las amenazas a la disponibilidad son de dos tipos: accidental y deliberada. Las amenazas accidentales incluyen desastres naturales tales como tormentas, inundaciones, incendios, cortes de energía eléctrica, terremotos, etc . La segunda categoría (amenazas deliberadas) relacionadas con cortes que son el resultado de la explotación de una vulnerabilidad del sistema.

El modelo puede aplicarse a aplicaciones, sistemas o dispositivos conectados que requieren privilegios o permisos para realizar una tarea necesaria. La aplicación de privilegios mínimos garantiza que la herramienta no humana tiene el acceso necesario, y nada más.

Para calcular la superficie de ataque de un entorno, a menudo, la forma más sencilla es la de dividir la evaluación en tres componentes:

• Aplicación

• Red

• Persona

  Al evaluar la superficie de ataque de una aplicación, es necesario observar cosas tales como:

  • La cantidad de código en una aplicación

  • El número de entradas de datos en una aplicación

  • El número de servicios en ejecución

  • Los puertos que la aplicación está escuchando

  De la misma manera, al evaluar la superficie de ataque de la red, debemos tomar en consideración lo siguiente:

  • Diseño general de la red

  • Colocación de los sistemas críticos

  • Colocación y conjuntos de reglas en los firewalls

  • Otros dispositivos de seguridad relacionados con la red, tales como IDS, VPN, etc.

La PII se divide en dos categorías: información vinculada e información vinculable.

La información vinculada es cualquier elemento de información personal que se puede usar para identificar a una persona e incluye, entre otros, los siguientes:

• Nombre completo

• Dirección

• Dirección e-mail

• Número Seguridad Social

• Número de Pasaporte

• Numero de Documento de Identidad o Cédula de Ciudadanía

• Número de licencia de conducción

• Números de tarjetas de crédito

• Fecha de nacimiento

• Número de teléfono

• Número de celular

• Ubicaciones específicas de coordenadas GPS

  La información vinculable, es información que por sí sola no tiene tantas posibilidades de ser capaz de identificar a una persona.

  • Nombre o apellido

  • País, estado, ciudad, código postal

  • Género

  • Raza

  • Edad no específica (por ejemplo, 40-50 en lugar de 40)

  • Puesto de trabajo y lugar de trabajo.

    Es importante conocer entre este tipo de información ya que nos dará una idea de lo que podemos compartir o no en un ambiente digital o físico.

  • No compartas ni envíes tu información PII por chats ni llamadas

  • No compartas ni envíes imágenes de documentos que posean tu información PII

  • No diligencies formularios de enlaces desconocidos con PII

  • Revisa y lee responsablemente los términos de uso y condiciones de los productos y servicios que utilizas

  • Evite los correos con phishing

  • Elimine su información en dispositivos que no son de tu propiedad o que vas a regalar o vender

  • Limita la información compartida en redes sociales

  • Protege la información impresa, use cajoneras, bajo llave o controles físicos

  • Mantén actualizado los sistemas operativos de computadores y dispositivos móviles

  • Reporta incidentes a la policía cibernética y organizaciones encargadas de la protección de PII en tu país de residencia

La definición de una política de seguridad debe estar basada en una identificación y análisis previo de los riesgos a los que está expuesta la información y debe incluir todos los procesos, sistemas y personal de la organización u red compartida.

Las que definen lo que tenemos que evitar. Se trata de aquellos comportamientos y prácticas que pueden poner en riego los sistemas y la información, como, por ejemplo: abrir archivos o enlaces sospechosos, compartir contraseñas o utilizar redes Wi-Fi abiertas.

Una buena Política de Uso Aceptable cubrirá las disposiciones para la etiqueta de la red, mencionará los límites en el uso de los recursos de la red, e indicará claramente el nivel de privacidad que un miembro de la red debe esperar. Las mejores AUPs incorporan escenarios de “qué pasaría si” que ilustran la utilidad de la política en términos del mundo real.

La importancia de las AUP es bastante conocida por organizaciones como escuelas o bibliotecas que ofrecen Internet y acceso interno (intranet). Estas políticas están orientadas principalmente a proteger la seguridad de los jóvenes contra el lenguaje inapropiado, la pornografía y otras influencias cuestionables. Dentro de las empresas, el alcance se amplía para incluir otros factores como la protección de los intereses comerciales.

Casos de uso para una AUP

Considere lo que haría en estas situaciones:

• Un compañero de trabajo le pide que se conecte a la red usando su nombre de usuario y contraseña porque su cuenta no está disponible.

• Usted recibe un chiste políticamente sensible en un correo electrónico que le parece muy gracioso y está considerando reenviarlo a sus compañeros de oficina.

• La persona sentada a tu lado pasa todo su tiempo en el trabajo descargando cotizaciones financieras y negociando acciones en línea.

• Su procesador de textos afirma que ha detectado un virus en su ordenador.

Regla N° 1: Recuerde lo humano – Buena educación

Regla N° 2: Compórtate como en la vida real

Regla N° 3: Identificar el lugar del ciberespacio en el que se encuentra

Regla N° 4: Respete el tiempo y el ancho de banda de los demás

Regla N° 5: Forma de escritura

Regla N° 8: Respeto por la privacidad de los demás

Regla N° 9: No abuse de las ventajas que puedas tener

Regla N° 10: Excuse los errores de otros

Regla N° 6: Comparta el conocimiento de expertos

Regla N° 7: Ayude a que las controversias se mantengan bajo control

• Contenido inapropiado

• Ciberacoso

• Sexting

• Grooming

• Revelación de información

También es importante mencionar el daño que provoca la tecnología digital en la salud física y emocional de las personas, provocándoles enfermedades como la depresión, ansiedad y baja autoestima. Y en lo físico, patologías cervicales, estrés visual, insomnio, sordera, etc. El consumo excesivo de las nuevas tecnologías puede producir efectos negativos en las personas derivado del abuso de la tecnología.

Por eso, es aquí donde entra en juego la educación digital y esta educación debe empezar antes de introducirse en el mundo de internet, para prevenir o aminorar los posibles daños. Y esto se hace por medio de reglas claras y precisas sobre la navegación en internet.

En un ataque de ingeniería social típico, el atacante tratará de parecer lo más inofensivo o respetuoso posible. Estos ataques pueden ser perpetrados en persona, por medio del correo electrónico o por vía telefónica. Los atacantes intentarán diversas técnicas, desde pretender ser un servicio de asistencia o un empleado del departamento de soporte técnico, diciendo que es un nuevo empleado, o, en algunos casos, hasta llegan a presentar una credencial que los identifica como empleado de la empresa.

Generalmente, estos atacantes harán una serie de preguntas en un intento por identificar posibles vías que puedan ser explotadas durante un ataque.

Para evitar los ataques de ingeniería social, recuerde las siguientes técnicas:

• Desconfíe: Llamadas telefónicas, correos electrónicos o visitantes que hacen preguntas acerca de información personal. Deben ser tratados con extrema desconfianza, y en caso de ser apropiado, reportados al personal de seguridad.

• Verifique la identidad: Si recibe consultas acerca de las cuales no está seguro, verifique la identidad del solicitante. Si una persona que llama por teléfono hace preguntas que parecen extrañas, intente obtener su número telefónico para devolver la llamada.

• Sea cauteloso: No proporcione información confidencial a menos que esté seguro, no únicamente de la identidad de la persona, sino también de su derecho de poseer la información.

• No utilice el correo electrónico: El correo electrónico es inherentemente poco seguro y propenso a una variedad de técnicas de suplantación de direcciones. Por lo tanto, no revele información personal o financiera mediante un correo electrónico como compartir usuarios o cuentas bancarias.

• Contestando a un correo electrónico en que se les pregunte su nombre de usuario, contraseña y otra información personal, como números de cuenta, PINs y números de Seguro Social.

• Navegando a un sitio Web que parece convincente que les incita a suministrar su información personal, como contraseñas y números de cuenta.

Hay otras variaciones del ataque. Los malhechores determinados pueden robar contraseñas y otros datos a una distancia significativa también con la ayuda de binoculares o equipos de filmación costosos, por ejemplo, y en una variante especialmente de James Bond, los malvados incluso utilizan la tecnología de seguimiento ocular para adivinar qué su contraseña es al examinar qué botones del teclado en pantalla se pulsan.

Es decir, es el acto de mirar sobre el hombro de alguien mientras está trabajando en su computadora. Durante este tiempo, puede ver qué contraseñas ingresan, cómo está configurada su red y qué archivos confidenciales tiene en su computadora.

Ya no necesita keyloggers sofisticados y costosos ni gastar miles de dólares en implementar malware en sitios web, solo tiene que vigilar por encima de sus hombros y ver qué escriben.

Como recomendaciones está monitorear la actividad de mensajes sospechosos y las descargas de archivos adjuntos; se debe dar formación continua al personal de su empresa sobre el buen uso de este medio para que sea empleado con fines laborales y alerte a la compañía en caso de ver un correo sospechoso.