# data[].attributes.body
Qué es Shodan versión en inglés de 2022

# data[].attributes.body
Shodan qué es y usos del buscador en español 2022

# data[].attributes.attachment_link.readable_text
Vamos a explicarte qué es y para qué se puede utilizar Shodan, un buscador de elementos conectados a Internet que puede ser tan útil como peligroso, todo dependiendo de quién lo utilice. Es una especie de Google de los servidores conectados a Internet, con el que puedes localizar desde servidores domésticos hasta webcams públicas o incluso semáforos de ciudades.

No vamos a detenernos en una explicación técnica ni a explicar cómo utilizarlo para encontrar cosas muy concretas. Simplemente te explicaremos lo que es de una manera sencilla para que cualquier persona pueda entender cómo funciona.

Qué es Shodan

Shodan es un motor de búsqueda, una página que sirve para encontrar cosas en Internet. Pero no es un buscador de páginas web o imágenes como pueden ser Google o Bing, sino que es un buscador de sistemas y servicios conectados a internet, lo que busca son máquinas conectadas a la red.

Por lo tanto, si haces una búsqueda como escribir el nombre de una ciudad, Shodan no te mostrará información relacionada con ese nomber que hayas escrito. En su lugar, te va a mostrar servidores conectados en este lugar o que utilicen el término que hayas escrito, y te dará información como su IP o su ubicación.

De cara a un usuario normal sin conocimientos técnicos, Shodan no es demasiado útil, porque posiblemente no entendamos los códigos y nomenclaturas que nos devuelve en las búsquedas. Sin embargo, puede llegar a ser peligroso cuando una persona con conocimientos técnicos lo usa, ya que puede encontrar servidores que son vulnerables y hackearlos o entrar en ellos.

En este aspecto, utilizar Shodan es completamente legal, ya que se limita a mostrar información que ya está en Internet. En cambio, lo que no es legal es acceder a los servidores que se muestran en los resultados, ya que puedes estar cometiendo delitos de ciberdelincuencia.

Shodan te va a permitir encontrar cualquier tipo de dispositivo conectado a Internet, desde webcams, televisores inteligentes y dispositivos del hogar hasta semáforos, turbinas eólicas, y cualquier otro tipo de infraestructura que use la red para enviar los datos. No es un buscador de servidores vulnerables, sino que encuentras todos los dispositivos, y puede que algunos sean vulnerables.

Para qué puede utilizarse

Shodan es un buscador útil para auditores de seguridad informática, ya que les permite buscar en Internet los servidores que estén auditando u otros servicios, y obtener de ellos mucha información que puede resultarles útil. Pueden encontrar la IP, la geolocalización, el país al que pertenece un elemento encontrado, o los puertos y servicios que tengan abiertos.

Esto puede ser útil precisamente para el ámbito de la seguridad, ya que si tienes los conocimientos, puedes saber hasta qué punto está expuesto un servidor, y así poder securizarlo antes de que algún cibercriminal, incluso usando la misma herramienta, pueda mirarlo y atacarte.

Pero también puede ser peligroso cuando lo usan los ciberdelincuentes, porque les permiten encontrar tipos específicos de dispositivo y su IP, o acotar búsquedas por sistema operativo. Esto te puede permitir, por ejemplo, encontrar dispositivos Windows o servidores conectados a la red y buscar posibles vulnerabilidades para atacarlos, o simplemente coger las IPs de un servicio y atacarlas para intentar tirarlas.

Por lo tanto, podemos decir que Shodan es una herramienta completamente neutral, pero que puede tener usos positivos o negativos dependiendo de quién la utilice. Conviene saber que este tipo de buscadores existe, y que por lo tanto, siempre es muy importante configurar bien la seguridad de los dispositivos con los que conectamos o a los que conectamos a Internet.

Cómo usar Shodan

Shodan es bastante sencillo de utilizar, y sólo tienes que escribir un término de búsqueda. Cuando lo hagas, se te mostrarán los resultados con la IP, ubicación y otra información técnica de cada servidor. En la columna de la izquierda tendrás varios filtros que te permitirán encontrar los mejores resultados de servicios públicos, organizaciones, sistemas operativos, etcétera.

Este buscador te permite usarlo gratis o crear una cuenta de pago para obtener más información, ya que debes recordar que está orientado al ámbito profesional. Si lo usas sin registrarte sólo podrás acceder a la primera página de resultados de informes. Para ver más páginas o realizar búsquedas en las pestañas de imágenes o mapas, tendrás que registrarte con una cuenta de pago.

Lo único que te queda hacer cuando se te muestre la lista de resultados es pulsar en uno de ellos, y accederás a la información completa y técnica sobre este servidor. En algunos casos podrás incluso acceder a la página a la que están apuntando para tratar de conectarte a ellos.

Cuando entres en la ficha de uno de los elementos que apareció en los resultados de búsqueda, verás su información TCP y todos los puertos que hay abiertos. También verás el país al que pertenecen, la ciudad, el nombre de organización o el de la ISP. También puede haber otros datos, aunque todo depende de cada servidor.

Además, Shodan también ofrece un sistema de filtros de búsqueda con los que mejorar los resultados, como country:es para especificar que quieres buscar en España, city:sevilla para especificar la ciudad donde quieres encontrarlos, u os:windows para especificar el sistema operativo. También tienes port:XX para buscar por número de puerto.

# data[].attributes.attachment_link.title
Shodan: qué es y para qué se puede usar este buscador de dispositivos conectados a Internet

# data[].attributes.attachment_link.description
Vamos a explicarte qué es y para qué se puede utilizar Shodan, un buscador de elementos conectados a Internet que puede ser tan útil como peligroso, todo...

# data[].attributes.body
Cómo usar Shodan por línea de comandos sin restricciones en inglés actualizado en 2023

# data[].attributes.attachment_link.title
GitHub - malinkinsa/shodancli: This is a simple command-line interface (CLI) tool written in Rust, that allows users to fetch data related to IP addresses from the Shodan API.

# data[].attributes.attachment_link.description
This is a simple command-line interface (CLI) tool written in Rust, that allows users to fetch data related to IP addresses from the Shodan API. - GitHub - malinkinsa/shodancli: This is a simple command-line interface (CLI) tool written in Rust, that allows users to fetch data related to IP addresses from the Shodan API.

# data[].attributes.body
Cómo usar Shodan por línea de comandos sin restricciones.

# data[].attributes.attachment_link.title
Instalación y conceptos básico de shodan CLI

# data[].attributes.attachment_link.readable_text
Cuando hablamos de ciberseguridad inteligente para pequeñas y medianas empresas (pymes), reducir la superficie de ataque es fundamental. De hecho, garantizar que la superficie de ataque sea lo más pequeña posible es una medida de seguridad básica.

Al entender y gestionar su superficie de ataque, es decir, el número de formas posibles en las que un atacante puede acceder a un dispositivo o una red y extraer datos, se reducirá la exposición a los riesgos cibernéticos.

Aunque muchas pymes pueden pensar que son demasiado pequeñas para ser el objetivo de un ciberdelito, si echamos un vistazo rápido a su superficie de ataque podemos ver que existen posibles puntos de acceso en su red de TI u otras vulnerabilidades que se pueden aprovechar para organizar un ciberataque o una filtración de datos.

La realidad es que las empresas pequeñas siguen haciendo frente a una alta probabilidad de ciberataques. Los últimos datos muestran que el 43 % de los ciberataques están destinados a pequeñas empresas, mientras que solo el 14 % de las mismas está preparadas para defenderse. Además, la mayoría de las veces, las pymes sufren un impacto financiero significativo debido a un ataque. Un informe estima que el coste medio de resolver la filtración de datos para las empresas con menos de 500 empleados asciende a 2,5 millones de dólares y que esta cifra ha continuado aumentando año tras año. En algunos sectores regulados, las empresas siguen experimentando estas consecuencias financieras dos y tres años después del ataque.

Obtener una mejor comprensión de su entorno de TI y de los elementos de su superficie de ataque que representan un riesgo son medidas positivas para conseguir una defensa proactiva.

¿Cuáles son las principales superficies de ataque?

Los dispositivos y las personas son dos de las principales superficies de ataque.

Dispositivos

Las empresas de hoy en día se conectan a Internet utilizando cada vez más dispositivos. Esto crea más puertas de acceso para que los ciberdelincuentes lleven a cabo ciberataques.

Los nuevos datos, junto con un volumen cada vez mayor de datos generados a partir de estos dispositivos, estiman que habrá casi 50 mil millones de dispositivos conectados al Internet de las cosas (IoT) en 2030.

Ahora, tenga en cuenta las ciberamenazas y las vulnerabilidades potenciales de los sistemas operativos y el software, y podrá comprender mejor por qué los dispositivos representan un riesgo potencial y pueden aumentar en gran medida la superficie de ataque.

Los ataques de ransomware y ransomware híbrido son amenazas importantes para los dispositivos. Por sí mismo, un ataque de ransomware ya es bastante nocivo, ya que permite a los hackers tomar el control de un dispositivo y exigir al usuario un rescate para recuperar el control. Pero hoy en día, el ransomware también se propaga de forma híbrida. Al combinar el ransomware con las capacidades de un virus, no solo puede infectar a un dispositivo, sino propagarse fácilmente por toda la red.

Los datos predicen que los ataques de ransomware se dirigirán a las empresas cada 11 segundos en 2021. En el último Informe de investigación de fugas de datos de Verizon (DBIR), el 27 % de los incidentes de malware contribuyen al ransomware. Otro estudio indica que el 85 % de los proveedores de servicios gestionados ha informado de ataques de ransomware contra pymes en los últimos dos años, el 56 % de los cuales se produjo en el primer semestre de 2019.

Personas

Los ciberataques sofisticados apuntan principalmente a los empleados, ya que son el eslabón más débil de la cadena de seguridad digital. En el informe DBIR 2020 de Verizon, los errores humanos suponen un 22 % de las fugas. Según Gartner, el 95 % de las fugas en la nube se producen debido a errores humanos como errores de configuración, y se prevé que seguirá ocurriendo.

El riesgo aumenta porque las políticas de contraseñas y otras medidas de seguridad diseñadas para proteger a las personas, como la autenticación en varios pasos, no son una práctica estándar en la mayoría de las pymes. Y lo que es peor, un estudio reciente muestra que los comportamientos de contraseñas siguen siendo un problema: el 91 % de las personas reconoce que utilizar la misma contraseña en varias cuentas es un riesgo de seguridad, pero el 66 % sigue haciéndolo de todos modos.

Los atacantes también utilizan técnicas de ingeniería social para obtener acceso a las redes a través de los empleados. La ingeniería social engaña a las personas para que proporcionen información confidencial de la empresa. A menudo, el hacker contacta con los empleados por correo electrónico, haciéndose pasar por una organización fiable o incluso un compañero de trabajo. La mayoría de los empleados no tienen los conocimientos necesarios para defenderse de estos ataques avanzados de ingeniería social.

El estudio revela que el 70-90 % de las fugas de datos maliciosos se atribuye a ingeniería social de algún tipo.

¿Cuáles son las mejores prácticas para reducir su superficie de ataque?

Las pymes deben evaluar periódicamente las vulnerabilidades, proteger los puntos débiles y supervisar las anomalías para reducir la superficie de ataque.

¿Cómo evalúa las vulnerabilidades?

El primer paso a la hora de evaluar las posibles vulnerabilidades es identificar todos los dispositivos informáticos físicos y virtuales de una empresa u organización. Esa lista debe incluir todas estas posibles superficies de ataque:

Estaciones de trabajo y portátiles

Servidores de archivos de red

Servidores de aplicaciones de red

Cortafuegos y conmutadores corporativos

Impresoras multifunción

Dispositivos móviles

Esta evaluación de infraestructura debe distinguir entre la nube, sistemas locales y dispositivos, lo que hace más fácil determinar todas las posibles ubicaciones de almacenamiento de datos.

Ahora, veamos dónde se accede a los datos y dónde se almacenan. Clasifique todos los datos comerciales y divídalos en tres ubicaciones: la nube, sistemas locales y dispositivos.

Por ejemplo:

A continuación, compruebe quién tiene acceso y de qué tipo. Esta tercera y última evaluación de la superficie de ataque se utiliza para obtener información sobre los comportamientos de cada departamento o usuario dentro de la organización, incluso si estos usuarios son desconocidos. Estos hallazgos se pueden dividir en las mismas tres categorías y deben incluir los siguientes aspectos:

Acceso de usuario específico

Acceso multiusuario

Acceso de usuario desconocido

¿Cómo protege los puntos débiles y supervisa las anomalías?

Tras llevar a cabo la evaluación, el siguiente paso es determinar las medidas de seguridad de su superficie de ataque específica. Al utilizar la combinación correcta de medidas de seguridad, se asegurará de proteger los puntos débiles y de ofrecer una mayor visibilidad a la seguridad de su red.

A continuación se muestra una descripción general de los servicios de seguridad clave que requiere una pyme normal.

Para reducir la superficie de ataque, es fundamental instalar y supervisar los antivirus en todos los dispositivos, desde PC hasta teléfonos móviles.

Administración de parches
Las vulnerabilidades son habituales en los sistemas operativos y en el software, pero pueden resolverse al instalar parches de software y al mantener el software actualizado.

Teletrabajo seguro
Tal y como las empresas han comprobado de primera mano con las regulaciones sobre el teletrabajo a raíz del COVID-19, las personas que teletrabajan necesitan una conexión de red virtual privada (VPN) a la red de su empresa que encripte todo el tráfico y proporcione un acceso seguro a los datos y aplicaciones de la empresa.

Copia de seguridad en la nube
Aunque haya tomado todas las precauciones, es importante tener una solución BDR que pueda restaurar las operaciones rápidamente, con solo presionar un botón.

Ofrece formación de seguridad
La gente no puede defenderse de las amenazas que no conoce. Es fundamental formar a los empleados sobre los medios para protegerse, por ejemplo, crear contraseñas seguras y reconocer las estafas de phishing.

¿Cómo entiende su superficie de ataque y los riesgos cibernéticos?

Las pymes se enfrentan a un entorno de amenazas en constante evolución. Los retos se magnifican cuando se tienen en mente los riesgos de errores humanos en el lugar de trabajo y la necesidad de formación para concienciar sobre seguridad. Con el conocimiento de las medidas de seguridad clave necesarias y por medio de enfoques como la seguridad gestionada proactiva, las empresas y organizaciones pueden comprender mejor su superficie de ataque y los riesgos y establecer una protección de ciberseguridad sólida y rentable para reducir su superficie de ataque y su exposición al riesgo.

# data[].attributes.attachment_link.title
¿Qué es una superficie de ataque y cómo se reduce? | Avast

# data[].attributes.attachment_link.description
La superficie de ataque es la cantidad de formas en las que un atacante puede obtener acceso a un dispositivo o una red y extraer los datos.

# data[].attributes.attachment_link.readable_text
La gestión de la superficie de ataque de activos cibernéticos (CAASM, por sus siglas en inglés)) es un enfoque emergente que permite a los equipos de seguridad identificar, evaluar y reducir el riesgo de ataque a los activos de una organización. CAASM integra datos de múltiples fuentes para brindar una vista completa de la superficie de ataque de una organización, incluidos los activos en las instalaciones, en la nube y en el perímetro. Esta información se utiliza para identificar vulnerabilidades y configuraciones incorrectas que podrían ser explotadas por los atacantes.

El objetivo principal de CAASM es eliminar prácticamente los puntos ciegos en la seguridad, proporcionando un camino rápido para los equipos de operaciones de seguridad hacia una ciberseguridad y gestión de riesgos proactiva. Se espera que, gracias a CAASM, el número de organizaciones con una visibilidad de activos del 95% o más aumente al 20% para 2026, desde menos del 1% actual.

CAASM se basa en tres principios clave:

Descubrimiento y gestión de activos:  La primera etapa de CAASM es identificar todos los activos digitales de una organización. Esto incluye computadoras, servidores, dispositivos móviles, aplicaciones web y datos. Una vez que se han identificado los activos, se pueden clasificar y priorizar en función de su valor y riesgo.

Reducción de riesgos:  Una vez que se han identificado los activos, se pueden tomar medidas para reducir los riesgos asociados con ellos. Esto puede incluir la implementación de controles de seguridad, la capacitación de los usuarios y la gestión de cambios.

Monitoreo y respuesta:  CAASM no es un proceso de una sola vez. Los activos y los riesgos asociados con ellos cambian constantemente. CAASM proporciona una forma de monitorear y responder a estos cambios para garantizar que la superficie de ataque de una organización se mantenga bajo control.

CAASM es una herramienta poderosa que puede ayudar a las organizaciones a mejorar su postura de seguridad. Al adoptar un enfoque proactivo para gestionar y reducir su superficie de ataque, las organizaciones pueden protegerse mejor de los ciberataques.

Beneficios de CAASM

CAASM ofrece una serie de beneficios para las organizaciones, entre ellos:

Mejora de la visibilidad:  CAASM proporciona una visión holística de la superficie de ataque de una organización, lo que ayuda a los equipos de seguridad a identificar y priorizar los riesgos.

Mayor eficiencia:  CAASM puede ayudar a las organizaciones a mejorar la eficiencia de sus operaciones de seguridad al automatizar muchas tareas manuales.

Mejora de la respuesta a incidentes:  CAASM puede ayudar a las organizaciones a responder más rápidamente y de manera más efectiva a los ciberataques al proporcionarles una visión detallada de la superficie de ataque y los riesgos asociados con ella.

Los desafíos de CAASM

CAASM puede ayudar a las organizaciones a mejorar su seguridad y reducir su riesgo de ataque. Sin embargo, CAASM también puede ser un desafío para las organizaciones, debido a su complejidad y la cantidad de datos que requiere. Las organizaciones que implementan CAASM deben estar preparadas para superar estos desafíos para aprovechar al máximo los beneficios de esta tecnología.

Los siguientes factores pueden representar un desafío para la implementación de CAASM:

La complejidad de las organizaciones modernas: las organizaciones modernas tienen una variedad de activos, incluidos activos en las instalaciones, en la nube y en el perímetro. Esto puede dificultar la identificación y el seguimiento de todos los activos.

La cantidad de datos: CAASM requiere una gran cantidad de datos para brindar una vista completa de la superficie de ataque de una organización. Estos datos pueden provenir de una variedad de fuentes, lo que puede dificultar su recopilación y análisis.

La falta de visibilidad: muchas organizaciones no tienen una buena visibilidad de su superficie de ataque. Esto puede dificultar la identificación de vulnerabilidades y configuraciones incorrectas que podrían ser explotadas por los atacantes.

Requisitos para la CAASM

Para implementar con éxito la CAASM, las organizaciones deben tener en cuenta una serie de requisitos, que incluyen:

La capacidad de recopilar y analizar datos de múltiples fuentes: la CAASM requiere la capacidad de recopilar y analizar datos de múltiples fuentes, incluyendo redes, sistemas, dispositivos y aplicaciones.

La capacidad de implementar controles de seguridad: la CAASM debe ser capaz de implementar controles de seguridad para reducir el riesgo asociado con los activos digitales.

La formación del personal: el personal debe estar formado en la CAASM y en cómo utilizar las herramientas y procesos para reducir el riesgo.

La CAASM es una parte esencial de cualquier programa de seguridad cibernética. Al adoptar la CAASM, las organizaciones pueden mejorar su postura de seguridad y protegerse mejor de los ciberataques.

¿Cumples con todos los requisitos para implementarla?

Si tienes alguna idea que pueda agregar valor a esta publicación y a la comunidad interesada en este tema, te invitamos a compartirla en los comentarios.

#ciberseguridad #cybersecurity #caasm #culturaorganizacional

Rodrigo Lafuente S. Myriam Pérez Escalante Francisco Rodriguez Poblete Pedro Chacón Podunavac Luis Vallenilla Alexis José Rodríguez Gómez Jhonattan Vallenilla Patricia Guttman Simantob Barbara Covarrubias

# data[].attributes.attachment_link.title
¿Qué es la gestión de superficie de ataque de activos cibernéticos (CAASM)?

# data[].attributes.attachment_link.description
La gestión de la superficie de ataque de activos cibernéticos (CAASM, por sus siglas en inglés)) es un enfoque emergente que permite a los equipos de seguridad identificar, evaluar y reducir el riesgo de ataque a los activos de una organización. CAASM integra datos de múltiples fuentes para brindar

# data[].attributes.body
Herramientas superficie de ataque

# data[].attributes.attachment_link.readable_text
La superficie de ataque de una red informática es el conjunto de todos los puntos (o vectores de ataque) que un usuario no autorizado puede penetrar para extraer datos o causar problemas.

Para que una red esté bien protegida, es importante mantener la superficie de ataque lo más pequeña posible para protegerla de manera óptima. Incluso si mantienes el atacar superficie de su red lo más pequeña posible, debe ser monitoreada constantemente, para que cualquier amenaza potencial pueda ser identificada y bloqueada en el menor tiempo posible.

Una vez que se identifica y mapea por completo una superficie de ataque, es vital probar sus vulnerabilidades para identificar los riesgos actuales y futuros. Estas tareas son parte del monitoreo de la superficie de ataque (ASM).

Existen herramientas especialmente diseñadas para el monitoreo de superficies de ataque. En general, estas herramientas funcionan escaneando su red y sus activos de TI (puntos finales, aplicaciones web, servicios web, etc.) en busca de recursos expuestos.

Luego de este escaneo, te informan sobre los riesgos detectados y comienzan a monitorear constantemente tu red para detectar cambios en la superficie de ataque o la aparición de nuevos riesgos.

La mejor de estas herramientas utiliza bases de datos de amenazas que se mantienen actualizadas con cada nueva amenaza para anticipar problemas. La siguiente es una revisión de las mejores herramientas ASM.

La plataforma que ofrece UpGuard constituye un software todo en uno para la gestión de riesgos y la superficie de ataque de terceros. Consta de tres partes:

Riesgo del proveedor de UpGuard: Gestión de riesgos de terceros diseñada para monitorear continuamente a los proveedores de tecnología, automatizar los cuestionarios de seguridad y reducir los riesgos de terceros y cuartos.

UpGuard BreachSight: Gestión de la superficie de ataque que evita violaciones de datos, descubre credenciales filtradas y protege los datos de los clientes.

Investigación cibernética de UpGuard: Servicios de seguridad gestionados para ampliar la protección frente a riesgos de terceros. Los analistas de UpGuard se unen para monitorear su organización y sus proveedores, detectando posibles fugas de datos.

UpGuard ofrece una la seguridad cibernética informe para demostrar las capacidades de la herramienta. Con este informe gratuito, puede descubrir riesgos clave en su sitio web, su sistema de correo electrónico o su red. El informe ofrece información instantánea que le permite tomar medidas inmediatas sobre cientos de factores de riesgo, incluidos SSL, puertos abiertos, estado de DNS y vulnerabilidades comunes.

Después de probar la utilidad del servicio con el informe gratuito, puede comprar el servicio con diferentes opciones de precios para adaptarse al tamaño de su negocio o red.

La opción básica para pequeñas empresas le permite dar sus primeros pasos en la administración de la superficie de ataque, luego puede escalar para agregar capacidades en caso de que las necesite.

Reflexiona

Reflexiona proporciona a las empresas una visión completa de sus superficies de riesgo, ayudándolas a mitigar los riesgos derivados del uso cada vez mayor de herramientas de código abierto y aplicaciones de terceros.

La aplicación Reflectiz es de impacto cero, lo que significa que no requiere instalación y se ejecuta de forma remota, lo que evita comprometer los recursos de TI y el acceso a información confidencial de la empresa.

La estrategia de Reflectiz se basa en un sandbox innovador en el que se analizan las aplicaciones de primera, tercera y cuarta parte para detectar todas las vulnerabilidades mediante un análisis de comportamiento patentado.

Luego da visibilidad a los resultados del análisis a través de un solo tablero. Finalmente, prioriza los riesgos, luego los corrige y aborda cualquier problema de cumplimiento.

La efectividad del análisis de Reflectiz del ecosistema en línea de la empresa aumenta continuamente, gracias al escaneo regular de Internet para mantener actualizada su gran base de datos de amenazas.

De esta forma, la solución brinda a sus clientes un alto valor desde el primer día, independientemente del tamaño de la empresa, ya que soporta equipos pequeños, organizaciones medianas e incluso grandes corporaciones globales.

Con Intruder puede descubrir todas las áreas de su infraestructura de TI que están expuestas a Internet, lo que le brinda una mayor visibilidad de la superficie de ataque de su empresa y un mayor control al permitirle restringir lo que no debe estar expuesto.

Intruder ofrece una herramienta de búsqueda simple para puertos y servicios abiertos, con filtros adaptables que identifican aquellas tecnologías a las que un atacante podría acceder.

Dado que la superficie de ataque de una red no es algo que permanezca estático en el tiempo, Intruder también ofrece posibilidades de monitoreo constante para supervisar cualquier cambio en su entorno de TI.

Por ejemplo, puede obtener un informe sobre cualquier puerto o servicio que se haya abierto recientemente. La herramienta también lo mantiene informado a través de alertas sobre implementaciones de las que quizás no haya tenido conocimiento.

Para empresas con redes muy grandes, Intruder ofrece la exclusiva función Smart Recon, que determina automáticamente cuáles de los activos de su red están activos. Esto limita las operaciones de escaneo a solo objetivos activos, lo que reduce la tarifa para que no tenga que pagar por sistemas inactivos.

A las tareas de gestión de la superficie de ataque, Intruder añade SSL y control de caducidad de certificados TLS. Gracias a esta funcionalidad, se le notificará cuando sus certificados estén a punto de caducar, manteniendo la seguridad y evitando el tiempo de inactividad de sus servicios o sitios web.

Rapid7's InsightVM La plataforma tiene como objetivo proporcionar claridad en la detección y remediación de riesgos. Con InsightVM puede descubrir riesgos en todos los puntos finales de su red, su infraestructura en la nube y su infraestructura virtualizada.

Priorización de riesgos adecuada, acompañada de instrucciones paso a paso para TI y DevOps departamentos, proporciona un procedimiento de remediación más eficiente y eficaz.

Con InsightVM puede ver los riesgos en su infraestructura de TI en tiempo real, de un vistazo, en el tablero de la herramienta. Ese tablero también le permite medir e informar el progreso con respecto a los objetivos de su plan de acción de mitigación de riesgos.

InsightVM puede integrarse con más de 40 tecnologías líderes, desde SIEM y firewalls hasta sistemas de seguimiento de tickets, para agregar valor al compartir información de vulnerabilidad con ellos a través de una API RESTful.

La solución InsightVM recopila información de los puntos finales mediante un agente universal y liviano, el mismo que se usa con otras soluciones Rapid7, como InsightIDR e InsightOps. Una sola implementación es suficiente para obtener información en tiempo real sobre los riesgos de la red y los usuarios finales.

Detectar monitoreo de superficie

Monitoreo de superficie de Detectify La solución monitorea todo lo que expone a la web en su infraestructura de TI, haciendo cumplir la seguridad de los subdominios de su aplicación y detectando archivos expuestos, fallas de configuración y vulnerabilidades.

Una de las fortalezas de Detectify Surface Monitoring es la facilidad de comenzar, ya que simplemente agrega su dominio y la herramienta inmediatamente comienza a monitorear todos los subdominios y aplicaciones.

Detectify incorpora la tecnología de Crowdsource hackeo ético Investigue los resultados en su solución diariamente, para que siempre esté protegido contra las vulnerabilidades descubiertas más recientemente. Incluso los indocumentados, exclusivos de Detectify.

Crowdsource es una comunidad de más de 350 hackers éticos que trabajan continuamente para incorporar los resultados de sus investigaciones en Detectify, lo que toma tan solo 15 minutos.

Además de rastrear todos los activos y tecnologías de su red expuestos a Internet, Detectfiy analiza la postura de su infraestructura de DNS y evita la adquisición de subdominios, mientras detecta filtraciones y divulgaciones de información no intencionales. Por ejemplo, claves API, tokens, contraseñas y otros datos están codificados en sus aplicaciones o en texto sin formato sin la configuración adecuada.

Bugcrowd es una herramienta de administración de superficie de ataque que le permite encontrar, inventariar y asignar un nivel de riesgo a los dispositivos expuestos, las aplicaciones olvidadas o ocultas y otros activos de TI ocultos. Bugcrowd hace su trabajo al combinar tecnología y datos con el ingenio popular para brindar el más completo evaluación de riesgos de su superficie de ataque.

Con Bugcrowd puede analizar los resultados del escaneo y empaquetarlos para que los revisen los usuarios y las partes interesadas. Junto con los resultados, puede incluir recomendaciones y planes de remediación, que pueden ser muy valiosos, por ejemplo, durante una fusión o adquisición. A su vez, los descubrimientos de vulnerabilidades se pueden transferir a Bug Bounty o Pruebas de penetración soluciones para la remediación.

La plataforma de Bugcrowd presenta una tecnología, llamada AssetGraph, que reúne una clasificación de activos en riesgo, basada en un extenso depósito de conocimientos de seguridad.

El aspecto más fuerte de Bugcrowd es precisamente la palabra "multitud": gracias a una red global de investigadores expertos en seguridad, la herramienta puede reducir drásticamente la superficie de ataque de su red, anticipándose a los hackers para descubrir vulnerabilidades que aún no han detectado.

Ventaja Mandiante

de Mandiant El enfoque es convertir su programa de seguridad de reactivo a proactivo mediante la realización de un mapeo gráfico que ilumine sus activos y active alertas sobre exposiciones riesgosas.

Mandiant le permite aplicar automáticamente su experiencia e inteligencia a su superficie de ataque, diciéndole qué es vulnerable, qué está expuesto y qué está mal configurado.

De esta manera, sus equipos de seguridad pueden implementar un esquema inteligente de detección de amenazas, respondiendo de inmediato para su resolución y mitigación.

La proactividad de Mandiant se evidencia mediante el monitoreo en tiempo real, respaldado por alertas que le informan cuando cambia la situación de sus activos para que ningún cambio en la exposición de sus activos pase desapercibido y se mantenga varios pasos por delante de las amenazas.

Con Mandiant, puede adoptar por completo la tecnología de la nube e impulsar el rendimiento de su empresa. transformación digital adelante sin riesgo.

El mapeo de activos de TI de Mandiant le brinda una visibilidad completa de su infraestructura de TI, lo que le permite descubrir los recursos expuestos en la nube a través de más de 250 integraciones. Le permite identificar las relaciones con socios y terceros, y examinar la composición de las tecnologías, los activos y las configuraciones expuestos.

El valor de la anticipación

Al analizar los costos de las herramientas ASM, es importante no solo observar sus precios absolutos, sino también considerar los ahorros que brindan al simplificar la tarea de detección y mitigación de amenazas. La clave de estas herramientas es que cubren todo su entorno de TI, incluidos los recursos locales, remotos, en la nube, en contenedores y de máquinas virtuales, de modo que ninguno de sus activos se pierda de vista.

Sin embargo, no piense que una herramienta ASM es una panacea que por sí sola hará desaparecer cualquier riesgo. El valor real de estas herramientas es que le permiten administrar de manera proactiva las vulnerabilidades y rastrear y obtener métricas que optimizan la tarea de los remediadores.

Hola, aspiro a crear diseños conscientes que contribuyan a mejorar la vida humana. Esa es toda mi profesión principal, en una frase. LEER MÁS

# data[].attributes.attachment_link.title
Los 7 mejores monitoreos de superficie de ataque para conocer su exposición a riesgos de seguridad

# data[].attributes.attachment_link.description
La superficie de ataque de una red informática es el conjunto de todos los puntos (o vectores de ataque) que un usuario no autorizado puede penetrar para extraer datos o causar problemas. Para que una red esté bien protegida, es importante mantener la superficie de ataque lo más pequeña posible para protegerla de manera óptima.

# data[].attributes.body
Cuestiones iniciales sobre ciberseguridad

# data[].attributes.attachment_link.description
Google Forms - create and analyze surveys, for free.

# data[].attributes.body
Nueve consejos para proteger su smartphone.

# data[].attributes.attachment_link.readable_text
Statisticians estimate the number of cell phones in the world to be about 5 billion, with smartphones constituting about half of them. That's 2.5 billion smartphones in use, which means a good third of the world's population is texting, FaceTiming, sending and receiving pictures, and otherwise using their phones for more than just talking. Even if you were late coming to the smartphone party, you are most likely using that smart mobile device every day now, accumulating lots of personal data. So, you may be thinking, "how do I keep my smartphone safe and secure?"

Just follow these 9 tips for mobile protection and you're on your way to smartphone best practices that protect your privacy in safe and sane ways.

1. Lock your device with a passcode

Without this first layer of security in effect, anyone who picks up your phone can access your apps and the data held within. Set a passcode that only you know, and simply tap it in before you use your phone. For those devices that allow it, you can also set a "touch ID" that opens the phone in response to your fingerprint or set a "face ID" that unlocks a phone when the front facing camera recognizes you.

2. Avoid suspicious links

Any link you receive in an email or text should be looked at with a suspicious eye. If you don't know the sender, don't even think about clicking on the link. If you do know the sender, make sure they did indeed send it before you click. False email, text, and message accounts pretending to be a person or entity you know is a common cybercriminal trick, and it's known as phishing. Don't take the bait.

3. Update your software immediately

Whenever an update is released for your device, download and install it right away. These updates often include security fixes, vulnerability patches, and other necessary maintenance.

4. Use unique passwords for EVERY account online

Avoid reusing any passwords. When cybercriminals get a user's password in their grasp, they try that password for every one of the user's accounts. Don't give them that kind of skeleton key. Best practice is to use a password manager to create unique, hard-to-crack passwords. The advantage with a password manager is that it remembers all your passwords for you. Another option is to use memorable sentences or "pass phrases" that you can remember. If you need to write them down, do so, but store them away from your computer.

5. Use a VPN on open Wi-Fi networks

It's hard to avoid using open Wi-Fi - you're busy, you're out and about, and you need to do some online transactions. Here's a common scenario: you happen to be at a coffee shop and so you connect your phone to their unprotected Wi-Fi network and make your purchase or do a banking transaction on your mobile phone. We've all been there. So, if you must use open Wi-Fi in a situation like this, get a VPN app for your mobile device. It makes you anonymous online, so you can use open Wi-Fi safely hidden from the eyes of lurking cybercriminals.

6. Download apps from reputable app stores

Use only the official app stores - Apple App Store if you have an iPhone or iPad, and Google Play store if you have an Android device. It's all too common for malware developers to create fake malicious apps and put them up on shady third-party sites, hoping someone will be naive enough to download them. Official app stores have a more stringent vetting process.

7. Backup your data to the cloud

You will save yourself a lot of headache if you keep an ongoing backup of your phone. That way, if it's ever lost or stolen, you still have all the apps, data, and accounts up to date in your backup.

8. Enable remote wiping of your phone.

As an extension of the peace-of-mind from the last step, if your phone is lost or stolen, you can wipe out all your personal data from its memory remotely. (And you don't have to worry about losing that data because you have your handy backup from Tip 7.) You can learn more about how to erase your iPhone remotely and erase your Android device remotely on their respective webpages.

Keeping all the above tips in mind will keep you well on your guard, and installing astrong security app will take you the rest of the way to full protection. Cybersecuritysoftware works nonstop in the background making sure no unknown programs or filessneak onto the device. Avast has one of the largest security engines in the world,protecting a global network of hundreds of millions of users. Protect your data and yourpeace-of-mind by installing Avast Mobile Security for iOS or Avast Mobile Security for Android.

There is no reason you shouldn't enjoy the fun and convenience of smartphones. Any new technology requires a new lesson in safety. Just remember these tips, and you can confidently enjoy the excitement of today's newest tools.

# data[].attributes.attachment_link.title
9 tips everyone forgets to follow on their smartphone

# data[].attributes.attachment_link.description
Learn how to protect your privacy on your cell phone with these 9 easy tips.

# data[].attributes.body
Por qué un ciberpsicólogo cree que las pymes se niegan a ver la realidad.

# data[].attributes.body
Cómo crear contraseñas seguras y fáciles de recordar.

# data[].attributes.body
Riesgos internos y externos

# data[].attributes.attachment_link.readable_text
The risk of insider threats compared to outsider threats is an ongoing debate, though more companies are taking notice of the risks that insiders can pose to the company's data security today than in the past. Historically, the data breaches that make the news are typically carried out by outsiders. While these breaches can cost hundreds of thousands of dollars (often millions more), outsider threats are generally the threats that have been addressed with traditional security measures. It's the threats that originate from inside that are much more difficult to prevent and detect using one-size-fits-all security measures.

Just one of the reasons that insider threats are more difficult to prevent stems from the fact that insiders don't always threaten the company's data security intentionally. In fact, many data breaches resulting from insider threats are completely unintentional. To combat these risks, as well as the insider threats originating from those who do have malicious intent, a holistic approach to security is essential in the modern threat landscape - one that adequately addresses not only insider and outsider threats, but effectively manages both unintentional and intentional threats posed by those within your organization.

To gain more insight into the threats posed by insiders vs. outsiders and how companies can effectively mitigate these risks, we asked a panel of data security pros to answer this question:
"What's more of a threat to a company's data security: insiders or outsiders?"
Find out what our experts had to say below.

Meet Our Panel of Data Security Experts:

Joseph Steinberg
@JosephSteinberg @GreenArmorInc @SecureMySocial
Joseph Steinberg is a cybersecurity expert and entrepreneur who founded the information security companies, Green Armor Solutions and SecureMySocial. He invented several popular cybersecurity technologies in use today, writes a column on cybersecurity for Inc., and is the author of several books on information security.
"In general, the greatest data security risk is posed to organizations by..."
Insiders, as they have access to sensitive information on a regular basis, and may know how that information is protected. If they want to steal it or leak it they can usually do so with far greater ease than outsiders. Furthermore, insiders may also accidentally leak data or otherwise put it at risk - something that outsiders typically cannot do. Whether by attaching the wrong file to an email being sent, oversharing on social media, losing a laptop or USB drive, or through some other mistake, insiders can put an organization's data at risk with little effort.

Policies and technology can help address this risk, but without it, problems are likely to occur. Also, from a practical standpoint, any sizeable organization is likely to have some employees who are unhappy at work - meaning that there may be people who have access to data and who have a motive for leaking it. Of course, there are exceptions to this rule - certain military systems that can be accessed only by people who have passed robust background checks and whose lives depend on one another, and which are constantly being bombarded by outside attacks, may be more at risk of being breached by an outsider than of having an insider intentionally cause a data leak. Data leaks originating from mistakes, however, are still a serious concern and are obviously more likely to occur as the result of an insider's actions than from those of an external party.

Braden Perry
@bradenmperry
Braden Perry is a regulatory and government investigations attorney with Kansas City-based Kennyhertz Perry, LLC. Mr. Perry has the unique tripartite experience of a white collar criminal defense and government compliance; investigations attorney at a national law firm; a senior enforcement attorney at a federal regulatory agency; and the Chief Compliance Officer of a global financial institution.
"I work with a number of vendors on data breaches. Generally, there's more of a threat by..."
Rogue insiders. There's not much, besides compartmentalization and monitoring, that you can do if an insider wants to reach data. For outsiders, most attacks compromise legitimate websites to deliver malicious payloads which can then reach data. This can usually be prevented. While no single strategy fits all, practicing basic cyber hygiene would address or mitigate a vast majority of security breaches. Being prepared if an intrusion occurs is also critical and having a communications method for response, actively monitoring centralized host and networks, and including enhanced monitoring to detect known security events is a must. With a well-oiled cyber policy, you can mitigate outsiders significantly.

Drew Farnsworth

Drew has been working in the Data Center Design industry for over ten years, currently with Green Lane Design. He has experience with uninterruptable power systems, N+N distribution, and redundant generator systems. Drew also works in systems administration, JAVA programming, and ISO 27001/9001 investigation and analysis.
"The threats that pose the greatest risk to companies come from..."
Insiders, who are far more likely to access sensitive information without evidence of intrusion. I am a data center infrastructure consultant. My company does work with several $1B+ companies. Insiders are without a doubt a greater threat to security. Employees may not even intend to compromise security, but the simple installation of a USB drive can introduce an exploit. Internal employees can create easily crackable passwords or leave their laptops on trains. Even worse, internal exploits are much more difficult to detect because the users are authenticated on the domain. External attacks, meanwhile, must exploit an outward facing connection, which often has much deeper security. The tools for purely external attacks such as SQL injection and DDoS are limited in their scope. These attacks usually do not compromise all data on a network. Internal attacks, on the other hand, can copy a large numbers of files without anyone having any knowledge of the source of the attacks.

Spencer Coursen
@spencercoursen @CoursenSecurity
Spencer Coursen is the President of Coursen Security Group. He is an expert security advisor, threat assessment consultant, and protective intelligence strategist who is dedicated to reducing risk and preventing violence. His systems and strategies help corporations, non-profit organizations, schools, and at-risk public figures ensure the certainty of safety for all involved.
"According to a recent report, 58% of all security incidents can be attributed to..."
Insider threats. The most significant obstacle for a company to overcome is employee complacency. In most corporate environments, upwards of 80% of employees are unable to articulate any real understanding of IT-security related issues and are most likely to introduce a virus through an NSFW download, accept malware through a phishing exploit, introduce a corrupted mobile device ( BYOD) to the corporate network, or engage in some sort of inadvertent human error which may result in a threat to data security (not updating security settings, using simple passwords, doing secure work on public wifi, etc.).

Outside actors take full advantage of these insiders' vulnerabilities. This is exactly what happened with the Target data breach. In this example, the hackers stole the username and password of an authorized vendor. This gave them unlimited access the Target network without triggering any alarms or raising any suspicion.

Hackers are no longer breaking in through back doors which may trigger alarms. Today they are stealing the keys of authorized users and walking right through the front door.

Andrew Whitmer
@SecureState
Andrew Whitmer is a Research Analyst at SecureState specializing in web application security and wireless penetration testing. Prior to SecureState, he was a Special Operations Linguist and Team Leader with the U.S. Army.
"Unfortunately there is no universal answer. The answer depends in part on..."
The company, its line of business, its employees, and the defenses it has in place already.

For instance, if a company operates a department with high turnover wherein the employees have access to sensitive data and aren't thoroughly vetted (e.g., with background checks), then that company may face more risk from insider threats.

If a company is known to have access to sensitive data (for instance, a financial institution), and they have a large external presence but thorough internal segmentation, auditing, and employee vetting, they may face a larger outsider threat.

The best answer is for a company to conduct a threat assessment, ideally before launching any comprehensive new security initiatives. That way they can be sure that their security program is properly prioritized such that it addresses the most significant or likely threats first.

It also depends on how the company chooses to define insider and outsider threat - for instance, if an employee falls for a phishing scam, is that considered an outsider threat, because that's where the attack originated? Or do they consider it an insider attack, because the employee ultimately granted access and the appropriate defensive measures need to be implemented internally (whether they're additional training or technical controls)?

Marc Weaver
@databasable
databasable is an IT consultancy firm that provides database administration support and specializes in moving your databases and applications into the cloud. Founded by Marc Weaver in 2015, databasable uses his vast employment experience from large financial institutions in London, Sydney, and New York.
"Obviously a data security breach from an outsider will result in..."
Bad publicity, angry customers, legal issues, and loss of reputation. However, I believe this type of intrusion to be less than the threat from insiders.

An insider with malicious intent who works for your organization has already bypassed the majority of your security features without having to do anything other than log on to their desktop. This is compounded by the fact that due to cost cutting or poor management, employees often have multiple responsibilities that give them elevated access to sensitive data which results in a conflict of interest. For example, a developer who is also providing application support.

And not all data security threats occur due to malicious intent. I've witnessed the occurrence of numerous data issues due to mistakes made by people who are permitted to have access to the data in question.

All of this points to insiders being a greater threat than outsiders, even though the actual breach or end result may be less severe than an external breach.

Lloyd Marino
@LloydMarino
Mr. Marino is a "Tech Whisperer," a true master at translating and communicating byzantine technical processes that elude even the savviest business minds into language they can grasp. The clientele for Mr. Marino's critical message and services consists of the heaviest hitters in the interconnected worlds of business, finance, technology, government, NGO, and the military. Mr. Marino is equally conversant in the languages of business and technology, therefore senior executives on both the management and tech sides of today's completely data-dependent marketplace regularly call on him to solve complex, data-driven problems.
"The biggest threat to a company's security is absolutely from..."
INSIDERS!!!!

It all starts with us: we who run the companies are those ultimately responsible. We can teach our children not to take candy from strangers, but when it comes to educating our employees on the importance of data security and the importance of protecting the corporation, we seem to not take it seriously. Not even as seriously as locking our doors at night before we go to bed. What gives? To keep the outsiders OUT, we need to keep the insiders IN - involved, that is. Involved with understanding the importance of data security.

Christos K. Dimitriadis

Christos K. Dimitriadis, Ph.D., CISA, CISM, CRISC, is chair of ISACA's Board of Directors and group director of Information Security for INTRALOT. He has been working in the area of information security for 14 years, having run technology transformation projects and developed innovation frameworks. He has received innovation awards from the European Lotteries Association, and the John W. Lainhart IV award for major contributions to ISACA's common body of knowledge. He has served ISACA as international vice president for three terms, has been a member of the Board of Directors for four terms, chaired the Knowledge Board, the External Relations Committee, the COBIT for Security Task Force, and has been a member of the Relations Board, Academic Relations Comittee, Journal Editorial Committee and Business Model for Information Security Workgroup. Dimitriadis has also served as a member of the Permanent Stakeholders Group (PSG) of the European Network and Information Security Agency (ENISA) for 2012-2015. He holds a diploma in Electrical and Computer Engineering and a Ph.D. in Information Security.
"When comparing the risks of insider threats vs. outsider threats..."
The answer to this question depends on the threat model of each enterprise, but usually the response is both.

There are a number of insider threats related to data leakage (accidental or on purpose), fraudulent action through an integrity breach, loss of availability, or business continuity as a result of insider mistakes or deliberate action. In general, insider threats can cause significant business impact, not only because of the privileges that employees have over information technology but also because the company theoretically has its employees under its control, being responsible for their actions, in contradiction to external threats.

External threats, including cyber threats, are an evolving type of threat requiring organizations to improve their cyber security capability and ensure that the appropriate framework and especially cyber security skills are present. There is a third category with increasing importance. Those are the partners, services providers, and subcontractors of a company. In this category, the line between internal and external is sometimes barely visible. In any case, enterprises have to ensure that their threat model includes this category and take the necessary measures to mitigate the related risks.

Steve Durbin
@stevedurbin
Steve Durbin is Managing Director of the Information Security Forum (ISF). His main areas of focus include the emerging security threat landscape, cyber security, BYOD, the cloud, and social media across both the corporate and personal environments. Previously, he was Senior Vice President at Gartner.
"As data breaches increase, many will be the result of..."
Insider threats. In fact, the insider threat is unlikely to diminish in the coming years and will be a major threat to businesses. Efforts to mitigate this threat, such as additional security controls and improved vetting of new employees, will remain at odds with efficiency measures. More insiders with malicious intent will emerge as more people place their own ethics and perceptions above those of their employers.

The insider threat has certainly intensified as people have become increasingly mobile and hyper-connected. Nearly every worker has multiple, interconnected devices that can compromise information immediately and at scale: impact is no longer limited by the amount of paper someone can carry. Simultaneously, social norms are shifting, eroding loyalty between employers and employees.

At the ISF, we believe that there are three categories of insider behavior: Malicious, Negligent and Accidental.

MALICIOUS

Malicious behaviors require a motive to harm plus a conscious decision to act inappropriately. Examples include copying files before taking a job with a competitor, leaking confidential information, sabotaging networks, or using work privileges for personal benefit.

NEGLIGENT

Negligent behaviors do not have a motive to harm, but do have a conscious decision to act inappropriately. The act is usually well-intentioned - such as using unauthorized services or devices to save time, increasing productivity, or enabling mobile working - and the behavior often comes with the knowledge that the action is bypassing a control or circumventing policy. Despite the lack of malicious intent, negligent insiders are knowingly accepting risks that are outside the organization's risk appetite.

ACCIDENTAL

Accidental behaviors have no motive to harm and no conscious decision to act inappropriately. Emailing information to the wrong people, opening malicious attachments, and publishing private data on public servers can all happen accidentally.

The first time someone behaves in one of these ways, it could be considered accidental; however, repeated accidental behavior may also be considered negligent.

Managing risk posed by the insider threat should extend across all three types of risky behavior. Once the risk is assessed, immediate results can come from applying technical and management controls and from aligning roles, responsibilities, and privileges throughout the employment life cycle.

But that alone is not enough. Organizations must nurture a culture of trust, one where the organization can trust its insiders - and insiders can trust the organization in return. Organizations with a high level of exposure to insider risk should expand their insider threat and security awareness programs.

Organizations must understand where and how they are trusting their insiders - and must augment technical and management controls by helping people to become more worthy of the trust placed in them. Equally, organizations should foster a culture that makes the organization worthy of trust in return.

Beau Adkins
@LightPointSec
Beau Adkins is the co-founder and CTO of Light Point Security, which provides software that allows users to browse the web with no threat of infection. Before starting Light Point Security, Beau was an employee for the National Security Agency.
"In my experience, the biggest threat to a company's data is posed by..."
Insiders. However, they are most often not deliberately a threat. Outsiders are the ones who have bad intentions, but they don't have access. Network restrictions are usually strong enough to keep them out. So instead they focus their efforts on tricking unsuspecting insiders into opening the doors for them. And once inside, they are indistinguishable from the insiders.

Employee web browsing is one of the most used pathways to accomplish this. Outsiders set up a website capable of exploiting any computer that browses to it, then they send emails to the insiders that entice them to click a link to that site. Most employees will not take the bait, but it just takes one person to give in to curiosity and click the link.

Malicious outsiders are very good at this. They can craft emails that look like they are from someone within the company and reference projects or people that the recipient knows. It can be very difficult to tell these emails are not legitimate. With a little perseverance, it's just a matter of time before someone clicks.

Because of this, efforts to protect the company from malicious outsiders can only go so far. Companies today must prioritize protecting against threats from their own insiders. One employee clicking the wrong link doesn't have to put the whole company at risk.

Michael Edelberg
@viabledigital
Michael Edelberg is the Co-founder and Chief Digital Officer of Viable Operations / Bespoke Digital Solutions.
"We see this issue with many clients. The most disconcerting and troublesome threat is the..."
Insider threat. While the outside threat vectors continue to change, a multi-layered cybersecurity approach works best. It's the inside threat that you can control a bit better. Governance, for example, dictates who has access to such confidential information. There should be strict limits on third-party access to your systems. While no threat can be 100% eliminated, you have a higher chance of success with protocols in place that minimize any damage that can be done from an internal source. Of course, an inside threat also needs to be addressed by education. Sometimes an employee may unwittingly use improper procedures when accessing the company system from a remote location; these are addressable issues. Finally, BDR (Backup/Disaster/Recovery) must be in place for the inevitable.

Ian Trump
@phat_hobbit
Ian Trump, CD, CPM, BA, is an ITIL certified Information Technology (IT) consultant with 20 years' experience in IT security. From 1989 to 1992, Ian served with the Canadian Forces (CF), Military Intelligence Branch; in 2002, he joined the CF MP Reserves and retired as a Public Affairs Officer in 2013. His previous contract was managing IT projects for the Canadian Museum of Human Rights. Currently, Ian is Security Lead at LogicNow working across all lines of the business to define, create, and execute security solutions to promote a safe, secure Internet for businesses worldwide.
"The perspective of threat when it comes to insider malicious activity, or mistakes vs. the ever present outside threat from cyber criminals, is..."
Inappropriately placed in the IT security or IT operations department. There is no question that the insider threat is by far the most devastating in access to a large volume of potentially available or sensitive data. One only needs to examine the likes of Snowden to see such ramifications of the insider threat. The crux of the issue is that the insider threat is generally viewed as an organizational failure: human resources, management, executive, and IT departments are all responsible in some way for the actions of an "insider" threat. Perhaps IT bears some responsibility to "detect" the malicious activity - if the technical tools are implemented and the department is vigilant and empowered to detect and mitigate the activity. Malicious insider activity is typically driven by some sort of ideological or psychological departure from the organization's mission or values. Although devastating, the detection of this situation is generally the responsibility of organizational management, not IT.

In terms of an outside threat, this is more comfortably placed in the realm of IT. In larger organizations, IT's responsibility is defined by maintaining confidentiality, integrity, and availability of IT systems. With the trust of employees, a system of onboarding, and management engagement, IT traditionally (and rightly feels) the need to focus on the external threat. A robust IT security department has implemented a layered defense including proactive, reactive, and detective technologies to keep the unauthorized out of systems. Given the tempo and sophistication of external attacks, the insider attack or insider mistake is not expected or anticipated, and all too often not detected. An external data breach seems more appropriate to place squarely on the shoulders of IT.

A data breach is a data breach, and although consequences for insider activity could be more severe, the discussion illustrates the nature of the organization's problem. A mature IT security or IT operations department needs to construct their defenses to address a betrayal or mistake by an insider, but remain vigilant against external threats. Architecture and tool sets must be flexible and capable of looking inside and outside the organization to detect and mitigate threats to data security.

Gordon Rapkin
@ArchiveSysCEO
Gordon Rapkin has more than 35 years of experience as an executive in the software industry. Prior to joining Archive Systems, where he served as CEO for six years before the company's recent acquisition by Access Information Management, he was president and chief executive officer of Protegrity, a leader in enterprise data security management. He also previously held executive positions at Transcentive, Inc., Decision*ism, Inc., and Hyperion Software, helping guide each company through consecutive years of growth.
"The biggest threat to an enterprise's security is..."
Ultimately, outsiders are more likely to act in a malicious way with a company's data, but the source of the greatest risk is nearly always the insiders. Outside bad-actors are constantly looking for weaknesses to exploit, and the greatest vulnerability is typically careless or misguided actions by insiders. When insiders fail to be vigilant about protecting the fort, they fall victim to phishing schemes or social engineering attacks, or they open emails they don't recognize, or they access corporate systems while sitting in an internet café, or any one of the myriad of careless behaviors that create vulnerabilities. It is the insiders that provide opportunities for outsiders to storm the gates and cause damage.

Lois Barker

Lois Barker works in Information Technology Support for bb7, a product development firm. She co-developed and works to continually update and uphold bb7's security policies and procedures. Further, she is a Security Analyst and a certified Digital Forensics Analyst. Lois holds an IT Network Specialist Degree from Waukesha County Technical College.
"The biggest threat to a company's data security is..."
Insiders, for several reasons. First and foremost, employees are human and humans make mistakes. Employees accidentally share passwords, store them in insecure places and/or use the same password for different services. Once one password is cracked, you can guarantee it won't take long to crack other passwords.

Data is not just stolen through hacking; data can be stolen through theft on company grounds. We all know smoking is bad for our health, but it's also bad for data security. The outdoor communal smoking section at a facility is a little known threat. It can be an easy way for an outsider to gain access to the building. Most employees entering the building will hold the door for the person behind them - only because they saw them in the same smoking section.

Employees not only know what data exists in an organization, but they also know how it is kept. Without strong security measures in place, a disgruntled employee may share that information with a competitor. Insiders also have access to sensitive data. If Sally from accounting takes her laptop to a coffee house and connects to the WiFi network, and a hacker is on the same network - the hacker has access to her data.

Insiders know more about an organization than outsiders; they can share (intentionally or unintentionally) information with outsiders. It is important to develop, uphold, and continually update a strong internal security policy to educate employees and mitigate risk.

Charles J. Borrero, ESQ
@DataBreachLegal
Mr. Borrero holds a J.D. from Georgetown University Law Center (magna cum laude) and CompTIA Security+ and Certified Information Privacy Technologist (IAPP) certifications. He has served as Chief Counsel at the Privacy Office of the Department of Homeland Security, Assistant to the General Counsel at the Office of Inspector General at the Department of Homeland Security, and as an Associate at Goodwin Procter LLP. He has clerked at the Southern District of California & Northern District of California and The District of Columbia & Ninth Circuit Court of Appeals. He is admitted to the Bar in NY, CA, MA, and DC. He is now the Principal at Data Breach Legal.
"Quantitatively, what are termed insider breaches are..."
In the minority of major breaches - ranging from 10-25% of breaches (depending on the specific reporting source). Despite being in the minority, such breaches can be particularly devastating, because insiders know where the goods are (both profit and network-wise) and where the bodies are buried.

However, these numbers don't tell the whole story, as the insider breach category does not capture a significant fraction of instances of inside assist or insider negligent acts at fault for what is otherwise ostensibly an outside hack. For example, some suspect intentional inside assistance in the Ashley Madison and Sony Pictures hacks. But more broadly, the vast majority of major breaches are now occurring due to an initial spear-phishing attack. These attacks exploit the naivety and lack of training of employees to trick them into effectively opening a door for digital intruders. In this sense, arguably, the majority of breaches today actually originate inside a company (wittingly or unwittingly), though are not called insider breaches. Breaches through a contractor or other service provider (as was the case in the Wyndham Hotels, Target, and Home Depot breaches) are another common type of major breach that defies clear inside vs. outside categorization.

In sum, breaches that occur without at least a negligent action by an insider are actually relatively rare. On the bright side, policies and controls that deal with this reality in an open-eyed manner (e.g., employee security training and organizational infosec policy; fine-grained access controls; or comprehensive network monitoring) can considerably improve the breach vulnerability situation. Just as importantly, making an appropriate infosec plan with seasoned experts can help address the negligence factor - welcome news for organizations rightly concerned about liability in every-more-common class action privacy lawsuits and regulatory enforcement actions.

Dan Weiske

Daniel is the owner of IT Federal Services LLC. Dan has 15+ years of IT experience encompassing system integration, architecture design, and cyber security. He has a BS in Information Technology, an MS in Computer System Security, and several security industry certifications including CISSP, CISA, CAP, and NSA-IAM.
"The largest threat to an organization is not really internal or external forces..."
More explicitly, it is how authorized access is maintained and monitored. Just looking at one sequence of attacks may prevent full awareness of overall organizational risk regarding what resources and data are accessed and by whom. External attacks rely on vulnerabilities of the systems to gain access to internal system controls. While this may be profitable, hackers will always go for the easy methods of gaining access by capturing privileged credential access. How do you ultimately stomp out the threat of both internal and external resources? Break the chain in the complete cycle of the given attack.

Sergio Galindo
@GFISoftware
Sergio Galindo has over 26 years of professional management experience, 18 of them in the financial industry. He currently occupies the role of President and Chief Operating Officer at GFI Software, a company that builds affordable and easy-to-use IT solutions that enable businesses to discover, manage, and secure their networks.
"It would be very easy to point the finger and say that..."
Insiders are more of a threat to a company's data security than outsiders are or vice versa. The truth is that security is more of a process rather than a one-time solution, and when protecting a company's data assets it is important to consider both insiders and outsiders.

For businesses this is a never-ending battle. With outsider threats companies need to protect themselves from the unknown, constantly filling holes in the wall, yet with insider threats they need to focus their efforts on keeping their employees from shadow IT, making sure they don't go where they aren't supposed to.

The best approach is to implement different layers of security. When it comes to insiders, start with background checks, implement a policy of least privilege, and review and revoke data access privilege regularly. Implement role based access control for access to any key data, this, while ensuring there is logging, capturing both successes and failures. Using data loss prevention software, businesses can filter internet traffic, prevent critical data from being mailed offsite, and protect end-points from being used maliciously.

As for outsiders, a solid patch management strategy and a periodic vulnerability assessment are one of the best lines of defense against outside attackers, but again it is important to have different layers of security. Anti-virus solutions, network behavior analysis, and log monitoring are just a few of the options available.

John Luludis
@SESTechnology
John Luludis cofounded Superior Technology Solutions, based in Pearl River, New York, in December of 2009. Prior to his start at Superior, Luludis served as the Senior Vice President of global shipping provider, DHL and as the Director of IT Operations for both the car and truck divisions at Volvo.
"While a significant amount of effort is usually placed on protecting sensitive company information from outsiders..."
Organizations are most vulnerable to the careless and unstructured handling of sensitive information from the inside. Companies will go through great lengths in securing their corporate applications and infrastructure. However, the porting of information from these protected environments - in a distributed manner, to many other computing devices including laptops, phones, the cloud, and to devices outside of the company's domain - creates the greatest threat to data security. Organizations need to establish and continuously evolve their information security policies to address the access, handling, communication, and storage of corporate information to minimize this risk.

Ondrej Krehel

Ondrej Krehel, CISSP, CEH, CEI, EnCE, is the founder and principal of LIFARS LLC, an international cybersecurity and digital forensics firm. He's the former Chief Information Security Officer of Identity Theft 911, the nation's premier identity theft recovery and data breach management service. He previously conducted forensics investigations and managed the cyber security department at Stroz Friedberg and the Loews Corporation. With two decades of experience in computer security and digital forensics, he has launched investigations into a broad range of IT security matters, from hacker attacks to data breaches to intellectual property theft. His work has received attention from CNN, Reuters, The Wall Street Journal, and The New York Times, among many others.
"Very often, it is hard to define and distinguish between an insider vs. outsider..."
It depends on the company's nature of business and the composition of its workforce.

It is important to understand the context and the meaning. In the case of an insider vs. an outsider, it's important to understand what those threats are - where there is an overlap, where there are differences between them, and what the ultimate impact is.

That said, insiders are the biggest threat to a company's data. Insiders can be a threat both intentionally and unintentionally. Insiders will always be a bigger threat as they already have physical access and potentially more. A malicious admin is more dangerous than a group of sophisticated hackers simply because they already have the keys to the kingdom. On top of that, users are also a major source of unintentional damage, such as unplugging the wrong server or misconfiguring backups. Internal users can also be bribed or otherwise coerced into such actions as well. Or maybe they bring in threats as well. This is why social engineering is the biggest source of compromise, since it relies on human weakness.

Christopher Burgess

Christopher Burgess is the CEO, President and co-founder of Prevendra. He is an author, speaker, advisor, consultant, and advocate for effective security strategies, be they for your company, home, or family.
"The most serious threat to a company's data security is the..."
Insider threat, which comes in two forms:

The malevolent insider is the greatest threat to any company as these individuals are operating from a position of trust and natural access. This natural and authorized access allows the insider to operate within the protected area of the enterprise or company. If they confine their activities to only that which they have natural access, it increases the likelihood that their activity (theft of information) will not be detected. Their motivations are varied as to why they may break trust, with greed and revenge being the primary motivators. The identification and cultivation of these individuals by the unscrupulous competitor or the nation state intelligence apparatus is ongoing.

The careless insider is exactly that: careless. Those who know they are bending/breaking the rules will bypass the processes and procedures by taking shortcuts. They may create a shadow-IT capability, where they collaborate via a social network with their colleagues because the internal infrastructure doesn't provide them with the same ease of use. With these individuals, convenience trumps security and their convenience may be front and center. Others within this category may be the doctor who downloads all his patient's information to his laptop so that it is always at the ready and doesn't know to also encrypt that data or the individual who is asked to dispose of company confidential information and instead of shredding or otherwise disintegrating the information, they dispose of it in a recoverable manner. Or as one police department learned following a Macy's Thanksgiving Day parade, their shred was used as confetti (see: Sensitive Data on Parade: A look at the Macy's Thanksgiving Parade).

K Royal

K Royal is the Vice President, Assistant General Counsel, and serves as the Privacy Officer for CellTrust. An attorney and compliance professional with 20 years of experience, K is skilled in privacy law, breach management, and compliance and was recently honored as the ACC's 2015 Robert I. Townsend, Jr. Member of the Year.
"The biggest threat to a company's data security is..."
A combination of both insider and outsider threats. The biggest gap in privacy and data protection today is our tendency towards capturing data electronically without protecting it. We back it up, recover it, and never delete it - and we still do not encrypt in transmission and in storage. Let's use enterprise mobility as an example. As more and more companies begin implementing a Bring Your Own Device (BYOD) policy, corporate privacy and security are put at risk. Employees are using their own mobile devices for both work and personal use, and engaging in behavior that could potentially put companies in jeopardy, if not properly monitored. While most companies use security applications for email, they are still lacking security for voice and text communication, two features used regularly by the younger generation. Without security, privacy cannot exist.

James Goodnow
@JamesGoodnow
James Goodnow is a brilliant, creative, compassionate attorney and a technology aficionado in Phoenix, Arizona who's been named one of America's Techiest Lawyers by the ABA Journal, the official publication of the American Bar Association. Apple actually selected him as the first lawyer to be featured in one of its commercials, and also spotlighted him and his colleagues on Apple.com. Additional media coverage can be viewed at LegalCommentator.com.
"Much like an old-time bank heist from the movies, a well-executed inside job will always..."
Wreak the most havoc and inflict the most pain. Access to proprietary information, passwords, and more is always going to be the most dangerous.

If you look at reports of last summer's huge Sony hack, there is now credible evidence that it was the work of people inside the company with knowledge of where the security weaknesses were.

Those weaknesses were then fed to outside people with the technical skill to pull off the hack. Most companies employ security measures and have policies in place such as shutting off network access to disgruntled employees they are terminating while the process is taking place in order to avoid potential tampering, which can be devastating.

What do you do? In the words of Ronald Reagan, 'trust but verify' your insiders' backgrounds and actions before handing over the digital keys to your systems.

Dan Foote
@dantechservices
Dan Foote is CEO and President of DanTech Services, Inc., an Anchorage, Alaska based Managed Services Provider. Dan has over 15 years of experience in the IT industry and works with small to medium sized businesses to protect their technology infrastructure, data, and users with a layered approach to security. He is an author and a presenter covering topics such as cyber security, business continuity, and cloud computing options. Taking away the business owner's anxiety is a major deliverable that DanTech Services provides its customers.
"While companies do much to protect themselves from external threats, it's..."
Internal systems and users that pose the greatest risk to a company's data. Whether through complacency, ignorance, or misplaced trust, it's what happens inside our networks that can cause the release of malware or a data breach.

With complacency, even a knowledgeable user may open an email that might as well be laced with cyanide. Firewalls and antivirus are not enough to protect from zero-day threats that can be born in an email attachment. Should a user expect an email from some unknown fax system? Not likely, yet the complacent user ignores the training about opening attachments, and CryptoWall 3.0 or a similar variant is just that easily unleashed on the computer and network. That email may even use the address of a trusted client or sender, yet the havoc it wreaks can cost thousands of dollars or create unrecoverable data - which may cost you your business.

Ignorance can be even scarier. The belief that a computer or computer network is protected because of a firewall and antivirus while at the same time ignoring the need to ensure that operating system and software updates are kept current, will likely result in more victims as many of the malware threats circulating on the internet today can be prevented by removing the vector of an out-of-date system. The list of software applications that require updating also includes making sure an antivirus program is kept current. Or maybe someone has simply installed a file sharing program that puts proprietary or private information out on the internet with a less-than-reputable vendor?

Misplaced trust may be the worst. We want to believe in the people we hire to work in our businesses. Yet what if one goes rogue? What if an employee gets upset or disillusioned enough that greed, spite, anger, or a malevolent response becomes their motive for stealing data or causing other damage? Would you even know - unless the proper measures are in place to protect that data?

Outside threats are ever present, constant, and do pose a danger. All businesses that connect to the internet are at risk from the thousands of 'bots and crawlers that have no concern about the size of a business or where it's located. And without the proper protections, the chaos that would ensue would be formidable. It's possible, though, to prevent these external forces from corrupting your security and data. What's on the inside - that's another matter. Does your business have the layers of protection in place to protect your systems? Do these layers include training? Use policies? Application control? Security and network audits and assessments? Does your IT manager have a C-level position? How about a realistic budget?

There are a number of questions posed when it comes to data security and your company's ability to protect it. Working with a trusted advisor that knows and understands your business and systems is a start. Taking IT security seriously - no matter the size of your business - is paramount.

Jonathan Klein
@jonathan_klein
As President of MicroStrategy, Jonathan leads the Usher enterprise security business. He is quite interested in the topic of cybersecurity and believes that we must take decisive steps to combat the growing threat from hackers around the world. Existing solutions such as passwords, security questions, physical badges, and keys are outdated and ineffective, and Jonathan believes that governments as well as corporations of all sizes in all industries must aggressively embrace new and innovative technologies to stay ahead of the cyber threat.
"The biggest threat comes from..."
Insiders. Any combination of the following can result in a major data breach: Internal IT mistakes, e.g., improper system setup such as using default network settings; lack of day-to-day employee vigilance, e.g., using the word 'password' as a login credential for the sake of convenience; and malicious employees, e.g., leveraging their level of access permissions to exfiltrate sensitive data for economic or ideologic reasons.

Most security measures, including authentication, access control, and device management, are built to keep outsiders out. Malicious insiders are also harder to spot - their behaviors rarely indicate malicious intent, making it unclear that the breach stemmed from the inside. That said, we're seeing more big data-driven approaches looking at human behavior to build models that might detect malicious insiders. We'll see if anyone succeeds in that space.

Bill Ho

Bill Ho is CEO of Biscom, a leading edge document delivery solution company that enables firms to share and store documents securely. Bill has over 20 years of experience in cybersecurity and has worked closely with various companies in the healthcare, financial services, government, and legal spaces.
"There will always be external threats to a company's network and there are..."
Good tools available to help protect against those threats. But internal targets are often the softest targets and unlike a technology solution, people make different decisions and judgement calls, especially around social engineering attacks. So, it's critical to ensure every employee is well versed and trained in security best practices, understands the threat landscape, and can identify and avoid these targeted attacks.

Bruce McCully
@DynamicEdgeInc
Bruce McCully is the founder and CEO of Dynamic Edge, Inc. and a national expert in the areas of computer security and business technology. He began his career in computer networking over 17 years ago, providing IT solutions to businesses in Southeast Michigan and Tennessee.
"By far the biggest threat posed to companies' data security is from..."
Internal risks. First and foremost, I've found that internal data breaches are the biggest threat to businesses. I'm sure you've heard the expression that your greatest asset is your greatest liability. I whole-heartedly agree with this. In most, if not all cases, your employees make your business what it is. They add more value to your business than any machine. But with this value also comes an incredible liability. Whether the breach was caused by an employee using software that wasn't secure or having some malicious intent, people internal to the organization can cause the most damage and put an organization at the most risk for any type of data breach.

Employees can sometimes be too human for their own good. One such human employee accidentally deleted 15 years of law firm data. You might ask, do they really need all those files? What good are they? Actually, for many sectors with strict governmental regulations - HIPPA, SEC, state bar associations, your own client policy on file retention - file preservation is critical to the health of your business. Even with the best of intentions, the loss of 15 years of data, which ended up being tens of thousands of documents, with a value of 10 million dollars in man-hours, were gone in nearly a split second. What made matters worse is that this employee didn't even realize that anything was wrong. It took nearly a year for the law firm to realize that 15 consecutive years of data from 1989 to 2004 were missing. These folks didn't realize anything was wrong until they really needed one of those missing files.

Now imagine the same scenario, but with a disgruntled employee destroying or corrupting important data. Perhaps the firm would not be held as accountable with negligence, but their name would have been equally toxic to anyone seeking legal representation. Does anyone leave your company? Is it always on good terms? What if someone deleted just 500 files? What if one of those files was really important? You might not realize it was gone until it was too late. I don't want to harp on employees too much; my team members are the life of my business. All contribute to making the company better, and I think of them as my friends and family. But at some point, you have to consider the possibility that one of them may - with an intention or not - cause a very big problem, a disaster that could ultimately cost you your business and them their livelihoods. Businesses need to make sure that they have ALL of their data backed up regularly and should regularly check that cloud-stored data is complete and secure. They should also make sure to limit employee vulnerabilities by limiting their ability to download or install programs on their workstations.

Inigo Merino
@CienagaSystems
Inigo Merino is the Founder and CEO of Cienaga Systems. He has been with Cienaga since its inception as the driving force behind both business and technology development efforts.

Prior to Cienaga, Inigo served as a Vice President in Deutsche Bank Group's Chief Operating Office, where he led Cyber Security, Incident Response, Computer Forensics, and Legal Discovery matters in the Americas. Earlier, he built and managed award-winning Software Development, Incident Response / Forensics, and Information Security teams at Merrill Lynch, after having held the role of Senior Information Security Architect covering Merrill's initiatives in Electronic Commerce and Electronic Banking. Inigo started his professional career as a Lead Developer at AT&T Laboratories and has held roles as Research Assistant in the field of Computer Learning and as Teaching Assistant in Computer Science at Georgetown University. ​
"Having better understood the risks posed by insiders, industries at the forefront of cybersecurity (such as large financial services firms and defense contractors) have long carried multi-year efforts to wrangle this problem. The vast majority of organizations, however, and in particular those in the SMB segment, continue to..."
Implement security strategies geared exclusively towards outsider threats, ignoring the risk posed by insiders.

Industries at the forefront of security understand that insiders present a very clear threat because they have legitimate access to company information, and because it is difficult to ascertain their intentions at any point in time. So for instance, a network administrator who becomes disenchanted with his management could copy and publish the organization's secrets online. A sales person can sell the customer list to disclose non-public deal information to his or her employer's competitors. An employee with physical access to a facility can disconnect a server or burn down a data center. Even a waiter can store customer credit cards in a hand held swipe device.

However, the majority of organizations, and certainly most enterprises in the SMB segment still struggle to set up security programs that properly deal with the outsider threat, let alone the much more complex insider threat. 'Stranger danger' still prevails as the primary motivator to security today across these enterprises. At Cienaga Systems we interact a great deal with managed solutions providers, many of whose customers are in the SMB hospitality industry, for example. While most of their customer organizations implement firewalls and whatever basic encryption PCI requires, they lack the organizational and security maturity to understand the risks posed by insiders, so few to none implement additional security controls, and much less, security monitoring or appropriate procedural controls.

Furthermore, SMBs are mostly underserved by cyber security vendors that tackle advanced threats, such as insider threats. Having focused primarily on fortune 1000 firms, these vendors offer solutions which require dedicated hardware, complex configuration and administration, and long deployment cycles, which ultimately translate into prohibitive price tags, making advanced threat detection unreachable to these smaller businesses.

In summary, although SMBs amount to a relatively large proportion of GDP vis a vis large cap companies, they appear to lack the appetite, funding, and maturity to properly deal with insider threats. As a result, these organizations lack the visibility necessary to manage this risk properly. For these reasons, even though the insider threat has become better understood in recent years, insiders still pose the most significant risk for employers today.

Jonathan Pollard
@jonathanpollard
Jonathan Pollard is a competition lawyer based in Fort Lauderdale, Florida. He has a nationwide practice representing both plaintiffs and defendants in non-compete and trade secret litigation.
"The biggest threat to any company's data security is..."
Insiders, hands down. With respect to external threats, you can take certain steps to secure your data and minimize the risk of an external attack (malware, hackers, etc.). You can never be 100% safe but you can have a very high confidence interval. Internal threats are a totally different ballgame. In an organization of any size, the internal threat takes on two dimensions. First, negligence by insiders leading to a data breach. You can combat this to some extent through training and various safeguards. A second and more difficult problem is an insider going rogue. In all of the prior threat scenarios, corporate actors are trying to protect the data but failing for whatever reason (external attack, malware, negligence, etc.). But when an insider goes rogue, the threat is of a fundamentally different nature. For instance, suppose an insider who has access to critical data decides to steal that data and go to an industry rival. On a technical level, it is almost impossible to guard against that threat. You minimize that threat through thoughtful hiring. And if it happens, you immediately go into damage control mode and get an injunction.

Zack Schuler

Zack Schuler is the Founder & CEO of Ninjio, an I.T. Security Awareness company that trains corporate end users on security awareness using 3-4 minute animated episodes based on actual security breaches, that are released every 30 days. Ninjio was built to help stop the 95% of security breaches due to human error by increasing awareness of internal employees and aiding them in safe use of personal and mobile computing.
"Security threats come in all shapes and sizes..."
Internal threats can be particularly harmful due to the potential misappropriation of trade secrets and intellectual property. However, in most cases, internal attacks aren't executed in collaboration with enemies of the state, but rather internal employees trying to obtain financial gain. External threats usually go after larger data sets that have a likelihood of compromising the customers of the organization that was breached. This results in credit card, identity information, or other PII ( Personally identifiable information) going to the hackers. This is particularly harmful to the company due to the loss of reputation, potential lawsuits, and the significant cost in making the situation right with their customers. Many external attacks are phishing attacks in which the hacker relies on human error for successful execution. Considering the large, ever-increasing number of external breaches that impact everyday Americans, if I had to pick, I would say that today external breaches are more threatening to a company's data security.

Jeff Senn
@MAYA_Design
Jeff Senn provides strategic leadership that supports the technical preeminence of MAYA Design and its R&D efforts. He previously led MAYA's Engineering Group, specializing in designing architectures, software, and hardware for computing systems. Jeff also managed the development of Visage, a powerful data exploration, navigation, and visualization system that led to a spin-off company bought by General Dynamics. Before MAYA, Jeff worked for Carnegie Mellon University (CMU) where he designed a vision-tracking laboratory and developed data collection and analysis tools.
"The bigger threat to data security is..."
Insiders. Outsiders are a somewhat fixed threat; there is little one can do short of unplugging the internet and locking the door. Insiders may sometimes be malicious, but more often than not, they are simply careless or even reckless. Employees trying to do their jobs may make mistakes due to misunderstanding, lack of training, or lacking sufficient time for attentive action. Some of this threat can be mitigated through the use of training and tools to support good security practices. The most insidious threat is a longer-term one. That is, the presence of poorly designed procedures or products that cause employees to choose between security and productive work. These situations are pretty much guaranteed to eventually lead to problems. Mitigating this sort of situation requires a commitment on the part of management to provide users with well-designed tools that are both highly usable and safe in terms of data security.

Paul Kubler, CISSP, CCNA, Sec+, ACE

Paul Kubler is a Cyber Security and Digital Forensics Examiner at LIFARS LLC, an international cybersecurity and digital forensics firm. He's a former employee at Boeing, in the Global Network Architecture division, the nation's largest private cyberattack target. He previously worked at the Flushing Bank, in Network and Systems Infrastructure, protecting valuable financial data at various levels within the network and system. Paul has also performed forensic investigations into mobile devices aiding in the prosecution of criminals.
"When it comes to a company's data security..."
Insiders are a threat from two angles, that of an intentional purpose and that of unintentional circumstance. Insiders will always be a bigger threat as they already have physical access to said information and potentially more. A malicious admin is more dangerous than a group of sophisticated hackers simply because they already have the keys to the kingdom. On top of that, users are also a major source of unintentional damage, such as unplugging the wrong server or misconfiguring backups. Internal users can also be bribed or otherwise coerced into such actions as well. Or maybe they bring in threats as well. This is why social engineering is the biggest source of compromise; it relies on the human weakness of insiders. The lack of awareness and proper alertness could, in fact, be the opportunity that hackers look for when planning a breach.

Stu Sjouwerman

Stu Sjouwerman is the CEO of KnowBe4, the world's most popular integrated platform for awareness training combined with simulated phishing attacks.
"The biggest threat to a company's data security comes from..."
Insiders. You can have all the technology solutions in place, yet one user clicks on a link that they shouldn't or falls prey to a spear phishing email spoofing your CEO, and poof! There goes 46 million dollars. Even top-level companies like Ubiquity can fall prey to what the FBI termed Business Email Compromise or CEO fraud. 91% of all data breaches are caused by phishing - an internal threat.

Jayson Street
@JaysonStreet @PwnieExpress
Jayson is an Infosec Ranger at Pwnie Express, a well known conference speaker, and author of the book Dissecting the hack: The F0rb1dd3n Network. Pwnie Express provides continuous visibility throughout the wired/wireless/RF spectrum, across all physical locations including remote sites and branch offices, detecting 'known-bad,' unauthorized, vulnerable, and suspicious devices. Learn more about Jayson, and his role as the Pwnie Infosec Ranger here.
"The biggest threat to the enterprise is..."
Consider both the malicious, out-for-revenge employee and the well-intentioned, yet uneducated employee, and it might be the latter that is the most difficult for a company to detect since the behavior goes under the radar of traditional network security products.

Employees are constantly circumventing security policies. The most notorious is the amount of connected personal devices they bring in to work, often under the guise of enhanced productivity, whether that means more work or watching more cat videos on Facebook. What they don't realize is they are unknowingly compromising company security because each of those devices is now a pathway for attack.

While the industry has been aware of insider threats for a long time, we are just starting to grasp the idea that knowing all the devices on or even around the corporate network is half the battle. Companies need to start focusing on people and devices who already have direct access to company data, sometimes unknowingly. Fortifying external defenses won't protect a company if insiders don't realize their iPhone has now become an open door to customer financial data.

Paul Kraus
@breachdetection
Paul Kraus is the President and CEO of Eastward Breach Detection, which delivers enterprise-grade active breach detection technology, made easy to use and cost-effective for any size enterprise.
"The most substantial risk to a company's data security is from..."
By far, the insider threat! A few examples can easily highlight this. First of all, common misconfigurations of overly-complicated web-based applications or internet-facing infrastructure are all too common. Compounding this by hiring un-vetted contractors or consultants to configure these systems, workers whose skills or intent are unfortunately only known after the fact, can make a company's critical systems easy picking for even the most unsophisticated hacker.

No conversation on this topic can omit mobile devices and laptops. With new mobile devices and mobile-enabled laptop users accessing networks everyday, organizations need to understand which applications are accessing their network and running on/through it. Companies need to move past the legacy ideology that Apple iOS products are safe while Android and Windows are the only petri dishes of malware. All operating systems are proven vehicles for attack. Add to this the threat of shared and weak passwords on internal systems, and you have a situation where the things we thought were safe (password protection, Apple iOS) are posing huge and often times unaudited risks.

You have to dig no further than the news-worthy breaches - Target, Home Depot, and Office of Personal Management - to see that IT and Security Professionals' concerns need to change. The insider threats are often the enablers of external threats, and if left under-appreciated, more companies will make the nightly news - for all the wrong reasons.

JP Zhang
@jiangpengzhang
JP Zhang is the Founder of SoftwareHow, a blog about helping you solve common problems related to computers and digital devices, with no-nonsense software tools and actionable how-to tips.
"Having worked for two software companies (one with 1000+ employees, the other with only 20) involved in data security, I am confident to say that..."
99% of malicious attacks or data theft in a company, whether big or small, comes from inside people, either directly or indirectly.

There are two key reasons why insiders pose the biggest threat to a company's data security:

1. Incomplete corporate management easily exposes sensitive data to unauthorized employees who could leverage the data to achieve personal purposes. This happens more in startups and SMBs.

2. For established companies that have sound, yet robust data infrastructure, it's very hard for outsiders to attack due to the nature of security systems. In most of the data disaster cases that claim to be conducted by outsiders, the motive is actually to obtain credentials from insiders within that company.

Jessica Geary
@MaxusGlobal
Jessica Geary previously worked at the educational startup Decoded, teaching professionals about hacking, coding, and data. She's currently working as a digital media specialist at Maxus for Barclaycard.
"The biggest threat to data security is certainly..."
Naïve insiders who aren't clued up on simple ways to make their companies (and their own) data secure. We hear everyday that weak passwords are making employees vulnerable, which is true, but I believe employees need to be trained in the subtle art of social engineering, the signs and signals of a hacker who is already in the email system posing as your boss desperately in need of that master password. Data security is very seldom just a technical issue, but a very human one that takes a shift in company culture to tackle.

Stewart Rose

Stewart Rose is the president and founder of ThreatReady, a data security company that helps organizations protect themselves by establishing a culture of cyber awareness.
"The greatest threat to a company's data security is..."
Inside people. Just last year, more than 95% of cyber breaches occurred because of human error. Attacks target specific employees, job titles, and types of information, and they are often cleverly disguised, so people inadvertently reveal sensitive information as they go about their jobs. Cybersecurity is a people problem, and employee missteps are leading to disastrous results.

Greg Kelley

Greg Kelley is CTO for Vestige, Ltd., a company the performs computer forensic services and data breach response for organizations.
"In my experience, the biggest threat to a company's data security is posed by..."
Insiders. They already have an upper hand on the outsiders; they are inside of the organization. An insider does not have to deal with getting through a firewall and potentially creating network noise in doing so. An insider will usually know where the important data resides. Quite often, that insider will have the proper security rights to the data as well, an advantage over an outsider. To further assist in their theft, insiders are often not monitored to the extent that IT security will monitor an outside attack. Even if an insider is being actively monitored, it is difficult for IT to determine whether or not the accessing of a document or copying it to a USB drive is for legitimate purposes or nefarious purposes, especially when those documents are regularly used by the insider. Typically, insider theft is only detected once the insider leaves the company. Outside threats have the advantage, usually, of anonymity, but for all the reasons previously mentioned, insiders are more of a threat to data security.

Dr. Frank Breitinger

Dr. Frank Breitinger is an Assistant Professor of Computer Science at the Tagliatela College of Engineering at the University of New Haven, CT department). His research is carried out in the University of New Haven Cyber Forensics Research and Education Group ( UNHcFREG, part of the Tagliatela College of Engineering at UNH), where he also acts as an co-director.
"Over the years several studies have been published on the risks posed by insiders vs. outsiders..."
For instance, Verizon's 2008 Data Berach Investigation report analyzed 500 breaches, where 73% were outsiders and 18% insiders. A newer study (Verizon Data Breach Investigation Report 2014) showed similar results, with 72% of the breaches involving outsiders and 25% insiders. While this seems like common sense, it is a fact the amount of damages caused by insiders is higher.

Analyzing some facts, this makes total sense. While outsiders are larger in number, insiders have way more power as they are (1) familiar with the system (e.g., they know where data is stored) and (2) can avoid several layers of defense (e.g., there is no firewall).

One should keep in mind that internal does not necessarily include an active adversary. As pointed out by Verizon 2014, a significant amount of breaches are miscellaneous errors (positing private data accidentally, or sending information to the wrong recipients), insider and privilege misuse, and physical theft and loss (i.e., USB devices or laptops). This was also pointed out by riskbasesecurity.com (2013) who reported that besides the 71% of outsiders there are 9% inside-malicious, 11% inside-accidental, 4% inside-unknown.

Michael Fimin
@TrueCalifornian
Michael Fimin is an accomplished expert in information security and the CEO and co-founder of Netwrix, the IT auditing company providing software that maximizes visibility of IT infrastructure changes and data access. Netwrix is based in Irvine, CA.
"It is hard to estimate risk insiders and outsiders pose to data integrity. However..."
I would say insider threat is commonly a more serious issue just because companies are not properly prepared. Insider threat is often disregarded in security strategies due to personal relationships with employees built on trust, underestimated value of assets, lack of knowledge about security, and so on. Also, many do not realize that insiders are not only current employees with malicious intentions, but also partners, contractors, and former staff - anyone who has ever been granted access to your network. What can companies do to minimize insider threat? Here are 6 important steps:

1) Realize that as long as you have any data you are a potential target, regardless of company size and industry.

2) Establish internal security policies and controls that are regularly updated. Be proactive; don't wait for a breach to happen.

3) Educate employees about security policies, threats, and their personal responsibility in maintaining security. Damage is not always done intentionally - it can be a result of a simple human mistake.

4) Monitor all activities in your IT network, including those of privileged users. You have to know who has access to what and what changes are made to critical systems and data, as well as who did it and when. This will help you detect potential threats, take necessary actions, rollback unwanted changes, and investigate if necessary.

5) Limit access to only the information people need to do their work to avoid the risk of an account hijack. Even if employees (or partners and contractors) are trustworthy and show no intention to compromise the data, they could become a target simply because they have access.

6) Make sure passwords are changed regularly and inactive accounts are disabled. These simple measures are often forgotten, but can strengthen security.

Benjamin Brooks
@SecureState
Ben is a Research Analyst with SecureState specializing in IT policy, wireless technologies, and mobile security. Prior to SecureSatate, he was the Leading Chief Petty Officer with the U.S. Navy.
"According to the 2015 Verizon DBIR, the threat from..."
External sources is the highest based upon statistical probability of nearly 80%. That being said, the employee with intimate knowledge of the system's interworkings will have the greatest success in achieving the breach and compromising critical components or data. Bottom line: While the statistical probability is greater that the breach will come from an external source, the internal attack can cause the most damage because of the insider's intimate knowledge of systems, data locations, and processes. Fortunately, the trend of attacks form within is very low. Both should be protected against as a matter of overall risk to the company, rather than simply an IT problem.

Tim Estes

Tim Estes founded Digital Reasoning in 2000, focusing first on military/intelligence applications and, in recent years, on financial markets and clinical medicine. Tim's academic work at the University of Virginia focused in the areas of philosophy of language, mathematical logic, semiotics, epistemology, and phenomenology.
"Companies face the biggest threat to data security from..."
Insiders pose more of a threat because there are many ways to protect against outsiders, while the challenge with insiders, who are colleagues or trusted third parties - employees, partners, contractors - is that they work alongside us and have legitimate, indeed necessary access to the very systems or information that requires protection. Since it would be impractical for access to be routinely blocked, there is a pressing need to gauge the difference in intent that separates the innocuous majority from those with malicious objectives. In the absence of being able to read minds, our ability to defend against the insider threat is very limited. All too often someone's hidden agenda only becomes apparent long after any theft or damage has taken place.

Additionally, clues that can lead to an insider threat are often present with an organization's information, but those committing crime and fraud will usually take time to adjust records and cover their tracks. In many cases, the technology used to protect these organizations are used again them. The best evidence of this usually lies within the unstructured human communication of documents, emails, chats, and other messages. Criminals often code or conceal their activities within this information, knowing that if their activities and intent go undetected by the internal systems, they'll continue to be trusted and will have access to the tools they need to continue their criminal activity.

Sharon Polsky
@PolskySays
Sharon Polsky is a data protection and privacy specialist and a Privacy by Design Ambassador who is passionate about the importance of effective data protection and information risk management. With over 30 years of firsthand experience advising governments and organizations across North America, Sharon takes a practical approach to privacy, access, and information security trends, laws, and emerging technologies. Polsky is President and CEO of AMINA Corp.
"The question of whether the bigger threat to information is from within or outside an organization is..."
A perpetual chicken-and-egg question. You can look at any number of statistics that claim 70, 80 or even 90 percent of data problems are caused inside.

In more than 30 years of advising government and private sector organizations about data privacy and protection compliance, I have seen that the source of every data risk and problem is employees, executives, suppliers, or partners inside the organization who either did something or neglected to do something, and that allowed a vulnerability to occur. Whether through curiosity, malice, or good intentions, the people inside an organization who have access to its systems and information are inevitably the biggest risk.

Why?

Because training and awareness about privacy and digital diligence - from the c-suite to the loading dock - is essential to understand whether and how your role and actions affect data and security, but that training is perpetually inadequate across government and private sector organizations.

Because organizations allocate security and training budgets based on an inadequate understanding of the business risks and compliance requirements of privacy laws, trends and technologies, and therefore are poorly prepared to effectively safeguard data within their environment.

Because there's little continuity between roles and departments, so that a single data element can pass through many hands, yet nobody knows what the other is doing with (or to) the data and that fractured approach increases risk that the data will be mishandled, mislaid, or misappropriated.

Because most insider attacks go unreported, and that makes vendor claims for controls very attractive. It's unrealistic to expect anyone to make correct procurement or hiring decisions if they don't understand the problem, the risk, the law, or the technology.

Perhaps more than anything else, because it's not a technology problem; it's a human nature problem. The computers and technology are just tools; it's what people do with (or to) the tools that is the problem. It's no different than cars: they're not a problem when drivers know what to do and what not to do. But without that knowledge it's easy to make the wrong move, react improperly, or to cause damage or injury - whether out of curiosity, malice, or good intentions.

Andy Feit
@CheckPointSW
Andy Feit is Head of the Threat Prevention Product Line for Check Point with overall responsibility for strategy, positioning, and go-to-market activities. Before joining Check Point, he was a co-founder and CEO of Enlocked, an email security company focused on small- to mid-size businesses. He has also held several executive positions at information management software companies including MarkLogic, Verity, Quiver, Inktomi, and Infoseek, as well as serving as director and principal analyst for market research firm Gartner.
"If we look at recent large-scale breaches, the majority of those involved an attack from..."
External sources. That said, insider threats are responsible for many breaches and the reality is that it is not always as clear as inside vs. outside. For example, if an external organization was looking to gain access to data and bribed a system admin or DBA to provide a password or access to a system, but then the attack was executed by external hackers, how would you attribute this?

Other grey areas exist. For example, contractors or consultants. If they have signed confidentiality agreements and are given access to data, what if they ultimately keep data they needed access to in order to complete their tasks and use it improperly? Was this an insider or external attack?

In general, as both network and endpoint security continue to improve, the use of these hybrid techniques is likely to increase. It is important for organizations to ensure they have proper controls, audit, and protection in place to be able to detect and trace insider threats.

Dr. Brandon A. Allgood

Dr. Brandon A. Allgood is the CTO and Co-Founder of Numerate, Inc. Brandon currently manages Numerate's software engineering team and is responsible for the development of the company's drug design technology platform and its technical vision. He is also a strategic advisor at Lanza techVentures, where he provides technical insights.
"In terms of threats to a company's data security..."
Both insiders and outsiders are a data security threat. In reality it depends on the publicly facing digital surface area as to whether insiders or outsiders are more of a threat. For B2C businesses the surface area is likely quite expansive, out of necessity. It also means that the company likely has a lot of customer data, which is often sold as a commodity on the dark web. In addition, the rise of ransom attacks puts companies - companies that may not think their data is all that interesting to external parties - at risk. Likely more so, because they don't think what they have is worth anything. In this case, I would argue that external threats are a larger problem. They are more unpredictable and harder to anticipate. Insiders can be more controlled with proper security measures. The key there is proper security measures. In my experience, many businesses don't have proper security because, if not implemented properly, they often run counter to productivity and employee morale.

In a B2B business the greater threat are insiders. The greatest insider threat in this situation depends on a company's business model and how the data is gathered and consumed. In many cases, the threat is the insider within the customer business. You have very little control over them. You can only control their access to the data in your system through software measures and contractual agreements.

Another source of insider threats for both B2B and B2C companies are the non-technical staff (and contractors, such as lawyers) that need some level of access to the data. In this case, it is generally not a malicious threat, more often just unawareness. Proper training for staff is required and secure practices can be achieved. But it is much harder to train and control external contractors that have access to data on their own systems.

Greg Mancusi-Ungaro
@BrandProtect
Greg Mancusi-Ungaro is responsible for developing and executing the BrandProtect market, marketing, and go-to-market strategy. A passionate evangelist for emerging technologies, business practices, and customer-centricity, Greg has been leading and advising world-class marketing initiatives, teams, and organizations for more than twenty-five years. Prior to joining BrandProtect, Greg served in marketing leadership roles at ActiveRisk, Savi Technologies, Sepaton, Deltek, Novell, and Ximian, building breakthrough products and accelerating business growth. He is a co-founder of the openSUSE project, one of the world's leading open source initiatives.
"Both inside and outside threats pose credible risks to enterprises and organizations, but they each create..."
Very different security requirements. In the end, the human costs of inside threats make it crucially important that a firm do everything it can to identify likely threat actors and monitor their activities, while the business costs of outside threats can literally cause a company to have to close its doors.

Inside threats - either employees or trusted parties with an axe to grind - have many different origins and expressions. Employees can feel under pressure after reorganizations, after transfers, if an expected raise or promotion does not come through, or any of a number of other office situations. Insiders can also face external circumstances which make them feel desperate - a change in the status of a relationship, unexpected expenses, or health-related issues, for example. Responsibility for inside threat monitoring is usually shared by HR, Security, and IT teams. Increasingly, security teams are also using external cyber activity monitoring tools in an effort to unearth online activities - posts, rants, and tweets - that might indicate that a threat is imminent.

Outside threats - cyber threats enacted by third parties that never touch an enterprise's firewall - are much more common than insider threats. On the surface, they can almost seem inconsequential. What does it really matter if a third party registers a similar domain? Or if a few customers fall prey to a phishing email? Taken individually, these small incursions may not have significant costs, but taken collectively, outside threats like these can have a profound impact. In some cases, the criminals merely want to generate false charges on a credit card or empty a bank account. But many times, the criminals are probing the public for information that can eventually be used in social engineering or other schemes that can rip an enterprise wide open. The overall market costs of millions and millions of compromised accounts or personal records are enormous, and the reputational costs to the trusted company (whose identity has been used to trick the public) or the companies that are eventually targeted in a major cybercrime cannot be measured. Once a customer is lost, it is very difficult to recapture them.

# data[].attributes.attachment_link.title
Insider vs. Outsider Data Security Threats: What's the Greater Risk?

# data[].attributes.attachment_link.description
47 data security experts compare the risks of insider threats vs. outsider threats.

# data[].attributes.body
Herramienta de la ONU para encontrar legislaciones sobre datos en todo el mundo

# data[].attributes.attachment_link.readable_text
As more and more social and economic activities have place online, the importance of privacy and data protection is increasingly recognized.

Of equal concern is the collection, use and sharing of personal information to third parties without notice or consent of consumers. 137 out of 194 countries had put in place legislation to secure the protection of data and privacy.

Africa and Asia show different level of adoption with 61 and 57 per cent of countries having adopted such legislations. The share in the least developed countries in only 48 per cent.

Loading ...

Please select a country or a region

# data[].attributes.attachment_link.title
Data Protection and Privacy Legislation Worldwide

# data[].attributes.attachment_link.description
var pageType="DP"; var arrayIndex=2; var chartTitle="Data Protection and Privacy Legislation Worldwide"; var section="Privacy and Data Protection"; var colors = {Legislation: ["#0B6771","#0B6771"], "Draft Legislation": ["#4B9FA1","#4B9FA1"], "No Legislation":["#FF685D", "#FF685D"], "No Data":["#C6C6C6","#000"]}; var Legislation = []; var Draft = []; var NoLegislation = []; var NoData = []; var options = []; var countryPage = "/page/cyberlaw-tracker-country-detail?country="; var Translations = {'Elect

# data[].attributes.body
Guía de Avast Academy cómo funcionan las VPN

# data[].attributes.attachment_link.readable_text
What is a VPN?

VPN stands for "virtual private network" - a service that helps you stay private online by encrypting the connection between your device and the internet. This secure connection provides a private tunnel for your data and communications while you use public networks.

This Article Contains:

So what are VPNs used for? At a basic level, VPNs protect your privacy online to help prevent you being targeted by hackers or getting discriminated against based on your location. While VPNs were once novel tech solutions, they are now necessary tools.

If you're still unclear on the meaning of a VPN, it can help to imagine the internet as a kind of highway that we zip around on motorcycles. We visit our favorite locations (websites), make purchases in shops, check our stock portfolio, read the news, play games, and so on.

Sitting on a motorcycle, you're completely visible. Anyone can peek into your private life along these digital highways. It's easy to see your identity, view your online activity, and more. Worse, they can follow you home. You're traceable.

With a virtual private network, instead of riding exposed on the wide open internet highway, you can use a private tunnel instead. A VPN acts as your own personal tunnel that encircles you, masking you in anonymity, and blocking anyone from seeing where you're going or what you're doing.

To abandon the metaphor, and get a little more technical: a VPN encrypts your network connection and hides your IP address.

How does a VPN work?

VPNs work by routing a device's internet connection via a specially configured remote server network administered by the VPN service. This means that all data shared across a VPN connection is not only encrypted. It's masked behind a virtual IP address, allowing you to hide your identity and location.

What does a VPN do?

Instead of sending your internet traffic (searches, pages visited, uploads, downloads) directly to your Internet Service Provider (ISP), a VPN first routes your traffic through a VPN server. That way, when your data is finally transmitted to the internet, it appears to come from the VPN server, not your personal device.

What kind of IP address do you have? The right kind can make a difference when it comes to online safety. Learn the ins and outs of your IP address with our guides to public vs private IP addresses and static vs dynamic IP addresses.

What does a VPN hide?

VPNs work on the operating system level, so they reroute all your traffic through other servers. That means all of your online traffic, along with your physical location, stays hidden while you surf the web. When you access a site through a VPN server, the source of your connection is shown as one of the many VPN routers - called a proxy server - not your own. So the owners of the site, and anyone else trying to spy on you, cannot figure out who you are.

VPN protection is the closest you can get to true anonymity online without using the Tor network, which bounces your connection around a widely distributed network of volunteer relays, basically keeping your web activity in constant motion so nobody can focus on it. VPNs do not use this (very slow) protocol, but they do offer sufficient - and essential - protection as you cruise through today's deregulated and potentially hacker-lined cyber highways.

When it comes to online privacy solutions, a VPN, Tor, and web proxies are all options - but a VPN offers the best balance of comprehensive security and speed.

Whether you want to stay safe on public Wi-Fi, disguise your location from content providers and advertisers, or protect yourself from identity theft, a VPN will keep you private. It offers powerful protection, especially when combined with other cybersecurity tools, like a secure messaging app.

Is a virtual private network safe to use?

A VPN is safe to use - as long it's from a reputable VPN provider and used correctly. Trustworthy VPN providers are privacy-forward, with transparent privacy policies for their users. An unsafe VPN provider may secretly track and log your online activity, have security vulnerabilities that lead to data leaks, or even sell your data to advertisers.

How does the encryption tunnel work?

Encryption is a method of changing normal text into an unreadable jumble of code. A key, or decryptor, unscrambles the text and renders it back into readable information. When you use a VPN, only your device and the VPN provider contain the decryption key. Anyone else trying to spy on you would only see a mess of characters.

There are three main types of encryption: hashing, symmetric cryptography, and asymmetric cryptography. While each type has its own strengths and weaknesses, they all scramble your data and metadata so that it's useless in anyone else's hands.

Different VPN providers offer varying degrees of encryption strength, but the best encryption software uses various methods to protect your privacy. Avast SecureLine VPN uses a combination of hashing, symmetric cryptography, and asymmetric cryptography for 256-bit AES encryption - the same standard that banks and the military rely on.

Avast offers an extra layer of protection with our own DNS resolution system. The DNS (domain name system) is what translates numerical IP addresses into their more memorable text-based URLs. The DNS is what allows you to type in a simple site name rather than a long string of numbers.

Cybercriminals can monitor DNS requests to track your movements online, but a VPN's DNS resolution system is designed to thwart them with further encryption. We make sure all IPv4 traffic coming from your device is firewalled and also disable IPv6 requests.

VPN apps are legal in most countries, especially democratic countries. Even China allows some amount of VPN use, though the government doesn't love them.

History of VPNs - when was the VPN invented?

The Virtual Private Network was first developed by Microsoft in 1996 as a way for remote employees to securely access the company's internal network. Once it doubled company productivity, other companies began to adopt the practice. Corporate VPNs that allow remote work are now a standard feature of the global business landscape.

Developers then realized that this secure "tunnel" could be used by average people who wanted to securely connect to the largest network on the planet: the world wide web. VPNs are now the cornerstone of online privacy in the consumer sector.

Different types of VPN

There are two basic types of VPNs. A remote-access VPN allows users to connect to another network, be it the internet or their company's internal system, through a private encryption tunnel.
A remote-access VPN lets you connect to a company's internal server or the public internet.
The other type is a site-to-site VPN - also called a router-to-router VPN. This type of VPN is mostly used within corporate environments, specifically when an enterprise has headquarters in several different locations. The site-to-site VPN creates a closed, internal network where the various locations can all connect with each other. This is known as an intranet.
A site-to-site VPN is used to create an intranet.
VPNs mostly fall into these two categories, and within these categories are specialty VPNs designed for specific tasks - like a P2P VPN server for file sharing and downloading.

There are several VPN protocols, or methods of security. The oldest is PPTP, point-to-point tunneling protocol, which is still in use today but widely considered one of the least secure. Others are IKEv2, L2TP/IPSec, SSL, TLS, SSH, Wireguard, and OpenVPN. As an open-source protocol, OpenVPN is amongst the most secure because any vulnerabilities in its programming will quickly be noticed and patched.

What is a double VPN?

Double VPNs are a type of VPN service that use VPN server chaining to route internet traffic through two separate VPN networks. Also called doublehop VPNs and multihop VPNs, double VPNs encrypt network data twice, offering an even more private and secure VPN connection.

Do you really need a VPN?

Do you really need a VPN? Is a VPN worth it? Yes and yes. There are several important reasons why you need a VPN, the two main purposes being privacy and access.

Public Wi-Fi networks - in coffee shops, airports, and other public areas - are risky. All it takes is one hacker connected on the same network, and they can easily spy on all your activity with a sniffer or other tool. A VPN acts like an invisibility cloak, hiding everything you do on your phone or computer and protecting you even from evil twin attacks.

Do I need a VPN at home? VPNs also allow you to hide from your ISP, governments, and advertisers... so you can avoid censorship, price discrimination, and media geo-blocks.

In 2017, the US abandoned net neutrality - the principle that ISPs should treat all internet data equally - and various lawsuits continue over the issue. The complete elimination of net neutrality would free ISPs to collect and sell your personal data, including your browsing history, physical location, health info, and even your Social Security number. It would also permit ISPs to slow down your connection if you do a lot of downloading and streaming, and otherwise discriminate against certain internet users. A VPN blocks your ISP from seeing your browsing history and other personal data.

VPN pros and cons

Though there are many benefits to VPN protection, there are also some drawbacks - particularly around device performance. But considering all the functionality and protection a VPN gives you, the gains far outweigh the losses.

Using a VPN: the pros

Our guide to the benefits of a VPN will give you a detailed explanation, but here's a quick rundown of the pros of VPN usage:

Stream from anywhere: If you're abroad and you try to access a streaming account you use at home, you may find some shows are not available in that region. A VPN lets you choose servers with IP addresses from back home. By changing location on an iPhone or other device, you evade content restrictions and get access to your favorite content.

Access blocked websites: Certain institutions - schools, libraries, companies - restrict access to specific web pages, such as social media. The encrypted connection provided by your VPN will tunnel right through and let you bypass content blocks.

Avoid censorship: Certain governments go to extremes to control information. A VPN can help you avoid government restrictions by hiding your real location and encrypting your traffic.

Beat price discrimination: Price discrimination can hit you in two ways. One is by your location. Some businesses program their sites to display a higher cost of goods (like airline tickets) to users based in locations with a higher cost of living. The other is if you regularly buy a product, your ISP can sell this info to the vendor, and they may start charging you more because they know you'll buy it.

Avoid tracking: It bears repeating as its own section: don't let yourself be tracked by hackers, cybercriminals, corporations, the government, or even your own ISP. Keep yourself free from repression, targeting, and discrimination.

Avast SecureLine VPN will make your connection secure, no matter if you're at home or on public Wi-Fi. Use our VPN on all your devices to get real digital privacy. Access blocked websites, avoid price discrimination, and keep your private matters private.

Using a VPN: the cons

As with any type of technology, there are also some disadvantages to using a VPN:

Potentially slower speeds: Your web traffic goes through more steps than usual when connected via VPN, so there could be a perceptible slowdown. However, recent VPNs have optimized speed and performance, so streaming Netflix and gaming is always smooth. If your VPN is slow, check out our tricks to speed up your VPN connection.

QoS challenges: QoS ( quality of service) describes the performance of a service or network. VPNs do not yet have a standard in place to gauge and report such measurements. With no metrics to analyze, you need to rely on professional reviews and word-of-mouth to learn what's most reliable.

VPN blocks: Some businesses are getting wise to the fact that VPNs give their users carte blanche to access content. To fight back, companies are beginning to block access from known VPN IP addresses. Not to be easily defeated, VPNs can simply turn on new IP addresses to trick them again.

No cookie protection: While VPN protection keeps you private and encrypted, it's not possible for a VPN to block cookies, some of which are necessary to make sites work properly. Tracking cookies can still be stored in your browser and identify who you are. You can delete tracking cookies or use a private browser, like Avast Secure Browser, to help prevent web tracking.

Not total privacy: While a VPN blocks your ISP, governments, hackers, and other snoops, the VPN provider itself can see your internet activity if they want. That's why it's so important to choose a trustworthy provider that doesn't keep logs of your internet habits.

So are VPNs worth it? Considering how the benefits outweigh the drawbacks, a VPN is a relatively simple and effective way to protect your online privacy.

Can I use a VPN on any device?

Any device that connects to the internet will benefit from the privacy VPNs provide. Most VPN providers offer their services on multiple platforms. Avast SecureLine VPN will cover up to ten devices - PC, Mac, Android, and iOS - with one account. If you have a smart TV running Android TV, Avast's VPN works there as well.
VPNs work on PCs, tablets, and mobile phones.
Desktops, laptops, tablets, and phones can all connect individually to a VPN, but it's not so easy with smart devices (other than the smart TVs mentioned above). For other IoT devices, the best option is to set up your router with VPN protection. Then, all devices that connect through that main hub will be protected. Certain routers are sold with VPN software already built in.
Use a VPN on your router to protect your privacy on all your connected devices.
It's quite easy to set up a VPN - most VPN services guide you to download the VPN application via their download page. For example, after you download Avast SecureLine VPN and launch the app, it will start working with the touch of a button.

What to look for when choosing a VPN

Many good paid services offer a free trial, allowing you to take it for a test drive before committing. A paid VPN service is essential for secure, reliable VPN use - but how do you know which provider to choose? There are many factors to keep in mind when selecting the perfect VPN app:

Speed: You want to make sure the VPN offers sufficient speed, as many providers struggle to stay fast enough for streaming Netflix or downloading.

Reputation: To get a good sense of how the VPN performs, read both consumer and professional reviews. Also, since the issue of net neutrality rose to the forefront, many fake VPNs have popped up, so make sure you're looking at a real one.

Shared IP addresses: Choose a VPN that offers shared IPs. Being among multiple anonymous users adds another layer of privacy to your browsing.

Servers: When it comes to performance, more servers equals better browsing, because each server will be less crowded. Also, the closer you are to a server, the faster and more reliable your VPN connection may be.

Encryption: Look for AES-256 (advanced encryption standard), which holds the highest encryption standard to date. It's virtually impossible to crack, as it has more combinations than there are stars in the universe.

Protocol: Avoid weaker security protocols like PPTP, and go for the more reliable OpenVPN.

Policy: A reputable VPN will not keep or give away your private data or records of your internet activity. Though some data collection by VPN providers is used to help improve performance for their clients, read the VPN policy to ensure your private data is not being logged and exploited.

Customer support: The best VPNs have customer support standing by in case anything goes wrong.

Features: Keep in mind what's important to you, and be sure the VPN you choose is compatible with what you need. For instance, some VPNs don't allow you to use BitTorrent, while others do. Some VPN download allowances are limited to a certain number, while others are not. Some offer ad-blocking, firewalls, kill switches, simultaneous VPN connections, or the ability to change your IP address and server location at will. Find what works best with your online lifestyle.

Free trial: Many VPNs offer free trials, and it's a good idea to try them out first. Test the ease of use and the performance of the VPN before you decide to purchase it.

The average price of a paid VPN is around $10 per month - but it can be much cheaper if you opt for a yearly subscription, rather than paying monthly. Other factors that influence the price of a VPN include the provider, the features, and any discounts or promos.

Should I get a free VPN?

There are many VPN providers out there - how do you choose just one? The first thing to keep in mind is that free VPN services are low-quality and should be avoided. There are many problems with free VPNs, including:

Poor security: Many free options employ weaker security protocols, such as PPTP, instead of more secure protocols like WireGuard and OpenVPN.

Fewer servers: Your speed can slow to a crawl when there aren't enough servers to cover the necessary bandwidth of many users.

Annoying ads: Some free VPNs rely on ads to generate revenue on their free VPN application.

Download limits: Free services usually put harsh limits on how much you can download or even upload.

A VPN you can trust

You can bypass content blocks while avoiding advertisers tracking your location and hackers snooping on you via public Wi-Fi. Avast SecureLine VPN gives you the most powerful security with AES-256 bank-grade encryption and the OpenVPN protocol. Give it a spin now with our free trial.

FAQs

How do I set up a VPN?

Getting a VPN is easy, with free VPN tools available for PC and all other major platforms, including Mac VPNs, Android VPNs, and iOS VPNs. To set up a VPN, select a VPN service from a trusted vendor, download the app, and launch it to get started.

Are VPNs legal?

What is the best VPN?

The best VPNs offer advanced AES-256 encryption (or another advanced encryption protocol), a wide range of geo-optimized servers, and lightning-quick connections with no download or bandwidth restrictions. You can get all this and more with Avast SecureLine VPN.

Are VPNs better than Tor?

Can I still be tracked on a VPN?

With your true IP address hidden, and your internet traffic encrypted, top-quality VPNs make it very difficult for ad trackers - or anyone else - to track you online. Websites won't be able to find your IP, and while your ISP may see that you've connected to a VPN, they won't be able to see the traffic itself. To cover your tracks even more thoroughly, ensure that your VPN kill switch is enabled, and use a private browser like Avast Secure Browser.

Who needs a VPN?

A VPN is an essential tool for staying secure online. Routinely using a VPN to connect to the internet prevents cybercriminals from hacking into your network, and stops web trackers following your activity online. By encrypting your data, VPNs don't just unblock websites, they also protect your privacy and help you stay safe on public Wi-Fi.

Should I leave my VPN on all the time?

There are pros and cons to leaving your VPN on all the time. Leaving it on means you'll always reap the security and privacy benefits of a VPN. However, a VPN requires additional bandwidth and increases latency, so turning it off may help to fix slow internet speeds. Plus, services and websites with specific regional restrictions or access limitations may have limited functionality if you're connected to a VPN server that's overseas.

How to test if a VPN is working?

You can test if a VPN is working by using an IP address detection website to compare your IP address before and after turning on a VPN. Here's what to do:

1. Find a reputable IP address detection website.

2. Use the website to find your IP address, when you're not connected to a VPN.

3. Connect to a VPN and run the test again.

Your results for the two tests should be different, because a working VPN should hide your real IP address. If you're getting the same results, then your VPN is not working properly. For a comprehensive walk-through on testing your VPN, use our guide to check if your VPN is working.

What is a no-logging or a no-logs VPN?

A no-logging or a no-logs VPN refers to a service provider's VPN policy that does not keep or share logs or other records of its users' browsing history, downloaded files, or other online activity. Although using a VPN with no logging ensures a certain level of data privacy and anonymity, other service providers may keep logs for performance and analytics purposes, and still maintain high levels of user privacy.

# data[].attributes.attachment_link.description
A VPN is a secure, encrypted connection that protects your online privacy. Learn what VPNs are, how they work, and what they do to protect you.

# data[].attributes.body
Guía sobre políticas de ciberprotección.

# data[].attributes.attachment_link.readable_text
Small businesses (SMBs) make up 99.7% of all US businesses , and they're under increasing attacks from hackers and malicious software. As such it's more important than ever to get the right protection by having a comprehensive security policy in place.

The purpose and benefits of a cyber protection policy

The purpose of creating a cyber protection policy for your small business is to outline the resources and actions necessary to ensure business continuity and to protect your data. As a result, your staff will be better informed and able to take appropriate action to prevent attacks. Not only this, but your customers or clients will be reassured by working with a company that takes data protection and online security threats seriously.

Prominent threats to small business range from phishing, ransomware, and social engineering attacks to leaks from connected IOT (Internet of Things) devices. In 2017, software and hardware attacks accounted for almost 70% of data breaches worldwide:

62% involved hacking

more than 50% involved malware

Avast was responsible for blocking over 122 million WannaCry ransomware attacks in 2017. Along with the Petya and Bad Rabbit ransomware attacks, the joint cost to consumers and businesses amounted to more than $5 billion.

Ponemon Institute's 2017 Study recorded the average loss due to data breaches as $3.6 million globally, and $7.35 million in the US alone. However, attacks not only threaten income, but also cause disruption by having a massive impact on productivity - many working hours are lost trying to resolve issues. And this is all before considering the damage to a business's reputation.

The good news is that adequate network protection from such costly cyberattacks doesn't have to be expensive. What's more, as most cyberattacks tend to exploit basic vulnerabilities in systems, they are easy to prevent with antivirus software, patch updating and staff awareness training.

A cyber protection policy means your staff will be better informed and able to take appropriate action to prevent attacks

Endpoint security

The computers used in your business are also known as 'endpoints', and each of them pose a threat to the security of your whole network if they're not properly protected - they are an open door to hackers and malicious code. As such, endpoint security is one of the best places to start when looking to protect your network, especially with the rise of flexible working meaning that more employees can access systems remotely from home or open Wi-Fi networks. It's essential that all your endpoints are secure because your network is only as strong as your weakest link.

Endpoint security offers a safety net to stops attacks at their point of entry. If they do manage to get a foot in the doorway, the antivirus software will ensure other machines in the network are not also infected.

IT teams value the advanced threat detection these security solutions provide while the centralized system simultaneously reduces the complexity of protecting the business.

The business should have up-to-date endpoint protection that includes:

Malware detection - automatic file and email scanning to ensure that potential threats never enter the business network.

Multi-layered protection - not relying on a single method of protection but many e.g. firewalls, encryption, workstation authentication, spam filters etc.

Real-time notifications - it is essential that any threats are flagged as soon as they are detected so that you can take action.

Remote device management - the ability to securely add a device to the network without running around the office logging on to the new computer.

Simple reporting - straightforward analysis that doesn't take an IT expert to decipher.

Bring-your-own-device

The rise in mobile threats comes on the heels of an increasingly mobile workforce. As such, the need for a comprehensive security policy is paramount.

Some businesses issue mobile devices, while others allow employees to bring their own devices (BYOD). While the latter is cheaper for businesses, it means SMBs have less control over the device: what software and apps are downloaded, what information is shared, and what potentially unsecure Wi-Fi is used.

All of these can put your business at risk. For example, if an employee is emailing sensitive data from their phone, and they use unsecured Wi-Fi, that data could be seen and/or stolen if there are cybercriminals looking to intercept unsecure communications. If they download an unsecure app or click a malicious link, you may be giving these cybercriminals access to everything the employee has access to, including the possibility of corporate data being transmitted and even stored on an individual's personal device.

The potential issues range from data loss via a leak or loss of the device itself, to the damage that compromised devices cause when introduced to a centralized system. When staff members bring in their own mobile devices, they in turn are introducing attack points which can lead to security concerns.

This doesn't mean that you suddenly need to fork out for expensive company-supplied devices for all your employees. But there are some basic BYOD guidelines you and your staff should follow.

All devices must have access authentication:

Passwords should be complex - uncrackable! The best way to ensure your staff adhere to this is to provide or recommend a password manager that generates strong passwords and stores them. This is preferable to staff writing passwords on post-it notes, which can be easily lost or stolen.

Where possible, staff should use two-factor authentication to access their devices. (For example, using login details on a desktop then confirming who you are via an app on your phone.)

Only devices used for work purposes should be connected to the network. You may consider setting up a separate 'guest' network to ensure any devices being used for personal reasons don't threaten the business network. If this isn't possible, ask staff using the network to switch to data before using their device for personal reasons.

Staff training

A vital preventative measure to protect your business from data breaches and cyberattacks is to ensure your team completes cybersecurity training. By understanding the types of attacks - such as phishing, malware and ransomware - they will be better equipped to spot any suspicious activity and report it immediately.

Training your employees to spot a malicious email, link or attachment, for instance, is crucial to avoid data breaches caused by human error or individuals falling into cybercriminals' traps and putting the company at risk. Encouraging employees to keep their apps and programs up to date will further strengthen your defences as new patches continually improve software security and tackle weaknesses. Alternatively, consider investing in trusted patch management software that reduces the need to manually check for updates.

Cybersecurity awareness should be part of the induction process for new staff. Ideally, this should cover:

What is most at risk. This is usually money or access to funds, anything that includes personal identifiers (customer or staff database,) payment information, intellectual property and anything that could compromise the brand's reputation.

Who can access what. If an employee needs to access a certain database or sensitive information, they should request this from a senior staff member. If they no longer require access, they should ensure their access is revoked. The fewer staff accessing at-risk information, the more secure the information will be.

What to look out for. Slow devices, difficulties logging in, internet connectivity issues and website redirects can all be signs of a potential cyberattack or data breach. Employees should also be vigilant when opening emails - deleting any from suspicious-looking accounts, and only clicking links or opening attachments from people they know. And reporting these items to their IT person.

Cloud security

Many small businesses work in the cloud - storing their data through internet services rather than on a device or server in the office. Google Drive, for example, can be a much more attractive prospect to a cash-strapped SMB than paying for an expensive management system. However, being able to access your business files anywhere and at any time comes with its risks.

Cloud security adds an extra layer of protection as traffic is filtered before it reaches the central server. Routing traffic through the cloud allows it to be monitored, checking for threats outside your system which allows your antivirus software to decide whether traffic is trustworthy or not, before it has access to your systems and network. This means malicious traffic can be blocked so it doesn't reach your server(s), and it's run from a centrally managed console.

Although cloud security can detect and resolve issues, there are processes that should be in place to ensure it protects your business. Issues arise over accessibility when network access is granted too freely. A prime example of this is when staff members leave the company, yet maintain access to business systems. Taking precautions such as regularly updating strong passwords and limiting the number of people who have access to sensitive data can dramatically increase security.

Keep a record of what access is granted to which staff. When a staff member leaves, review this database, revoking access where necessary, even if you are deactivating their staff email account. For extra security, make it standard practice to update all passwords after any staff member leaves.

Data compliance

Depending where your business operates and in what sector, there will be government-supported compliance schemes that you must follow. For example, in the US, health care and medical insurance companies must adhere to HIPAA, the Health Insurance Portability and Accountability Act. In Europe, information must now be stored and accessed according to the General Data Protection Regulation (GDPR.)

The assumption is that data compliance is about protecting personal information - reassuring your customers that their data is kept securely and not shared without consent. More than this though, data compliance is an opportunity for you to protect your business from cyberattacks as secure data is harder for cybercriminals to access.

List any relevant data compliance regulations your business must follow and ensure staff has access to the relevant documents.

There can be a lot of legislation to decipher, so consider naming a person within the organization to be a lead for data compliance. This person should have additional training and be known to all staff as the go-to employee for data protection questions.

Conduct internal audits. This doesn't need to be an arduous or intimidating task. It is simply a way to keep everyone in your small business thinking about data security.

Conclusion

With over 4,000 cyberattacks a day, it's never been more important to keep your data, customers and employees safe with a security system that effectively protects your business. But as this article has shown, endpoint protection is not enough on its own - staff training and data management best practice must be part of the mix. By using our guide as the foundation for your policy, you can get off to a good start on ensuring the reputation and financial success of your small business.

Download your free cybersecurity policy template by clicking here.

# data[].attributes.attachment_link.title
Create a cyber protection policy for your small business using our free template

# data[].attributes.attachment_link.description
With cyber criminals targeting small businesses, it is more important than ever to consider the security of your network. Find out what you need to include in a cyber protection policy and download our useful template to help create your own.

# data[].attributes.body
Descubra los mejores consejos de WIRED.com para mantenerse seguro en una Wi-Fi pública.

# data[].attributes.attachment_link.readable_text
Accessing the internet isn't normally a problem when you're inside the confines of your own home-it's secure, it's easy to connect to, and it's relatively uncongested-unless the whole family is streaming Netflix on five separate devices. When you venture out though, it's a different story. You can access Wi-Fi in more places than ever, enabling you to keep in touch or catch up with work from wherever you happen to be, but getting online isn't quite as simple, or as safe, as it is with your home network.

A public Wi-Fi network is inherently less secure than your personal, private one, because you don't know who set it up, or who else is connecting to it. Ideally, you wouldn't ever have to use it; better to use your smartphone as a hotspot instead. But for the times that's not practical or even possible, you can still limit the potential damage from public Wi-Fi with a few simple steps.

This relates to the previous point, but wherever possible stick to well-known networks, like Starbucks. These Wi-Fi networks are likely less suspect because the people and companies operating them are already getting money out of you.

No public Wi-Fi network is absolutely secure-that depends as much on who's on it with you as who provides it-but in terms of relative safety, known quantities generally beat out that random public Wi-Fi network that pops up on your phone in a shopping mall, or a network operated by a third party that you've never heard of. These may well be legit, but if any passerby can hook up for free, what's the benefit for the people running the network? How are they making money? There's no hard or fast rule to apply, but using a bit of common sense doesn't hurt.

If you can, stick to as few public Wi-Fi networks as possible. In a new city, connect to Wi-Fi in a store or coffee shop you've used before, for example. The more networks you sign up to, the more likely the chances that you'll stumble across one that isn't treating your data and browsing as carefully as it should be.

As of a couple of weeks ago, Google Chrome lets you know when the site you're visiting uses an unencrypted HTTP connection rather than an encrypted HTTPS encryption by labeling the former "Not Secure." Heed that warning, especially on public Wi-Fi. When you browse over HTTPS, people on the same Wi-Fi network as you can't snoop on the data that travels between you and the server of the website you're connecting to. Over HTTP? It's relatively easy for them to watch what you're doing.

Don't Give Away Too Much Info

Be very wary of signing up for public Wi-Fi access if you're getting asked for a bunch of personal details, like your email address or your phone number. If you absolutely have to connect to networks like this, stick to places you trust (see above) and consider using an alternative email address that isn't your primary one.

Stores and restaurants that do this want to be able to recognize you across multiple Wi-Fi hotspots and tailor their marketing accordingly, so it's up to you to decide whether the trade-off is worth it for some free internet access.

Again, sign up for as few different public Wi-Fi platforms as you can. Does your phone or cable carrier offer free Wi-Fi hotspots in your current location, for example? If you can get connected through a service that you're already registered for, then that's usually preferable to giving up your details to yet another group of companies.

Limit AirDrop and File Sharing

When you're on a public network around strangers, you'll want to cut off the features that enable frictionless file sharing on your devices. On a PC, that means going to Network and Sharing Center, then Change advanced sharing settings, then Turn off file and printer sharing. For Macs, go to System Preferences, then Sharing, and unselect everything. Then head to Finder, click on AirDrop, and select Allow me to be discovered by: No One. For iOS, just find AirDrop in the Control Center and turn it off. And voila!. No one nearby can grab your files, or send you one you don't want.

Check What You're Signing Up For

We know we're probably saying this in vain, but read up on the attached terms and conditions before you connect yourself to a public Wi-Fi connection. You might not always understand every word, but you should be able to spot any major red flags, particularly around what kind of data they're collecting from your session, and what they're doing with it.

If you find the associated policies really impenetrable, a quick web search should bring up any known issues or problems that other users have been having. Of course there's nothing inherently evil about terms and conditions-they help protect the Wi-Fi provider too-but don't just blindly click through on whatever pop-up screens you're presented with. And if they ask you to install any extra software or browser extensions, back away quickly.

By far the most effective trick for staying safe on public Wi-Fi is to install a VPN or Virtual Private Network client on your devices. It encrypts data traveling to and from your laptop or phone, and hooks you up to a secure server-essentially making it harder for other people on the network, or whoever is operating the network, to see what you're doing or grab your details.

We've written here about some of the ways to choose a good VPN, as not all VPNs are created equal, and some are downright dodgy. It's definitely worth paying for a service, as free solutions are more likely to be financed by some suspect marketing or data collection practices that it's best to steer clear of. Independent review sites like The Wirecutter and That One Privacy Site can help here.

# data[].attributes.attachment_link.title
Simple Steps to Protect Yourself on Public Wi-Fi

# data[].attributes.attachment_link.description
Connecting to a public Wi-Fi network can put you at risk. Here's how to minimize the damage.

# data[].attributes.body
Descubra cómo detectar un correo electrónico de phishing

# data[].attributes.attachment_link.readable_text
Businesses are embracing technology and relying more heavily on the web for communications - attracting cybercriminals with new attack methods. Phishing is a tactic defined by the U.S. government as an online scam that targets users by sending emails that appear to be from a well-known source. The sender could be posing as the CEO of your company or even as a business you frequently use such as Microsoft or Amazon.

Even tech giants Facebook and Google suffered a phishing attack lasting more than two years in which a cybercriminal posed as a large Asian-based manufacturer they regularly did business with. The criminal conned Facebook and Google out of $100 million using fake corporate stamps, email addresses, and invoices.

Businesses of all sizes are targeted. An SMB can suffer from downtime, lost revenue, loss of trust, stolen data, and more due to phishing. There could be more severe consequences, as SMBs often don't have resources to remediate an attack. According to a 2016 survey sponsored by Cloudmark, the average cost of handling a phishing attack on a mid-sized organization is $1.6 million. An even worse figure, reported by Deloitte, states that one in every three consumers will actually drop your company after it suffers a cybersecurity breach.

What is the main goal of phishing?

Hackers use phishing to:

Obtain your personally identifiable information (PII) or business data

Upload malware or ransomware to your device(s)

Impersonate a trusted person or business to request money

This allows them to:

Exploit your data for money

Encrypt or destroy your data

Steal passwords, usernames, and more

All it takes is for an employee to:

Click a malicious link or attachment

Enter sensitive information

Fall for a false corporate email or stamp

How can you spot phishing emails?

Look for the following suspicious elements when opening your next email.

What to do if you suspect a phishing attack

Ask yourself - Do I know this person or this company contacting me?

If yes, contact the person or company by phone or by going on the company website. Do not click any links or download any attachments.

If no, go back and review the tips for how to recognize phishing. If you see the signs, report the message to the email provider as spam and delete it. Warn other employees if it's a business email domain.

New signs scammers are targeting SMBs

Users of Software-as-a-Service (Saas) and webmail services - common SMB tools - are now being targeted more than any other group, according to the Anti-Phishing Working Group. The category became the biggest target for the first time in Q1, accounting for 36% of all phishing attacks.

In order to stay ahead, keep your antivirus software up to date and secure your network traffic to mitigate phishing risk at your company. Avast Business offers advanced cybersecurity solutions to protect businesses and their employees from falling victim to phishing emails, as well as keeping software patched and secure. Contact us to learn more about protecting your network.

# data[].attributes.attachment_link.title
A guide for detecting a phishing email for businesses

# data[].attributes.attachment_link.description
Read about the tell-tale signs of a phishing email scam, how it affects businesses, and what to look for in your inbox.

# data[].attributes.body
Vídeo Shodan

# data[].attributes.body
Cómo entrar en cámaras Ip's

# data[].attributes.attachment_link.title
Hacking Cámaras IP - Montándome mi propio Gran Hermano - Hackpuntes

# data[].attributes.attachment_link.description
… Hacking Cámaras IP – Montándome mi propio Gran Hermano Leer más »

# data[].attributes.body
Explicación general de qué es Shodan y cómo funciona por comandos.

# data[].attributes.attachment_link.title
Shodan: qué es, cómo funciona y cómo usarlo a través de comandos

# data[].attributes.attachment_link.description
Shodan es uno de los motores de búsqueda orientado al hacking más usado, conoce cómo funciona y cómo usarlo a través de la línea de comandos

# data[].attributes.body
Máquina Virtual con Grub DUAL

# data[].attributes.body
Cifrado asimétrico

# data[].attributes.attachment_link.title
Lección 3: Sistemas de cifra con clave pública (intypedia)

# data[].attributes.body
Análisis de Infraestructura Técnica e Identidad Digital

# data[].attributes.attachment_link.description
Google Forms - create and analyze surveys, for free.

# data[].attributes.body
Ley NIS

# data[].attributes.attachment_link.readable_text
En el ámbito europeo, con el objetivo de dar una respuesta efectiva a los problemas de seguridad de las redes y sistemas de información, se aprobó la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión, conocida como la Directiva NIS (Security of Network and Information Systems). Esta norma parte de un enfoque global de la seguridad de las redes y sistemas de información en la Unión Europea, integrando requisitos mínimos comunes en materia de desarrollo de capacidades y planificación, intercambio de información, cooperación y requisitos comunes de seguridad para los operadores de servicios esenciales y los proveedores de servicios digitales.

La transposición de la citada Directiva NIS al ordenamiento jurídico español se llevó a cabo mediante el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información. Esta norma legal regula la seguridad de las redes y sistemas de información utilizados para la provisión de los servicios esenciales y los servicios digitales, estableciendo mecanismos que, con una perspectiva integral, permiten mejorar la protección frente a las amenazas que afectan a las redes y sistemas de información, y fijando un marco institucional de cooperación que facilita la coordinación de las actuaciones realizadas en esta materia tanto a nivel nacional como con los países de nuestro entorno, en particular, dentro de la Unión Europea.

El Real Decreto-ley 12/2018, de 7 de septiembre, habilita al Gobierno, en su disposición final tercera, para su desarrollo reglamentario. Con esa cobertura legal, y en cumplimiento del citado mandato y lo previsto en sus artículos 9.1 a), 11.1 a), 11.2, 16.2, 16.3, 19.1 y 19.5, este real decreto tiene por finalidad desarrollar el Real Decreto-ley 12/2018, de 7 de septiembre, en lo relativo al marco estratégico e institucional de seguridad de las redes y sistemas de información al cumplimiento de las obligaciones de seguridad de los operadores de servicios esenciales y de los proveedores de servicios digitales y a la gestión de incidentes de seguridad.

El real decreto, en su artículo 3, pormenoriza la designación de autoridades competentes en materia de seguridad de las redes y sistemas de información prevista en el artículo 9.1.a) 2.º del Real Decreto-ley 12/2018, de 7 de septiembre. Es oportuno mencionar, en relación con la seguridad en el sector de la alimentación, la participación de la Agencia Española de Seguridad Alimentaria y Nutrición, dependiente del Ministerio de Consumo. Adicionalmente, y de conformidad con el artículo 11 del Real Decreto-ley 12/2018, de 7 de septiembre, el real decreto desarrolla los supuestos de cooperación y coordinación entre los equipos de respuesta a incidentes de seguridad informática (CSIRT) de referencia, y de estos con las autoridades competentes, que se instrumentan a través de la Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes (artículo 4).

Con relación a la figura del punto de contacto único (artículo 5) que consagra la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, se desarrollan sus funciones de enlace para garantizar la cooperación transfronteriza con las autoridades competentes de otros Estados miembros de la Unión Europea, así como con el grupo de cooperación y la red de CSIRT.

Por otra parte, el artículo 6 de este real decreto desarrolla las previsiones del artículo 16.2 del Real Decreto-ley 12/2018, de 7 de septiembre, sobre las medidas necesarias para el cumplimiento de las obligaciones de seguridad por parte de los operadores de servicios esenciales, que habrán de concretarse en una declaración de aplicabilidad de medidas de seguridad suscrita por el responsable de seguridad de la información del operador, cuyas funciones también se desarrollan en el artículo 7 de este real decreto. El plazo para la designación del responsable de la seguridad se establece en cumplimiento de la habilitación recogida en el artículo 16.3 del Real Decreto-ley 12/2018, de 7 de septiembre.

Por lo que se refiere a la notificación de incidentes, el real decreto, en sus artículos 8 y 9, desarrolla las obligaciones de notificación por parte de los operadores de servicios esenciales de los incidentes que puedan tener efectos perturbadores significativos en dichos servicios, así como de los incidentes que puedan afectar a las redes y sistemas de información empleados para la prestación de los servicios esenciales aun cuando no hayan tenido un efecto adverso real sobre aquellos, por referencia a los niveles de impacto y peligrosidad, según sea el caso, previstos en la Instrucción nacional de notificación y gestión de ciberincidentes que se contiene en el anexo.

El procedimiento de notificación de incidentes se articula a través de la Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes (artículos 10 y 11), a fin de permitir el intercambio de información entre los operadores de servicios esenciales y proveedores de servicios digitales, las autoridades competentes y los CSIRT de referencia, garantizando la confidencialidad, integridad y disponibilidad de la información (artículos 12 a 14).

Por último, en materia de supervisión de requisitos de seguridad, el real decreto desarrolla en su artículo 15 la obligación de colaboración de los operadores de servicios esenciales y los proveedores de servicios digitales con las autoridades competentes, que podrán requerir, asimismo, la colaboración de los CSIRT de referencia para el ejercicio de su función de supervisión.

En las disposiciones adicionales de este real decreto se recoge, entre otras materias, el régimen jurídico aplicable al Banco de España teniendo en cuenta su especial configuración jurídica como entidad de Derecho público con personalidad jurídica propia y plena capacidad pública y privada, que en el desarrollo de su actividad y para el cumplimiento de sus fines actúa con autonomía respecto a la Administración General del Estado, y como parte integrante del Sistema Europeo de Bancos Centrales (SEBC) y del Mecanismo Único de Supervisión (MUS). Esta especial configuración jurídica supone que el marco de seguridad de las redes y sistemas de información resulte de aplicación en la medida en que no interfiera con la naturaleza, funciones e independencia del Banco de España.

Este real decreto se adecúa a los principios de buena regulación establecidos en el artículo 129 de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas. Responde, en primer lugar, a los principios de necesidad y eficacia, en tanto que la norma es necesaria para llevar a cabo el desarrollo reglamentario del Real Decreto-ley 12/2018, de 7 de septiembre, que transpone la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016 y, en concreto, para establecer el marco estratégico e institucional de seguridad de las redes y sistemas de información, las obligaciones de seguridad y la gestión de incidentes, siendo el instrumento más idóneo para la consecución de este objetivo. En segundo término, la norma cumple con el principio de proporcionalidad, al no existir otras medidas menos gravosas para los operadores de servicios esenciales y proveedores de servicios digitales destinadas a cumplir la obligación de adoptar medidas técnicas y de organización para gestionar los riesgos para la seguridad de sus redes y sistemas de información, así como de notificar los incidentes que tengan efectos perturbadores significativos en los servicios que prestan. Asimismo, este real decreto cumple con el principio de seguridad jurídica, resultando el proyecto conforme a la directiva europea de la que trae causa, así como con la Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas y su normativa de desarrollo, la Ley 36/2015, de 28 de septiembre, de Seguridad Nacional, y la normativa comunitaria y nacional en materia de protección de datos. Se ha cumplido igualmente con el principio de transparencia, al haber sometido el proyecto de real decreto al trámite de audiencia, definiéndose claramente los objetivos de la iniciativa normativa y su justificación. Por último, este real decreto resulta conforme con el principio de eficiencia, dado que no se establecen cargas adicionales a las contempladas en el real decreto-ley que desarrolla.

En la elaboración de este real decreto se ha solicitado informe de todos los departamentos ministeriales, así como de la Agencia Española de Protección de Datos, de la Comisión Nacional de los Mercados y de la Competencia, de la Comisión Nacional del Mercado de Valores, del Consejo de Seguridad Nuclear, y del Banco de España. Adicionalmente, se ha solicitado informe a todas las comunidades autónomas y se ha dado audiencia a las organizaciones representativas de los sectores afectados.

En su virtud, a propuesta conjunta de la Vicepresidenta Tercera del Gobierno y Ministra de Asuntos Económicos y Transformación Digital, de la Ministra de Defensa, del Ministro del Interior y de la Vicepresidenta Primera del Gobierno y Ministra de la Presidencia, Relaciones con las Cortes y Memoria Democrática, con la aprobación previa de la Ministra de Política Territorial y Función Pública, de acuerdo con el Consejo de Estado, y previa deliberación del Consejo de Ministros en su reunión del día 26 de enero de 2021,

DISPONGO:

CAPÍTULO I

Disposiciones generales

Artículo 1. Objeto.

Este real decreto tiene por objeto desarrollar el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información, en lo relativo al marco estratégico e institucional de seguridad de las redes y sistemas de información, la supervisión del cumplimiento de las obligaciones de seguridad de los operadores de servicios esenciales y de los proveedores de servicios digitales, y la gestión de incidentes de seguridad.

Artículo 2. Ámbito de aplicación.

1. De conformidad con el artículo 2 del Real Decreto-ley 12/2018, de 7 de septiembre, este real decreto se aplicará a la prestación de:

a) Los servicios esenciales dependientes de las redes y sistemas de información comprendidos en los sectores estratégicos definidos en el anexo de la Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas.

b) Los servicios digitales que sean mercados en línea, motores de búsqueda en línea y servicios de computación en nube.

2. Estarán sometidos a este real decreto:

a) Los operadores de servicios esenciales establecidos en España. Se entenderá que un operador de servicios esenciales está establecido en España cuando su residencia o domicilio social se encuentren en territorio español, siempre que estos coincidan con el lugar en que esté efectivamente centralizada la gestión administrativa y la dirección de sus negocios o actividades.

Así mismo, este real decreto será de aplicación a los servicios esenciales que los operadores residentes o domiciliados en otro Estado ofrezcan a través de un establecimiento permanente situado en España.

De conformidad con lo previsto en el apartado 1 del artículo 6 del Real Decreto-ley 12/2018, la identificación de los servicios esenciales y de los operadores que los presten se efectuará por los órganos y procedimientos previstos por la Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas, y su normativa de desarrollo, en particular el Real Decreto 704/2011, de 20 de mayo, por el que se aprueba el Reglamento de protección de las infraestructuras críticas.

b) Los proveedores de servicios digitales que tengan su sede social en España y que constituya su establecimiento principal en la Unión Europea, así como los que, no estando establecidos en la Unión Europea, designen en España a su representante en la Unión para el cumplimiento de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión.

3. Este real decreto no se aplicará a:

a) Los operadores de redes y servicios de comunicaciones electrónicas y los prestadores de servicios electrónicos de confianza que no sean designados como operadores críticos en virtud de la Ley 8/2011, de 28 de abril.

b) Los proveedores de servicios digitales cuando se trate de microempresas o pequeñas empresas, de acuerdo con las definiciones recogidas en la Recomendación 2003/361/CE de la Comisión, de 6 de mayo de 2003, sobre la definición de microempresas, pequeñas y medianas empresas.

4. De conformidad con el artículo 18 del Real Decreto-ley 12/2018, de 7 de septiembre, cuando una normativa nacional o comunitaria establezca para un sector obligaciones de seguridad de las redes y sistemas de información o de notificación de incidentes que tengan efectos, al menos, equivalentes a los de las obligaciones previstas en el Real Decreto-ley 12/2018, de 7 de septiembre, prevalecerán aquellos requisitos y los mecanismos de supervisión correspondientes.

CAPÍTULO II

Marco estratégico e institucional

Artículo 3. Autoridades competentes.

Las autoridades competentes en materia de seguridad de las redes y sistemas de información serán, con carácter general, las establecidas en el artículo 9.1 del Real Decreto-ley 12/2018, de 7 de septiembre. En particular, son autoridades competentes para los operadores de servicios esenciales que no sean operadores críticos de acuerdo con la Ley 8/2011, de 28 de abril, y que no estén incluidos en el ámbito de aplicación de la Ley 40/2015, de 1 de octubre, de Régimen Jurídico del Sector Público, las siguientes:

a) Respecto al sector del transporte: el Ministerio de Transportes, Movilidad y Agenda Urbana, a través de la Secretaría de Estado de Transportes, Movilidad y Agenda Urbana.

b) Respecto al sector de la energía: el Ministerio para la Transición Ecológica y el Reto Demográfico, a través de la Secretaría de Estado de Energía.

c) Respecto al sector de las tecnologías de la información y las telecomunicaciones: el Ministerio de Asuntos Económicos y Transformación Digital, a través de la Secretaría de Estado de Digitalización e Inteligencia Artificial y la Secretaría de Estado de Telecomunicaciones e Infraestructuras Digitales.

d) Respecto al sector del sistema financiero:

1.º El Ministerio de Asuntos Económicos y Transformación Digital, a través de la Secretaría de Estado de Economía y Apoyo a la Empresa, en el ámbito de los seguros y fondos de pensiones.

2.º El Banco de España, para las entidades de crédito.

3.º La Comisión Nacional del Mercado de Valores, para las entidades que prestan servicios de inversión y las sociedades gestoras de instituciones de inversión colectiva.

e) Respecto al sector del espacio: el Ministerio de Defensa, a través de la Secretaría de Estado de Defensa.

f) Respecto al sector de la industria química: el Ministerio de Interior, a través de la Secretaría de Estado de Seguridad.

g) Respecto al sector de las instalaciones de investigación: el Ministerio de Ciencia e Innovación, a través de la Secretaría General de Investigación.

h) Respecto al sector de la salud: el Ministerio de Sanidad, a través de la Secretaría de Estado de Sanidad.

i) Respecto al sector del agua: el Ministerio para la Transición Ecológica y el Reto Demográfico, a través de la Secretaría de Estado de Medio Ambiente.

j) Respecto al sector de la alimentación:

1.º El Ministerio de Agricultura, Pesca y Alimentación, a través de la Secretaría General de Agricultura y Alimentación.

2.º El Ministerio de Sanidad, a través de la Secretaría de Estado de Sanidad.

3.º El Ministerio de Industria, Comercio y Turismo, a través de la Secretaría de Estado de Comercio.

4.º El Ministerio de Consumo, a través de la Agencia Española de Seguridad Alimentaria y Nutrición (AESAN).

k) Respecto al sector de la industria nuclear:

1.º El Ministerio para la Transición Ecológica y el Reto Demográfico, a través de la Secretaría de Estado de Energía.

2.º El Consejo de Seguridad Nuclear.

Artículo 4. Cooperación y coordinación de los CSIRT de referencia.

1. La cooperación entre los CSIRT de referencia, y entre estos y las autoridades competentes, se instrumentará a través de la Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes regulada en el artículo 11.

2. A efectos de la cooperación prevista en el artículo 11.1.a) 3.º del Real Decreto-ley 12/2018, de 7 de septiembre, se entenderá que son operadores con incidencia en la Defensa Nacional aquellos proveedores de servicios esenciales básicos para el funcionamiento del Ministerio de Defensa o para la operatividad de las Fuerzas Armadas que se establezcan, a propuesta del Ministerio de Defensa, por la Comisión Nacional para la Protección de las Infraestructuras Críticas.

La designación como operador con incidencia en la Defensa Nacional se llevará a cabo de conformidad con lo previsto en el Reglamento de protección de las infraestructuras críticas, aprobado por el Real Decreto 704/2011, de 20 de mayo. Así mismo, los CSIRT de referencia serán informados de la identidad de los operadores de servicios esenciales de su comunidad que sean designados operadores con incidencia en la Defensa Nacional.

El Ministerio de Defensa comunicará oportunamente a la Comisión Nacional para la Protección de las Infraestructuras Críticas las actualizaciones derivadas de cambios de operadores en la provisión de estos servicios, que activarán las correspondientes notificaciones de alta o baja como operadores con incidencia en la Defensa Nacional tanto a los propios operadores como a sus CSIRT de referencia.

Cuando un operador con incidencia en la Defensa Nacional sufra un incidente deberá analizar si, por su alcance, este pudiera tener impacto en el funcionamiento del Ministerio de Defensa o en la operatividad de las Fuerzas Armadas. En el caso de que así fuera, lo pondrá de inmediato en conocimiento de su CSIRT de referencia, quien informará al ESPDEF-CERT del Mando Conjunto del Ciberespacio a través de los canales establecidos. En estos casos, el ESPDEF-CERT del Mando Conjunto del Ciberespacio deberá ser oportunamente informado de la evolución de la gestión del incidente.

3. Los supuestos de especial gravedad a los que se refiere el artículo 11.2 párrafo primero del Real Decreto-ley 12/2018, de 7 de septiembre, en los que el CCN-CERT ejercerá la coordinación nacional de la respuesta técnica de los CSIRT, serán todos aquellos que, atendiendo a la naturaleza de las notificaciones inicial o sucesivas del incidente recibidas por el CSIRT de referencia, posean un impacto o nivel de peligrosidad muy alta o crítica de acuerdo con lo establecido en el anexo, y exijan un nivel de coordinación técnica con los otros CSIRT de referencia superior al necesario en situaciones ordinarias.

El Consejo Nacional de Ciberseguridad será inmediatamente informado y podrá desactivar la coordinación prevista en este artículo, que únicamente podrá producirse cuando haya cesado la situación prevista en el párrafo anterior y que no afectará al proceso de notificación de incidentes regulados en los artículos 11, 19.1 y 19.2 del Real Decreto-ley 12/2018, de 7 de septiembre.

4. El CCN-CERT, en el caso previsto en el apartado anterior, y la Oficina de Coordinación de Ciberseguridad del Ministerio del Interior (OCC), en los supuestos previstos en el artículo 11.2 párrafo segundo del Real Decreto-ley 12/2018, de 7 de septiembre, requerirán al CSIRT de referencia, tras la primera notificación del incidente, al menos la siguiente información:

a) Confirmación de que son correctos los datos asignados al incidente, en particular verificando, si existe esta información, la validez de:

1.º La clasificación del incidente.

2.º La peligrosidad del incidente.

3.º El impacto del incidente.

b) Plan de acción del CSIRT para abordar la resolución técnica del incidente, si procede.

c) Cualquier información que permita determinar el posible impacto transfronterizo del incidente.

Siempre que sea posible se empleará la Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes para las comunicaciones consideradas en este apartado.

Artículo 5. Punto de contacto único.

1. En su función de enlace para garantizar la cooperación transfronteriza de las autoridades competentes designadas conforme al artículo 9 del Real Decreto-ley 12/2018, de 7 de septiembre, con las autoridades competentes de otros Estados miembros de la Unión Europea, así como con el grupo de cooperación contemplado en el artículo 11 de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, y la red de CSIRT, el Consejo de Seguridad Nacional, a través del Departamento de Seguridad Nacional:

a) Comunicará a la Comisión Europea la lista de los operadores de servicios esenciales nacionales establecidos para cada sector y subsector a los que se refiere el artículo 6 del Real Decreto-ley 12/2018, de 7 de septiembre e informará a los puntos de contacto único de otros Estados sobre la intención de identificación de un operador de servicios esenciales de otro Estado miembro que ofrezca servicios en España.

b) Transmitirá a los puntos de contacto de otros Estados miembros de la Unión Europea afectados la información sobre incidentes con impacto transfronterizo que le transmitan las autoridades competentes o CSIRT de referencia, según lo establecido en el artículo 25 del Real Decreto-ley 12/2018, de 7 de septiembre.

c) Remitirá a los CSIRT de referencia y a las autoridades competentes nacionales la correspondiente información sobre incidentes que puedan tener efectos perturbadores en los servicios esenciales que reciba de los puntos de contacto de los correspondientes Estados miembros, para que adopten las medidas oportunas en el ejercicio de sus funciones respectivas.

d) Dictará las instrucciones pertinentes a las autoridades competentes para que elaboren, anualmente, el informe al que se refiere el artículo 27.1 del Real Decreto-ley 12/2018, de 7 de septiembre, sobre el tipo y número de incidentes comunicados, sus efectos en los servicios prestados o en otros servicios y su carácter nacional o transfronterizo dentro de la Unión Europea, teniendo en cuenta las indicaciones del grupo de cooperación respecto al formato y contenido de la información a transmitir.

e) Recabará de las autoridades competentes el informe anual al que se refiere la letra anterior, y elaborará un informe anual resumido sobre las notificaciones recibidas, que remitirá al grupo de cooperación antes del 15 de febrero de cada año y, posteriormente, a las autoridades competentes y a los CSIRT de referencia, para su conocimiento.

2. Adicionalmente a las funciones de enlace previstas en el apartado anterior, y de conformidad con lo previsto en el artículo 9.2 del Real Decreto-ley 12/2018, de 7 de septiembre, el Consejo de Seguridad Nacional, a través de su comité especializado en materia de ciberseguridad, garantizará la coordinación de las actuaciones de las autoridades competentes mediante:

a) El fomento de la coherencia entre los requisitos de seguridad específicos que en su caso adopten las autoridades competentes, conforme a lo previsto en el artículo 6.6 de este real decreto.

b) El fomento de la coherencia entre las obligaciones específicas que en su caso establezcan las autoridades competentes, conforme a lo previsto en el artículo 8.3 de este real decreto.

c) El impulso de la coordinación de las disposiciones y actuaciones de las autoridades competentes y las actuaciones de los CSIRT de referencia con las disposiciones y actuaciones en materia de seguridad de la información de las autoridades de protección de datos y de seguridad pública.

3. Del mismo modo, el Consejo de Seguridad Nacional ejercerá las funciones de coordinación previstas en el apartado 2 anterior en los supuestos contemplados en el artículo 18 del Real Decreto-ley 12/2018, de 7 de septiembre.

CAPÍTULO III

Requisitos de seguridad

Artículo 6. Medidas para el cumplimiento de las obligaciones de seguridad.

1. Los operadores de servicios esenciales y los proveedores de servicios digitales deberán adoptar las medidas técnicas y de organización adecuadas y proporcionadas para gestionar los riesgos que afecten a la seguridad de las redes y sistemas de información utilizados para la prestación de sus servicios, tanto si se trata de redes y sistemas propios, como de proveedores externos.

2. En el caso de los operadores de servicios esenciales, deberán aprobar unas políticas de seguridad de las redes y sistemas de información, atendiendo a los principios de seguridad integral, gestión de riesgos, prevención, respuesta y recuperación, líneas de defensa, reevaluación periódica y segregación de tareas.

Dichas políticas considerarán, como mínimo, los siguientes aspectos:

a) Análisis y gestión de riesgos.

b) Gestión de riesgos de terceros o proveedores.

c) Catálogo de medidas de seguridad, organizativas, tecnológicas y físicas.

d) Gestión del personal y profesionalidad.

e) Adquisición de productos o servicios de seguridad.

f) Detección y gestión de incidentes.

g) Planes de recuperación y aseguramiento de la continuidad de las operaciones.

h) Mejora continua.

i) Interconexión de sistemas.

j) Registro de la actividad de los usuarios.

3. Las medidas de seguridad que se adopten por los operadores de servicios esenciales deberán tener en cuenta, en particular, la dependencia de las redes y sistemas de información y la continuidad de servicios o suministros contratados por el operador, así como las interacciones que presenten con redes y sistemas de información de terceros.

4. La relación de medidas adoptadas se formalizará en un documento denominado Declaración de Aplicabilidad de medidas de seguridad, que será suscrito por el responsable de seguridad de la información designado conforme a lo previsto en el artículo siguiente y que se incluirá en la política de seguridad que apruebe la Dirección de la organización. Dicho documento, que deberá remitirse a la autoridad competente respectiva en el plazo de seis meses desde la designación del operador como operador de servicios esenciales, deberá revisarse, al menos, cada tres años. Tanto la Declaración de Aplicabilidad de medidas de seguridad inicial, como sus sucesivas revisiones serán objeto de supervisión por la autoridad competente respectiva, según se prevé en el artículo 14 de este real decreto.

5. Las medidas a las que se refieren los apartados anteriores tomarán como referencia las recogidas en el anexo II del Real Decreto 3/2010, de 8 de enero, por el que se regula el Esquema Nacional de Seguridad en el ámbito de la Administración Electrónica, en la medida en que sean aplicables, y se basarán, cuando sea posible, en otros esquemas nacionales de seguridad existentes.

Sin perjuicio de lo anterior, podrán tenerse en cuenta otros estándares reconocidos internacionalmente.

6. Las medidas adoptadas podrán ser complementadas con otras, atendiendo a necesidades específicas, entre ellas, la posibilidad de exigir un documento de aplicabilidad de los sistemas afectados por esta normativa, en aquellos operadores con entornos de sistemas de información especialmente complejos. En particular, se complementarán con las que, en su caso, establezcan con carácter específico las autoridades competentes, de conformidad con lo previsto en el artículo 16.4 y el artículo 32.2 del Real Decreto-ley 12/2018, de 7 de septiembre.

7. En la elaboración de las políticas de seguridad de las redes y sistemas de información se tendrán en cuenta los riesgos que se derivan del tratamiento de los datos personales, de acuerdo con el artículo 24 del Reglamento (UE) 2016/679, del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, Reglamento general de protección de datos). En caso de que el análisis de gestión de riesgos de acuerdo con el Reglamento general de protección de datos exija medidas adicionales a implantar respecto de las previstas en el Real Decreto 3/2010, de 8 de enero, se adoptarán las medidas de acuerdo con el artículo 24.1 del Reglamento general de protección de datos.

Artículo 7. Responsable de la seguridad de la información.

1. Los operadores de servicios esenciales designarán una persona, unidad u órgano colegiado, responsable de la seguridad de la información que ejercerá las funciones de punto de contacto y coordinación técnica con la autoridad competente y CSIRT de referencia que le corresponda de conformidad con lo previsto en el apartado tercero. En el supuesto de que el responsable de seguridad de la información sea una unidad u órgano colegiado, se deberá designar una persona física representante, así como un sustituto de este que asumirá sus funciones en casos de ausencia, vacante o enfermedad. El plazo para llevar a cabo dicha designación será de tres meses desde su designación como operador de servicios esenciales.

2. Los operadores de servicios esenciales comunicarán a la autoridad competente respectiva la designación del responsable de la seguridad de la información dentro del plazo establecido en el apartado anterior, así como los nombramientos y ceses que afecten a la designación del responsable de la seguridad de la información en el plazo de un mes desde que aquellos se produzcan.

3. El responsable de la seguridad de la información actuará como punto de contacto con la autoridad competente en materia de supervisión de los requisitos de seguridad de las redes y sistemas de información, y como punto de contacto especializado para la coordinación de la gestión de los incidentes con el CSIRT de referencia. Se desarrollarán bajo su responsabilidad, entre otras, las siguientes funciones:

a) Elaborar y proponer para aprobación por la organización, de conformidad con lo establecido en el artículo 6.2 de este real decreto, las políticas de seguridad, que incluirán las medidas técnicas y organizativas, adecuadas y proporcionadas, para gestionar los riesgos que se planteen para la seguridad de las redes y sistemas de información utilizados y para prevenir y reducir al mínimo los efectos de los ciberincidentes que afecten a la organización y los servicios, de conformidad con lo dispuesto en el artículo 6.

b) Supervisar y desarrollar la aplicación de las políticas de seguridad, normativas y procedimientos derivados de la organización, supervisar su efectividad y llevar a cabo controles periódicos de seguridad.

c) Elaborar el documento de Declaración de Aplicabilidad de medidas de seguridad considerado en el artículo 6.3 párrafo segundo de este real decreto.

d) Actuar como capacitador de buenas prácticas en seguridad de las redes y sistemas de información, tanto en aspectos físicos como lógicos.

e) Remitir a la autoridad competente, a través del CSIRT de referencia y sin dilación indebida, las notificaciones de incidentes que tengan efectos perturbadores en la prestación de los servicios a los que se refiere el artículo 19.1 del Real Decreto-ley 12/2018, de 7 de septiembre.

f) Recibir, interpretar y supervisar la aplicación de las instrucciones y guías emanadas de la autoridad competente, tanto para la operativa habitual como para la subsanación de las deficiencias observadas.

g) Recopilar, preparar y suministrar información o documentación a la autoridad competente o el CSIRT de referencia, a su solicitud o por propia iniciativa.

El responsable de la seguridad de la información, para desarrollar estas funciones, se podrá apoyar en servicios prestados por terceros.

4. Los operadores de servicios esenciales garantizarán que el responsable de la seguridad de la información cumpla con los siguientes requisitos:

a) Contar con personal con conocimientos especializados y experiencia en materia de ciberseguridad, desde los puntos de vista organizativo, técnico y jurídico, adecuados al desempeño de las funciones indicadas en el apartado anterior.

b) Contar con los recursos necesarios para el desarrollo de dichas funciones.

c) Ostentar una posición en la organización que facilite el desarrollo de sus funciones, participando de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la seguridad, y manteniendo una comunicación real y efectiva con la alta dirección.

d) Mantener la debida independencia respecto de los responsables de las redes y los sistemas de información.

5. Siempre que concurran los requisitos de conocimiento, experiencia, independencia y, en su caso, titulación, las funciones y responsabilidades encomendadas al responsable de la seguridad de la información podrán compatibilizarse con las señaladas para el Responsable de Seguridad y Enlace y el Responsable de Seguridad del Esquema Nacional de Seguridad, de conformidad con lo dispuesto en la normativa aplicable a estas figuras.

CAPÍTULO IV

Gestión de incidentes de seguridad

Artículo 8. Gestión de incidentes de seguridad.

1. Los operadores de servicios esenciales y los proveedores de servicios digitales deberán gestionar y resolver los incidentes de seguridad que afecten a las redes y sistemas de información utilizados para la prestación de sus servicios. En el caso de redes y sistemas que no sean propios los operadores deberán tomar las medidas necesarias para garantizar que dichas acciones se lleven a cabo por los proveedores externos.

Esta obligación alcanza tanto a los incidentes detectados por el propio operador o proveedor como a los que les señalen el CSIRT de referencia o la autoridad competente, cuando tengan conocimiento de alguna circunstancia que haga sospechar de la existencia de un incidente.

2. Sin perjuicio de lo previsto en el artículo 28.1 del Real Decreto-ley 12/2018, de 7 de septiembre, los operadores de servicios esenciales y los proveedores de servicios digitales podrán solicitar voluntariamente ayuda especializada del CSIRT de referencia para la gestión de los incidentes, debiendo en tales casos atender a las indicaciones que reciban de este para resolver el incidente, mitigar sus efectos y reponer los sistemas afectados.

3. En la resolución de los incidentes, los operadores de servicios esenciales aplicarán los aspectos pertinentes de la política de gestión de la seguridad de las redes y sistemas de información a la que se refiere el artículo 6, así como las obligaciones específicas que en su caso establezcan las autoridades competentes.

Artículo 9. Obligaciones de notificación de incidentes de los operadores de servicios esenciales.

1. Los operadores de servicios esenciales notificarán a la autoridad competente respectiva, a través del CSIRT de referencia, los incidentes que puedan tener efectos perturbadores significativos en dichos servicios, considerándose a tal efecto los incidentes con un nivel de impacto crítico, muy alto o alto, según el detalle que se especifica en el apartado 4 de la Instrucción nacional de notificación y gestión de ciberincidentes, que se contiene en el anexo de este real decreto.

Asimismo, notificarán los sucesos o incidencias que, por su nivel de peligrosidad, puedan afectar a las redes y sistemas de información empleados para la prestación de los servicios esenciales, aun cuando no hayan tenido todavía un efecto adverso real sobre aquellos. A estos efectos, se considerarán los incidentes con un nivel de peligrosidad crítico, muy alto o alto, según el detalle que se especifica en el apartado 3 de la citada Instrucción.

2. Sin perjuicio de lo anterior, las autoridades competentes podrán establecer, de conformidad con el artículo 19.5 del Real Decreto-ley 12/2018, de 7 de septiembre, obligaciones específicas de notificación que contemplen niveles diferentes a los previstos en la Instrucción nacional de notificación y gestión de ciberincidentes, así como factores y umbrales sectoriales específicos, aplicables a los operadores sometidos a su supervisión.

3. La notificación de un ciberincidente conforme a este real decreto no excluye ni sustituye la notificación que de los mismos hechos deba realizarse a otros organismos conforme a su normativa específica.

En particular, las obligaciones de notificación previstas en los apartados anteriores son independientes de las que deban realizarse a la Agencia Española de Protección de Datos conforme a lo previsto en el artículo 33 del Reglamento general de protección de datos, sin perjuicio de la cooperación entre autoridades prevista en el artículo 29 del Real Decreto-ley 12/2018, y la posibilidad de acceso por parte de la citada agencia a la plataforma común de notificación de incidentes prevista en su disposición adicional tercera.

A estos efectos, las notificaciones previstas en los apartados 1 y 2 de este artículo incluirán la información que, para los casos de violación de la seguridad de los datos personales, se contenga en los formularios aprobados por la Agencia Española de Protección de Datos.

Artículo 10. Procedimientos de notificación de incidentes.

1. Los CSIRT de referencia garantizarán un intercambio fluido de información con las autoridades competentes que correspondan, asegurando el adecuado seguimiento durante la gestión de los incidentes, así como el acceso a la información empleada en las distintas fases que componen la gestión de incidentes.

2. Los operadores de servicios esenciales realizarán las notificaciones a través del responsable de la seguridad de la información designado.

En el caso de que un operador de servicios esenciales reúna los criterios previstos en el artículo 6.2 del Real Decreto-ley 12/2018, de 7 de septiembre, sobre seguridad de las redes y sistemas de información, el responsable de la seguridad de la información se coordinará a estos efectos con el Responsable de Seguridad y Enlace previsto en el artículo 16 de la Ley 8/2011, de 28 de abril, por la que se establecen medidas para la protección de las infraestructuras críticas.

3. Los operadores de servicios esenciales deberán realizar una primera notificación tan pronto como dispongan de información para determinar que se dan las circunstancias para la notificación, atendiendo a los factores y umbrales correspondientes.

Se efectuarán las notificaciones intermedias que sean precisas para actualizar o completar la información incorporada a la notificación inicial, e informar sobre la evolución del incidente, mientras este no esté resuelto, y se realizará una notificación final del incidente tras su resolución, informando del detalle de la evolución del suceso, la valoración de la probabilidad de su repetición, y las medidas correctoras que eventualmente tenga previsto adoptar el operador. Los umbrales temporales exigidos para dichas notificaciones serán los recogidos en el anexo de este real decreto.

4. Las notificaciones incluirán, en cuanto esté disponible, la información que permita determinar cualquier efecto transfronterizo del incidente.

5. Lo establecido en los apartados anteriores será de aplicación a los proveedores de servicios digitales en tanto que no se regule de modo diferente en los actos de ejecución previstos en el artículo 16.9 de la Directiva (UE) 2016/1148 del Parlamento Europeo y del Consejo, de 6 de julio de 2016, relativa a las medidas destinadas a garantizar un elevado nivel común de seguridad de las redes y sistemas de información en la Unión.

6. El CSIRT de referencia, en colaboración con la autoridad competente, valorará con prontitud dicha información con vistas a determinar si el incidente puede tener efectos perturbadores significativos para los servicios esenciales prestados en otros Estados miembros de la Unión Europea, informando en tal caso a través del punto de contacto único a los Estados miembros afectados.

Asimismo, la autoridad competente valorará, conjuntamente con el correspondiente CSIRT de referencia, la información sobre incidentes con posibles impactos transfronterizos que reciba de otros Estados miembros, y se lo indicará y transmitirá la información relevante a los operadores de servicios esenciales que puedan verse afectados.

Artículo 11. Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes.

1. El CCN-CERT en colaboración con el INCIBE-CERT y el ESPDEF-CERT del Mando Conjunto del Ciberespacio pondrá a disposición de todos los actores involucrados la Plataforma Nacional de Notificación y Seguimiento de Ciberincidentes a la que se refiere el artículo 19.4 del Real Decreto-ley 12/2018, de 7 de septiembre.

2. La plataforma permitirá el intercambio de información y el seguimiento de incidentes entre los operadores de servicios esenciales o proveedores de servicios digitales, las autoridades competentes y los CSIRT de referencia de manera segura y confiable, sin perjuicio de los requisitos específicos que apliquen en materia de protección de datos de carácter personal.

3. Esta plataforma deberá garantizar asimismo la disponibilidad, autenticidad, integridad y confidencialidad de la información, así como podrá emplearse también para dar cumplimiento a la exigencia de notificación derivada de regulaciones sectoriales, de acuerdo con el artículo 19.5 del Real Decreto-ley 12/2018, de 7 de septiembre.

4. La plataforma dispondrá asimismo de diversos canales de comunicación para su uso por parte de las autoridades competentes y los CSIRT de referencia. La plataforma garantizará el acceso de las autoridades competentes a toda la información relativa a la notificación y estado de situación de los incidentes de su ámbito de competencia que les permita efectuar en todo momento el necesario seguimiento y control de su estado de situación. Igualmente, las autoridades competentes tendrán acceso a través de la plataforma a datos estadísticos, en particular a los necesarios para generar los informes a los que hace mención el artículo 5.

5. Asimismo, la plataforma implementará el procedimiento de notificación y gestión de incidentes, que estará disponible durante todas las horas del día y todos los días del año, y dispondrá como mínimo de las siguientes capacidades:

a) Capacidad de gestión de ciberincidentes, con incorporación de taxonomía, criticidad y notificaciones a terceros, según lo establecido en el anexo.

b) Capacidad de intercambio de información sobre ciberamenazas.

c) Capacidad de análisis de muestras.

d) Capacidad de registro y notificación de vulnerabilidades.

e) Capacidad de comunicaciones seguras entre los actores involucrados en diferentes formatos y plataformas.

f) Capacidad de intercambio masivo de datos.

g) Generación de estadísticas e informes agregados.

Artículo 12. Información sobre incidentes.

1. Cuando las circunstancias lo permitan, los CSIRT de referencia proporcionarán a los operadores de servicios esenciales y a los proveedores de servicios digitales notificantes la información pertinente con respecto al seguimiento de la notificación de un incidente, en particular aquella que pueda facilitar la gestión eficaz del incidente.

2. Asimismo, las autoridades competentes y los CSIRT de referencia proporcionarán a los operadores de servicios esenciales y a los proveedores de servicios digitales que pudieran verse afectados por dichos incidentes la información que pudiera serles relevante para prevenir y en su caso resolver el incidente.

3. Al proporcionar la información a la que se refieren los apartados anteriores, las autoridades competentes y los CSIRT de referencia velarán por los intereses comerciales de los operadores de servicios esenciales y proveedores de servicios digitales, preservando la confidencialidad de la información que recaben de estos, de conformidad con lo establecido en el artículo 15 del Real Decreto-ley 12/2018, de 7 de septiembre.

Artículo 13. Actuaciones ante incidentes con carácter presuntamente delictivo.

En cumplimiento de lo dispuesto en el artículo 262 de la Ley de Enjuiciamiento Criminal, la OCC comunicará a la mayor brevedad posible al Ministerio Fiscal y, en su caso, a las Unidades orgánicas de Policía Judicial competentes, aquellos incidentes de seguridad que le sean notificados y que revistan carácter presuntamente delictivo, trasladando al tiempo la información que posea en relación con ello. A dicho fin podrá requerir de los operadores afectados o de los CSIRT de referencia cuanta información relacionada con el incidente se estime necesaria.

Artículo 14. Consulta con otras autoridades.

1. Las consultas con otras autoridades con competencia en materia de seguridad pública y seguridad ciudadana, previstas en el artículo 14.1 del Real Decreto-ley 12/2018, de 7 de septiembre, se realizarán a través de la OCC.

2. Las consultas relativas al resto de materias previstas en el citado artículo 14 se realizarán directamente a las autoridades competentes correspondientes.

CAPÍTULO V

Supervisión

Artículo 15. Supervisión del cumplimiento de obligaciones de seguridad y de notificación de incidentes.

1. Las autoridades competentes supervisarán en su ámbito de actuación el cumplimiento de las obligaciones de seguridad y de notificación de incidentes que sean de aplicación a los operadores de servicios esenciales y a los proveedores de servicios digitales de conformidad con el Real Decreto-ley 12/2018, de 7 de septiembre, y este real decreto.

2. Los operadores de servicios esenciales y los proveedores de servicios digitales colaborarán con la autoridad competente en dicha supervisión, facilitando las actuaciones de inspección, proporcionando toda la información que a tal efecto se les requiera, y aplicando las instrucciones dictadas, en su caso, para la subsanación de las deficiencias observadas.

3. El cumplimiento de las obligaciones de seguridad en las redes y sistemas de información podrá ser acreditado mediante la certificación en un esquema de seguridad que, previa consulta al CSIRT de referencia, sea reconocido por la autoridad competente.

4. Las autoridades competentes podrán realizar las actuaciones inspectoras que sean precisas para el ejercicio de su función de control. En particular, las actuaciones de inspección de las autoridades competentes, que podrán ser apoyadas por los CSIRT de referencia, tendrán por objeto:

a) Controlar el cumplimiento de las normas e instrucciones técnicas que, en su caso, resulten aplicables a los operadores sujetos a su supervisión.

b) Verificar el cumplimiento de las funciones del responsable de seguridad de la información designado por los operadores de servicios esenciales, según lo previsto en el artículo 7.3 de este real decreto.

c) Realizar las comprobaciones, inspecciones, pruebas y revisiones necesarias para verificar el cumplimiento de las medidas de seguridad previstas en el artículo 6, en particular, la política de seguridad de los operadores de servicios esenciales y la Declaración de aplicabilidad de medidas de seguridad.

De conformidad con lo previsto en el artículo 32.1 del Real Decreto-ley 12/2018, de 7 de septiembre, cuando el volumen o complejidad de las actuaciones de inspección que deban desarrollarse así lo aconseje, las autoridades competentes podrán requerir al operador de servicios esenciales la remisión de un informe de auditoría, elaborado por una entidad externa, solvente e independiente, sobre la seguridad de sus redes y sistemas de información.

5. Los CSIRT de referencia colaborarán con las autoridades competentes, cuando estas se lo requieran, en el ejercicio de las funciones a las que se refiere el apartado anterior. En particular, facilitarán asesoramiento técnico sobre la idoneidad de las medidas de seguridad adoptadas por los operadores de servicios esenciales y los proveedores de servicios digitales en virtud del artículo 6 de este real decreto.

Asimismo, cuando se trate de operadores con incidencia en la Defensa Nacional a que se refiere el artículo 4.2 de este real decreto, el ESPDEF-CERT del Mando Conjunto del Ciberespacio podrá colaborar en la supervisión con la autoridad competente.

6. En el caso de los proveedores de servicios digitales la supervisión se llevará a cabo de manera coordinada con las autoridades competentes correspondientes de los Estados miembros de la Unión Europea donde dichos proveedores presten servicios o tengan su establecimiento principal en la Unión.

Disposición adicional primera. Designación del responsable de la seguridad de la información por los operadores de servicios esenciales designados.

Los operadores de servicios esenciales designados conforme a lo previsto en la disposición adicional primera del Real Decreto-ley 12/2018, de 7 de septiembre, deberán comunicar a la autoridad competente respectiva la identidad del responsable de la seguridad de la información en el plazo de tres meses desde la entrada en vigor de este real decreto.

Disposición adicional segunda. Orientaciones para la gestión de incidentes y cumplimiento de las obligaciones de notificación.

El Consejo de Seguridad Nacional, a propuesta de su comité especializado en materia de ciberseguridad, y articuladas sus funciones como punto de contacto único a través del Departamento de Seguridad Nacional, podrá aprobar orientaciones en relación con la Instrucción Nacional de Notificación y Gestión de Incidentes recogida en el anexo, así como para la actualización de la Guía Nacional de Notificación y Gestión de Ciberincidentes, que incluyan directrices y recomendaciones para el cumplimiento de las obligaciones de notificación previstas en este real decreto, así como en el Real Decreto-ley 12/2018, de 7 de septiembre, con objeto de mejorar la coordinación y optimizar los recursos dedicados a la gestión de los incidentes que afecten a la seguridad de las redes y sistemas de información.

Disposición adicional tercera. Régimen específico del Banco de España.

Las disposiciones del presente real decreto se entenderán sin perjuicio de las competencias y funciones atribuidas al Banco de España, al Banco Central Europeo y al Sistema Europeo de Bancos Centrales, de conformidad con el Tratado de Funcionamiento de la Unión Europea, los Estatutos del Sistema Europeo de Bancos Centrales y del Banco Central Europeo, Reglamento (UE) n.º 1024/2013 del Consejo, de 15 de octubre de 2013, que encomienda al Banco Central Europeo tareas específicas respecto de políticas relacionadas con la supervisión prudencial de las entidades de crédito, y la Ley 13/1994, de 1 de junio, de Autonomía del Banco de España.

En lo no previsto en su normativa específica, y en cuanto sea compatible con su naturaleza, funciones e independencia, será de aplicación al Banco de España lo previsto en este real decreto.

Disposición adicional cuarta. Supuesto de dependencia de proveedores externos.

En referencia al artículo 19.3 del Real Decreto-ley 12/2018, de 7 de septiembre, cuando los operadores de servicios esenciales o proveedores de servicios digitales dependan de proveedores externos a los que les sea de aplicación la disposición adicional novena de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico, el Equipo de Respuesta ante Emergencias Informáticas (CERT) competente del proveedor externo se corresponderá con:

a) El CCN-CERT, del Centro Criptológico Nacional, cuando el proveedor esté incluido en el ámbito subjetivo de aplicación de la Ley 40/2015, de 1 de octubre.

b) El INCIBE-CERT, del Instituto Nacional de Ciberseguridad de España, en el resto de los casos.

Disposición adicional quinta. Tratamientos de datos de carácter personal.

Los tratamientos de datos de carácter personal de las personas físicas se realizarán con estricta sujeción a lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y el Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a su libre circulación; en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, y, en su caso, en la normativa sobre protección de datos personales especial o específica que resulte de aplicación.

Disposición adicional sexta. Información sobre incidentes en el sistema financiero.

Los CSIRT de referencia informarán al titular de la Secretaría de Estado de Economía y Apoyo a la Empresa, a través de la Secretaría General del Tesoro y Financiación Internacional, de los incidentes que puedan tener efectos perturbadores significativos en los servicios esenciales del sistema financiero. A estos efectos, se entenderá que tienen efectos perturbadores significativos cuando su umbral o nivel de impacto sea crítico, muy alto o alto, según lo señalado en el anexo de este real decreto.

Disposición transitoria única. Desempeño transitorio de funciones en el sector energético.

La Secretaría de Estado de Seguridad del Ministerio del Interior, a través de la Oficina de Coordinación de Ciberseguridad (OCC), desempeñará temporalmente las funciones atribuidas por este real decreto al departamento ministerial con competencias en materia de energía, hasta que este disponga de los recursos humanos necesarios con la formación adecuada para ejercer estas competencias de forma efectiva según lo previsto en el artículo 3 y, en todo caso, en un plazo máximo de 12 meses.

Disposición final primera. Título competencial.

Este real decreto se dicta al amparo de lo previsto en el artículo 149.1.21.ª y 29.ª de la Constitución, que atribuye al Estado competencia exclusiva en materia de régimen general de telecomunicaciones y seguridad pública, respectivamente.

Disposición final segunda. Habilitación para el desarrollo normativo y aplicación.

Se faculta a los titulares de los Ministerios de Asuntos Económicos y Transformación Digital, Interior y Defensa, así como a los titulares de los Ministerios y organismos relacionados en el artículo 3, para dictar conjunta o separadamente, según las materias de que se trate, y en el ámbito de sus respectivas competencias, las disposiciones que exijan el desarrollo y aplicación de este real decreto.

Disposición final tercera. Entrada en vigor.

El presente real decreto entrará en vigor el día siguiente al de su publicación en el "Boletín Oficial del Estado".

Dado en Madrid, el 26 de enero de 2021.

FELIPE R.

La Vicepresidenta Primera del Gobierno y Ministra de la Presidencia, Relaciones con las Cortes y Memoria Democrática,

CARMEN CALVO POYATO

ANEXO

Instrucción nacional de notificación y gestión de ciberincidentes

1. Obligatoriedad de notificación

Los incidentes se asociarán a uno de los niveles de peligrosidad e impacto establecidos en esta instrucción, teniendo en cuenta la obligatoriedad de notificación de todos aquellos que se categoricen con un nivel CRÍTICO, MUY ALTO o ALTO para todos aquellos sujetos obligados a los que les sea aplicable esta "Instrucción nacional de notificación y gestión de ciberincidentes". En ese caso, los sujetos obligados deberán comunicar, en tiempo y forma, los incidentes que registren en sus redes y sistemas de información y que estén obligados a notificar por superar los umbrales de impacto o peligrosidad establecidos en esta instrucción.

Para la notificación de los incidentes de ciberseguridad se utilizará como criterio de referencia el nivel de peligrosidad que se asigne a un incidente, sin perjuicio de que a lo largo del desarrollo, mitigación o resolución del mismo, se categorice con un determinado nivel de impacto que haga aconsejable la comunicación del incidente a la autoridad competente o CSIRT de referencia.

En todo caso, cuando un determinado suceso pueda asociarse a más de un tipo de incidente debido a sus características potenciales, este se asociará a aquel que tenga un nivel de peligrosidad superior de acuerdo a los criterios expuestos en esta Instrucción.

2. Clasificación/taxonomía de los ciberincidentes

La siguiente Clasificación/Taxonomía de los ciberincidentes está alineada con la taxonomía aprobada por la Agencia de la Unión Europea para la Ciberseguridad (ENISA).

Esta Clasificación/Taxonomía de los ciberincidentes se empleará para la asignación de una clasificación específica a un incidente registrado en las redes y sistemas de información cuando se realice la comunicación a la autoridad competente o CSIRT de referencia.

Tabla 1. Clasificación/Taxonomía de los ciberincidentes

Contenido abusivo.

Correo electrónico masivo no solicitado. El receptor del contenido no ha otorgado autorización válida para recibir un mensaje colectivo.

Delitos de odio, contra la libertad o el honor.

Contenido difamatorio o discriminatorio.

Ej.: ciberacoso, racismo, amenazas a una persona o dirigidas contra colectivos.

Contenido dañino.

Sistema infectado.

Sistema infectado con malware. Ej.: sistema, computadora o teléfono móvil infectado con un rootkit.

Obtención de información.

Escaneo de redes ( scanning).

Envío de peticiones a un sistema para descubrir posibles debilidades. Se incluyen también procesos de comprobación o testeo para recopilar información de alojamientos, servicios y cuentas. Ej.: peticiones DNS, ICMP, SMTP, escaneo de puertos.

Análisis de paquetes ( sniffing).

Observación y grabación del tráfico de redes.

Intento de intrusión.

Explotación de vulnerabilidades conocidas.

Intento de compromiso de un sistema o de interrupción de un servicio mediante la explotación de vulnerabilidades con un identificador estandarizado (véase CVE). Ej.: desbordamiento de buffer, puertas traseras, cross site scripting (XSS).

Disponibilidad.

DoS (Denegación de servicio).

Ataque de denegación de servicio. Ej.: envío de peticiones a una aplicación web que provoca la interrupción o ralentización en la prestación del servicio.

Suplantación de otra entidad con la finalidad de convencer al usuario para que revele sus credenciales privadas.

Amplificador DDoS.

Servicios accesibles públicamente que puedan ser empleados para la reflexión o amplificación de ataques DDoS. Ej.: DNS open-resolvers o Servidores NTP con monitorización monlist.

3. Nivel de peligrosidad del ciberincidente

El indicador de peligrosidad determina la potencial amenaza que supondría la materialización de un incidente en los sistemas de información o comunicación del ente afectado, así como para los servicios prestados o la continuidad de negocio en caso de haberla. Este indicador se fundamenta en las características intrínsecas a la tipología de amenaza y su comportamiento.

Los incidentes se asociarán a alguno de los siguientes niveles de peligrosidad: CRÍTICO, MUY ALTO, ALTO, MEDIO, BAJO.

Nivel crítico:

- APT.

Nivel muy alto:

- Distribución de malware.

- Configuración de malware.

- Robo.

- Sabotaje.

- Interrupciones.

Nivel alto:

- Pornografía infantil, contenido sexual o violento inadecuado.

- Sistema infectado.

- Servidor C&C (Mando y Control).

- Compromiso de aplicaciones.

- Compromiso de cuentas con privilegios.

- Ataque desconocido.

- DoS (Denegación de servicio).

- DDoS (Denegación distribuida de servicio).

- Acceso no autorizado a información.

- Modificación no autorizada de información.

- Pérdida de datos.

Nivel medio:

- Discurso de odio.

- Ingeniería social.

- Explotación de vulnerabilidades conocidas.

- Intento de acceso con vulneración de credenciales.

- Compromiso de cuentas sin privilegios.

- Desconfiguración.

- Uso no autorizado de recursos.

- Derechos de autor.

- Suplantación.

- Criptografía débil.

- Amplificador DDoS.

- Servicios con acceso potencial no deseado.

- Revelación de información.

- Sistema vulnerable.

Nivel bajo:

- Escaneo de redes ( scanning).

- Análisis de paquetes ( sniffing).

- Otros.

4. Nivel de impacto del ciberincidente

El indicador de impacto de un ciberincidente se determinará evaluando las consecuencias que tal ciberincidente ha tenido en las funciones y actividades de la organización afectada, en sus activos o en los individuos afectados. De acuerdo a ello, se tienen en cuenta aspectos como las consecuencias potenciales o materializadas que provoca una determinada amenaza en un sistema de información y/o comunicación, así como en la propia entidad afectada (organismos públicos o privados, y particulares).

Los criterios empleados para la determinación del nivel de impacto asociado a un ciberincidente atienden a los siguientes parámetros:

- Impacto en la Seguridad Nacional o en la seguridad ciudadana.

- Efectos en la prestación de un servicio esencial o en una infraestructura crítica.

- Tipología de la información o sistemas afectados.

- Grado de afectación a las instalaciones de la organización.

- Posible interrupción en la prestación del servicio normal de la organización.

- Tiempo y costes propios y ajenos hasta la recuperación del normal funcionamiento de las instalaciones.

- Pérdidas económicas.

- Extensión geográfica afectada.

- Daños reputacionales asociados.

Los incidentes se asociarán a alguno de los siguientes niveles de impacto: CRÍTICO, MUY ALTO, ALTO, MEDIO, BAJO, SIN IMPACTO.

Nivel crítico:

- Afecta apreciablemente a la Seguridad Nacional.

- Afecta a la seguridad ciudadana, con potencial peligro para la vida de las personas.

- Afecta a una infraestructura crítica.

- Afecta a sistemas clasificados SECRETO.

- Afecta a más del 90 % de los sistemas de la organización.

- Interrupción en la prestación del servicio superior a 24 horas y superior al 50 % de los usuarios.

- El ciberincidente precisa para resolverse más de 100 Jornadas-Persona.

- Impacto económico superior al 0,1 % del Producto Interior Bruto (PIB) actual.

- Extensión geográfica supranacional.

- Daños reputacionales muy elevados y cobertura continua en medios de comunicación internacionales.

Nivel muy alto:

- Afecta a la seguridad ciudadana con potencial peligro para bienes materiales.

- Afecta apreciablemente a actividades oficiales o misiones en el extranjero.

- Afecta a un servicio esencial.

- Afecta a sistemas clasificados RESERVADO.

- Afecta a más del 75 % de los sistemas de la organización.

- Interrupción en la prestación del servicio superior a 8 horas y superior al 35 % de los usuarios.

- El ciberincidente precisa para resolverse entre 30 y 100 Jornadas-Persona.

- Impacto económico entre el 0,07 % y el 0,1 % del PIB actual.

- Extensión geográfica superior a 4 Comunidades Autónomas (CC.AA.) o un territorio de Interés Singular (TIS, se considera como tal a las ciudades de Ceuta y Melilla y a cada una de las islas que forman los archipiélagos de las islas Baleares y las islas Canarias).

- Daños reputacionales a la imagen del país (marca España).

- Daños reputacionales elevados y cobertura continua en medios de comunicación nacionales.

Nivel alto:

- Afecta a más del 50 % de los sistemas de la organización.

- Interrupción en la prestación del servicio superior a 1 hora y superior al 10 % de usuarios.

- El ciberincidente precisa para resolverse entre 5 y 30 Jornadas-Persona.

- Impacto económico entre el 0,03 % y el 0,07 % del PIB actual.

- Extensión geográfica superior a 3 CC.AA.

- Daños reputacionales de difícil reparación, con eco mediático (amplia cobertura en los medios de comunicación) y afectando a la reputación de terceros.

Nivel medio:

- Afecta a más del 20 % de los sistemas de la organización.

- Interrupción en la presentación del servicio superior al 5 % de usuarios.

- El ciberincidente precisa para resolverse entre 1 y 5 Jornadas-Persona.

- Impacto económico entre el 0,001 % y el 0,03 % del PIB actual.

- Extensión geográfica superior a 2 CC.AA.

- Daños reputacionales apreciables, con eco mediático (amplia cobertura en los medios de comunicación).

Nivel bajo:

- Afecta a los sistemas de la organización.

- Interrupción de la prestación de un servicio.

- El ciberincidente precisa para resolverse menos de 1 Jornada-Persona.

- Impacto económico entre el 0,0001 % y el 0,001 % del PIB actual.

- Extensión geográfica superior a 1 CC.AA.

- Daños reputacionales puntuales, sin eco mediático.

Sin impacto:

- No hay ningún impacto apreciable.

5. Información a notificar a la autoridad competente en caso de incidente

El sujeto obligado comunicará, en la notificación inicial, todos aquellos campos acerca de los que tenga conocimiento en ese momento de acuerdo a la siguiente tabla, siendo posteriormente preceptiva la cumplimentación de todos los campos de la tabla en la notificación final del incidente.

Tabla 2. Información a notificar a la autoridad competente en caso de incidente

6. Ventana temporal de reporte

Todos aquellos sujetos obligados que se vean afectados por un incidente de obligada notificación a la autoridad competente, a través del CSIRT de referencia, remitirán, en tiempo y forma, aquellas notificaciones inicial, intermedia y final requeridas de acuerdo a la siguiente ventana temporal de reporte.

- La notificación inicial es una comunicación consistente en poner en conocimiento y alertar de la existencia de un incidente.

- La notificación intermedia es una comunicación mediante la que se actualizarán los datos disponibles en ese momento relativos al incidente comunicado.

- La notificación final es una comunicación final mediante la que se amplían y confirman los datos definitivos relativos al incidente comunicado.

No obstante lo anterior, se aportarán todas aquellas notificaciones adicionales intermedias o posteriores que se consideren necesarias.

Tabla 3. Ventana temporal de reporte

Los tiempos reflejados en la tabla 3 para la "notificación intermedia" y la "notificación final" tienen como referencia el momento de remisión de la "notificación inicial". La "notificación inicial" tiene como referencia de tiempo el momento de tener conocimiento del incidente.

7. Definiciones y conceptos

La descripción de las conductas aquí incluidas tiene carácter técnico y se entiende a los meros efectos de la notificación y gestión de ciberincidentes. Como tal, es independiente tanto de la calificación de los hechos, como de la aplicación por parte de la autoridad judicial de los tipos penales establecidos en la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal.

Contenido abusivo:

- Correo masivo no solicitado ( spam): correo electrónico no solicitado que se envía a un gran número de usuarios, o bien una alta tasa de correos electrónicos enviados a un mismo usuario en un corto espacio de tiempo.

- Acoso: referido a acoso virtual o ciberacoso, se trata del uso de medios de comunicación digitales para acosar a una persona, o grupo de personas, mediante ataques personales, divulgación de información privada o íntima, o falsa.

- Extorsión: obligar a una persona o mercantil, mediante el empleo de violencia o intimidación, a realizar u omitir actos con la intención de producir un perjuicio a esta, o bien con ánimo de lucro de la que lo provoca.

- Mensajes ofensivos: comunicaciones no esperadas o deseadas, así como acciones o expresiones que lesionan la dignidad de otra persona, menoscabando su fama o atentando contra su propia estimación.

- Delito: cualquier acción tipificada como delito de acuerdo a lo establecido en la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal.

- Pederastia: cualquier comportamiento relacionado con los descritos en el título VIII la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, relativos a la captación o utilización de menores de edad o personas con discapacidad necesitadas de especial protección en actos que atenten contra su indemnidad o libertad sexual.

- Racismo: cualquier infracción penal, incluyendo infracciones contra las personas o las propiedades, donde la víctima, el local o el objetivo de la infracción se elija por su real o percibida, conexión, simpatía, filiación, apoyo o pertenencia a un grupo social, raza, religión o condición sexual.

- Apología de la violencia: exposición, ante una concurrencia de personas o por cualquier medio de difusión, de ideas o doctrinas que ensalcen el crimen o enaltezcan a su autor.

Contenido dañino:

- Malware (código dañino): palabra que deriva de los términos malicious y software. Cualquier pieza de software que lleve a cabo acciones como extracción de datos u otro tipo de alteración de un sistema puede categorizarse como malware. Así pues malware es un término que engloba varios tipos de programas dañinos.

- Virus: tipo de malware cuyo principal objetivo es modificar o alterar el comportamiento de un sistema informático sin el permiso o consentimiento del usuario. Se propaga mediante la ejecución en el sistema de software, archivos o documentos con carga dañina, adquiriendo la capacidad de replicarse de un sistema a otro. Los métodos más comunes de infección se dan a través de dispositivos extraíbles, descargas de Internet y archivos adjuntos en correos electrónicos. No obstante también puede hacerlo a través de scripts, documentos, y vulnerabilidades XSS presentes en la web. Es reseñable que un virus requiere la acción humana para su propagación a diferencia de otro malware, véase Gusano.

- Gusano: programa malicioso que tiene como característica principal su alto grado de dispersabilidad. Su fin es replicarse a nuevos sistemas para infectarlos y seguir replicándose a otros equipos informáticos, aprovechándose de todo tipo de medios como el correo electrónico, IRC, FTP, correo electrónico, P2P y otros protocolos específicos o ampliamente utilizados.

- Troyano: tipo de malware que se enmascara como software legítimo con la finalidad de convencer a la víctima para que instale la pieza en su sistema. Una vez instalado, el software dañino tiene la capacidad de desarrollar actividad perjudicial en segundo plano. Un troyano no depende una acción humana y no tiene la capacidad de replicarse, no obstante puede tener gran capacidad dañina en un sistema a modo de troyanos o explotando vulnerabilidades de software.

- Programa espía ( spyware): tipo de malware que espía las actividades de un usuario sin su conocimiento o consentimiento. Estas actividades pueden incluir keyloggers, monitorizaciones, recolección de datos así como robo de datos. Los spyware se pueden difundir como un troyano o mediante explotación de software.

- Rootkit: conjunto de software dañino que permite el acceso privilegiado a áreas de una máquina, mientras que al mismo tiempo se oculta su presencia mediante la corrupción del Sistema Operativo u otras aplicaciones. Denotar que por maquina se entiende todo el espectro de sistemas IT, desde smartphones hasta ICS. El propósito por tanto de un rootkit es enmascarar eficazmente payloads y permitir su existencia en el sistema.

- Dialer: tipología de malware que se instala en una máquina y, de forma automática y sin consentimiento del usuario, realiza marcaciones telefónicas a número de tarificación especial. Estas acciones conllevan costes económicos en la víctima al repercutir el importe de la comunicación.

- Ransomware: se engloba bajo este epígrafe a aquel malware que infecta una máquina, de modo que el usuario es incapaz de acceder a los datos almacenados en el sistema. Normalmente la víctima recibe posteriormente algún tipo de comunicación en la que se le coacciona para que se pague una recompensa que permita acceder al sistema y los archivos bloqueados.

- Bot dañino: una botnet es el nombre que se emplea para designar a un conjunto de máquinas controladas remotamente con finalidad generalmente maliciosa. Un bot es una pieza de software maliciosa que recibe órdenes de un atacante principal que controla remotamente la máquina. Los servidores C&C habilitan al atacante para controlar los bots y que ejecuten las órdenes dictadas remotamente.

- RAT: del inglés Remote Access Tool, se trata de una funcionalidad específica de control remoto de un sistema de información, que incorporan determinadas familias o muestras de software dañino ( malware).

- C&C: del inglés Command and Control, se refiere a paneles de mando y control (también referenciados como C2), por el cual atacantes cibernéticos controlan determinados equipos zombie infectados con muestras de la misma familia de software dañino. El panel de comando y control actúa como punto de referencia, control y gestión de los equipos infectados.

- Conexión sospechosa: todo intercambio de información a nivel de red local o pública, cuyo origen o destino no esté plenamente identificado, así como la legitimidad de los mismos.

Obtención de información:

- Escaneo de puertos ( Scanning): análisis local o remoto mediante software, del estado de los puertos de una máquina conectada a una red. La finalidad de esta acción es la de obtener información relativa a la identificación de los servicios activos y las posibles vulnerabilidades que puedan existir en la red.

- Escaneo de red ( Scanning): análisis local o remoto mediante software, del estado de una red. La finalidad de esta acción es la de obtener información relativa a la identificación de los servicios activos y las posibles vulnerabilidades que puedan existir en la red.

- Escaneo de tecnologías: análisis local o remoto mediante software, de las tecnologías presentes o disponibles en una red determinada o un sistema de información concreto, mediante el cual se obtienen las referencias del hardware/software presente, así como su versión, y potenciales vulnerabilidades.

- Transferencia de zona DNS (AXFR IXFR): transacción de los servidores DNS utilizada para la replicación de las bases de datos entre un servidor primario y los secundarios. Estas transacciones pueden ser completas (AXFR) o incrementales (IXFR).

- Análisis de paquetes ( Sniffing): análisis mediante software del tráfico de una red con la finalidad de capturar información. El tráfico que viaje no cifrado podrá ser capturado y leído por un atacante.

- Ingeniería social: técnicas que buscan la revelación de información sensible de un objetivo, generalmente mediante el uso de métodos persuasivos y con ausencia de voluntad o conocimiento de la víctima.

- Phishing: estafa cometida a través de medios telemáticos mediante la cual el estafador intenta conseguir, de usuarios legítimos, información confidencial (contraseñas, datos bancarios, etc.) de forma fraudulenta empleando métodos de ingeniería social.

- Spear Phishing: variante del phishing mediante la que el atacante focaliza su actuación sobre un objetivo concreto.

Intrusiones:

- Explotación: cualquier práctica mediante la cual un atacante cibernético vulnera un sistema de información y/o comunicación, con fines ilícitos o para los cuales no está debidamente autorizado.

- Inyección SQL: tipo de explotación, consistente en la introducción de cadenas mal formadas de SQL, o cadenas que el receptor no espera o controla debidamente; las cuales provocan resultados no esperados en la aplicación o programa objetivo, y por la cual el atacante produce efectos inesperados y para los que no está autorizado en el sistema objetivo.

- Cross Site Scripting XSS (Directo o Indirecto): ataque que trata de explotar una vulnerabilidad presente en aplicaciones web, por la cual un atacante inyecta sentencias mal formadas o cadenas que el receptor no espera o controla debidamente.

- Cross Site Request Forgery (CSFR): falsificación de petición en sitios cruzados. Es un tipo de exploit dañino de un sitio web en el que comandos no autorizados son transmitidos por un usuario en el cual el sitio web confía. Esta vulnerabilidad es conocida también por otros nombres como XSRF, enlace hostil, ataque de un clic, cabalgamiento de sesión, y ataque automático. Al contrario que en los ataques XSS, los cuales explotan la confianza que un usuario tiene en un sitio en particular, el Cross Site Request Forgery explota la confianza que un sitio tiene en un usuario en particular.

- Defacement: tipología de ataque a sitios web en el que se implementa un cambio en la apariencia visual de la página. Para ello suelen emplearse técnicas como inyecciones SQL o algún tipo de vulnerabilidad existente en la página o en el servidor.

- Inclusión de ficheros (RFI y LFI): vulnerabilidad que permite a un atacante mostrar o ejecutar archivos remotos alojados en otros servidores a causa de una mala programación de la página que contiene funciones de inclusión de archivos. La inclusión local de archivos (LFI) es similar a la vulnerabilidad de Inclusión de archivos remotos, excepto que en lugar de incluir archivos remotos solo se pueden incluir archivos locales, es decir, archivos en el servidor actual para su ejecución.

- Evasión de sistemas de control: proceso por el cual una muestra de software dañino, o un conjunto de acciones orquestadas por un atacante cibernético, consiguen vulnerar o esquivar los sistemas o políticas de seguridad establecidas por un determinado sistema de información y comunicación.

- Pharming: ataque informático que aprovecha vulnerabilidades de los servidores DNS ( Domain Name System). Al tratar de acceder el usuario al sitio web, el navegador redirigirá automáticamente al usuario a una dirección IP donde se aloja una web maliciosa que suplanta la auténtica, y en la que el atacante podrá obtener información sensible de los usuarios.

- Ataque por fuerza bruta: proceso por el cual un atacante trata de vulnerar un sistema de validación por credenciales de acceso, contraseña o similar, mediante el empleo de todas las combinaciones posibles, con el fin de acceder a sistemas de información y/o comunicación para los cuales no tiene privilegios o autorización.

- Ataque por diccionario: proceso por el cual un atacante trata de vulnerar un sistema de validación por credenciales de acceso, contraseña o similar, mediante el empleo de un diccionario previamente generado con determinadas combinaciones de caracteres, con el fin de acceder a sistemas de información y/o comunicación para los cuales no tiene privilegios o autorización.

- Robo de credenciales de acceso: acceso o sustracción no autorizada a credenciales de acceso a sistemas de información y/o comunicación.

Disponibilidad:

- DoS ( Denial of Service) o ataque de denegación de servicio: conjunto de técnicas que tienen por objetivo dejar un servidor inoperativo. Mediante este tipo de ataques se busca sobrecargar un servidor y de esta forma impedir que los usuarios legítimos puedan utilizar los servicios por prestados por él. El ataque consiste en saturar con peticiones de servicio al servidor, hasta que este no puede atenderlas, provocando su colapso.

- DDoS ( Distributed Denial of Service) o denegación distribuida de servicio: variante de DoS en el que la remisión de peticiones se lleva a cabo de forma coordinada desde varios puntos hacia un mismo destino. Para ello se emplean redes de bots, generalmente sin el conocimiento de los usuarios.

- Mala configuración: fallo de configuración en el software que está directamente asociado con una pérdida de disponibilidad de un servicio.

- Sabotaje/Terrorismo/Vandalismo: ataques implementados con el objetivo de provocar la interrupción o degradación de la prestación de un servicio, provocando daños relevantes en la continuidad del servicio de una institución o daños reputacionales relevantes cometidos con propósitos ideológicos, políticos o religiosos.

- Disrupción sin intención dañina: acciones que pueden provocar la interrupción o degradación de la prestación de un servicio, provocando daños relevantes en la continuidad del servicio de una institución o daños reputaciones relevantes.

- Inundación SYN o UDP: procedimientos usados para la realización de ataque DoS o DDoS consistente en iniciar una gran cantidad de sesiones impidiendo al servidor atender las peticiones licitas.

- DNS Open-Resolver: servidor DNS capaz resolver consultas DNS recursivas procedentes de cualquier origen de Internet. Este tipo de servidores suele emplearse por usuarios malintencionados para la realización de ataques DDoS.

Compromiso de la información:

- Acceso no autorizado a la información o ciberespionaje: proceso por el cual un usuario no autorizado accede a consultar contenido para el cual no está autorizado.

- Modificación no autorizada de información: proceso por el cual un usuario no autorizado accede a modificar contenido para el cual no está autorizado.

- Borrado no autorizado de información: proceso por el cual un usuario no autorizado accede a borrar contenido para el cual no está autorizado.

- Exfiltración de información: proceso por el cual un usuario difunde información en canales o fuentes en las cuales no está prevista o autorizada la compartición de esa información.

- Acceso no autorizado a sistemas: proceso por el cual un usuario accede sin vulnerar ningún servicio, sistema o red, a sistemas de información y/o comunicación para los cuales no está debidamente autorizado, o no tiene autorización tácita o manifiesta.

- Ataque POODLE / Ataque FREAK: proceso por el que se consigue que un servidor haga uso de un protocolo de comunicaciones no seguro, que originalmente no estaba previsto, con el objetivo de poder exfiltrar información.

Fraude:

- Uso no autorizado de recursos: empleo de tecnologías y/o servicios por usuarios que no están debidamente autorizados por la Dirección o negociado competente.

- Suplantación de identidad: actividad maliciosa en la que un atacante se hace pasar por otra persona para cometer algún tipo de fraude o acoso.

- Derechos de propiedad intelectual: la propiedad intelectual es el conjunto de derechos que corresponden a los autores y a otros titulares (artistas, productores, organismos de radiodifusión...) respecto de las obras y prestaciones fruto de su creación.

- Otros fraudes: engaño económico con la intención de conseguir un beneficio, y con el cual alguien resulta perjudicado.

Vulnerabilidades:

- Tecnología vulnerable: conocimiento por parte de los administradores de tecnologías, servicios o redes, de vulnerabilidades presentes en estas.

- Política de seguridad precaria: política de seguridad de la organización deficiente, mediante la cual existe la posibilidad de que durante un espacio de tiempo determinado, atacantes cibernéticos realizaron accesos no autorizados a sistemas de información, no pudiendo determinar fehacientemente este extremo.

Otros:

- Ciberterrorismo: delitos informáticos previstos en los artículo 197 bis y ter y 264 a 264 quater de la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal cuando dichos delitos se cometan con las finalidades previstas en el artículo 573.1 del mismo texto. Estas finalidades son:

* Subvertir el orden constitucional, o suprimir o desestabilizar gravemente el funcionamiento de las instituciones políticas o de las estructuras económicas o sociales del Estado, u obligar a los poderes públicos a realizar un acto o a abstenerse de hacerlo.

* Alterar gravemente la paz pública.

* Desestabilizar gravemente el funcionamiento de una organización internacional.

* Provocar un estado de terror en la población o en una parte de ella.

- Daños informáticos PIC: delitos informáticos previstos en los artículos 264.2 3.º y 4.º de la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, relacionadas con el borrado, dañado, alteración, supresión, o inaccesibilidad de datos, programas informáticos o documentos electrónicos de una Infraestructura Crítica. Así como conductas graves relacionadas con los términos anteriores que afecten a la prestación de un servicio esencial.

- APT ( Advanced Persistent Threat o Amenaza Persistente Avanzada)/AVT ( Advanced Volatility Threat): ataques dirigidos contra organizaciones concretas, sustentados en mecanismos muy sofisticados de ocultación, anonimato y persistencia. Esta amenaza habitualmente emplea técnicas de ingeniería social para conseguir sus objetivos junto con el uso de procedimientos de ataque conocidos o genuinos.

- Dominios DGA: procedimiento para generar de forma dinámica dominios donde se alojarán los servidores de Comando y Control, técnica usada en redes Botnet para dificultar su detención.

- Criptografía: técnica que consiste en cifrar un mensaje, conocido como texto en claro, convirtiéndolo en un mensaje cifrado o criptograma, que resulta ilegible para todo aquel que no conozca la clave mediante la cual ha sido cifrado.

- Proxy: ordenador, generalmente un servidor, intermedio usado en las comunicaciones entre otros dos equipos, siendo normalmente usado de manera trasparente para el usuario.

General:

- Ciberseguridad: la capacidad de las redes y sistemas de información de resistir, con un nivel determinado de fiabilidad, toda acción que comprometa la disponibilidad, autenticidad, integridad o confidencialidad de los datos almacenados, transmitidos o tratados, o los servicios correspondientes ofrecidos por tales redes y sistemas de información o accesibles a través de ellos.

- Ciberespacio: espacio virtual que engloba todos los sistemas TIC. El ciberespacio se apoya en la disponibilidad de Internet como red de redes, enriquecida con otras redes de transporte de datos.

- Redes y sistemas de información: se entiende por este concepto uno de los tres siguientes puntos:

* Las redes de comunicaciones electrónicas, tal y como vienen definidas en el número 31 del anexo II de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones.

* Todo dispositivo o grupo de dispositivos interconectados o relacionados entre sí en el que uno o varios de ellos realizan, mediante un programa, el tratamiento automático de datos digitales.

* Los datos digitales almacenados, tratados, recuperados o transmitidos mediante elementos contemplados anteriormente para su funcionamiento, utilización, protección y mantenimiento.

- Seguridad en redes y sistemas de información: la capacidad de las redes y sistemas de información de resistir, con un nivel determinado de fiabilidad, toda acción que comprometa la disponibilidad, autenticidad, integridad o confidencialidad de los datos almacenados, transmitidos o tratados, o los servicios correspondientes ofrecidos por tales redes y sistemas de información o accesibles a través de ellos.

- Operador de servicios esenciales: entidad pública o privada que se identifique considerando los factores establecidos en el artículo 6 del Real Decreto-ley 12/2018, de 7 de septiembre, que preste dichos servicios en alguno de los sectores estratégicos definidos en el anexo de la Ley 8/2011, de 28 de abril.

- Servicio digital: servicio de la sociedad de la información entendido en el sentido recogido en la letra a) del anexo de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico.

- Proveedor de servicios digitales: persona jurídica que presta un servicio digital.

- Ciberincidente: todo hecho que tenga efectos adversos reales en la seguridad de las redes y sistemas de información.

- Gestión de ciberincidentes: todos los procedimientos seguidos para detectar, analizar y limitar un incidente y responder ante este.

- Ciberamenaza: amenaza a los sistemas y servicios presentes en el ciberespacio o alcanzables a través de este.

- Taxonomía: clasificación u ordenación en grupos de objetos o sujetos que poseen unas características comunes.

- RGPD: Reglamento General de Protección de Datos, Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE.

- OpenPGP: estándar basado en el programa PGP, del inglés Pretty Good Privacy, cuya finalidad es proteger la información mediante el uso de criptografía de clave pública, así como facilitar la autenticación de documentos gracias a firmas digitales.

- Webinject: herramienta gratuita y de código abierto diseñada principalmente para automatizar la prueba de las aplicaciones y servicios web.

- Telnet: protocolo de red que permite acceder a otra máquina para manejarla remotamente como si estuviéramos sentados delante de ella.

- RDP ( Remote Desktop Protocol): protocolo propietario que permite la comunicación en la ejecución de una aplicación entre un terminal y un servidor.

- VNC ( Virtual Network Computing): programa de software libre basado en una estructura cliente-servidor que permite observar remotamente las acciones del ordenador servidor a través de un ordenador cliente.

- SNMP ( Simple Network Management Protocol): protocolo de red utilizado para el intercambio de mensajes para la administración de dispositivos en red.

- Redis: motor de base de datos en memoria, basado en el almacenamiento en tablas de hashes.

- ICMP ( Internet Control Message Protocol): protocolo de control de mensajes de Internet.

- Copia de seguridad limpia: punto de restauración de un sistema de la que se tiene la seguridad de no estar comprometida.

# data[].attributes.attachment_link.title
BOE-A-2021-1192 Real Decreto 43/2021, de 26 de enero, por el que se desarrolla el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información.

# data[].attributes.attachment_link.description
BOE-A-2021-1192 Real Decreto 43/2021, de 26 de enero, por el que se desarrolla el Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información.

# data[].attributes.body
RGPD

# data[].attributes.body
RGPD preguntas AEPD

# data[].attributes.attachment_link.title
2.- REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS (RGPD)

# data[].attributes.attachment_link.description
2.- REGLAMENTO GENERAL DE PROTECCIÓN DE DATOS (RGPD)

# data[].attributes.body
Cifrado simétrico

# data[].attributes.attachment_link.title
Lección 2: Sistemas de cifra con clave secreta (intypedia)

# data[].attributes.body
Historia de la criptografía

# data[].attributes.attachment_link.title
Lección 1: Historia de la Criptografía y su Desarrollo en Europa (intypedia)

# data[].attributes.body
Herramientas forenses

# data[].attributes.attachment_link.readable_text
Después tenemos la fase de análisis profundo de toda la información, donde el experto analizará en detalle toda la información que ha obtenido, e intentará averiguar qué ha ocurrido en el sistema para que se haya visto expuesto, y también cómo han conseguido hacerse con todos los datos. Actualmente existen suites forenses que nos facilitan mucho la vida, ya que podremos buscar entre una gran cantidad de información lo que nosotros necesitamos. Por supuesto, podremos realizar actividades como la recuperación de archivos borrados anteriormente, ya que hay mucha información que se puede recuperar fácilmente porque no ha sido sobrescrita.

Aunque en un primer momento se podría pensar que el análisis forense digital solo se limita a ordenadores, dispositivos móviles como smartphones y tablets, y otros, lo cierto es que también se extiende a los datos que enviamos y transmitimos a través de la red cableada o inalámbrica, por lo que es muy importante disponer de herramientas de este tipo.

Si queremos combatir el cibercrimen y proteger los activos digitales que tenemos en Internet, la mejor forma de hacerlo es con el uso de la informática forense. Gracias a estas herramientas que os vamos a indicar, podremos conseguir y analizar esas pruebas tan importantes de los diferentes dispositivos electrónicos y soporte de almacenamiento de datos.

A continuación, os presentamos un completo listado de herramientas forenses, tanto sistemas operativos que están orientados a la informática forense, como también herramientas que están incorporadas en estos sistemas operativos.

Cómo estudiar informática forense

Las tecnologías avanzan y, con ella, hace falta estar continuamente en formación para adelantarse a ciberataques cada vez más sofisticados o técnicas de hackeo que van mejorando año tras año. Por eso estudiar informática forense no solo consiste en tener unas nociones básicas o que te guste la materia, sino que requiere una continua actualización y conocimiento además de otros valores que van mucho más allá del estudio como la intuición, la capacidad de reacción o todo tipo de cualidades que nos ayuden a resolver estos casos criminales.

Como hemos explicado en párrafos anteriores, esta rama de la informática es la que se va a encargar de recolectar y de analizar e interpretar los datos digitales con un fin claro: resolver casos criminales o resolver investigaciones que siguen un curso legal. Utilizar la informática para llegar al culpable o para saber qué ha pasado y como ha pasado. Por ello es fundamental tener una formación básica técnica y especializada en informática y en seguridad más allá de simplemente conocer el funcionamiento de los sistemas o el uso de las herramientas.

Si quieres dedicarte a la informática forense, estos son algunos de los pasos que debes seguir:

Conocimientos básicos: Antes de entrar al mundo de la informática forense es de vital importancia conocer los conceptos básicos de informática general. Como es lógico, debemos tener conocimientos generales en informática y saber cómo funcionan los equipos tanto en software como en hardware. Antes de la especialización en informática forense necesitas conocer en profundidad el funcionamiento de los sistemas operativos, las redes, lenguajes de programación...

Formación especializada: Nos podemos encontrar con muchas formaciones especializadas en informática forense, talleres o diplomados. En todos nos ayudan a obtener conocimientos sobre los conceptos básicos, metodologías y las herramientas necesarias para poder llevar a cabo una investigación forense. En estos casos, lo mejor que podemos hacer es buscar instituciones que tengan cierto reconocimiento y experiencia en este campo. De cara a obtener la formación de la mejor calidad posible.

Certificaciones: Se trata de una forma de validar que se poseen los conocimientos y habilidades necesarios para desarrollar la actividad. Algunas de las más conocidas son EnCase, AccessData, SANS GIAC, entre otras muchas.

Actualización constante: El mundo de la tecnología no para de evolucionar y avanzar, por lo cual es importante mantenerse actualizado. No basta con haber estudiado sobre esto hace veinte años porque los métodos cambian constantemente y necesitamos conocer cuáles son las vías actuales para actuar y cuáles son las herramientas pensadas para frenarlo. Para ello tendremos nuevos cursos, por ejemplo, o en el caso de las certificaciones, muchas ya cuentan con su propio programa de actualización para los alumnos que la obtienen. En esos casos, la propia institución marca los pasos a seguir para renovar esa certificación.

Estudiar informática forense, implica disponer de conocimientos básicos en informática, realizar formaciones especializadas, obtener certificaciones y adquirir la experiencia práctica tan necesaria para poder desarrollar la actividad con garantías. Debemos tener en cuenta, que muchos cursos que nos vamos a encontrar o las propias especializaciones, pueden ser muy costosos.

Sistemas operativos completos orientados a informática forense

Actualmente existen sistemas operativos todo en uno, que disponen de la gran mayoría de herramientas de informática forense que veremos a continuación. Si estás pensando en realizar un análisis forense y no tienes creado un sistema operativo todo en uno con tus propias herramientas, con estos sistemas operativos podrás empezar rápidamente.

CAINE

CAINE es un sistema operativo completo que está orientado específicamente a la informática forense, está basado en Linux e incorpora la gran mayoría de herramientas que necesitaremos para realizar un análisis forense completo. Dispone de una interfaz gráfica de usuario, es muy fácil de utilizar, aunque lógicamente necesitarás los conocimientos adecuados para utilizar todas y cada una de sus herramientas.

CAINE se puede utilizar en modo LiveCD sin tocar el almacenamiento del ordenador donde queremos arrancarlo, de esta manera, toda la información del disco duro permanecerá intacta para posteriormente realizar la copia de toda la información. Entre las herramientas incluidas con CAINE tenemos las siguientes: The Sleuth Kit, Autopsy, RegRipper, Wireshark, PhotoRec, Fsstat y muchas otras.

Un aspecto muy importante de CAINE es que también dispone de herramientas que se pueden ejecutar directamente en sistemas operativos Windows, por lo que, si nos bajamos la imagen ISO y extraemos su contenido, podremos acceder al software para Windows que incorpora, sin necesidad de arrancar el LiveCD o utilizar una máquina virtual. Algunas de las herramientas para Windows que tenemos disponibles son: Nirsoft suite + launcher, WinAudit, MWSnap, Arsenal Image Mounter, FTK Imager, Hex Editor, JpegView, Network tools, NTFS Journal viewer, Photorec & TestDisk, QuickHash, NBTempoW, USB Write Protector, VLC y Windows File Analyzer.

Kali Linux

Kali Linux es uno de los sistemas operativos relacionados con seguridad informáticas más utilizados, tanto para pentesting como también para informática forense, ya que en su interior tenemos una gran cantidad de herramientas preinstaladas y configuradas para ponernos a realizar un análisis forense lo antes posible.

Este sistema operativo no solo tiene una gran cantidad de herramientas forenses en su interior, sino que dispone de un modo Live específico para análisis forense, y no escribir absolutamente nada en el disco duro o almacenamiento interno que tengamos en los equipos. También impide que cuando introducimos un dispositivo de almacenamiento extraíble, se monte automáticamente, sino que lo tendremos que hacer nosotros mismos manualmente.

DEFT Linux y DEFT Zero

El sistema operativo DEFT Linux está también orientado específicamente a análisis forense, incorpora la gran mayoría de herramientas de CAINE y Kali Linux, es una alternativa más que tenemos disponible y que podemos utilizar. Lo más destacable de DEFT es que dispone de una gran cantidad de herramientas forenses listo para utilizar.

DEFT Zero es una versión mucho más ligera y reducida de DEFT, está orientada a exactamente lo mismo, pero ahora necesitaremos menos recursos para poder utilizarla sin problemas, además, es compatible tanto con sistemas de 32 bits y 64 bits, así como sistemas UEFI.

Herramientas gratuitas de análisis forense

Una vez que ya hemos visto todos los sistemas operativos orientados a informática y análisis forense, vamos a ver diferentes herramientas gratuita para la realización de tareas forense. Todas las herramientas que os vamos a enseñar, son completamente gratuitas, y, de hecho, están incorporadas en estas distribuciones Linux que os acabamos de enseñar.

Autopsy y The Sleuth Kit

La herramienta Autopsy es una de las más utilizadas y recomendadas, nos permitirá localizar muchos de los programas y plugins de código abierto, es como una biblioteca de Unix y utilidades basadas en Windows, el cual facilita enormemente el análisis forense de sistemas informáticos.Autopsy es una interfaz gráfica de usuario que muestra los resultados de la búsqueda forense. Esta herramienta es muy utilizada por la policía, los militares y las empresas cuando quieren investigar qué es lo que ha pasado en un equipo.

Uno de los aspectos más interesantes es que es extensible, esto significa que los usuarios pueden agregar nuevos complementos de manera fácil y rápida. Incorpora algunas herramientas de manera predeterminada como PhotoRec para recuperar archivos, e incluso permite extraer información EXIF de imágenes y vídeos.

En cuanto a The Sleuth Kit, es una colección de herramientas de comandos en línea para investigar y analizar el volumen y los sistemas de archivos utilizados en investigaciones forenses digitales. Con su diseño modular, se puede utilizar para obtener los datos correctos y encontrar evidencias. Además, es compatible y funciona en Linux y se ejecuta en plataformas Windows y Unix.

Magnet Encrypted Disk Detector

Esta herramienta funciona a través de la línea de comandos, verifica de manera rápida y no intrusiva los volúmenes cifrados en un ordenador, para saber si existen para posteriormente intentar acceder a ellos con otras herramientas.

La última versión disponible es la 3.0, y es la que se recomienda utilizar, además, es recomendable usar el sistema operativo Windows 7 o superior. Esta herramienta nos permite detectar discos físicos cifrados con TrueCrypt, PGP, VeraCrypt, SafeBoot, o Bitlocker de Microsoft. Magnet Encrypted Disk Detector es totalmente gratuita, pero necesitaremos registrarnos en su web oficial para proceder con la descarga.

Por lo tanto, en cuanto a la compatibilidad de tu sistema operativo no debes preocuparte. Una de las utilidades de esta herramienta es que te permite encontrar particiones cifradas en PC.

Magnet RAM Capture y RAM Capturer

Magnet RAM Capture es una herramienta que está diseñada para obtener la memoria física del ordenador donde la utilicemos. Al usarla, podremos recuperar y analizar datos muy valiosos que se almacenan en la memoria RAM y no en un disco duro o SSD. Es posible que, en determinados casos, tengamos que buscar la evidencia directamente en la memoria RAM, y debemos recordar que la RAM es volátil y que se borra cada vez que apagamos el equipo.

¿Qué podemos encontrar en la memoria RAM? Procesos, programas ejecutándose en el sistema, conexiones de red, evidencias de malware, credenciales de usuario y mucho más. Esta herramienta permite exportar los datos de memoria en bruto, sin procesar, para posteriormente cargar esta información en otras herramientas específicamente diseñadas para ello. Por supuesto, este software también es gratis.

Otra herramienta similar es RAM Capturer, podremos volcar los datos de la memoria RAM de un ordenador a un disco duro, pendrive u otro dispositivo de almacenamiento extraíble. Esta herramienta nos permitirá acceder a las credenciales de usuario de volúmenes cifrados como TrueCrypt, BitLocker, PGP Disk o credenciales de inicio de sesión de cuenta para muchos servicios de correo web y redes sociales, ya que toda esta información suele almacenarse en la memoria RAM.

Magnet Process Capture

MAGNET Process Capture es una herramienta gratuita que nos permitirá capturar la memoria de procesos individuales de un sistema, es decir, si necesitamos saber los datos que está utilizando un determinado proceso de nuestro sistema operativo, podremos hacerlo con esto. Por lo tanto, es otra de las herramientas que se pueden usar.

Este tipo de aplicación es especialmente útil en aquellos momentos en los que no tienes una gran cantidad de tiempo, o incluso, cuando solamente estás interesado en procesos más específicos. Además de que esta herramienta te sirve para obtener datos menos fragmentados. Así que será de gran ayuda para conseguir una mejor recuperación de aquellos datos con mayor peso.

Otro de los puntos de esta herramienta en particular es que su diseño no tiene ninguna complicación. Podrás comprender rápidamente cómo funciona gracias a su simple interfaz. Y lo mejor es que es completamente gratis, por lo que puedes usarla en cualquier momento.

Magnet Web Page Saver y FAW

MAGNET Web Page Saver es una alternativa a la anterior, y se encuentra actualizada por lo que dispondremos de todas las mejoras. Esta herramienta es perfecta para capturar cómo está la web en un determinado momento, es especialmente útil cuando queremos mostrar una web, pero no tenemos conexión a Internet. Además, esta herramienta permite realizar capturas de cada página, podremos indicar las URL manualmente o importándolas vía fichero de texto o CSV, además, podremos navegar fácilmente por la web descargada.

FAW o Forensics Acquisition of Websites, es una herramienta que nos permite descargar páginas web completas para su posterior análisis forense, los requisitos de esta herramienta son muy básicos, por lo que podrás ejecutarla sin problemas. Con esta herramienta podremos adquirir evidencias de páginas web de manera fácil y rápida. Otras características interesantes son que podremos decidir qué área de la web queremos analizar, podremos capturar las imágenes, el código fuente HTML e incluso puede integrarse con Wireshark que hemos visto anteriormente.

SIFT

SIFT, que significa SANS Investigative Forensic Toolkit, es un conjunto completo de herramientas forenses y una de las plataformas de respuesta a incidentes de código abierto más populares. En cuanto a sistemas operativos, tenemos disponible una versión para utilizar en máquina virtual que hace uso de Ubuntu LTS 16.04 en su versión de 64 bits, esta versión ha sufrido importantes cambios, como, por ejemplo, mejor utilización de memoria, actualización automática del paquete DFIR para respuesta ante incidentes informáticos, incorpora las últimas herramientas forenses y técnicas, así como disponibilidad cruzada entre Linux y Windows.

Esta herramienta es un todo en uno realmente interesante y recomendable, todas las herramientas son gratuitas, y están diseñadas para realizar exámenes forenses digitales detallados dando soporte a una gran variedad de situaciones. Uno de los aspectos más destacables es que se actualiza con mucha frecuencia.

Volatility es otra aplicación forense de memoria de código abierto para respuesta a incidentes y análisis de malware, esta herramienta se encuentra incorporada en SIFT. Permite a los investigadores analizar el estado de tiempo en ejecución de un dispositivo, mediante la lectura de la memoria RAM. Volatility no tiene muchas actualizaciones, pero este framework es realmente potente y aún se encuentra con actualizaciones.

Es la herramienta más conocida y popular para el análisis de la memoria RAM. Al igual que The Sleuth Kit, Volatility es gratuito, de código abierto y además admite complementos de terceros, de hecho, la Volatility Foundation organiza un concurso anual para que los usuarios desarrollen la extensión más útil e innovadora del framework.

Os recomendamos acceder a su web oficial donde encontraréis todos los detalles sobre esta gran herramienta.

Análisis forense móvil: Cellebrite UFED

La adopción de dispositivos móviles está en constante crecimiento y muchas organizaciones permiten que los empleados usen estos dispositivos en el trabajo a través de programas BYOD o dispositivos corporativos. Además, estos dispositivos son un objetivo cada vez mayor de los ataques cibernéticos, como el phishing, lo que los convierte en una fuente probable de información forense valiosa.

Con la creciente importancia del análisis forense móvil, una herramienta de análisis forense centrada en dispositivos móviles podría ser una adquisición útil. Cellebrite UFED es ampliamente considerada como la mejor herramienta comercial para análisis forense móvil. Admite varias plataformas diferentes (no solo dispositivos móviles) y cuenta con métodos y herramientas exclusivos para el análisis de dispositivos móviles.

Programas para realizar hash y comprobar integridad

HashMyFiles te ayudará a calcular los hashes MD5 y SHA1 y funciona en casi todos los sistemas operativos Windows, esta herramienta es una de las más utilizadas por todos para calcular este hash y garantizar la integridad de todos los archivos, por lo que, si cambia un solo bit, también cambiará por completo el hash que nosotros tengamos. Hay otros muchos programas de este estilo, tanto para Windows como para Linux, por nombrar algunos, en Windows también tenemos IgorWare Hasher, HashCheck, HashTools y muchos otros, para Linux tenemos por defecto los md5sum y sha1sum instalado en el propio sistema operativo.

CrowdResponse

Crowdresponse es una aplicación de Windows de Crowd Strike, esta herramienta te permitirá recopilar información del sistema operativo para dar respuesta a los incidentes que hayan ocurrido y a cualquier compromiso de la seguridad del sistema. Este programa es portable, no necesita instalación, y todos los módulos están integrados en la aplicación principal y no se requieren de herramientas externas de terceros.

CrowdResponse es ideal para la recopilación de datos de forma no intrusiva de múltiples sistemas cuando se coloca en la red. También tiene otras herramientas útiles para investigadores Shellshock Scanner, que escaneará su red para buscar una vulnerabilidad shellshock y mucho más.

Exiftool

Cualquier imagen y vídeo incorpora unos datos EXIF con todos los metadatos de la imagen, esta herramienta gratuita te ayudará a leer, escribir y editar metainformación para varios tipos de archivos. Es capaz de leer EXIF, GPS, IPTC, XMP, JFIF, GeoTIFF, Photoshop IRB, FlashPix, etc. Esta herramienta se ejecuta directamente sin necesidad de instalación, es portable, y está disponible tanto para Windows como también para macOS.

Esta herramienta es una biblioteca Perl independiente más u na aplicación de comandos en línea para leer, escribir y editar metainformación en una amplia variedad de formatos. Como podéis observar admite muchos formatos de metadatos diferente s y algunas de sus características incluyen sus imágenes Geotags de archivos de registro de seguimiento GPS con corrección de deriva de tiempo, y además también genera registros de seguimiento de imágenes geoetiquetadas.

Esta herramienta es una de las más completas para ver todos los metadatos de una imagen.

Browser History Capturer (BHC) y Browser History Viewer (BHV)

El software Browser History Capture nos permite capturar el historial de navegación web de cualquier sistema operativo Windows, posteriormente, podremos usar Browser History Viewer (BHV) que es una herramienta de software forense para extraer y ver el historial de Internet de los principales navegadores web de escritorio.

Ambas las podemos encontrar de manera gratuita. Estas herramientas se pueden ejecutar desde una memoria USB y lo que hará básicamente es capturar el historial de los principales navegadores: Chrome, Edge, Firefox e Internet Explorer. Los archivos del historial se copian a un destino en su formato original para su posterior tratamiento.

Paladin Forensic Suite

Paladin es una herramienta basada en Ubuntu que permite simplificar la tarea del informático forense. Encontraremos una gran cantidad de herramientas en esta suite para realizar diferentes tareas, lo más destacable es que incorpora más de 100 herramientas muy útiles para investigar incidentes informáticos.

Gracias a Paladin, podremos simplificar y acelerar las tareas forenses. Este software dispone de interfaz gráfica de usuario, no requiere la utilización de comandos en línea, por lo que nos facilitará enormemente su utilización.

Uno de los detalles que debes tener en cuenta es que el uso de esta herramienta basada en Ubuntu es que no hace falta el empleo de comandos en línea, así que será más fácil utilizar esta aplicación. Por lo que es un factor que te puede interesar a la hora de buscar una herramienta de estas características.

FTK Imager

FTK Imager es una herramienta forense para sistemas Windows, nos permite obtener una vista previa de los datos recuperables de un disco de cualquier tipo. También puede crear copias perfectas, llamadas imágenes forenses, de esos datos. Entre sus características y funciones adicionales tenemos la posibilidad de crear archivos hash o montar las imágenes de disco ya creadas son otra de las importantes ventajas a mencionar.

Aparentemente AccessData FTK Imager parece una herramienta muy profesional creada sólo para expertos en informática forense avanzada. Sin embargo, en realidad es más sencilla de usar de lo que aparenta y la podría utilizar más gente.

Bulk_extractor

Bulk_extractor es una herramienta informática forense que nos va a permitir escanear la imagen de un disco, un archivo o un directorio de archivos. Los resultados que obtenemos pueden inspeccionarse y analizarse fácilmente con herramientas automatizadas. Un aspecto destacable es que esta herramienta es muy rápida, a diferencia de otros programas similares, esto es debido a que ignora la estructura del sistema de archivos, por lo que puede procesar diferentes partes del disco en paralelo.

LastActivityView

LastActivityView es una herramienta de software portable para ver la última actividad registrada en su PC. Respecto a esta aplicación, hay un aspecto importante a mencionar, y es que el registro de Windows ya no se va a actualizar.

Esta herramienta tiene un muy buen tiempo de respuesta y es capaz de detectar actividad antes de su primera ejecución, además, se ejecuta con una cantidad muy baja de CPU y RAM, por lo que no afectará el rendimiento general de su computadora. Que consuma pocos recursos es una cosa muy positiva y a valorar.

Lo que está claro es que esta aplicación en particular es de gran utilidad para que se pueda recopilar información de diferentes fuentes de un PC Windows en ejecución. De esta forma, se consigue mostrar un registro de las distintas acciones que haya realizado el usuario de dicho ordenador, además de los eventos que se hayan dado en ese mismo dispositivo. Es decir, su función básicamente consiste en que se pueda conocer todo lo que ocurre en un PC. Además, toda esa información se puede ver y guardar en distintos formatos para que puedas acceder cuando quieras: HTML, CSV o XML. Incluso, te permite añadir o hasta quitar algunos de los datos que se recopilan.

FireEye RedLine

FireEye es una herramienta de seguridad Endpoint que proporciona capacidades de investigación de hosts a los usuarios para encontrar signos de actividad maliciosa a través de la memoria y el análisis de archivos. En este caso hay que señalar que está disponible en OS X y Linux.

Entre sus características principales, se incluyen la auditoría y la recopilación de todos los procesos y controles en ejecución desde la memoria, metadatos del sistema de archivos, datos de registro, registros de eventos, información de red, servicios, tareas e historial web. También podremos considerar muy útil un análisis en profundidad, porque permite al usuario establecer la línea de tiempo y el alcance de un incidente.

Análisis del registro de Windows: Registry Recon

El registro de Windows actúa como una base de datos de información de configuración para el sistema operativo Windows y las aplicaciones que se ejecutan en él. Estas aplicaciones pueden almacenar una variedad de datos diferentes en el registro, y el registro es una de las ubicaciones más comunes donde el malware implementa mecanismos de persistencia.

Es posible abrir y ver el registro de Windows a través del regedit integrado de la aplicación de Windows, y el análisis del registro está integrado en algunas plataformas forenses. Sin embargo, también están disponibles herramientas especializadas como Registry Recon, es una herramienta comercial diseñada para reconstruir registros de Windows a partir de una imagen forense e incluye la capacidad de reconstruir partes eliminadas del registro basándose en el análisis del espacio de memoria no asignado.

Wireshark y Network Miner

Wireshark es actualmente uno de los mejores analizadores de protocolos de redes que existen, es el más conocido y utilizado, multiplataforma (Windows, Linux, FreeBSD y más), y, por supuesto, completamente gratuito. En RedesZone hemos hablado en multitud de ocasiones sobre esta herramienta tan importante, y es que podremos realizar un completo análisis forense a la red local, esnifando todos los paquetes para su posterior estudio. Wireshark nos permite realizar una inspección profunda de todos los paquetes capturados, y tiene una interfaz gráfica de usuario para verlo todo en detalle clasificado por capas (capa física, de enlace, de red, de transporte y aplicación). Con la información que Wireshark captura, podremos ver la información con TShark a través de la línea de comandos. Lo más destacable de Wireshark son los filtros, y es que podremos filtrar una gran captura para que solamente nos muestre lo que nos interesa.

Para el análisis del tráfico de red, Wireshark es la herramienta más popular y ampliamente utilizada, Wireshark es gratuito y de código abierto, ofrece disectores para muchos tipos diferentes de tráfico de red, tiene una interfaz gráfica de usuario clara y fácil de usar para el análisis de tráfico e incluye una amplia gama de funcionalidades bajo el capó. Es compatible con la captura de tráfico en vivo o puede ingerir archivos de captura de red para su análisis.

Network Miner es muy similar a Wireshark, es un analizador forense de red para Windows, Linux y MAC OS X. Esta herramienta se utiliza para detectar SO, nombre de host, sesiones, y qué direcciones Ip y puertos se han usado en la captura de datos. Network Miner se puede usar para analizar e incluso capturar paquetes transferidos a través de la red, podremos detectar sistemas operativos de los equipos que hay en la red, puertos abiertos y mucho más.

Estas dos herramientas nos permitirán también obtener credenciales de usuario, certificados digitales, información en texto plano, e incluso descifrar comunicaciones si las crackeamos o contamos con la clave de descifrado. Network Miner tiene una versión gratuita, pero también una versión de pago con la que podremos acceder a todas las funcionalidades avanzadas, como la detección del sistema operativo, geolocalización de IP y mucho más.

# data[].attributes.attachment_link.title
Mejores herramientas informática forense y sistemas operativos gratis

# data[].attributes.attachment_link.description
Descubre los mejores sistemas operativos y herramientas gratuitas de informática forense, ideales para cualquier perito informático forense.

# data[].attributes.body
Análisi forense

# data[].attributes.attachment_link.readable_text
Sabrina Palmieri

El análisis forense digital es una disciplina crucial en el mundo actual. En su búsqueda de la verdad, despliega su utilidad no solo en la investigación de delitos informáticos, sino también como aliado en la realización de peritajes sobre dispositivos sospechados de haber formado parte de delitos físicos.

Abarca diversas técnicas y metodologías destinadas a investigar, analizar y recolectar pruebas digitales en dispositivos electrónicos, sistemas informáticos y teléfonos inteligentes.

A través de la aplicación de conocimientos especializados y herramientas avanzadas, los expertos en informática forense pueden descubrir y examinar los datos almacenados en estos dispositivos, desempeñando un papel crucial en la resolución de diferentes tipos de crímenes.

¿Qué es el análisis forense digital?

El análisis forense digital es la disciplina especializada en la investigación y recolección de evidencias digitales en el contexto de distintos delitos, entre ellos los informáticos. Los investigadores forenses digitales emplean técnicas y herramientas especializadas para examinar minuciosamente diversos dispositivos, con el objetivo de analizar los datos almacenados en ellos.

Esta rama de la ciencia forense digital se ocupa de diferentes tipos de delitos, como el fraude informático, la ciberestafa, el robo de datos, el acoso cibernético y muchos otros. El análisis forense digital desempeña un papel crucial en el proceso judicial, ya que proporciona pruebas tangibles y científicamente sólidas que respaldan las investigaciones y las decisiones judiciales.

¿Qué es un forense informático?

Un forense informático, también conocido como experto en informática forense o perito informático forense, es un profesional altamente especializado en el campo de la seguridad informática y la investigación de delitos cibernéticos. Su principal objetivo es recopilar, analizar y presentar pruebas digitales para su uso en investigaciones legales.

El papel del forense informático es crucial en un mundo cada vez más digitalizado, donde los delitos informáticos y las violaciones de la seguridad en línea están en aumento. Estos profesionales utilizan técnicas y herramientas especializadas para descubrir y documentar evidencia digital, asegurando que se respeten los procedimientos legales y las cadenas de custodia.

Métodos de investigación forense digital

Una de las etapas fundamentales en el análisis forense digital es la extracción y preservación de datos almacenados en dispositivos móviles, discos duros y otros dispositivos electrónicos relevantes. Los expertos en análisis forense digital utilizan dispositivos de análisis forense especializados y técnicas de recuperación de datos para asegurar la integridad de la información recolectada.

Una vez que se han recopilado las evidencias, se procede al análisis en sí. Los investigadores forenses digitales aplican técnicas de examen exhaustivas para descubrir información oculta, como mensajes de texto, correos electrónicos, archivos borrados o encriptados y metadatos relevantes. Esto puede implicar el uso de software especializado, análisis forense de redes y el estudio de registros de actividad.

La revisión de sistemas informáticos y la realización de peritajes electrónicos son otros componentes clave del análisis forense digital. Estos procesos se enfocan en examinar la integridad y autenticidad de los sistemas informáticos involucrados en la investigación, asegurando que las pruebas recopiladas sean admisibles en el proceso judicial.

Mujeres en ciberseguridad: más especializadas y con menos espacios

Técnicas de investigación para un análisis forense completo

Recuperación de datos

Una de las técnicas clave es la recuperación de datos, que implica la extracción y preservación de información almacenada en dispositivos electrónicos y discos duros. A través de distintas herramientas, los investigadores forenses digitales pueden acceder a datos borrados o cifrados, brindando una visión más completa de los hechos.

Análisis de metadatos

Otra técnica importante es el análisis de metadatos, que proporciona detalles valiosos sobre la creación, modificación y acceso a archivos digitales. Al examinar los metadatos de correos electrónicos, documentos y otros archivos, los investigadores pueden establecer una línea de tiempo precisa y descubrir pistas importantes para la investigación.

Además, se emplean técnicas de análisis forense de redes para investigar actividades sospechosas, identificar direcciones IP y rastrear la comunicación digital en busca de evidencias relevantes.

Recuperar, analizar y presentar los datos recolectados

La recuperación de datos se realiza mediante la extracción cuidadosa de información almacenada en dispositivos. Una vez recuperados, los datos recolectados son analizados minuciosamente. Esto implica examinar archivos, correos electrónicos, mensajes de texto y otros elementos digitales en busca de pistas, conexiones y patrones relevantes para la investigación.

El uso de herramientas especializadas permite a los investigadores forenses identificar información crucial y reconstruir eventos digitales.

Finalmente, los datos recolectados y analizados se presentan de manera clara y precisa. Los investigadores forenses documentan los hallazgos, generan informes técnicos detallados y, en el contexto del proceso judicial, presentan las pruebas de manera comprensible para los jueces, fiscales y abogados involucrados en el caso.

Documentar y notificar los resultados obtenidos en la investigación forense

La documentación de los resultados implica la creación de informes técnicos detallados que describen los métodos utilizados, los datos recolectados, los análisis realizados y las conclusiones alcanzadas. Estos informes son fundamentales para registrar y respaldar científicamente los hallazgos obtenidos durante la investigación.

Además de la documentación, la notificación de los resultados es esencial para comunicar de manera clara y comprensible los descubrimientos a las partes involucradas en el caso. Esto puede incluir, como ya fue mencionado, la presentación oral de los resultados en el ámbito judicial o la entrega de informes escritos a los abogados, fiscales y jueces responsables del proceso legal.

La documentación y notificación adecuadas de los resultados garantizan la transparencia, la reproducibilidad y la objetividad de la investigación forense digital. Además, proporcionan una base sólida para el debate y el análisis crítico de las pruebas presentadas.

El proceso de adquisición del dispositivo

El proceso de adquisición del dispositivo es una fase crucial en el análisis forense digital. Consiste en obtener de manera segura y legal el acceso al dispositivo que se investigará. Los investigadores forenses utilizan métodos y técnicas especializadas para garantizar la integridad de los datos y la preservación de la evidencia durante esta etapa.

La adquisición del dispositivo se realiza siguiendo estrictos protocolos y directrices legales. Los expertos en análisis forense digital utilizan herramientas especializadas para extraer los datos almacenados en teléfonos móviles, computadoras, y demás dispositivos tecnológicos.

Durante este proceso, se debe tener en cuenta la cadena de custodia para asegurar que la evidencia recopilada sea admisible en el proceso judicial. Esto implica documentar detalladamente cada paso, desde la recolección del dispositivo hasta su transporte, almacenamiento y análisis posterior.

La adquisición adecuada del dispositivo garantiza la preservación de los datos y la integridad de la evidencia. Es esencial seguir procedimientos rigurosos y utilizar técnicas forenses especializadas para evitar la alteración o modificación accidental de los datos durante este proceso.

Establecer la autenticidad del dispositivo

En el análisis forense digital, establecer la autenticidad del dispositivo es fundamental para garantizar la validez de la evidencia recopilada. Aquí también se aplican técnicas y métodos especializados para verificar la autenticidad y la integridad del dispositivo bajo investigación.

Para lograrlo, se realizan diversos procedimientos. En primer lugar, se examinan los sellos y etiquetas del dispositivo para asegurarse de que no hayan sido manipulados. Además, se verifica el número de serie y otros identificadores únicos del dispositivo para confirmar su autenticidad.

Posteriormente, se realiza un análisis detallado de los datos almacenados en el dispositivo. Esto implica examinar los metadatos, como las fechas de creación y modificación de archivos, así como la consistencia interna de los datos. Cualquier discrepancia o anomalía puede indicar una manipulación o alteración de la información.

Además, se pueden utilizar técnicas de análisis forense avanzadas, como la verificación de firmas digitales y la comparación de huellas digitales, para corroborar la autenticidad del dispositivo y la integridad de los datos.

La importancia de mantener registros precisos durante el análisis

En esta práctica, mantener registros precisos es de vital importancia para respaldar la integridad y la transparencia del proceso. Los investigadores forenses deben llevar un registro detallado de cada etapa y acción realizada durante el análisis, asegurando así la trazabilidad de las actividades y la validez de los resultados obtenidos.

Estos registros abarcan desde la adquisición del dispositivo hasta el análisis de los datos, incluyendo cualquier modificación, extracción o examen realizado. Cada intervención debe estar documentada de manera minuciosa, registrando la fecha, la hora, la descripción de la actividad y el responsable.

Mantener registros precisos tiene múltiples beneficios: en primer lugar, proporciona una base sólida para el análisis posterior y la presentación de pruebas en el proceso judicial. Y los registros detallados respaldan la reproducibilidad de los resultados y la objetividad del análisis.

Proteger la información e identificar posibles evidencias comprometidas

La protección de la información comienza desde el momento en que se recibe el dispositivo bajo investigación. Se implementan medidas de seguridad para evitar la modificación accidental de los datos, como la creación de copias forenses bit a bit, garantizando que la evidencia original permanezca intacta.

Una vez asegurada la protección de los datos, se procede a analizarlos en busca de posibles evidencias comprometidas. Los investigadores forenses utilizan técnicas de recuperación de datos y herramientas especializadas para explorar minuciosamente el dispositivo en busca de archivos ocultos, registros de actividad y cualquier otro indicio que pueda ser relevante para la investigación.

Es importante destacar que el análisis forense digital se realiza de manera imparcial y objetiva, sin alterar intencionalmente la información encontrada. Los investigadores forenses siguen estrictos protocolos para evitar contaminar o manipular los datos recopilados, lo que garantiza la confiabilidad y la validez de la evidencia presentada.

Acciones llevadas a cabo al concluir una prueba forense

Al concluir una prueba forense, los investigadores llevan a cabo una serie de acciones para finalizar el proceso y presentar los resultados de manera efectiva. Estas acciones son cruciales para garantizar la integridad de la investigación y la validez de los hallazgos.

En primer lugar, se realiza una revisión exhaustiva de los resultados obtenidos durante el análisis forense. Se verifica la consistencia y la coherencia de los datos recopilados, asegurándose de que no haya errores o discrepancias que puedan comprometer la veracidad de la evidencia.

Una vez revisados los resultados, se documentan de manera precisa y detallada. Se elabora un informe forense que resume las acciones realizadas, los hallazgos relevantes y las conclusiones obtenidas.

Además, se notifica a las partes interesadas sobre la finalización de la prueba forense y se brindan explicaciones claras sobre los resultados y las implicaciones legales. Esta comunicación transparente y profesional es esencial para mantener la confianza y la credibilidad en el proceso forense.

Finalmente, se garantiza la seguridad y la adecuada preservación de la evidencia recolectada. Se toman medidas para evitar la alteración o la pérdida de los datos, asegurando que estén disponibles para su uso posterior, ya sea en procesos legales o para futuras investigaciones.

Software forense

El software en el análisis forense digital juega un papel fundamental en el proceso de recolección, análisis y presentación de evidencias. Los investigadores forenses utilizan una amplia gama de tipos de software especializados para llevar a cabo su trabajo de manera eficiente y precisa.

El software forense permite realizar la adquisición y extracción de datos de manera segura y confiable, garantizando la preservación de la integridad de la evidencia. Además, ofrece capacidades avanzadas para analizar y examinar los datos almacenados en dispositivos informáticos y teléfonos inteligentes, facilitando la identificación de posibles pruebas relevantes para el caso.

Asimismo, el software forense proporciona funcionalidades para la recuperación de datos eliminados o dañados, lo que puede resultar crucial en la reconstrucción de eventos y la obtención de pruebas adicionales. También permite la visualización y organización de la información de manera clara y comprensible, lo que facilita la presentación de los resultados en un contexto judicial.

Es importante destacar que el uso del software en el análisis forense digital debe realizarse de manera ética y siguiendo las normativas legales vigentes. Los investigadores forenses deben estar capacitados en el manejo adecuado de estas herramientas y asegurarse de que su uso cumpla con los estándares de integridad y validez.

# data[].attributes.attachment_link.title
Análisis forense digital ¿Cómo se realiza? Herramientas y técnicas

# data[].attributes.attachment_link.description
El análisis forense digital es una disciplina crucial. Despliega su utilidad en la investigación de ciberdelitos ✅

# data[].attributes.body
Herramientas de análisis forense

# data[].attributes.attachment_link.readable_text
Los dispositivos digitales son ubicuos y su uso en investigaciones de cadena de evidencia es crucial. La pistola humeante de hoy es más probable que sea un ordenador portátil o un teléfono que un arma más literal. Ya sea que dicho dispositivo pertenezca a un sospechoso o una víctima, la gran cantidad de datos que contienen estos sistemas podría ser todo lo que un investigador necesita para armar un caso.

Dicho esto, recuperar esos datos de manera segura, eficiente y legal no siempre es un esfuerzo simple. Los investigadores confían cada vez más en las nuevas herramientas forenses digitales para ayudarlos.

¿Qué son las herramientas forenses digitales?

Las herramientas forenses digitales son relativamente nuevas. Hasta principios de la década de 1990, la mayoría de las investigaciones digitales se realizaban mediante análisis en vivo, lo que significaba examinar los medios digitales utilizando el dispositivo en cuestión como lo haría cualquier otra persona.

A medida que los dispositivos se volvieron más complejos y llenos de más información, el análisis en vivo se volvió engorroso e ineficiente. Con el tiempo, las tecnologías especializadas y gratuitas comenzaron a surgir como hardware y software para filtrar, extraer u observar cuidadosamente los datos en un dispositivo sin dañarlo ni modificarlo.

Las herramientas forenses digitales pueden clasificarse en muchas categorías diferentes, algunas de las cuales incluyen:

análisis forenses de bases de datos,

captura de disco y datos,

análisis de correo electrónico,

examen de archivos,

visores de archivos,

estudio de Internet, de redes y de registros

examen de dispositivos móviles.

Muchas herramientas cumplen más de una función simultáneamente, y una tendencia significativa en las herramientas forenses digitales son los "envoltorios", uno que empaqueta cientos de tecnologías específicas con diferentes funcionalidades en un conjunto de herramientas general.

Todos los días se desarrollan nuevas herramientas, como soluciones patrocinadas por el gobierno de élite y plataformas de hackers de sótanos. La receta para cada uno es un poco diferente. Algunos de estos van más allá de las búsquedas simples de archivos o imágenes, y profundizan en el ámbito de la seguridad cibernética, lo que requiere un análisis de red o una evaluación de amenazas cibernéticas. Cuando hay una herramienta para todo, la pregunta más apremiante es cuál usar.

¿Cómo elegir la mejor?

Al seleccionar entre la amplia gama de opciones, consideramos los siguientes criterios:

Asequibilidad: el precio puede no ser un indicador de calidad, pero las revisiones colaborativas pueden serlo. La mayoría de las herramientas a continuación son de código abierto, y todas son gratuitas y mantenidas por una comunidad de desarrolladores dedicados.

Accesibilidad: a diferencia de algunas marcas propietarias que solo venden a las entidades encargadas de hacer cumplir la ley, todas estas están disponibles para particulares.

Responsabilidad: ya sea ​​a través de proyectos de código abierto o testimonios del mundo real, estas tecnologías han sido examinadas a fondo por expertos.

Principales herramientas de análisis forense

Aquí tienes algunas de las principales herramientas de análisis forense:

Autopsy

Autopsy es una plataforma forense digital y una interfaz gráfica que los investigadores forenses usan para comprender lo que sucedió en un teléfono u ordenador. Su objetivo es ser una solución modular de extremo a extremo que sea intuitiva desde el primer momento.

Los módulos seleccionados en Autopsia pueden hacer análisis de línea de tiempo, filtrado de hash y búsqueda de palabras clave. Pueden extraer artefactos web, recuperar archivos borrados del espacio no asignado y encontrar indicadores de compromiso. Todo esto se puede hacer con relativa rapidez.

La autopsia ejecuta trabajos en segundo plano en paralelo, de modo que incluso si una búsqueda completa lleva horas, el usuario sabrá en cuestión de minutos si se han encontrado palabras clave específicas.

Los investigadores que trabajan con múltiples dispositivos pueden crear un repositorio central a través de Autopsia que marcará números de teléfono, direcciones de correo electrónico u otros puntos de datos relevantes.

Desarrollado por el mismo equipo que creó The Sleuth Kit, una biblioteca de herramientas de línea de comandos para investigar imágenes de disco, Autopsy es una solución de código abierto, disponible de forma gratuita en interés de la educación y la transparencia. La última versión está escrita en Java, y actualmente solo está disponible para Windows.

CAINE

CAINE ofrece una plataforma de investigación forense a gran escala diseñada para incorporar otras herramientas y módulos en una interfaz gráfica fácil de usar. Su entorno interoperable está diseñado para ayudar a los investigadores en las cuatro etapas de una investigación: preservación, recolección, examen y análisis.

Viene con docenas de módulos preenvasados ​​(Autopsia, enumerados anteriormente, se encuentra entre ellos). Desarrollada en Linux, la herramienta es completamente de código abierto y está disponible de forma gratuita.

Digital Forensics Framework

Digital Forensics Framework (DFF) es una plataforma de informática forense de código abierto construida sobre una interfaz de programación de aplicaciones (API) dedicada. Equipado con una interfaz gráfica de usuario para un uso simple y automatización, DFF guía a un usuario a través de los pasos críticos de una investigación digital y puede ser utilizado tanto por profesionales como por aficionados.

La herramienta se puede utilizar para investigar discos duros y memoria volátil y crear informes sobre la actividad del sistema y del usuario en el dispositivo en cuestión.

DFF se desarrolló con los tres objetivos principales de:

modularidad (que permite que los desarrolladores realicen cambios en el software),

capacidad de escritura (que permite la automatización) y

genérico (mantener el sistema operativo agnóstico para ayudar a la mayor cantidad de usuarios posible).

El software está disponible de forma gratuita en GitHub.

Volatilidad

La Volatility Foundation es una organización sin fines de lucro cuya misión es promover el uso del análisis de memoria dentro de la comunidad forense. Su software principal es un marco de código abierto para la respuesta a incidentes y la detección de malware a través de análisis forenses de memoria volátil (RAM). Esto permite la preservación de la evidencia en la memoria que de otro modo se perdería durante un apagado del sistema.

Escrito en Python y compatible con casi todas las máquinas de 32 bits y 64 bits, puede filtrar a través de sectores en caché, volcados por caída, DLL, conexiones de red, puertos, listas de procesos y archivos de registro. La herramienta está disponible de forma gratuita y el código está alojado en GitHub.

Redline

Inicialmente un producto de Mandiant, pero luego asumido por FireEye, una empresa de ciberseguridad, Redline es una herramienta gratuita que brinda seguridad de punto final y capacidades de investigación a sus usuarios.

Se utiliza principalmente para realizar análisis de memoria y buscar signos de infección o actividad maliciosa, pero también se puede utilizar para recopilar y correlacionar datos en torno a registros de eventos, el registro, los procesos en ejecución, los metadatos del sistema de archivos, el historial web y la actividad de la red.

Al ofrecer una capacidad mucho más técnica y de calidad que la mayoría de las investigaciones forenses digitales, Redline tiene más aplicaciones en ciberseguridad y otros comportamientos criminales impulsados ​​por la tecnología donde un análisis granular es crítico.

Redline actualmente solo funciona en sistemas basados ​​en Windows, pero FireEye lo actualiza regularmente para un rendimiento óptimo y se puede descargar de forma gratuita en el sitio web de FireEye.

COFEE

El Extractor de evidencia forense en línea del ordenador de Microsoft (COFEE) es un juego de herramientas forenses que se utiliza para extraer evidencia de los ordenadores con Windows.

Desarrollado en 2006 por un ex oficial de policía de Hong Kong convertido en ejecutivo de Microsoft, el kit de herramientas actúa como una herramienta forense automatizada durante un análisis en vivo. Contiene más de 150 funciones y una interfaz gráfica de usuario que guía a un investigador a través de la recopilación y el examen de datos y ayuda a generar informes después de la extracción.

El descifrado de contraseñas, la recuperación del historial de Internet y otras formas de recopilación de datos están incluidas en el kit de herramientas.

En el momento de su lanzamiento, Microsoft afirmó que COFEE había reducido las tareas de tres a cuatro horas a menos de 20 minutos. Miles de organismos encargados de hacer cumplir la ley en todo el mundo (incluida INTERPOL) utilizan COFEE y Microsoft les proporciona asistencia técnica gratuita.

En noviembre de 2009, COFEE se filtró en múltiples sitios de torrents, y aunque es posible, aunque increíblemente complicado, que los delincuentes construyan alrededor de las características de COFEE, también es posible que el ciudadano promedio ahora vea lo que una vez fue estándar de la industria en todo el mundo para forense digital.

Wireshark

Wireshark es la herramienta de análisis de protocolos de red más utilizada del mundo, implementada por gobiernos, corporaciones privadas e instituciones académicas de todo el mundo. Como continuación de un proyecto que comenzó en 1998, Wireshark le permite al usuario ver lo que está sucediendo en una red a nivel microscópico. Al capturar el tráfico de red, los usuarios pueden buscar actividad maliciosa.

Los datos de red capturados se pueden ver en una interfaz gráfica de usuario en Windows, Linux, OSx y varios otros sistemas operativos. Los datos se pueden leer desde Ethernet Bluetooth, USB y varios otros, mientras que la salida se puede exportar a XML, PostScript, CSV o texto sin formato.

Las aplicaciones de Wireshark permanecen principalmente en ciberseguridad, pero también hay aplicaciones de investigación forense digital. Wireshark puede señalar a un investigador en la dirección de la actividad maliciosa para que pueda ser rastreado e investigado.

DumpZilla

DumpZilla realiza análisis de navegador, específicamente de clientes de Firefox, Iceweasel y Seamonkey. Permite la visualización y la búsqueda y extracción personalizadas de cookies, descargas, historial, marcadores, caché, complementos, contraseñas guardadas y datos de sesión.

Desarrollado en Python, funciona en sistemas Linux y Windows de 32/64 bits, y DumpZilla está disponible de forma gratuita en el sitio web del desarrollador. Si bien esto se creó como una herramienta independiente, su naturaleza específica y su empaque ajustado lo convierten en un fuerte componente de las futuras suites forenses digitales.

Estación de trabajo SIFT

El SANS Investigative Forensics Toolkit (SIFT) es una colección de tecnologías forenses y de respuesta a incidentes de código abierto diseñadas para realizar investigaciones digitales detalladas en una variedad de entornos.

El kit de herramientas puede examinar de forma segura discos sin formato y múltiples formatos de archivo y lo hace de una manera segura y de solo lectura que no altera la evidencia que descubre.

SIFT es flexible y compatible con el formato de testigo experto (E01), el formato forense avanzado (AFF) y los formatos de evidencia sin procesar. Creado en Ubuntu, incorpora muchas herramientas separadas (incluidas algunas en esta lista, como Autopsia y Volatilidad) y las pone a disposición de los investigadores. SIFT está disponible de forma gratuita y se actualiza regularmente.

ExifTool

ExifTool es un sistema independiente de la plataforma para leer, escribir y editar metadatos en una amplia gama de tipos de archivos. De particular interés para el investigador digital es la lectura de metadatos, que se puede lograr a través de procesos de línea de comandos o una simple GUI.

Los investigadores pueden arrastrar y soltar diferentes archivos, como un PDF o un JPEG, y aprender cuándo y dónde se creó el archivo, un componente crucial para establecer una cadena de evidencia.

El software en sí mismo es liviano y rápido, lo que lo convierte en una inclusión ideal en futuras suites forenses digitales y fácil de usar. ExifTool se actualiza regularmente y está disponible para Windows y OSx en el sitio web del desarrollador.

Bulk Extractor

Bulk Extractor escanea un archivo, directorio o imagen de disco y extrae información sin analizar el sistema de archivos o las estructuras del sistema de archivos, lo que le permite acceder a diferentes partes del disco en paralelo, haciéndolo más rápido que la herramienta promedio.

La segunda ventaja de Bulk Extractor es que puede usarse para procesar prácticamente cualquier forma de medios digitales: discos duros, tarjetas de cámara, teléfonos inteligentes, SSD y unidades ópticas.

Las versiones más recientes de Bulk Extractor pueden realizar análisis forenses de redes sociales, así como extraer direcciones, números de tarjetas de crédito, URL y otros tipos de información de la evidencia digital.

Otras capacidades incluyen la capacidad de crear histogramas basados ​​en direcciones de correo electrónico de uso frecuente y compilar listas de palabras que pueden ser útiles para descifrar contraseñas.

Toda la información extraída puede procesarse manualmente o con una de las cuatro herramientas automatizadas, una de las cuales incorpora listas de detención específicas del contexto (es decir, términos de búsqueda marcados por el investigador) que eliminan parte del error humano de la investigación forense digital. El software está disponible de forma gratuita para sistemas Windows y Linux.

# data[].attributes.attachment_link.description
Descubre las principales herramientas gratuitas de análisis forense y cómo elegir la mejor en cada caso ¡Más información aquí!

# data[].attributes.body
Fases del análisi forense

# data[].attributes.attachment_link.readable_text
Bien sea algún tipo de fraude tecnológico, una vulneración de derechos en internet, usurpación de la identidad o phishing, daños informáticos o robos de datos, la ciberdelincuencia está a la orden del día en nuestro país.

La digitalización, como principal causa, y también el aumento del teletrabajo y el conflicto en Ucrania, han abierto nuevas vías a los hackers para acceder a las redes internas.Los ataques informáticos siguen aumentando año tras año, según ha alertado el Sistema Estadístico de Criminalidad (SEC), dependiente del Ministerio de Interior español.

En este contexto, entra en juego el análisis forense informático, una disciplina con la que es posible esclarecer este tipo de delitos y con la que se puede encontrar datos ocultos, dañados o eliminados, y cuyo resultado puede llegar a ser una prueba concluyente en un procedimiento judicial.

Pero recuperar todos esos datos afectados con seguridad, de una manera eficaz y, sobre todo, legal, no siempre es fácil. Hay que rodearse de los mejores expertos enciberseguridad y de las herramientas adecuadas, además de seguir un proceso ordenado.

Estamos rodeados de aparatos digitales que contienen innumerables datos personales y privados, con información muy valiosa. Que un dispositivo pertenezca a un sospechoso o a una víctima, puede ser todo lo que necesita un analista para esclarecer un caso.

Por tanto, si quieres saber las etapas que comprende un análisis informático forense, ¡sigue leyendo!

Qué es un análisis forense digital

El análisis forense informático es una doctrina que permite revisar y obtener evidencias de un incidente ocasionado en un ordenador, un móvil, un elemento de comunicaciones, o en cualquier dispositivo capaz de procesar, transmitir o almacenar datos de forma digital.

Esta disciplina comprende todo un conjunto de técnicas científicas y de análisis para poder extraer la información de cualquier soporte sin llegar a alterar su estado. Requiere de una investigación detallada para conocer las causas y las consecuencias de un determinado ataque a una infraestructura tecnológica concreta, pero también saber quién ha sido el autor y la metodología empleada.

De las diferentes metodologías de analíticas forenses de ciberseguridad que existen, te destacamos las siguientes:
Tipos de análisis forenses en el ámbito tecnológico

· Análisis de software. Comprueba si un determinado software ha sido robado o dañado mediante la investigación del código fuente, principalmente.

· Análisis digital. Enfocado a la identificación, recuperación e investigación de información en ordenadores portátiles y de escritorio, sobre todo.

· Análisis dispositivos móviles, como smartphones, tablets o asistentes digitales personales (PDA).

· Análisis de memoria. Está orientado los delitos en los que se atacan o roba la información de disco duro o la memoria RAM.

Qué se consigue con la ciberseguridad forense

Además de lograr esclarecer un delito en la red o en las infraestructuras tecnológicas de una empresa, el análisis forense informático es efectivo para las siguientes situaciones:

·Recuperar la información o la tecnología afectada

·Asegurar la protección de datos y su cumplimiento

·Minimizar las pérdidas en un determinado ataque o incidente

· Prevenir o evitar ciberataques en el futuro

·Servir de ayuda en el análisis y recolección de pruebas a la autoridad judicial competente

·Ser una herramienta de peritaje en los sistemas internos de control de una entidad

Fases de un análisis forense informático

Para que un análisis forense en los ámbitos tecnológicos y de ciberseguridad sea válido y, a la vez eficiente, debe seguir una serie de pasos ordenados.

Estas son sus etapas más importantes:

1. Estudio inicial
En este punto de partida hay que estudiar la escena y asegurar las evidencias encontradas para que no puedan ser alteradas.

2. Identificación de las evidencias
Inventario de los dispositivos y sistemas que hay que analizar posteriormente. En este sentido, es importante realizar una copia de las fuentes de datos afectadas.

3. Adquisición de datos
Analizar cualquier rastro en todos los materiales presentados como ficheros, logs, registros... Y se hace tanto con los públicos, los protegidos con contraseña y los ocultos, totalmente separados unos de otros.

4. Diagnóstico de datos
Informe de todas las pruebas realizadas: identificación del autor, métodos empleados...

5. Presentación del informe
Trabajo detallado con conclusiones y explicación del sistema empleado, de forma clara y concisa, por si pudiera resultar como ayuda en un juicio, además de la i mplantación de medidas correctoras para mejorar la seguridad de la entidad o negocio afectado.

Cómo lo hacemos en Berna Network

Como empresa de ciberseguridad, con más de 20 años trabajados en el mundo de la programación y la tecnología, estamos continuamente formándonos para estar al día de los nuevos avances digitales.

Y es que, la informática forense no solo sirve para hacer frente a los ataques informáticos, también es una forma de recabar datos que puedan ser utilizados como pruebas y ayudar a las compañías a estar más seguras y protegidas desempeñando su labor. Y, hablando de pruebas, desde Berna Network, también te asesoramos y ayudamos con medidas de prevención como son las pruebas de penetración. Conoce qué es un pentesting.

Para hacer todo esto más fácil, ofrecemos mucha flexibilidad y proximidad al cliente. Hablamos el idioma de cada negocio para que nuestro trabajo sea entendible, y formamos a los empleados para que pueda poner en práctica unas rutinas más seguras en su labor diaria.

¿Necesitas llevar a cabo un análisis forense informático en tu empresa?

# data[].attributes.attachment_link.title
Cómo hacer un análisis forense informático paso a paso

# data[].attributes.attachment_link.description
¿Has sufrido un ciberataque recientemente en tu negocio? Conoce aquí cómo se hace un análisis forense informático para poder depurar responsabilidades.

# data[].attributes.body
Amenazas cibernéticas

# data[].attributes.attachment_link.readable_text
Con respecto a la seguridad informática, es importante estar constantemente actualizado, ya que cada día se desarrollan nuevas maneras de explotar las vulnerabilidades de sistemas y equipos. En este sentido, te mostraremos las principales amenazas de ciberseguridad a las que debes estar atento para garantizar la seguridad de los datos confidenciales de la empresa.

1. Ataques de phishing

El es uno de los ataques cibernéticos más utilizados por ciberdelincuentes para obtener información confidencial (números de tarjetas de crédito, contraseñas, nombre de usuario, etc) de los usuarios en internet.

En este caso, los atacantes se hacen pasar por una institución verificada (como por ejemplo una entidad bancaria) o personas de confianza y redactan un correo electrónico con lenguaje formal para solicitar al usuario que ingrese en un link que será muy parecido al de una página oficial de cualquier empresa o banco legítimo.

Una vez dentro de esta página, se le pedirá al usuario que inicie sesión como lo haría normalmente, ingresando su nombre de usuario y contraseña. El objetivo principal es hacerle creer a los usuarios que es una operación de rutina, para no levantar ningún tipo de sospecha.

Es por ello que las empresas suelen resaltar que nunca solicitarán ningún tipo de información o datos confidenciales por vía telefónica o por correo, para evitar que los usuarios caigan en este tipo de estafas cibernéticas.

2.Ataque de Ransomware

Cuando hablamos de ataque de ransomwareo secuestro de datos, nos referimos a un tipo de software malicioso que suele ser utilizado por ciberdelincuentes para robar información confidencial y mantenerla encriptada bajo un código de acceso.

De esta forma, el usuario que ha sufrido el ciberataque, no solo ha sido víctima del robo de información, sino que adicionalmente no podrá recuperarla hasta que pague un monto de dinero específico al hacker para que libere dicha información.

3. Malware

Un malware también se corresponde con un software malicioso que tiene como objetivo explotar las vulnerabilidades de un sistema informático para obtener ciertos permisos sin autorización, como por ejemplo:

Ejecutar o desinstalar programas

Acceder a funciones del equipo o sistema en el que está instalado

Permitir la extracción de información

Entre otros.

Este tipo de software es común encontrarlo en los sitios web que nos llenan la ventana de anuncios o cuando instalamos programas cuyo desarrollador es desconocido.

4. Spam o correo no deseado

El spamming se refiere a la acción de enviar múltiples mensajes no solicitados para promover ciertas campañas de marketing, política o en el caso de las ciberamenazas, para difundir un virus informático o malware.

En estos casos, el objetivo de los ciberdelincuentes es que alguno de los usuarios se atreva a abrir el link o descargar el archivo malicioso por curiosidad y, de esta forma, podrá acceder a la información personal que tiene en su equipo.

Esta práctica también se utiliza frecuentemente en redes sociales (Facebook, Twitter, Instagram, Whatsapp), donde los hackers envían múltiples mensajes haciendo creer a las personas que ganaron cierta cantidad de dinero o algún producto y que para reclamarlo solo deben hacer clic en un link.

5. Amenazas internas

Una de las amenazas internas más importantes de la ciberseguridad para las empresas son los hábitos que tienen sus empleados a la hora de ingresar al sistema.

Al ser quienes tienen autorización para acceder a la información de la empresa, cualquier error pequeño que cometan, puede traducirse en una brecha de la seguridad de la información, que será aprovechada por terceros.

También es posible que alguno de los empleados sea el responsable directo de las filtraciones de datos, ya sea de forma involuntaria o no. En este sentido, es importante educar a todos los empleados en seguridad cibernética para minimizar las brechas de seguridad.

6. Inyección SQL

En este tipo de ciberataque, el hacker se encarga de introducir un código SQL (Lenguaje de Consulta Estructurada) corrupto en una página web, para poder acceder a la información de su base de datos sin necesitar una contraseña.

El lenguaje SQL es utilizado para diseñar y administrar bases de datos y por lo general, para acceder a la información almacenada en ellas, se necesita un usuario y una contraseña específica.

Los ciberatacantes analizan las bases de datos en búsqueda de vulnerabilidades específicas para ingresar comandos especiales que permiten la ejecución de un código SQL que les otorgue acceso al sistema sin autorización.

De esta forma, los ciberdelincuentes pueden tomar el control total de una base de datos utilizando un ataque de inyección SQL, ya sea para extraer información o modificarla sin ser detectado.

7. Ataques de denegación de servicios (DDoS)

Para llevar a cabo el ataque DDoS y burlar la seguridad informática de un sistema, los hackers envían múltiples solicitudes a un servidor o red con el objetivo de superar la capacidad de respuesta a dichas solicitudes, cuyo desenlace será el colapso de la red objetivo.

Desde el momento en que la red deja de funcionar, se convierte en un blanco fácil para los ciberatacantes.

# data[].attributes.attachment_link.title
Principales Amenazas de Ciberseguridad y Cómo Prevenirlas

# data[].attributes.attachment_link.description
Infórmate sobre las principales amenazas de ciberseguridad que pueden afectar tu empresa y aprende cómo proteger tu información confidencial.

# data[].attributes.body
Alianza ransomware

# data[].attributes.attachment_link.readable_text
El ransomware es un problema global. Los ataques con este tipo de malware crecieron un 153% el último año, según datos de NCC Group. Y, por si esto fuera poco, las metodologías de extorsión evolucionaron notablemente para aumentar el número de víctimas que pagan rescates (aún sin la garantía de recuperar sus archivos o evitar filtraciones).

La mayor parte de los incidentes siguen produciéndose en Estados Unidos, país que lleva tiempo intentando salvaguardar su seguridad cibernética. Después de estas preocupante estadísticas, Washington está preparado para impulsar una de las acciones más contundentes contra los ciberdelincuentes que impulsan este tipo de actividades ilícitas.

EEUU y sus socios apuntan a cortar los ingresos de los atacantes

En 2021 se puso en marcha la Iniciativa Internacional de Lucha contra el Ransomware (CRI, por sus siglas en inglés) liderada por Estados Unidos e integrada por una treintena de países, entre ellos España. Después de acordar varias medidas en conjunto, como no albergar a delincuentes de ransomware en sus fronteras, llega una nueva acción en equipo.

Según recoge Reuters, el compromiso de este año apunta a cortar de raíz el mecanismo de financiación que tiene los atacantes, un elemento clave que les permite aumentar la cantidad de ataques e incluso hacerlos más sofisticados. En concreto se busca que los gobierno de los países miembros jamás accedan a las extorsiones de los atacantes, es decir, que no paguen rescates.

"Mientras haya dinero fluyendo hacia los delincuentes de ransomware, este es un problema que seguirá creciendo", ha dicho Anne Neuberger, asesora adjunta de seguridad nacional de EEUU. Las medidas de este año irán mucho más allá. También se creará una "lista negra" de direcciones de pago de los rescates en criptomonedas.

Para esto último se crearán dos plataforma de intercambio de información en la que los países miembros podrán aportar datos para identificar cómo reciben los pagos los actores de ransomware. Una estará en Lituania mientras que la otra se desarrollará en conjunto entre Israel y los Emiratos Árabes Unidos.

Con el tiempo sabremos si estos esfuerzos servirán para reducir el enorme caudal de ataques. Los atacantes de ransomware actuales, recordemos, además de cifrar los datos de las víctimas, amenazan con filtrarlos en línea en caso de que no paguen el rescate. Este tipo de maniobras apunta a aquellos que tienen copias de seguridad.
En Xataka: Ni la seguridad del banco es infalible: las cinco técnicas de los ciberdelincuentes para acceder a nuestro dinero

# data[].attributes.attachment_link.title
Una alianza de 30 países, entre ellos España, se prepara para derrotar al ransomware: no pagarán rescates

# data[].attributes.attachment_link.description
El ransomware es un problema global. Los ataques con este tipo de malware crecieron un 153% el último año, según datos de NCC Group. Y, por si esto fuera...

# data[].attributes.body
Tipos de malware

# data[].attributes.attachment_link.description
El software malicioso, o "malware", es cualquier programa diseñado para dañar los sistemas de computación o a sus usuarios, como el ransomware, los troyanos y el spyware.

# data[].attributes.body
Malware, tipos y mitigación

# data[].attributes.attachment_link.description
El malware es un programa o código malicioso creado para infectar dispositivos o sistemas. Descubre cómo protegerte de esta ciberamenaza.

# data[].attributes.body
Informe 2022 INCIBE

# data[].attributes.attachment_link.title
INCIBE ha gestionado un total de 118.820 incidentes en ciberseguridad en 2022

# data[].attributes.attachment_link.description
El Instituto Nacional de Ciberseguridad (INCIBE) a través de la Secretaría de Estado de Digitalización e IA, publica su último Balance de Ciberseguridad 2022

# data[].attributes.body
Balance Informe INCIBE 2022

# data[].attributes.body
Seguridad y Alta Disponibilidad

# data[].attributes.body
Uso de datos biométricos y legalidad en España

# data[].attributes.attachment_link.title
Protección de Datos frena el plan de Antiviolencia para extender los sistemas de identificación de los ultras en los campos de fútbol

# data[].attributes.attachment_link.description
Tras la reyerta mortal en Madrid Antiviolencia pretende aprobar medidas…

# data[].attributes.attachment_link.title
Vkansee: desbloquear un iPhone con una huella de plastilina es posible

# data[].attributes.attachment_link.readable_text
La seguridad biométrica es el uso de características físicas o conductuales únicas de las personas para verificar su identidad y autorizar su acceso a determinados sistemas o servicios. Algunos ejemplos de seguridad biométrica son el reconocimiento facial, de huellas dactilares, de iris, de voz o de firma.

La seguridad biométrica ofrece varias ventajas frente a otros métodos de autenticación, como las contraseñas, los códigos PIN o las tarjetas magnéticas. Entre ellas, se destacan:

- Mayor comodidad: los usuarios no tienen que recordar ni introducir datos complejos, solo presentar su biometría.

- Mayor seguridad: los datos biométricos son difíciles de falsificar, copiar o robar, y pueden detectar intentos de suplantación o fraude.

- Mayor eficiencia: los procesos de verificación son rápidos y automatizados, lo que reduce los costes operativos y mejora la experiencia de usuario.

El futuro de la seguridad biométrica se presenta prometedor, ya que cada vez más sectores y empresas adoptan esta tecnología para proteger sus activos, sus clientes y sus empleados. Algunas tendencias que se observan son:

- La integración de la seguridad biométrica con otras tecnologías, como la inteligencia artificial, el blockchain o el internet de las cosas, para crear soluciones más avanzadas y personalizadas.

- La diversificación de los tipos de biometría, que incluyen no solo las características físicas, sino también las conductuales, como la forma de teclear, de mover el ratón o de navegar por internet.

- La expansión de los ámbitos de aplicación, que abarcan desde el control de acceso físico o lógico, hasta el pago electrónico, la atención sanitaria o el transporte.

Para aplicar la seguridad biométrica en las empresas, es necesario tener en cuenta algunos aspectos clave, como:

- El cumplimiento de la normativa legal y ética sobre la protección de datos personales, especialmente en lo referente al consentimiento, la transparencia y la finalidad del tratamiento.

- La elección del tipo de biometría más adecuado para cada caso, en función del nivel de seguridad requerido, el coste y la aceptación de los usuarios.

- La implementación de medidas complementarias para garantizar la fiabilidad, la disponibilidad y la integridad de los sistemas biométricos, así como para prevenir posibles ataques o vulnerabilidades.

La seguridad biométrica es una tecnología que ofrece múltiples beneficios para las empresas y que tiene un gran potencial de desarrollo e innovación. Sin embargo, también implica una serie de retos y responsabilidades que deben ser abordados con rigor y profesionalidad.

# data[].attributes.attachment_link.title
El futuro de la seguridad biométrica, beneficios y formas de aplicar en las empresas.

# data[].attributes.attachment_link.description
La seguridad biométrica es el uso de características físicas o conductuales únicas de las personas para verificar su identidad y autorizar su acceso a determinados sistemas o servicios. Algunos ejemplos de seguridad biométrica son el reconocimiento facial, de huellas dactilares, de iris, de voz o de

# data[].attributes.attachment_link.title
Protección de Datos frena el plan de Antiviolencia para extender los sistemas de identificación de los ultras en los campos de fútbol

# data[].attributes.attachment_link.description
Tras la reyerta mortal en Madrid Antiviolencia pretende aprobar medidas…

# data[].attributes.attachment_link.readable_text
Como todos sabemos, el Mobile World Congress es uno de los eventos señalados en el calendario de los entusiastas de la tecnología y todos los profesionales del sector. Este tiene lugar en Barcelona, y así seguirá siendo al menos hasta 2030. Asistimos una vez al año, donde vemos las novedades del mundo móvil y descubrimos muchas curiosidades, como el móvil camaleónico.

Pues bien, no todo ha salido bien estos últimos años y es que la organización ha salido multada. Por lo tanto, deberá pagar 200.000 euros debido a una infracción en el Reglamento General de Protección de Datos (RGPD). Pero primero, veamos qué ha ocurrido.

El culpable es el reconocimiento facial

Es la Agencia Española de Protección de Datos (conocida por sus siglas, AEPD) la que ha interpuesto una multa a la organización encargada del Mobile World Congress: la GSMA. Que como decimos, deberá abonar la módica cantidad de 200.00 euros por incumplir una ley europea de privacidad en el año 2021.

¿El motivo? Durante esa edición, los asistentes tenían como requisito obligatorio identificarse usando sus rostros en el sistema de reconocimiento facial que la GSMA instaló. Esto ha supuesto una infracción del artículo 35 del RGPD, resumido de la siguiente manera y que puede ser consultado siguiendo este enlace:

Un tipo de tratamiento que conlleve riesgos para los derechos y libertades de las personas físicas, deberá someterse a una evaluación que considere el impacto de las operaciones en el tratamiento de datos de los individuos.

Además, en el mismo artículo se detallan las condiciones y características que debe tener dicha evaluación. Por su parte, la AEPD culpa a la organización destacando su "falta de diligencia". En GSMA sí pensaron en la evaluación, de hecho la realizaron, pero el documento no cumple con lo que la agencia solicita.

Desde hace unos años, la GSMA ofrece a los asistentes del MWC la posibilidad de registrarse previamente haciéndose un selfi y subiendo una imagen del DNI/pasaporte, o bien presencialmente en el recinto. Sin embargo, su regreso tras la pandemia hizo que los asistentes tuvieran que usar sus datos biométricos de forma obligatoria.

Fue entonces cuando Anastasia Dedukhyna, una conferenciante que se disponía a participar, reclamó a la organización su derecho a identificarse presencialmente. Su petición fue denegada y optó por poner una queja al organismo regulador. Dos años después, ha salido la resolución que tiene el resultado ya citado.

GSMA ha realizado un comunicado para comentar lo sucedido, destacando que se toman "muy en serio la protección de datos", y que su tecnología es segura para todos los asistentes. Afortunadamente, no ha habido ninguna filtración de estos datos biométricos, y confirman que seguirán cooperando con la AEPD.

Imagen de portada | Xataka

En Xataka Móvil | Europa vs TikTok: la UE prohibe usar la red social china a todos sus empleados

# data[].attributes.attachment_link.title
El MWC, multado 'por la cara': la GSMA deberá pagar 200.000 euros por el uso del reconocimiento facial

# data[].attributes.attachment_link.description
Como todos sabemos, el Mobile World Congress es uno de los eventos señalados en el calendario de los entusiastas de la tecnología y todos los profesionales...

# data[].attributes.body
Mapear superficie de ataque.

# data[].attributes.attachment_link.readable_text
¿ Sabes cómo identificar una superficie de ataque y para qué se ejecuta este proceso en ciberseguridad?

La recolección de información es la fase inicial de cualquier ciberataque. Por lo tanto, todos los tests de intrusión empiezan del mismo modo. Tanto en pentesting web como en pentesting de sistemas, reunir información sobre el objetivo de la auditoría es el primer paso y tiene una gran relevancia en el resto del proceso.

El propósito de la recolección de información sobre el sistema o la aplicación web es determinar cuál es su superficie de ataque. En el caso de un sistema, la superficie de ataque son los dispositivos vulnerables conectados a una red; en el caso de una aplicación web, la superficie de ataque son todos los subdominios y subdirectorios relacionados con la página web.

En este post, hablaremos sobre métodos para ejecutar esta fase de un pentesting, tanto en sistemas como en aplicaciones web. A continuación, te explicaremos cómo identificar una superficie de ataque en ciberseguridad.

¿Cómo identificar una superficie de ataque?

Como lo decíamos en la introducción, para aprender cómo identificar una superficie de ataque es necesario diferenciar entre el caso de un sistema informático y el de una aplicación web. La superficie de ataque es el conjunto de elementos que pueden tener vulnerabilidades y, por lo tanto, varían en ambos tipos de tecnologías.

Superficie de ataque en sistemas

La superficie de ataque de un sistema se encuentra por medio de un escaneo de red. Los escaneos de red permiten enumerar todos los dispositivos conectados a un entorno y qué tipo de tecnología utilizan. Las vulnerabilidades se pueden encontrar en los softwares y hardwares de estos equipos y pueden explotarse de diferentes formas.

Una de las herramientas más utilizadas para reconocer la superficie de ataque de un sistema es Nmap, que permite hacer este tipo de escaneos e, incluso, identificar algunas vulnerabilidades.

Superficie de ataque en aplicaciones web

La superficie de ataque en aplicaciones web está compuesta por todos los subdominios y subdirectorios relacionados con la página web. Los subdominios son, básicamente, aplicaciones subordinadas que pueden ser totalmente distintas a la página original. En la estructura de la URL, los subdominios se identifican por llevar el nombre antes del nombre de la aplicación, es decir, de la siguiente manera:

subdominio.ejemplo.com

Por su parte, los subdirectorios son carpetas que se encuentran dentro de la aplicación original, de la siguiente forma:

ejemplo.com/subdirectorio/tema

Los subdominios y subdirectorios constituyen la superficie de ataque de una aplicación, ya que en ellos se pueden encontrar la mayor cantidad de vulnerabilidades informáticas. Por eso, para saber cómo identificar la superficie de ataque de una aplicación web, es necesario saber hallar estas direcciones URL.

Crawling

La primera técnica que veremos, sobre cómo identificar una superficie de ataque en aplicaciones web será el crawling.

El crawling consiste en automatizar la búsqueda de subdirectorios de una aplicación. Para ello, un programa visita todos los links internos de una página y la explora por completo. Así pues, el resultado es una lista con todos los subdirectorios activos de la aplicación. En ellos, el pentester puede escanear vulnerabilidades o buscar información confidencial.

Algunas herramientas para hacer crawling son:

Fuzzing

El fuzzing consiste en utilizar técnicas de fuerza bruta para encontrar todos los subdominios de una aplicación. Es altamente efectiva, pero debe realizarse con la autorización del propietario del dominio. El fuzzing web o fuerza bruta de dominios consiste en automatizar pruebas de ensayo y error para encontrar los valores correctos de una cadena de datos, que en este caso sería el nombre del subdominio de la aplicación.

Los web fuzzers optimizan el tiempo de funcionamiento por medio del uso de diccionarios, que son listas de palabras comúnmente asignadas para subdominios. Para acceder a más diccionarios como estos, puedes ingresar al repositorio de GitHub de SecLists.

MassDNS

MassDNS es una herramienta importante para aprender cómo identificar una superficie de ataque de una aplicación web. MassDNS es un web fuzzer de alto rendimiento que puede resolver 350.000 nombres de subdominios por segundo. Por medio de este programa, puedes utilizar más de 990 servidores DNS para resolver nombres de dominio y reconocer la superficie de ataque de una aplicación.

Además, cuenta con diccionarios de palabras con más de 100.000 términos comúnmente utilizados en subdominios de páginas web. Por eso, es la herramienta más potente para encontrar estas direcciones URL por medio de fuerza bruta.

¿Cómo aprender más?

Ya hemos visto cómo identificar una superficie de ataque de un sistema y una aplicación web. Si quieres aprender más sobre técnicas de hacking ético, en KeepCoding tenemos un curso intensivo ideal para ti. Entra a nuestro Ciberseguridad Full Stack Bootcamp y especialízate en tan solo 7 meses. Aprende sobre temas como red team/blue team, análisis de malware, criptografía y mucho más. ¡No sigas esperando e inscríbete ahora!

# data[].attributes.attachment_link.title
¿Cómo identificar una superficie de ataque?

# data[].attributes.attachment_link.description
¿Sabes cómo identificar una superficie de ataque, para qué se ejecuta este proceso en ciberseguridad y cuál es su importancia? Descúbrelo aquí.

# data[].attributes.body
Taller análisis pentesting

# data[].attributes.attachment_link.title
Taller de Resolución de retos forenses en CTF's  por Rafael López C0r0n4CON