La importancia de la protección de datos personales en el uso de las redes sociales
A partir del enorme crecimiento de las redes sociales, es importante tomar en cuenta el uso de las mismas en los sorteos en los que participamos a través de ellas, tomando en cuenta que muchas veces necesitamos inscribirnos compartiendo nuestros datos personales como nombres, documentos de identidad y formas de contacto (correos electrónicos y números celulares). Todo el proceso (la solicitud de la información) es materia de protección por parte de la ley, siendo necesario nuestro consentimiento el cual debe contener la finalidad para el uso de nuestros datos personales, la seguridad que se brindará a los mismos, entre otras cosas. Entonces, cuando estamos frente a sorteos realizados en redes sociales o en general haciendo uso del Internet, todo aquello debe cumplir con requisitos y obligaciones que están en la Ley de Protección de Datos Personales (Ley 29733), por lo que de percibir que nuestros datos están siendo utilizados con fines contrarios a nuestros deseos o intereses podemos acudir a la Autoridad Nacional de Protección de Datos Personales (ANPD) mediante una denuncia de manera presencial o virtual a través de un formulario que puedes encontrar en el enlace siguiente: https://www.gob.pe/9271-denunciar-el-mal-uso-de-datos-personales Lea también: Siete claves para garantizar la seguridad de los datos en una empresa Es importante considerar principalmente que, frente a un sorteo nuestro consentimiento debe ser expreso y sin lugar a dudas, además debemos conocer el cómo manejarán nuestra información, poder identificar plenamente a los organizadores, el plazo en el que serán conservados nuestros datos personales y una indicación clara de la manera en la que podamos hacer llegar nuestros reclamos o dudas al respecto. El uso no autorizado de nuestra información personal no es cosa de broma, solo en el sector educación (colegios, centros de idiomas, institutos superiores, universidades) desde el 2019 el monto de las multas supera los tres millones y medio de Soles por el mal uso de información personal (incluso imágenes) sin consentimiento. Las multas impuestas únicamente durante el 2023 superaron los siete millones de Soles. FUENTE: Balta, Pedro en Revista Economía. »La importancia de la protección de datos personales en el uso de las redes sociales» Revistaeconomia.com. 17/05/2024. (https://www.revistaeconomia.com/la-importancia-de-la-proteccion-de-datos-personales-en-el-uso-de-las-redes-sociales/).
Cinco claves esenciales para comprender la situación actual del phishing
El phishing continúa siendo una de las amenazas más persistentes y evolutivas en el panorama de la ciberseguridad. A medida que la tecnología avanza, los métodos empleados por los ciberdelincuentes se vuelven más sofisticados, lo que representa un desafío constante para individuos y organizaciones. En la actualidad el panorama del phishing va evolucionando hacia un incremento y nuevas técnicas como las de la imagen QR. Vamos a explicar los aspectos claves que nos ayudan a entender mejor la situación actual del phishing. El email como vector de ataque principal Los ataques de phishing no solo han aumentado en número, sino también en complejidad, esta es una de las principales claves. Según el informe de Cofense de 2024, el correo electrónico sigue siendo el vector de ataque principal, con un 90% de las brechas de datos originándose a partir de estos ataques dirigidos a empleados. La técnica preferida sigue siendo el phishing de credenciales, observando un incremento del 67% en volumen comparado con el año anterior. Este aumento se refleja en la amplia adopción de métodos más engañosos y técnicamente avanzados, como los ataques sin archivos y los enlaces limpios, lo que marca una nueva era en las amenazas por correo electrónico. La evolución de las tácticas: de la imagen al QR Un informe de IRONSCALES y Osterman Research revela que, si bien el 70% de las organizaciones consideran que sus sistemas de seguridad son efectivos contra ataques de phishing basados en imágenes y códigos QR, el 76% fue comprometido durante los últimos 12 meses. Esto subraya una preocupante brecha entre la percepción de seguridad y la realidad, impulsando la necesidad de mejorar las defensas contra tácticas que continuamente evolucionan. El papel de la inteligencia artificial Desde la introducción de ChatGPT en noviembre de 2022, ha habido un aumento en los ataques cibernéticos, con un incremento del 1,265% en las modalidades de vishing, smishing y phishing. Este fenómeno destaca cómo los avances en la tecnología de inteligencia artificial pueden ser aprovechados por los ciberdelincuentes para desarrollar tácticas más sofisticadas y dirigidas Podría interesarle: El error humano sigue percibiéndose como el talón de Aquiles de la ciberseguridad, según los CISO Por otro lado, la introducción de Modelos de Lenguaje de Gran Escala (LLMs) ha cambiado el juego en la detección de phishing. Según un estudio de LastPass, más del 95% de los encuestados cree que el contenido dinámico generado por LLMs complica la detección de intentos de phishing. Aunque muchos se sienten confiados en sus programas de prueba de phishing, solo un 16% de los usuarios identifica entre el 75% y el 100% de la actividad sospechosa. El impacto geográfico y sectorial del phishing El informe de Zscaler de 2024 destaca que Estados Unidos, el Reino Unido e India son los países más afectados por estos esquemas, con el sector de finanzas y seguros experimentando el mayor número de intentos de phishing. Este aumento del 393% en los ataques resalta la necesidad de estrategias de seguridad específicas para los sectores más vulnerables. En el informe de tendencias de amenaza de phishing de Egress del 2024, se destaca que los millennials son los principales objetivos de estos ataques cibernéticos, recibiendo el 37.5% de los correos electrónicos maliciosos. Asimismo, el informe revela que los roles más visados dentro de las empresas son los de los altos ejecutivos, siendo los CEO los más afectados. De hecho, el 13.4% de los ataques de phishing involucraron suplantaciones de identidad de personas conocidas por la víctima, como CEOs y otros líderes empresariales. Aumentan los efectos negativos en las empresas Más allá del aumento en el número y la sofisticación de los ataques, las consecuencias de los incidentes de phishing son cada vez más graves. Proofpoint reporta que, aunque la incidencia de ataques exitosos ha disminuido ligeramente, los efectos negativos han aumentado drásticamente, incluyendo un aumento del 144% en informes de sanciones financieras y un 50% en daños a la reputación. En el 74% de las empresas, los altos cargos están adoptando medidas estrictas contra los empleados que caen víctimas de estos ataques, a menudo con consecuencias negativas para los afectados. Paralelamente, el 51% de las organizaciones han sido blanco de ataques de phishing originados desde cuentas comprometidas dentro de su propia cadena de suministro en el último año. FUENTE: Dominguez, MLuz. »Cinco claves esenciales para comprender la situación actual del phishing» Bitelifemedia.com. 21/05/2024. (https://bitlifemedia.com/2024/05/cinco-claves-esenciales-para-comprender-la-situacion-actual-del-phishing/).
Siete claves para garantizar la seguridad de los datos en una empresa
La seguridad de datos es crítica en la gestión empresarial moderna, abarcando prácticas y tecnologías para proteger contra accesos no autorizados, corrupción o robo. Sus desafíos son variados y están en constante evolución debido al avance tecnológico. En el último año, según un estudio de Kaspersky, las pequeñas y medianas empresas (pymes) peruanas han sido las más afectadas con al menos 9.6 millones de intentos de ataques de malware. Según el informe Global Cybersecurity Outlook 2023 del Foro Económico Mundial (WEF por sus siglas en inglés), más del 90 % de los expertos en seguridad y el 86 % de los líderes empresariales creen que es probable un «evento cibernético catastrófico y de gran alcance» en los próximos dos años. Hugo Sánchez, CEO de Qlever, sostiene que este dato puede evidenciar la urgente necesidad de adoptar estrategias efectivas de seguridad de datos. “Por ejemplo, en el caso de las pequeñas y medianas empresas (pymes), implementar robustas medidas de seguridad de datos no solo protege su información vital sino que también salvaguarda su reputación y viabilidad financiera. Asimismo, los desafíos en la seguridad de los datos son variados y están en constante evolución debido al avance tecnológico”, comenta. Consejos a tomar en cuenta Para las pymes elegir las soluciones adecuadas implica comprender sus necesidades específicas de seguridad, la naturaleza de los datos que manejan y los requisitos legales de su sector. La implementación de estas soluciones debe ser parte de una estrategia integral de seguridad que incluya tanto medidas tecnológicas como prácticas organizativas. En ese sentido, Sánchez explica siete soluciones clave que pueden servir como pilares fundamentales en la construcción de un entorno seguro para la gestión de datos: Lea también: ¿Qué son las Pruebas de Penetración (Pentest)? La creciente relevancia de la ciberseguridad destaca la necesidad de que las empresas inviertan más en protección contra ataques cibernéticos, ya que los ciberdelincuentes desarrollan métodos maliciosos exponencialmente. Para mitigar estos riesgos, es crucial considerar el uso de la nube y la modalidad Software as a Service (SaaS). FUENTE: »Siete claves para garantizar la seguridad de los datos en una empresa» Andina.pe. 25/05/2024. (https://andina.pe/agencia/noticia-siete-claves-para-garantizar-seguridad-los-datos-una-empresa-986957.aspx).
El error humano sigue percibiéndose como el talón de Aquiles de la ciberseguridad, según los CISO
Si bien los temores a los ciberataques continúan aumentando, los CISO demuestran una confianza cada vez mayor en su capacidad para defenderse contra estas amenazas, lo que refleja un cambio significativo en el panorama de la ciberseguridad, según Proofpoint. La confianza de los CISO crece a pesar del miedo a los ciberataques El 70% de los CISO encuestados se sienten en riesgo de sufrir un ciberataque material en los próximos 12 meses, en comparación con el 68% el año anterior y el 48% en 2022. Hoy en día, los CISO claramente permanecen en alerta máxima, pero la confianza entre ellos está creciendo: solo 43 El % no se siente preparado para hacer frente a un ciberataque dirigido, lo que muestra una marcada disminución con respecto al 61 % del año pasado y el 50 % en 2022. El error humano sigue siendo percibido como el talón de Aquiles de la ciberseguridad, y el 74% de los CISO lo identifican como la vulnerabilidad más importante. En un año de crecientes amenazas internas y pérdida de datos provocada por las personas, más CISO que nunca (80%) ven el riesgo humano , en particular la negligencia de los empleados, como una preocupación clave en materia de ciberseguridad durante los próximos dos años. Sin embargo, hay un optimismo creciente en el papel de las soluciones impulsadas por la IA para mitigar los riesgos centrados en el ser humano, lo que refleja un giro estratégico hacia defensas impulsadas por la tecnología. «Si bien el panorama de la ciberseguridad continúa evolucionando con crecientes amenazas centradas en el ser humano, el informe La Voz del CISO de 2024 destaca lo que parece ser un cambio vital hacia una mayor resiliencia, preparación y confianza entre los CISO globales», dijo Patrick Joyce , CISO residente global en Punto de prueba. «Los hallazgos de este año subrayan un movimiento colectivo hacia defensas estratégicas, incluida una mejor educación, la adopción tecnológica y un enfoque adaptativo a amenazas emergentes como la IA generativa». CISO preocupados por las amenazas a la seguridad de la IA Este año, estamos viendo un aumento en la cantidad de CISO que ven el error humano como la mayor vulnerabilidad cibernética de su organización: 74 % en la encuesta de este año frente al 60 % en 2023. Sin embargo, el 86 % de los CISO cree que los empleados comprenden su papel en protegiendo a la organización. Esta confianza es mayor que en años anteriores: 61 % en 2023 y 60 % en 2022. Esto puede atribuirse a que el 87 % de los CISO encuestados buscan implementar capacidades impulsadas por IA para ayudar a proteger contra errores humanos y amenazas cibernéticas avanzadas centradas en el ser humano. En 2024, el 70% de los CISO encuestados se sienten en riesgo de sufrir un ciberataque material en los próximos 12 meses, en comparación con el 68% en 2023 y el 48% en 2022. Sin embargo, solo el 43% siente que su organización no está preparada para hacer frente a un ataque específico. ciberataque, en comparación con el 61% en 2023 y el 50% en 2022. Podría interesarle: Inteligencia Artificial: combatir los ciberataques del futuro implicarán usd102.780 millones para 2032 El 54% de los CISO encuestados cree que la IA generativa representa un riesgo de seguridad para su organización. Los tres principales sistemas que los CISO consideran que introducen riesgos para sus organizaciones son: ChatGPT/otro GenAI (44%), Slack/Teams/Zoom/otras herramientas de colaboración (39%) y Microsoft 365 (38%). El 46 % de los líderes de seguridad informaron haber tenido que lidiar con una pérdida importante de datos confidenciales en los últimos 12 meses y, de ellos, el 73 % estuvo de acuerdo en que los empleados que abandonaron la organización contribuyeron a la pérdida. A pesar de esas pérdidas, el 81% de los CISO cree que tienen controles adecuados para proteger sus datos. El 51% de los CISO encuestados en 2024 cuentan con tecnología de prevención de pérdida de datos (DLP) en comparación con solo el 35% en 2023. El 53% de los CISO encuestados invirtieron en educar a los empleados sobre las mejores prácticas de seguridad de datos, lo cual es mayor en 2024 en comparación con 2023 (39% ). El ransomware y el malware son las principales preocupaciones de los CISO Las mayores amenazas a la ciberseguridad percibidas por los CISO en 2024 son los ataques de ransomware (41%), el malware (38%) y el fraude por correo electrónico (36%). Estas principales amenazas son diferentes a las del año pasado; El compromiso del correo electrónico empresarial (BEC) bajó del primer lugar, el ransomware subió al primer lugar y el malware al segundo lugar. En 2024, no habrá cambios en la opinión de los CISO sobre el pago de un rescate . El 62 % de los CISO cree que su organización pagaría para restaurar los sistemas y evitar la divulgación de datos si fuera atacada por ransomware en los próximos 12 meses. El 79% de los CISO dijeron que confiarían en las reclamaciones de seguros cibernéticos para recuperar las posibles pérdidas sufridas, en comparación con el 61% en 2023. El 84% de los CISO coinciden en que los miembros de su junta directiva coinciden con ellos en cuestiones de ciberseguridad. Este es un salto significativo desde el 62% en 2023 y el 51% en 2022. «A medida que navegamos por las complejidades del entorno de ciberamenazas actual, es alentador ver que los CISO ganan confianza en sus estrategias y herramientas», comentó Ryan Kalember , director de estrategia de Proofpoint. «Sin embargo, los desafíos actuales de la rotación de empleados, la presión sobre los recursos y la necesidad de un compromiso continuo de la junta directiva nos recuerdan que la vigilancia y la adaptación son clave para nuestra resiliencia cibernética colectiva». FUENTE: Ethical Hacking Consultores. »El error humano sigue percibiéndose como el talón de Aquiles de la ciberseguridad» LinkedIn.com. 27/05/2024. (https://www.linkedin.com/pulse/el-error-humano-sigue-percibi%C3%A9ndose-como-tal%C3%B3n-de-aquiles-la-jtfgc/).
¿Qué son las Pruebas de Penetración (Pentest)?
En la actualidad, las empresas se enfrentan a un sinfín de amenazas cibernéticas que ponen en riesgo su información y operaciones. Si bien se invierte en controles de seguridad, ¿cómo podemos asegurarnos de que realmente funcionan? Aquí es donde entran en juego las Pruebas de Penetración, Pentest o Pentesting. ¿Qué es un Pentest? Un Pentest consiste en poner a prueba tus sistemas de seguridad de la misma manera que lo haría un hacker malicioso, buscando vulnerabilidades y puntos débiles que podrían ser explotados. ¿Cuáles son los beneficios de realizarlo? Las empresas a menudo asumen que sus defensas son sólidas, pero un Pentest te ayuda a verificar si realmente tus controles están cumpliendo con su función de protección. Es como una auditoría de seguridad que te permite: ¿Cómo se realiza un Pentest? Los Pentest deben ser llevados a cabo por hackers éticos, profesionales capacitados y certificados para este fin, que simulan ataques reales con la autorización de la empresa. El proceso generalmente consiste en: Tipos Existen distintos tipos de Pentest que se utilizan dependiendo de la situación en la que se encuentre la empresa, con base en mi experiencia, puedo decir que el White Box puede brindar mayores beneficios e información para las personas que toman decisiones. ¿Cada cuánto tiempo realizar uno? Se recomienda realizar un Pentest de manera regular, por lo menos una vez al año, especialmente en los siguientes casos: Como te darás cuenta, el principal beneficio de las pruebas de penetración es que ayudan a las organizaciones a determinar el alcance de los problemas de seguridad de sus sistemas, conocer los peligros a los que se enfrentan y el nivel de eficiencia de sus controles. Un Pentest no es una garantía de seguridad absoluta, pero es una herramienta esencial para tomar decisiones informadas y justificadas para mejorar su protección ante cibertaques. FUENTE: Cruz Bringas, Jose Luis. »¿Qué son las Pruebas de Penetración (Pentest)?» Blog.easysec.com.mx. 22/05/2024. (https://blog.easysec.com.mx/2024/05/pruebas-de-penetracion-pentest-que-son.html).
Inteligencia Artificial: combatir los ciberataques del futuro implicarán usd102.780 millones para 2032
La novedad de la inteligencia artificial (IA) desencadenará la próxima ola de eficiencia, experiencia y crecimiento en todas las industrias para 2030. De acuerdo a Deloitte, se espera que el mercado de la ciberseguridad de la IA alcance los 102.780 millones de dólares en 2032. Pero no todo lo que brilla es oro. A pesar de sus beneficios para las empresas, la IA también está siendo aprovechada por los ciberdelincuentes para realizar ataques evasivos, únicos y dañinos que las soluciones de ciberseguridad tradicionales no pueden detectar. Palo Alto Networks, líder mundial en ciberseguridad, identifica un promedio de 2,3 millones de amenazas nuevas por día, lo que pone de relieve la urgencia de combatir estas amenazas. Lea también: Latinoamérica y el Caribe sufrieron 200.000 millones intentos de ciberataques en 2023 En este contexto, Palo Alto Networks presentó una serie de nuevas soluciones de seguridad para ayudar a las empresas a bloquear los ataques generados por IA y proteger eficazmente el uso de IA por diseño, un enfoque centrado en el ser humano para innovar con IA y aprendizaje automático (ML), centrándose en generar soluciones que satisfagan las necesidades reales de los usuarios. Ciberseguridad: el peligro en Argentina Según un informe realizado por Palo Alto Networks, Argentina es el tercer país con más ciberataques de la región. Distintas organizaciones fueron protagonistas de una serie de ataques que sacudieron la escena de la ciberseguridad local, tanto en el ámbito público como en el privado. La principal sucedió el mes pasado cuando se conoció que existía una base de datos con DNIs, fotos y huellas dactilares, que pertenecería al Registro Nacional de las Personas (Renaper), publicada en un foro de compra y venta de datos personales. Aunque el Renaper aseguró que se trataba de información de un antiguo hackeo, especialistas explicaron que esos datos, que estaban disponibles en la dark y deep web, son comercializados de forma ilegal con un objetivo claro: cobrar dinero. Este tipo de delito deja en evidencia la necesidad de afrontar la problemática desde distintas perspectivas. Los tres pilares de la protección basada en IA FUENTE: »Inteligencia Artificial: combatir los ciberataques del futuro implicará u$s102.780 millones para 2032» Ambito.com. 11/05/2024. (https://www.ambito.com/tecnologia/inteligencia-artificial-combatir-los-ciberataques-del-futuro-implicara-us102780-millones-2032-n5996493).
Estas son las estrategias nacionales de ciberseguridad de los países de Latinoamérica
Las estrategias nacionales de ciberseguridad constituyen un eje sobre el que cimentar las bases de esta materia en cualquier Estado, tanto en sus organismos públicos como en el sector privado. De ahí que los gobiernos estén prácticamente obligados a elaborar e implementar esta clase de documentos. Sin embargo, no todos los países de Latinoamérica han trabajado en ello. Es innegable que Latinoamérica, en general, está en pleno crecimiento en materia de ciberseguridad. Y aunque no todos los países van al mismo ritmo ni disfrutan de la misma madurez, los gobiernos de cada uno de ellos ya se han puesto manos a la obra para conseguir que tanto sus organismos públicos como el sector privado se vean afectados lo menos posible ante cualquier eventualidad procedente del ciberespacio. Un ejemplo de ello lo constituyen las diversas estrategias nacionales de ciberseguridad con las que cuentan los países latinoamericanos. Cada una con sus particularidades, incluso algunas de ellas con variaciones en su denominación, pero que persiguen un objetivo común: protegerse, gestionar y recuperarse de la manera más eficaz y con mayor celeridad factible ante un ciberataque. Bolivia, Cuba, El Salvador, Haití, Honduras, Uruguay y Venezuela no tienen todavía una estrategia nacional de ciberseguridad En cuanto a Venezuela, en 2016, el Gobierno puso en marcha el Plan Nacional de Ciberseguridad y Ciberdefensa, cuyo objetivo era mejorar las medidas de seguridad cibernética en el país. Mención especial también merece El Salvador, ya que su estrategia nacional de ciberseguridad está actualmente en plena elaboración. El fin no será otro que proteger la información digital en poder del Estado a través de la adopción de estándares internacionales y el trabajo articulado de las instituciones públicas. En definitiva, un ecosistema latinoamericano en el que, aunque queda mucho por mejorar y por trabajar, está claro que los cimientos y las bases impuestas desde las correspondientes administraciones públicas ayudarán a los países a mejorar cada vez más en materia de seguridad cibernética. Estrategias nacionales de ciberseguridad de Latinoamérica Las estrategias nacionales de ciberseguridad que se han implementado en América Latina son las siguientes: Segunda Estrategia Nacional de Ciberseguridad de Argentina: Este documento establece los vaticinios nacionales argentinos en materia de protección del ciberespacio. Su objetivo principal es prevenir acciones que afecten a la administración del Estado, las organizaciones, los servicios esenciales y, en consecuencia, a las personas. En esta línea, la estrategia contempla sectores vulnerables, cuestiones y previsiones específicas vinculadas a los desarrollos tecnológicos como el Internet de las Cosas, el 5G y los servicios de nube, temas de soberanía digital y gobernanza y colaboración adaptativa de las múltiples partes interesadas en la materia. Estrategia Nacional de Ciberseguridad 2020-2030 de Belice: Establece tres pilares prioritarios. El primero es desarrollar un marco legal nacional para abordar las amenazas de ciberseguridad. El segundo hace referencia a la implementación de una capacidad de respuesta de incidentes críticos y a una correcta protección de infraestructuras críticas. Y el tercero está relacionado con la puesta en marcha de medidas para apoyar la educación, incrementar la conciencia de los usuarios y la fuerza laboral y desarrollar políticas de ciberseguridad. De hecho, la formación, a través de cursos sobre economía digital y concienciación, es estratégico en este último punto. Podría interesarle: El Consejo de Europa adopta el primer tratado internacional sobre inteligencia artificial Estrategia Nacional de Seguridad Cibernética de Brasil: Aunque estaba vigente hasta finales de 2023, ha sido prorrogada un año más. Los objetivos estratégicos de este documento son hacer que Brasil sea más próspero y confiable en el entorno digital, incrementar la resiliencia ante las ciberamenazas y fortalecer el desempeño brasileño en ciberseguridad en el escenario internacional. Para ello establece diez acciones estratégicas. Entre ellas, fortalecer las acciones de cibergobernanza, elevar el nivel de protección gubernamental, mejorar el marco legal, fomentar el diseño de soluciones innovadoras en ciberseguridad y aumentar el nivel de madurez de la sociedad en ciberseguridad. Política Nacional de Ciberseguridad 2023-2028 de Chile: Tras su reciente publicación, Chile contará con una infraestructura de la información robusta y resiliente preparada para resistir y recuperarse de los ciberincidentes. Además, el Estado protegerá y promoverá la protección de los derechos de las personas en Internet a través del fortalecimiento de la institucionalidad existente en materia de ciberseguridad. Por otro lado, el Gobierno desarrollará una cultura de la ciberseguridad en torno a la educación, buenas prácticas y responsabilidad en el manejo de tecnologías digitales. Asimismo, creará una gobernanza pública para coordinar las acciones necesarias en ciberseguridad y promoverá el desarrollo de su industria. La Política Nacional de Ciberseguridad para los años 2023-2028 de Chile fue presentada el 26 de marzo Estrategia de Seguridad Digital de Colombia: Esta estrategia comprende cuatro acciones con el objetivo de fortalecer y consolidar la ciberseguridad en todo el país, así como de ampliar las capacidades de Colombia en la materia y generar un modelo de protección integral: la creación de la Agencia Nacional de Ciberseguridad, ya puesta en marcha; el fortalecimiento del ColCERT, el Grupo de Respuesta a Emergencias Cibernéticas de Colombia; el nacimiento de un centro de ciberseguridad en Caldas; y la mejora de la capacitación y entrenamiento de especialidades en ciberseguridad a través de diferentes instituciones y empresas del sector digital. Estrategia Nacional de Ciberseguridad 2023-2027 de Costa Rica: Este nuevo documento articula una visión estratégica bajo un modelo institucional eficiente robusteciendo el liderazgo del Gobierno nacional y la vinculación de todas las partes interesadas bajo un enfoque de derechos humanos y en línea con la construcción de una sociedad incluyente en todos los ámbitos de la vida costarricense. Cuenta con un plan de acción para reforzar la gobernanza de ciberseguridad, adecuar el marco normativo jurídico cibernético, mejorar la protección de infraestructuras y la ciberresiliencia nacional, fortalecer el ecosistema de ciberseguridad y cooperar activamente en el entorno digital. Lea también: El Parlamento Europeo aprobó la ley de ciberseguridad que brindará a la región un “escudo” contra los ataques de hackers Estrategia Nacional de Ciberseguridad de Ecuador: Esta estrategia permite a los ciudadanos acceder a servicios digitales con mayor seguridad y fortalecer la protección de sus datos personales. Además, abre nuevas opciones
La importancia del Análisis de Vulnerabilidades
En el mundo de la tecnología y la ciberseguridad, a menudo se escucha hablar sobre la importancia de proteger nuestros sistemas y datos. Sin embargo, muchas organizaciones no realizan un análisis de vulnerabilidades con la frecuencia o la seriedad necesarias, ya sea por desconocimiento o por subestimar su utilidad. ¿Qué es una vulnerabilidad? Empecemos por definir, qué es una vulnerabilidad. Según la norma ISO/IEC 27001, una vulnerabilidad es: una debilidad en un activo que puede ser explotada por una amenaza para materializar una agresión sobre el activo. En pocas palabras, una vulnerabilidad es una debilidad en un sistema o activo que podría ser aprovechada por un atacante para causar daño. Imagina, por ejemplo, que la puerta de entrada de tu empresa siempre está abierta y sin vigilancia (la vulnerabilidad), lo cuál podría ocasionar que un delincuente (la amenaza) ingrese a las instalaciones fácilmente pudiendo robar cualquier cosa dentro de ella, como equipos de cómputo e información valiosa (esto sería la materialización de la amenaza). Eso es similar a lo que sucede cuando un sistema informático tiene vulnerabilidades, que son como puertas traseras que los atacantes pueden usar para robar información, instalar malware, tomar el control de nuestros sistemas e incluso interrumpir la operación del negocio. ¿Qué es un análisis de vulnerabilidades? Un análisis de vulnerabilidades, es un proceso que nos ayuda a detectar las vulnerabilidades o debilidades existentes en los sistemas de la empresa. Este proceso no solo detecta huecos de seguridad, sino que también ofrece tiempo para actuar y solucionarlos antes de que se conviertan en una amenaza real para la organización. Es una medida preventiva esencial que debería realizarse al menos una o dos veces al año para asegurar que nuestros sistemas están protegidos y actualizados contra cualquier ataque potencial. Realizarlo nos ayudará a conocer nuestros puntos débiles antes de que algún delincuente lo haga, y así poder realizar un plan de acción para trabajar en fortalecerlos, aplicando controles o remediando las debilidades encontradas. Podría interesarle: La urgente necesidad de implementar la figura del Delegado de Protección de Datos Una vez identificadas las vulnerabilidades, es posible monitorearlas continuamente para detectar cualquier actividad sospechosa o intento de explotación y actuar de manera rápida y eficiente. Un análisis de vulnerabilidades debe ser realizado por especialistas que al final, entregarán un reporte, el cual nos servirá como guía para crear un plan de remediación donde se definirán los tiempos y acciones a seguir para cubrir esos huecos de seguridad. Con todo lo anterior, espero que comprendas la importancia y la necesidad de realizar este tipo de análisis periódicamente en tu organización y así prevenir incidentes que afecten al negocio. Prevenir incidentes de seguridad no solo protege los activos de la empresa, sino que también preserva su reputación y su viabilidad a largo plazo. FUENTE: Bringas Cruz, José Luis. »La importancia del Análisis de Vulnerabilidades» Blog.easysec.com.mx. 15/05/2024. (https://blog.easysec.com.mx/2024/05/la-importancia-del-analisis-de-vulnerabilidades.html).
Fintech: ¿Suficiente blindaje para la protección de datos?
Las fintech en México están reguladas por la CNBV y deben seguir estrictas normas de protección de datos y seguridad cibernética. Conoce más sobre las responsabilidades y las nuevas iniciativas legislativas para reforzar la ciberseguridad. Para operar como una Institución de Tecnología Financiera (ITF) o fintech, es necesario conseguir una autorización especial, otorgada por la Comisión Nacional Bancaria y de Valores (CNBV). Por tal motivo, la CNBV efectúa visitas de inspección a las ITF para revisar, verificar, comprobar y evaluar las actividades que realizan. Una vez implementada la Ley FinTech en 2018, este tipo de empresas adquirió un nuevo estatus legal. No solo se regularon sus servicios financieros, sino que fueron reconocidas como personas físicas o morales de carácter privado, responsables de diversos tratamientos de datos personales. Este cambio normativo implicó una serie de obligaciones, como dar cumplimiento a la normativa en protección de datos personales que establece la Ley Federal de Protección de Datos Personales en Posesión de Particulares y su Reglamento. De esta forma, las personas físicas o morales privadas que traten datos personales en sus actividades financieras deben cumplir una serie de obligaciones, con objeto de garantizar a los titulares el derecho a la protección de su información personal. ¿Son adecuadas las medidas actuales para la protección de datos? Según Felipe Vallejo, presidente de la Asociación FinTech México, es necesario implementar medidas e iniciativas legislativas adicionales para fortalecer el marco regulatorio, especialmente en un contexto de constante evolución en ciberseguridad. Vallejo explicó que, aunque el cumplimiento de la ley es fundamental para que las empresas fintech protejan a los usuarios, la industria también debe adherirse a estándares internos, como los test de penetración, para garantizar una mayor seguridad. Podría interesarle: ¿Cómo Proteger la Voz de una Persona? Además, recomendó a los usuarios crear contraseñas más robustas para sus cuentas y verificar cuidadosamente a quiénes entregan sus datos personales, especialmente ante la creciente sofisticación de ataques como los de ingeniería social. ¿A qué están obligadas las fintech? Para operar como una Institución de Tecnología Financiera (ITF) o fintech, es necesario conseguir una autorización especial, otorgada por la Comisión Nacional Bancaria y de Valores (CNBV). Por tal motivo, la CNBV podrá efectuar visitas de inspección a las ITF con el objeto de revisar, verificar, comprobar y evaluar las actividades que estas realizan. Las Instituciones de Tecnología Financiera (ITF) están obligadas a proporcionar información clara a sus clientes sobre los riesgos asociados con las operaciones que realizan con ellas o a través de ellas, de acuerdo con lo establecido en la Ley Fintech. Además, deben informar de manera destacada, utilizando los medios de comunicación con los que contactan a sus clientes, que están autorizados, regulados y supervisados por las autoridades financieras. En lo que respecta a la seguridad y protección de datos, se detallan algunas de las obligaciones generales para los dos tipos de fintech reguladas en México: Institución de financiamiento colectivo Instituciones de Fondo de Pago Electrónico Nuevas iniciativas en el horizonte Actualmente, existen propuestas legislativas para reforzar las leyes de ciberseguridad y protección de datos, incluida la iniciativa de Ley Federal de Ciberseguridad presentada en el Senado de la República. Mientras se concretan estas medidas, Felipe Vallejo indica que la Asociación Fintech ha establecido un comité de ciberseguridad dedicado a fomentar la transparencia y el intercambio de información sobre ciberataques, con el objetivo de mejorar la prevención y la capacidad de respuesta frente a estos desafíos. Adicionalmente, está en formación un grupo de respuesta inmediata que coordinará acciones en caso de ciberataques. FUENTE: David, Luis. »Fintech: ¿Suficiente blindaje para la protección de datos?» Liderempresarial.com. 08/05/2024. (https://www.liderempresarial.com/fintech-suficiente-blindaje-para-la-proteccion-de-datos/).
