Hello Everyone!! Querido y estimado lector de Obss, en una organización, los CIO, CISO debemos establecer un sólido plan de gestión y análisis de riesgos como fundamento de nuestro trabajo, asegurándonos de que nuestro equipo implemente todas las políticas necesarias para cumplir con los estándares de seguridad. Es responsabilidad del equipo de seguridad proteger los sistemas de la organización frente a amenazas como correos electrónicos que puedan contener caracteres confusos o engañosos, como letras cirílicas o latinas similares.

En el entorno laboral actual, la seguridad informática es un aspecto crucial para proteger la información confidencial y los sistemas de las organizaciones. Sin embargo, es importante encontrar un equilibrio entre la seguridad y la usabilidad, ya que una carga excesiva de tareas de seguridad puede afectar negativamente la productividad y la experiencia del usuario final.

Propongo un enfoque centrado en la usabilidad para reducir la carga de seguridad para el usuario final, minimizar la complejidad técnica a la que se enfrentan los usuarios mediante la automatización y la prevención, permitiendo que se concentren en sus tareas principales sin distracciones, manteniendo unas mínimas e higiénicas medidas relacionadas con la seguridad.

Es un tema complejo, pero en mi opinión, esta tarea recaería claramente en el equipo de seguridad de la organización, quienes debemos asegurar que las defensas sean adecuadas para detectar y mitigar tales amenazas, permitiendo así que los usuarios se enfoquen en sus responsabilidades principales sin distracciones de seguridad indebidas.

• Minimizar la responsabilidad del usuario: La tarea de discernir amenazas y tomar decisiones de seguridad debe recaer principalmente en el equipo de seguridad de la organización. Los usuarios deben poder realizar sus actividades diarias sin tener que convertirse en expertos en seguridad.
• Implementación de defensas robustas: El equipo de seguridad debe implementar medidas de seguridad sólidas y automatizadas para detectar, analizar y mitigar amenazas de manera proactiva. Esto permitirá reducir la necesidad de intervención manual por parte de los usuarios.
• Principio de mínimo privilegio: Otorgar a los usuarios solo los permisos y accesos necesarios para realizar sus tareas. Limitar el acceso a información y sistemas sensibles reduce la superficie de ataque y la probabilidad de errores humanos.
• Diseño centrado en el usuario: Las soluciones de seguridad deben diseñarse teniendo en cuenta la usabilidad, siendo intuitivas y fáciles de usar para los usuarios finales. La capacitación y el apoyo adecuados también son esenciales para garantizar una adopción exitosa.

Estrategias para reducir la carga de seguridad

• Filtrado de archivos: Implementar un sistema de filtrado de archivos que limite los tipos de archivos permitidos, priorizando formatos seguros y comunes. Esto reduce la probabilidad de que se introduzcan archivos maliciosos o no compatibles.
• Análisis en tiempo real: Analizar los correos electrónicos y documentos en tiempo real utilizando herramientas de seguridad avanzadas, como sandboxes y análisis de URL. Esto permite detectar y bloquear amenazas antes de que lleguen a los usuarios.
• Bloqueo de extensiones no permitidas: Definir una lista blanca de extensiones de archivo permitidas y bloquear automáticamente las extensiones no autorizadas. Esto reduce el riesgo de que se ejecuten archivos maliciosos o no deseados.
• Capacitación y sensibilización: Brindar capacitación periódica a los usuarios sobre temas de seguridad informática, incluyendo técnicas de reconocimiento de phishing, malware y otras amenazas comunes.
• Comunicación clara: Establecer canales de comunicación claros y efectivos para que los usuarios puedan reportar incidentes de seguridad y recibir asistencia oportuna.

En una organización, la responsabilidad por una brecha de seguridad causada por un ataque de phishing se reparte de forma general en varios actores:

• Usuario que ha introducido el phishing: puede haber sido engañado por el ataque de phishing, pero aún así tiene una responsabilidad básica de ser consciente y seguir las políticas de seguridad establecidas por la organización. Si el usuario no ha seguido los procedimientos de seguridad o no fue entrenado adecuadamente para reconocer el phishing, podría tener una parte de responsabilidad.
• Equipo de Seguridad de la Información: El Chief Information Security Officer (CISO) junto a nuestro equipo tenemos la responsabilidad de implementar medidas de seguridad efectivas, entrenar a los usuarios en prácticas seguras y gestionar incidentes de seguridad. Si la organización carece de políticas adecuadas, entrenamiento suficiente o medidas de seguridad efectivas para prevenir ataques de phishing, el CISO podría ser considerado responsable.
• Organización en general: La alta dirección y los responsables de la organización tienen la responsabilidad de establecer una cultura de seguridad, asignar recursos adecuados para la ciberseguridad y asegurarse de que se implementen las mejores prácticas de seguridad. Si falla en proporcionar los recursos adecuados o no toma en serio las amenazas de seguridad cibernética, la organización en su conjunto podría ser responsable.

Phishing: Cómo no caer en la trampa de los emails falsos

¡Ah, el phishing! No, no estamos hablando de pescar en el lago, sino de esos correos electrónicos astutos que intentan engañarnos para que revelemos nuestros secretos más oscuros (o al menos nuestras contraseñas).

Aquí te va el truco: si un email nos pide nuestra contraseña o nuestro número de tarjeta de crédito, ¡no caigas melón! Las organizaciones legítimas nunca nos pedirán estas cosas por correo electrónico. Así que, antes de hacer clic, pasa el cursor sobre el enlace y fíjate bien en la URL. ¿Se ve sospechosa? ¡Elimina ese correo y sigue con tu día!

Puntos clave:

• Examina detenidamente los remitentes de email, las URL y los archivos adjuntos.
• Recuerda que las organizaciones legítimas nunca nos pedirán información confidencial por correo.
• Denunciar los intentos de phishing de inmediato.
• Mantenerte alerta; los ataques de phishing pueden disfrazarse de muchas formas.

Ransomware: Cómo no perder tus archivos

El ransomware es como un ladrón que entra a nuestra casa y nos pide un rescate por nuestras propias cosas. Solo que en lugar de joyas, quiere nuestros archivos. Así que, para no convertirnos en la próxima víctima, no abras archivos adjuntos ni hagas clic en enlaces sospechosos. ¿Una medida preventiva? Realizar copias de seguridad 3-2-1 de nuestros datos y manteniendo nuestro software y sistemas operativos actualizados.

Puntos clave:

• Entender cómo el ransomware cifra tus archivos.
• Ser cuidadoso con archivos adjuntos y enlaces en emails.
• Implementar estrategias de respaldo y recuperación.
• Mantener tu software y sistemas operativos al día con los parches de seguridad.

Malware: Evita estos bichos digitales

El malware es como el hermano travieso del ransomware, siempre causando problemas. Desde virus hasta troyanos, estos programas pueden hacer todo tipo de travesuras con tus sistemas. Para mantenerlos a raya, asegúrate de tener software antivirus y antimalware actualizado, y no descargues archivos de fuentes dudosas. Recuerda el lema de “si la descarga es gratis el producto eres tu”

Puntos clave:

• Conocer los diferentes tipos de malware y su impacto.
• Mantener actualizado tu software antivirus y antimalware.
• No descargar archivos de fuentes no confiables.
• Informar cualquier comportamiento sospechoso en tu sistema.

Contraseñas: Tu primera línea de defensa

Las contraseñas son como las llaves de nuestra casa: no las queremos dejar por ahí, verdad? Crea una política robusta de contraseñas únicas y complejas para cada cuenta y considera usar un administrador de contraseñas. Ah, y no te olvides de la autenticación de dos factores, esa capa extra de seguridad que puede salvarte el día.

Puntos clave:

• Crear contraseñas únicas y complejas.
• Usar una combinación de letras, números y caracteres especiales.
• Utilizar administradores de contraseñas.
• Habilitar la autenticación de dos factores.

Seguridad física: Protege tus dispositivos y documentos

La ciberseguridad no solo trata de bits y bytes; también debemos proteger nuestros dispositivos y documentos físicos. Usa candados de cable, pantallas de privacidad y asegúrate de destruir correctamente cualquier documento confidencial. Controla quién tiene acceso a áreas sensibles y mantén tu equipo seguro. La seguridad empieza por uno mismo.

Puntos clave:

• Proteger estaciones de trabajo y dispositivos con medidas físicas.
• Manejar y eliminar adecuadamente documentos y medios confidenciales.
• Controlar el acceso físico a áreas sensibles.
• Fomentar la conciencia de seguridad física entre los empleados.

Seguridad móvil: Protege tu vida en el bolsillo

Tus dispositivos móviles son mini ordenadores y ya tenemos tal dependencia de ellos que no vamos a ningún lado sin ellos, por lo tanto, necesitan tanta protección como tu ordenador. Mantén tus dispositivos actualizados y usa medidas de autenticación fuertes. Administra cuidadosamente los permisos de las aplicaciones y ten cuidado con las redes Wi-Fi públicas.

Puntos clave:

• Mantener los dispositivos móviles actualizados.
• Habilitar medidas de autenticación sólidas.
• Administrar cuidadosamente los permisos de las aplicaciones.
• Usa VPNs o puntos de acceso seguros en redes Wi-Fi públicas.

Ingeniería Social: Cómo no dejarte engañar

Los ingenieros sociales son como magos del engaño, los clásicos trileros . Usan tácticas como phishing, pretexting y baiting para manipularte. La clave es verificar siempre la identidad de quienes te piden información y mantener un escepticismo saludable.

Puntos clave:

• Conocer las tácticas comunes de ingeniería social.
• Verificar la identidad de cualquier solicitud de información.
• Fomentar una cultura de cuestionamiento y denuncia de actividades sospechosas.
• Capacitar a los usuarios para que reconozcan y respondan a estas amenazas.

Vishing: No caigas en las llamadas falsas

El vishing es phishing pero por teléfono. Si recibes una llamada pidiéndote información confidencial, activa las tus alarmas!, recuerda, que nadie vende angulas al precio de gulas,

Puntos clave:

• Conocer las tácticas de los atacantes vishing.
• Verificar la identidad de cualquier llamada o mensaje de voz no solicitado.
• No proporcionar información confidencial por teléfono a menos que hayas iniciado la llamada.
• Informar las llamadas sospechosas.

Trabajo remoto: Cómo trabajar desde casa de manera segura

El trabajo remoto es genial, pero también conlleva sus riesgos. Usa herramientas de acceso remoto aprobadas por la organización, implementa medidas de autenticación fuertes y protege tus datos y documentos confidenciales. También, ten cuidado con las redes Wi-Fi públicas y de modo inexcusable usar una VPN.

Puntos clave:

• Usar herramientas de acceso remoto y VPNs aprobadas.
• Implementar medidas de autenticación sólidas.
• Cifrar archivos confidenciales y usa soluciones seguras para compartir archivos.
• Implementar estrategias de respaldo y recuperación.
• Usar VPNs o puntos de acceso seguros en redes Wi-Fi públicas.

Navegación web segura: Mantenerse a salvo mientras navegas

Navegar por Internet puede ser peligroso si no tienes cuidado. Mantén tus navegadores y extensiones actualizadas, y sé precavido con los enlaces y sitios web que visitas. Usa bloqueadores de anuncios y de secuencias de comandos para evitar problemas.

Puntos clave:

• Mantener actualizados los navegadores y las extensiones.
• Reconocer y evita sitios web potencialmente maliciosos.
• Verificar la autenticidad de los sitios web.
• Usar bloqueadores de anuncios y secuencias de comandos.
• Ser precavido al hacer clic en enlaces no solicitados.

Seguridad y privacidad del Asistente de Chat: Cuida lo que dices

Los asistentes de chat pueden ser muy útiles, pero también pueden ser crearnos situaciones de riesgo. Asegúrate de que los datos están protegidos y no compartas información confidencial a menos que sea necesario. Implementa medidas de seguridad sólidas y verifica siempre la autenticidad del asistente de chat.

Puntos clave:

• Asegurar los datos y controles de acceso de los asistentes de chat.
• Tener en cuenta la posibilidad de manipulación de los asistentes de chat.
• Implementar medidas de seguridad sólidas.
• Tener cuidado al interactuar con los asistentes de chat.
• Informar cualquier comportamiento sospechoso.

La ciberseguridad es crucial en un mundo en el que todo tiene conexión. Educar a los usuarios sobre amenazas y mejores prácticas es fundamental para proteger los activos digitales. Un programa de capacitación integral y continuo, que utilice métodos interactivos, puede mejorar significativamente la preparación y la cultura de seguridad en las organizaciones. Así que, invertir en educación y mantener a tus empleados al día con las últimas tendencias y amenazas en ciberseguridad es clave para la organización. ¡La seguridad es un esfuerzo conjunto!

Nos vemos en las Redes!!