¿Qué es la autenticación multifactor (MFA)?

La autenticación multifactor (MFA) es un método de control de acceso que requiere dos o más formas de identificación antes de conceder acceso a una aplicación, cuenta o sistema. Estas formas de identificación pueden incluir algo que el usuario sabe (una contraseña), algo que el usuario tiene (un dispositivo móvil para recibir un código) y algo que el usuario es (biometría como huellas dactilares o reconocimiento facial).

Ventajas de la Autenticación Multifactor:

1. Seguridad Mejorada:

   • MFA proporciona una capa adicional de seguridad, haciendo mucho más difícil para los atacantes acceder a cuentas o sistemas con solo una contraseña robada o adivinada.

2. Reducción de Fraudes:

   • Al requerir múltiples formas de autenticación, se reduce significativamente el riesgo de fraude, incluso si una de las capas de seguridad se ve comprometida.

3. Protección Contra Ataques de Phishing:

   • MFA ayuda a mitigar los riesgos asociados con los ataques de phishing, donde los atacantes pueden engañar a los usuarios para que revelen sus contraseñas. Incluso con la contraseña, el atacante no puede acceder sin el segundo factor de autenticación.

4. Cumplimiento Normativo:

   • Muchas regulaciones de protección de datos y seguridad de la información, como el RGPD, CCPA y HIPAA, recomiendan o requieren el uso de MFA para proteger los datos sensibles.

Considero que otra medida importante sería las capacitaciones en ciberseguridad para poder detectar lo que esta mal o sospechoso, así como también implementar estrategias de backup de datos y copias de seguridad.

Considero que podemos implementar un sistema de autenticación multifactor para aumentar la seguridad

Algunas medidas que observó se implementan en mi firma de consultores tributarios, la protección contra ataques cibernéticos es crucial debido a la naturaleza altamente sensible de los datos fiscales y financieros que maneja son los siguientes

1. Implementación de Políticas de Seguridad de la Información:

2. Cifrado de datos:

3. Control y Gestión de Contraseñas:

4. Gestión de Accesos y Permisos:

5. Monitoreo y Auditoría de la Red:

6. Capacitación Continua al Personal:

7. Copia de Seguridad (Copias de seguridad):

8. Actualización y parches de seguridad:

9. Segmentación de la Red:

10. Política de Uso de Dispositivos:

11. Evaluaciones de Riesgos y Auditorías de Seguridad:

Planes de Respuesta ante Incidentes:

13. Contratación de Seguros de Ciberseguridad:

14. Protección en la Nube:

Implementar estas medidas de manera efectiva garantizará que la firma de consultores tributarios minimice las vulnerabilidades y esté preparada para responder ante cualquier incidente de ciberseguridad. Además, es importante mantener estas políticas y procedimientos bajo revisión constante y adaptarlos a las amenazas emergentes.

Y la otra pregunta Para robustecer aún más la capacidad de la firma para resistir ciberataques, te recomendamos considerar las siguientes medidas:

Segmentación de Redes por Privilegios Implementar redes separadas para áreas críticas (ejemplo: red financiera) y restringir su acceso sólo a usuarios autorizados, minimizando el riesgo de que un ataque afecte áreas claves.

Activa la autenticación en dos pasos (2FA)

Mantén tus dispositivos y software actualizados

Considero que una medida útil puede ser la de tener mecanismos de seguridad que permitan el rastrear la trazabilidad de información cuando esta es sustraída o remitida a un computador personal, de esta forma podríamos tener elementos probatorios suficientes para demostrar si existió o no una sustracción de información en perjuicio de la empresa.

-Utilizar autenticación en dos pasos.

-Revisar y chequear a diario correos recibidos para filtrar informaciones o correos falsos.

En mi experiencia laboral, tuve la oportunidad de liderar la mitigación de un ciberataque dirigido a una plataforma de venta de tiquetes en línea. El ataque se basaba en la creación masiva de usuarios falsos con el objetivo de saturar la capacidad de redundancia del sitio, provocando un colapso en los servidores y, en consecuencia, la interrupción de las ventas.

Para abordar esta amenaza, implementé varias medidas estratégicas. En primer lugar, recurrí a Sisap, un proveedor especializado en ciberseguridad, para realizar un diagnóstico exhaustivo del ataque y determinar los puntos vulnerables del sistema. Su expertise nos permitió identificar las principales fuentes del ataque y optimizar nuestra infraestructura para resistir este tipo de incidentes en el futuro.

Paralelamente, implementamos sistemas de detección de anomalías en el tráfico web para identificar patrones inusuales, como múltiples registros desde las mismas IP o comportamientos repetitivos asociados con los usuarios falsos. Estas medidas, combinadas con políticas de autenticación más robustas y filtros avanzados, fueron clave para mitigar el impacto del ataque y restaurar la operatividad del sitio.

Medidas adicionales para fortalecer la resistencia a ciberataques:

1. Capacitación del personal: Concientizar al equipo sobre las mejores prácticas de seguridad cibernética para evitar errores humanos que faciliten los ataques.

2. Implementación de herramientas de monitoreo: Utilizar sistemas de detección y respuesta ante intrusiones (IDS/IPS) para supervisar la actividad en tiempo real.

3. Redundancia y escalabilidad: Diseñar la infraestructura con servidores redundantes y capacidad de escalar rápidamente para absorber picos de tráfico.

4. Auditorías periódicas: Realizar pruebas de penetración y auditorías de seguridad para detectar vulnerabilidades antes de que puedan ser explotadas.

5. Firewall de aplicaciones web (WAF): Proteger las aplicaciones en línea contra ataques como inyecciones SQL o denegaciones de servicio (DDoS).

Estas experiencias y aprendizajes me han permitido comprender la importancia de anticiparse a las amenazas y construir sistemas resilientes frente a los desafíos del entorno cibernético.

Restringir el uso de puertos USB.

No permitir el uso de dispositivos personales

Envío de correos simulando ser correos maliciosos.

Capacitación constante.

Contraseñas seguras.

Cuando recibo un correo verifico la dirección del remitente con las guardadas, para constatar que es un usuario conocido y no un intento de phishing.

Cuando envío un correo me aseguro de verificar la dirección si el destinatario no pertenece a la organización, especialmente si estoy compartiendo información sensitiva.

Medida Urgente a utilizar considerando los riesgos, seria garantizar un sistema informático y digital que proteja los datos que a diario se vuelcan en el sistema.

• Capacitación constante al personal:
  Entrenar a los colaboradores para detectar phishing, correos sospechosos y prácticas inseguras. Esto ayuda a evitar que un error humano sea la puerta de entrada.

• Actualización y parcheo permanente:
  Mantener todos los sistemas, aplicaciones y antivirus al día con las últimas actualizaciones para cerrar vulnerabilidades conocidas.

• Segmentación de la red:
  Separar la red interna en segmentos para limitar la propagación de ataques si un área se ve comprometida.

• Respaldo periódico y seguro de datos:
  Guardar copias en ubicaciones seguras para poder restaurar la información en caso de ransomware o pérdida.

Otras medidas útiles para fortalecer la capacidad de resistencia:

• Implementar soluciones SIEM y monitoreo 24/7:
  Para detectar rápidamente actividades sospechosas y responder con agilidad.

• Simulacros de ataques (phishing y ransomware):
  Para probar la preparación del personal y mejorar protocolos.

• Políticas estrictas de control de acceso:
  Asignar permisos mínimos necesarios para cada usuario y revisar regularmente esos accesos.

• Cifrado de datos en tránsito y en reposo:
  Proteger la información sensible ante accesos no autorizados.

• Plan de respuesta a incidentes:
  Tener un protocolo claro para actuar rápido ante cualquier brecha, minimizando daños.

• cambio periódico de contraseñas.

• uso de un correo electrónico secundario para subscripciones online de baja importancia (netflix, newsletters, etc...) y un correo primario para cuestiones más personales o que requieren de un mayor nivel de precaución (como bancos, cuentas de redes sociales, billeteras digitales, etc..)

• Evitar incluir información personal pública o rastreable en las contraseñas. (año de nacimiento, numero de telefono, dirección física)

Gracias a estas prácticas, hemos logrado fortalecer la cultura de seguridad dentro de la organización y reducir significativamente el riesgo de sufrir ataques exitosos.

Aplicación de protocolos de autenticación para acceder a sistemas internos, lo que reduce significativamente el riesgo de accesos no autorizados.

Capacitaciones permanentes en temas de ciberseguridad.

Medidas que pueden ser útiles para fortalecer la capacidad de resistencia ante ataques cibernéticos.

Implementar protocolos de respuesta ante incidentes, capacitar al personal en ingeniería social y asegurar que los proveedores tecnológicos cumplan con estándares como ISO 27001 son esenciales para fortalecer todo lo relacionado a ciberataques.

Para fortalecer la capacidad de resistencia ante ataques cibernéticos es clave la capacitación continua al personal, debe ser continua por la nuevas modalidades que siguen surgiendo, utilizarse respaldos diarios por si se materializa un incidente y finalmente el uso de sistemas que alerten sobre amenazas.

El equipo de computación que Naciones Unidas pone a disposición de las personas empleadas en MINUSCA debe destinarse únicamente a fines oficiales. Cualquier transacción de carácter personal o privado debe realizarse en dispositivos personales, evitando así el cruce de información sensible y preservando la integridad de los sistemas institucionales.

·       Separación de actividades: Es fundamental que las operaciones laborales y las acciones personales se lleven a cabo en dispositivos distintos, para minimizar riesgos y cumplir con los estándares de seguridad.

·       Uso responsable: Las aplicaciones, datos y herramientas provistas para el trabajo deben utilizarse exclusivamente en el marco de las funciones asignadas.

·       Protección de la infraestructura: Evitar el uso de softwares no autorizados, sitios web personales o transferencias de archivos ajenos a la labor oficial ayuda a mantener la seguridad de los sistemas.

Concienciación en ciberseguridad

La unidad de Ciberseguridad juega un papel esencial en la generación de conciencia entre quienes utilizan los sistemas de Naciones Unidas. Es indispensable reforzar la cultura de protección de datos y el manejo seguro de credenciales y dispositivos.

·       No compartir dispositivos: Cada persona debe utilizar exclusivamente su equipo asignado, evitando prestar, intercambiar o permitir el acceso a terceras personas.

·       Confidencialidad de contraseñas: Las contraseñas representan la primera barrera de defensa ante amenazas digitales. Bajo ningún motivo deben compartirse con colegas, amistades o familiares. Existen canales oficiales para la recuperación o gestión segura de credenciales.

·       Riesgos asociados: Compartir dispositivos o contraseñas expone a la organización a pérdidas de información, acceso no autorizado y posibles fugas de datos sensibles.

Recomendaciones adicionales

·       Capacitaciones regulares: La unidad de Ciberseguridad debe ofrecer talleres, boletines y recursos informativos para mantener actualizadas las buenas prácticas entre todas las personas usuarias.

·       Reportar incidentes: Ante cualquier sospecha de vulnerabilidad o acceso indebido, es esencial comunicarlo de inmediato a los canales institucionales.

·       Actualización constante: Mantener los equipos y sistemas operativos actualizados reduce la exposición a amenazas y asegura el cumplimiento de los protocolos internacionales.

Carla Lopez

·       Reviso si el remitente ya ha tenido comunicación previa con la empresa.  Aquí verifico nombres y apellidos correctos.

·       Analizo el contenido del mensaje para verificar si guarda relación con interacciones anteriores.

·       Presto especial atención a los saludos, ya que en muchas ocasiones difieren de los habituales y pueden evidenciar un intento de fraude.

·       Recurro a plataformas de verificación, portales de información donde valido si los números de asuntos, solicitudes o referencias coinciden con datos existentes.

·       En caso de persistir la incertidumbre, busco apoyo en el departamento de IT, con el fin de garantizar que la información y los sistemas de la organización no se vean comprometidos.

Además de la verificación de correos, considero que existen otras medidas que pueden fortalecer la capacidad de resistencia de una organización ante ciberataques. Entre ellas destacan:

·       Capacitación continua a los colaboradores sobre las buenas prácticas de ciberseguridad.

·       Uso de contraseñas robustas y autenticación multifactor, lo que reduce el riesgo de accesos no autorizados.

·       Actualización constante de los sistemas y aplicaciones, para cerrar vulnerabilidades conocidas.

·       Respaldo periódico de la información, con copias almacenadas en entornos seguros.

·       Protocolos claros de respuesta a incidentes, en caso de detectar anomalías.

·       Espacios de retroalimentación grupal, encuentros informales donde los colaboradores compraten experiencias y medidas que aplican en su día a día.

Estas acciones promueven una cultura organizacional orientada a la seguridad digital.

1. ​¿Podría compartir con sus compañeros alguna medida de seguridad que tome en su entorno laboral para proteger la información de ciberataques?

   R:​Una medida de seguridad fundamental y de aplicación diaria que tomo en mi entorno laboral es la implementación y uso obligatorio de la Autenticación Multifactor (MFA) para el acceso a sistemas, correo electrónico corporativo y plataformas en la nube (como sistemas de gestión de documentos o CRM).

   • ​¿En qué consiste? Además de la contraseña (algo que sé), se requiere una segunda forma de verificación (algo que tengo), generalmente un código temporal generado por una aplicación móvil (tipo Google Authenticator o Microsoft Authenticator) o una notificación push a un dispositivo de confianza.

   • ​¿Por qué es útil? Es una defensa crítica contra el phishing y el robo de credenciales. Aunque un atacante logre obtener mi nombre de usuario y contraseña, no podrá acceder a la cuenta sin el segundo factor de autenticación, lo que detiene el ataque de manera efectiva y protege la información.

     2. ¿Qué otras medidas considera que pueden ser útiles para fortalecer la capacidad de resistencia ante ataques cibernéticos?

     R:​ Fortalecer la capacidad de resistencia (o ciberresiliencia) de una organización implica ir más allá de la prevención e incorporar la capacidad de recuperarse y adaptarse tras un incidente. Las siguientes medidas contribuyen a este objetivo:

   • Recuperación

     Planes de Copias de Seguridad (Backup) 3-2-1

     Asegurar que se tienen al menos 3 copias de los datos, en 2 tipos de soportes diferentes, y 1 de ellas debe estar fuera de línea (desconectada de la red, para protegerla de ataques de ransomware). La capacidad de restaurar datos rápidamente es clave para la resiliencia.

   • Prevención/Detección

     Segmentación de Red y Principio de Mínimo Privilegio

     Segmentación: Dividir la red en subredes aisladas. Si una parte es comprometida, el ataque no se propaga fácilmente al resto. Mínimo Privilegio: Limitar el acceso de cada empleado solo a los datos y sistemas estrictamente necesarios para su función. Esto reduce el impacto y el alcance de un posible acceso no autorizado.

   • Respuesta a Incidentes

     Elaboración y Práctica de un Plan de Respuesta a Incidentes (PRI)

     Tener un documento formal que defina qué hacer, quién es responsable y cómo comunicarse en caso de un ciberataque. La clave de la resistencia es practicar simulacros de incidentes (ej. ataques de phishing o ransomware) para reducir el tiempo de detección y contención.

   • Formación Continua

     Cultura de Ciberseguridad y Concienciación Constante

     El "factor humano" es la principal vulnerabilidad. La resistencia se fortalece mediante capacitaciones regulares y obligatorias (no solo al inicio), haciendo énfasis en el reconocimiento de técnicas de Ingeniería Social (phishing, vishing, spoofing) y la correcta gestión de contraseñas.

   • Vigilancia

     Monitoreo Continuo y Detección Proactiva (Inteligencia de Amenazas).

Creo que para fortalecer la capacidad de resistencia ante ciberataques es clave combinar la tecnología con la cultura organizacional: copias de seguridad cifradas, segmentación de redes, planes de respuesta a incidentes y auditorías periódicas. Pero sobre todo, mantener al personal consciente de que ellos son la primera línea de defensa frente a ataques de ingeniería social.

Entre las temáticas más relevantes para fortalecer la capacidad de la organización destaco la gobernanza de datos, el cumplimiento normativo en materia de protección de información personal, la implementación de planes de respuesta a incidentes y la prevención de fraudes como el phishing, el SIM swapping o el robo de credenciales. Además, es clave fomentar una cultura organizacional donde la privacidad no se vea solo como una obligación legal, sino como un valor central que refuerza la confianza de los clientes en la institución.

Identificar correos sospechosos que suplantan identidades jerárquicas.

Evitar la descarga de archivos contaminados que podrían ejecutar programas maliciosos o malware.

Reportar incidentes a tiempo, permitiendo una respuesta proactiva ante la autoridad de aplicación en lugar de esperar una investigación de oficio

Alguna medida de seguridad adicional podría ser la de un antivirus más allá de los firewall con que vienen integrados los equipos, ya que desconozco que al momento se esté pagando por alguno.

Saludos.

Desde una perspectiva de Compliance, no confiamos únicamente en las contraseñas, ya que estas son vulnerables a ataques de fuerza bruta o filtraciones. Al requerir un segundo factor (como un código generado en un dispositivo físico o una aplicación), reducimos drásticamente el riesgo de acceso no autorizado.

Además, implementamos protocolos de validación fuera de banda para operaciones financieras: antes de ejecutar cualquier transferencia o cambio de datos bancarios solicitados por correo, es obligatorio realizar una confirmación a través de una llamada telefónica a un número previamente verificado, mitigando así el riesgo de ataques de phishing o suplantación de identidad

Por un lado, se aplican controles preventivos como capacitaciones periódicas al personal, orientadas a identificar riesgos como phishing o manejo inadecuado de información; además de políticas internas, segregación de funciones y monitoreo de accesos. También contamos con un oficial y un área de cumplimiento, que fortalecen la cultura de control y supervisan el adecuado manejo de la información.

En cuanto a medidas reactivas, se implementan bloqueos automáticos de accesos sospechosos, gestión de incidentes y respuesta ante eventos de seguridad, lo que permite contener posibles ataques de manera oportuna.

Adicionalmente, el uso de infraestructura tecnológica segura es clave: redes internas protegidas (intranet), software especializado, sistemas antivirus/antimalware actualizados, firewalls y controles de acceso robustos.

También se han implementado mecanismos como el uso del Authenticator, que nos permite validar nuestra identidad cada vez que accedemos a aplicaciones de la empresa. Esto aplica tanto en computadoras de la empresa como en equipos personales, como laptops, tabletas o celulares. Adicionalmente, se exige el cambio periódico de contraseñas, cumpliendo con criterios de seguridad.

Además, no solo se trata de los correos. Como colaboradores, también tenemos la responsabilidad de reconocer las aplicaciones oficiales de la empresa, independientemente del dispositivo o del lugar desde donde accedamos. Esto es importante para evitar caer en páginas falsas que simulan ser de la empresa, ya que debemos ser capaces de identificar cuándo estamos frente a un entorno legítimo y cuándo no.

Por otro lado, contamos con canales internos para comunicarnos con el área de IT, a los cuales podemos acudir en caso de detectar algún incidente. Incluso tenemos vías alternas, como comunicación telefónica, en caso de que el acceso a los sistemas esté comprometido, así como mecanismos de verificación de identidad para confirmar que somos nosotros.

En cuanto a otras medidas que podrían fortalecer la resistencia ante ciberataques, considero importante que la empresa continúe con estas capacitaciones, aumentando su frecuencia y actualizándolas según las nuevas amenazas. También sería útil ampliar las herramientas de monitoreo y detección de riesgos, y seguir fortaleciendo la cultura de seguridad entre los colaboradores.

Todo esto ayuda a reducir significativamente los riesgos y proteger la información frente a posibles ciberataques.

Considero que, además de las medidas tecnológicas, es fundamental fortalecer la cultura de ciberseguridad dentro de las organizaciones. Muchas veces los ataques ocurren por errores humanos, correos falsos o uso inadecuado de contraseñas. Por ello, otras medidas importantes serían realizar simulaciones de ataques, mantener actualizados los sistemas, contar con respaldos de información, monitoreo en tiempo real y planes de respuesta rápida ante incidentes cibernéticos.

Asimismo, las empresas deben trabajar de manera preventiva mediante auditorías internas, pruebas de vulnerabilidad y protocolos claros de notificación en caso de brechas de seguridad, especialmente en sectores sensibles como el financiero.

En la empresa donde trabajo implementamos varias medidas concretas, los equipos están gestionados por el área de tecnología, con acceso restringido, los correos corporativos tienen filtros antispam y no está permitido el uso de aplicaciones o sitios web no autorizados desde los dispositivos de la empresa. Adicionalmente, cualquier comunicación con datos de clientes o médicos se realiza únicamente por canales internos oficiales, y tanto el personal como los médicos que visitamos firman consentimientos de uso de datos desde el inicio de la relación.

¿Qué otras medidas considera útiles para fortalecer la capacidad de resistencia ante ataques cibernéticos?

Más allá de las herramientas tecnológicas, considero que la medida más efectiva es la capacitación continua del personal. Por ejemplo, un empleado puede ser víctima de phishing, el factor humano sigue siendo el más vulnerable. Podemos realizar simulacros de ataques, entrenamientos periódicos para identificar correos sospechosos y protocolos claros de reporte ante incidentes, para asegurar en mayor medida la información.

Medidas Técnicas y de Control de Acceso

• Autenticación Multifactor (MFA) y Gestión de Credenciales: Es fundamental activar la verificación en dos pasos en todas las aplicaciones y servicios. Asimismo, se deben utilizar contraseñas seguras y únicas, siguiendo las directrices técnicas para su almacenamiento seguro y el uso de criptografía para proteger los datos sensibles.

• Enfoque Zero Trust: Se recomienda adoptar modelos de "confianza cero", que exigen verificar permanentemente cada acceso y dispositivo, eliminando la confianza implícita dentro de las redes corporativas. Esto incluye la asignación y revocación estricta de derechos de acceso.

• Protección de Infraestructura y Dispositivos: Se deben utilizar soluciones que ofrezcan protección en tiempo real, visibilidad de amenazas y detección de malware. Es imperativo mantener todos los dispositivos y software actualizados para corregir vulnerabilidades conocidas.

• Cifrado y Pseudonimización: Para garantizar la seguridad de los datos personales, se recomienda el uso de técnicas como la pseudonimización y el cifrado de extremo a extremo.

Medidas Organizativas y de Proceso

• Análisis de Riesgos y Políticas de Seguridad: Las organizaciones deben contar con un marco de gestión de riesgos de TI que incluya políticas y procedimientos claros aprobados por la dirección.

• Continuidad del Negocio y Backups: Es esencial implementar planes de recuperación ante desastres y una gestión rigurosa de copias de seguridad para asegurar que la operación pueda restaurarse tras un incidente.

• Seguridad en la Cadena de Suministro: Se debe evaluar y monitorear la seguridad de los proveedores externos, ya que muchos ataques ocurren de forma indirecta a través de aliados tecnológicos con menores niveles de protección.

• Gestión de Incidentes: Se requiere establecer procedimientos para la detección, notificación y respuesta ante incidentes significativos, incluyendo la creación de un registro de brechas de datos.

Comportamiento y Capacitación del Personal

• Formación y Concientización: Las empresas deben promover actividades periódicas de capacitación en ciberseguridad para que los empleados adquieran habilidades para identificar riesgos, como el phishing o la ingeniería social.

• Prevención de Fraudes: Se debe instruir al personal para desconfiar de enlaces sospechosos y no compartir información confidencial a través de llamadas, mensajes o correos no verificados.

• Uso Seguro de Herramientas de IA: Al utilizar servicios de Inteligencia Artificial, se deben emplear únicamente herramientas de proveedores reconocidos con sólidos antecedentes en privacidad, evitando bots desconocidos que puedan recolectar datos de forma maliciosa.

• Auditoría de Herramientas de Desarrollo: En entornos de desarrollo, es necesario revisar la procedencia de las extensiones de IDE (como VS Code) y verificar las dependencias de los paquetes de software, ya que estos son vectores activos de compromiso.

En caso de que ocurra una vulneración, es crítico proceder a la rotación inmediata de todos los secretos, incluyendo tokens de CI/CD, credenciales de la nube y claves de API