conocimiento y la “expertise” para aprovechar al máximo sus características.
Aquí se hace más visible un adagio popular que dice “se compran cosas que no se necesitan con dinero que no se tiene, para la gente que no le interesa”. En seguridad muchas veces se compran  elementos de seguridad electrónica que parecen muy atractivos, sin tener en cuenta las necesidades que posee la instalación y sin tener en cuenta la preparación y conocimientos de las personas que se encargarán de au manejo y aplicación, elementos que son indispensbales para acertar en la compra del equipo apropiado y aprovechar de manera eficiente todas las características técnicas del mismo.
Lo anterior, lastimosamente, sucede porque las decisiones sobre elementos electrónicos de seguridad muchas veces se dan por moda y no como resultado de un concienzudo análisis de riesgos que permita de forma adecuada identificar cuáles son las necesidades que posee la instalación.
El tema central en este campo, que asegura la convergencia entre la seguridad física y la seguridad informática, es el hombre de seguridad moderno, que debe aprender sobre el tema y saber si la tecnología que está comprando es realmente útil y aplicable y no pone en riesgo otros de los procesos de la organización, porque muy fácilmente nos podemos convertir en el eslabón más débil de la seguridad.
Elementos de seguridad electrónica, que ya se tienen en desarrollo con inteligencia artificial, hacen necesario mantener un aprendizaje constate, entendiendo las necesidades de la seguridad, que sean balanceadas, y pensadas de la mano de la ciberseguridad. 
Como podemos ver, el panorama actual y futuro cada vez más obliga al profesional de seguridad a saber mas de seguridad física y a aprender y saber de seguridad informática, para poder asesorar, asertivamente y con eficiencia, a las organizaciones en la compra de los elementos electrónicos de la seguridad.
Las nuevas tendencias y tecnologías en CCTV, control de accesos, identificación facial, alarmas e integración de todos los sistemas, es importante el conocimiento de las tecnologías emergentes que ayuden a minimizar los riesgos corporativos y que nos permitan explotar de forma adecuada sus características y rendimientos, de modo que se logre el balance necesario entre procedimientos, tecnología y personas con el único fin de apoyar a la organización al logro de sus objetivos.
Ustedes son profesionales de seguridad y estarán de acuerdo conmigo en que no hay nada más frustrante que recomendar un sistema de seguridad electrónica y que no cumpla con las necesidades de la organización y que no apoye los objetivos corporativos.
La tendencia “Smart” ha llegado a los objetos que los usuarios utilizan día a día, y ya está, como lo podemos ver, en distintos ejemplos de edificios inteligentes alrededor del mundo. Los retos entonces están en aprender a manejar con eficacia dichas tecnologías para la seguridad y, adicionalemente, en estudiar, identificar y prever nuevos tipos de agresión que reúnan lo digital y lo físico.
Estos elementos presentados nos llevan a realizar una reflexión adicional muy importante frente a la educación y capacitación que estamos recibiendo y entregando a los profesionales de la seguridad.