La definición de una política de seguridad debe estar basada en una identificación y análisis previo de los riesgos a los que está expuesta la información y debe incluir todos los procesos, sistemas y personal de la organización u red compartida. Además, tiene que haber sido aprobada por la dirección de la organización y comunicada a todos.

Una buena Política de Uso Aceptable cubrirá las disposiciones para la etiqueta de la red, mencionará los límites en el uso de los recursos de la red, e indicará claramente el nivel de privacidad que un miembro de la red debe esperar. Las mejores AUPs incorporan escenarios de “qué pasaría si” que ilustran la utilidad de la política en términos del mundo real.

Algunos de los riesgos a los que se enfrenta al navegar por internet son los siguientes

• Contenido inapropiado

• Ciberacoso

• Sexting

• Grooming

• Revelación de información

Un ataque informático consiste en aprovechar alguna debilidad o falla (vulnerabilidad) en el software, en el hardware, e incluso, en las personas que forman parte de un ambiente informático; a fin de obtener un beneficio, por lo general de índole económico, causando un efecto negativo en la seguridad del sistema, que luego repercute directamente en los activos de la organización.

Para minimizar el impacto negativo provocado por ataques, existen procedimientos y mejores prácticas que facilitan la lucha contra las actividades delictivas y reducen notablemente el campo de acción de los ataques.

Uno de los pasos más importantes en seguridad, es la educación. Comprender cuáles son las debilidades más comunes que pueden ser aprovechadas y cuáles son sus riesgos asociados, permitirá conocer de qué manera se ataca un sistema informático ayudando a identificar las debilidades y riesgos para luego desplegar de manera inteligente estrategias de seguridad efectivas. 

Para evitar los ataques de ingeniería social, recuerde las siguientes técnicas:

• Desconfíe: Llamadas telefónicas, correos electrónicos o visitantes que hacen preguntas acerca de información personal. Deben ser tratados con extrema desconfianza, y en caso de ser apropiado, reportados al personal de seguridad.

• Verifique la identidad: Si recibe consultas acerca de las cuales no está seguro, verifique la identidad del solicitante. Si una persona que llama por teléfono hace preguntas que parecen extrañas, intente obtener su número telefónico para devolver la llamada.

• Sea cauteloso: No proporcione información confidencial a menos que esté seguro, no únicamente de la identidad de la persona, sino también de su derecho de poseer la información.

• No utilice el correo electrónico: El correo electrónico es inherentemente poco seguro y propenso a una variedad de técnicas de suplantación de direcciones. Por lo tanto, no revele información personal o financiera mediante un correo electrónico como compartir usuarios o cuentas bancarias.

Es un código que infecta los archivos del sistema mediante un código maligno, necesita ser ejecutado por el usuario para actuar.

Gusanos

Es un programa que, una vez infectado el equipo, realiza copias de sí mismo y las difunde por la red. No necesita ser ejecutado por un usuario.

Gusanos

Es un programa que, una vez infectado el equipo, realiza copias de sí mismo y las difunde por la red. No necesita ser ejecutado por un usuario.

Troyanos

Lo que busca este tipo de programas es abrir una puerta trasera para favorecer la entrada de otros programas maliciosos.

Spyware

Es un programa espía para la obtención de información, suelen ser silencioso, sin dar muestra de su funcionamiento. Pueden instalar programas sin que el usuario se dé cuenta.

Adware

Muestra publicidad contaminada de forma invasiva y constante. Puede considerarse un tipo de Spyware que puede recopilar y transmitir datos para estudiar el comportamiento de los usuarios

Rasomware

Secuestra datos (los encripta) y el atacante pide un rescate para poder recuperar los archivos secuestrados.

Es una técnica basada en ingeniería social. Con el phishing, se les pide a los usuarios (normalmente a través de correos electrónicos o sitios Web) suministrar información personal en una de dos maneras:

Contestando a un correo electrónico en que se les pregunte su nombre de usuario, contraseña y otra información personal, como números de cuenta, PINs y números de Seguro Social.

Navegando a un sitio Web que parece convincente que les incita a suministrar su información personal, como contraseñas y números de cuenta.

Pharming

Es un ataque enfocado en redirigir el tráfico de un sitio Web a un sitio Web fraudulento. Esto normalmente se logra cambiando el archivo del servidor (un texto que provee la resolución del nombre para nombres de servidores o dominios a la dirección IP) en una computadora o explotando una vulnerabilidad en un servidor DNS.

Vishing

Se refiere al tipo de amenaza que combina una llamada telefónica fraudulenta con información previamente obtenida desde internet

Este método consta de dos pasos. Primero, el ciberdelincuente tiene que haber robado información confidencial a través de un correo electrónico o web fraudulenta (‘phishing’), pero necesita la clave SMS o token digital para realizar y validar una operación. Es en este momento en que se produce el segundo paso: el ciberdelincuente llama por teléfono al cliente identificándose como personal del banco y, con mensajes particularmente alarmistas, intenta de que el cliente revele el número de su clave SMS o token digital, que son los necesarios para autorizar cualquier tipo de movimiento.

Suplantación de identidad

Consiste en hacerse pasar por otra persona en Internet, aunque los motivos pueden ser varios, es habitual que se haga para fastidiar a la persona suplantada y ocasionarle algún daño

Espiar por encima del hombro

Esta técnica implica literalmente mirar por encima del hombro de la víctima para obtener una contraseña u otro dato confidencial.

Involucra la obtención de información de una persona u organización.

Exploración

Se utiliza la información obtenida para tratar de obtener información sobre el sistema al que se intenta acceder. Los datos que se recolectan en esta fase son: dirección IP, nombre de host, datos de autenticación, entre otros.

Obtener acceso

Comienza el atacante a averiguar las vulnerabilidades de los dispositivos digitales apoyándose de la información recolectada en la fase 1 y 2

Mantener el acceso

En esta fase el atacante ya ha logrado ingresar al sistema e implantará herramientas que le permitan volver a acceder en el futuro desde cualquier lugar donde tenga acceso a internet. Para ello hace uso de virus, como troyanos, gusanos, Spyware, Rasomware, etcétera.

Borrar huellas

Una vez que el atacante logro obtener y mantener el acceso al sistema intentara borrar todo rastro de lo que ha realizado para evitar ser detectado.

-Detección temprana de códigos o archivos maliciosos

-Tener visibilidad de las conexiones sospechosas a sus servicios públicos

-Monitorear las bases de datos y los servidores de archivos con información crítica y sensible

-Actualización de sistemas operativos