Susana Alwasity

En la sociedad actual, la tecnología ha transformado la forma en que vivimos, trabajamos y nos relacionamos. Con el aumento del uso de dispositivos y redes conectados a internet, ha surgido un mayor riesgo de amenazas cibernéticas. Por ello, la Ciberseguridad se ha convertido en una preocupación en todos los sectores, especialmente para las infraestructuras críticas, que abarcan desde el sector financiero, energético, salud o instituciones gubernamentales. A medida que aumenta la frecuencia de ciberataques graves contra empresas, gobiernos, servicios públicos y hospitales, como hemos podido ver en los últimos tiempos (donde incluso se llega a parar la operativa y se ve afectada la continuidad del negocio), es evidente que las organizaciones deben contar con dos planes de acción y estrategias efectivas: En primer lugar, uno para hacer frente a amenazas cibernéticas comunes y conocidas, como phishing, malware, el robo de datos o ataques de denegación de servicio (DDoS) como el que llevó a Microsoft a batir el récord de detener el ataque de DDoS más grande en 2021. Y, en segundo lugar, prepararse para otros desastres o eventos de “cisne negro” que pueden ocurrir repentinamente, haciendo frente a los ciberataques graves que pueden paralizar no solo sus operaciones, sino incluso propagarse a otras industrias. ¿Qué es un “cisne negro” en Ciberseguridad? Un "cisne negro" es un suceso o evento imprevisible y altamente impactante que puede tener consecuencias significativas y de gran alcance. Se utiliza como metáfora para describir eventos que no pueden predecirse, pero que pueden tener consecuencias que pueden afectar a un amplio espectro de personas, industrias o países. El término ha ganado popularidad desde la publicación en 2007 del libro El cisne negro: el impacto de lo altamente improbable, escrito por Nassim Taleb, un matemático e investigador libanés. El escritor alude a que los eventos altamente improbables y de gran impacto, como la crisis financiera de 2008, son más comunes de lo que se piensa y que, a menudo, son subestimados y mal entendidos por la mayoría de la gente. Algunos ejemplos de eventos de cisne negro incluyen la gripe española, el ataque terrorista del 11 de septiembre de 2001 en Estados Unidos, o incluso la reciente pandemia de Covid-19 en todo el mundo a partir de 2020. Es relevante mencionar que la pandemia del coronavirus, aunque ha tenido un gran impacto, se considera un evento previsible en términos generales. Cyber Security ¿Dónde sitúas a tu empresa en el camino hacia la ciberseguridad? 20 de abril de 2022 En el plano digital, algunos ejemplos considerados como cisne negro son los siguientes ataques: SolarWinds en 2020, donde los ciberdelincuentes comprometieron el software de la empresa y pudieron acceder a los sistemas de varias agencias gubernamentales de Estados Unidos, así como de empresas del sector privado. El exploit Log4Shell en 2021, que afectó a millones de dispositivos y servidores y permitió a los atacantes tomar el control remoto. Filtraciones masivas de datos, como por ejemplo la que afectó a Facebook en 2021, donde se expusieron los datos personales de más de 533 millones de usuarios. El ataque por parte de un grupo de ransomware al oleoducto Colonial Pipeline en 2021, que provocó la paralización del suministro petrolero y puso de manifiesto la vulnerabilidad de las infraestructuras críticas, así como, supuso la declaración del estado de emergencia en Estados Unidos. Estos eventos no fueron un hecho aislado, ya que destacaron cómo los ataques cibernéticos pueden tener un gran impacto en la sociedad y la economía, por lo que es importante estar preparados para enfrentar y mitigar los efectos de los eventos de cisne negro en Ciberseguridad. Los ciberataques pueden ser repentinos o propagarse como una pandemia en desarrollo. Cabe destacar que los ciberataques pueden ser repentinos, como un desastre natural, o propagarse lentamente como una pandemia en desarrollo, por lo que las empresas deben estar preparadas para prevenir y detectar amenazas extremas y emergentes. Cyber Security ¿Qué es el 'quinto dominio' y cuál es su importancia estratégica? 26 de octubre de 2022 Cómo prevenir un evento “cisne negro” en Ciberseguridad En el plano digital, los ataques de Ciberseguridad están evolucionando de manera exponencial y evidenciando la falta de preparación por parte de las organizaciones, donde no se tienen claros los riesgos ni la certeza de que se hayan evaluado todos. En caso de un ciberataque, las entidades deben estar preparadas para enfrentar los desafíos en constante evolución del ciberespacio y tomar medidas proactivas para proteger sus activos críticos. Para mitigar estos eventos, las entidades deben adoptar una mentalidad proactiva y considerar todos los escenarios posibles en sus planes de acción de Ciberseguridad. En un mundo en constante cambio, como es la sociedad actual, no basta con analizar lo ya conocido, sino que también hay que investigar los riesgos en el plano digital. Esto significa que las empresas necesitan dedicar tiempo a examinar qué tipos de crisis cibernéticas podrían enfrentar, sin importar cuán improbables sean. Conclusión En conclusión, las organizaciones deben ser proactivas: estar preparadas para cualquier eventualidad; monitorizar continuamente sus sistemas y redes en busca de actividad inusual; contar con un plan de respuesta a incidentes claramente definido y probarlo regularmente para asegurarse de que esté actualizado y sea efectivo; invertir en ciberinteligencia y prevención, así como capacitar y concienciar a los empleados en la identificación y prevención de ciberamenazas; analizar riesgos; contar con herramientas y tecnologías que les permitan detectar y responder rápidamente a cualquier amenaza de seguridad; y colaborar con otras entidades. La colaboración puede ayudar a identificar amenazas más rápido y tomar mejores medidas para prevenirlas. Al seguir estas recomendaciones, las organizaciones pueden estar mejor preparadas para enfrentar los eventos de "cisne negro" en Ciberseguridad y minimizar su impacto, para no ver mermada la continuidad de su negocio o servicio. CYBER SECURITY Inteligencia Artificial, ChatGPT y Ciberseguridad 15 de febrero de 2023 Foto de apertura: Holger Detje / Pixabay

Por fin llega el último y tan esperado post de esta serie sobre los riesgos que conlleva tener una sobreexposición informativa poco controlada. Como vimos en el post anterior, sabemos cómo minimizar los riesgos de nuestra huella digital, pero ahora nos toca saber cómo retirar la información ya existente. Recursos prácticos para la retirada de información En los últimos años, con la entrada en vigor del Reglamento General de Protección de Datos (RGPD), la tendencia en los servicios digitales ha ido encaminada hacia en intento de preservar la protección de la privacidad del ciudadano y del usuario en internet. Es por ello que, un método eficaz para eliminar nuestras cuentas online y la información asociada, parte por revisar la política de privacidad del servicio, y encontrar un contacto o formulario al que dirigir nuestra intención de ejercer nuestro derecho de supresión. Este derecho corresponde con la intención del interesado de solicitar al responsable del tratamiento, la eliminación de sus datos personales, siempre que los datos personales ya no sean necesarios para los fines en los que fueron recogidos. Para ello, deberemos de dirigir un escrito, por ejemplo este modelo de la Agencia Española de Protección de Datos, añadiendo nuestra intención de eliminar nuestra cuenta o servicio asociado. Del mismo modo, aunque creamos que la información recopilada por distintas páginas es “pública”, casi siempre podemos optar por solicitar la retirada de nuestra información. Esto aplica a servicios donde, aunque la información sea pública, están obteniendo un beneficio económico por la recopilación, o simplemente presenten la información estructurada. Podemos optar, por ejemplo, por buscarnos en herramientas de indexación de personas tales como Pipl, y retirar nuestra información en el siguiente apartado. Asimismo, en el caso de Have been Pwned a través de su apartado Opt-out, podemos impedir que se pueda acceder a ver en qué fugas de información se encuentra nuestro email comprometido. Una de las formas más directas de retirar la información personal que se muestra entre los resultados de Google es contactando directamente con el propietario del sitio donde aparecen. Asimismo, Google ofrece un formulario para retirar información personal, y que dejen de indexarse páginas donde aparezca información personal identificable (PII), como información financiera, datos confidenciales personales o sanitarios, dirección de contacto o nuestras firmas manuscritas, entre otros. Adicionalmente, si ya hemos eliminado distintos perfiles nuestros, o información que teníamos expuesta en páginas donde no somos propietarios, el siguiente paso consiste en informar a Google que deje de indexar dicho enlace, indicando que se trata de contenido obsoleto y que ya no se encuentra disponible. Para ello, el motor de búsqueda pone a disposición del usuario una herramienta de retirada de contenido obsoleto. Por último, cabe destacar que con estas medidas se pretende controlar la exposición de información, y minimizar los riesgos asociados a ellos, sin olvidar la siguiente premisa: No se trata de no poseer información expuesta sobre nosotros, sino de tener una exposición controlada. Ya disponible la serie completa sobre los riesgos de nuestra huella digital: CYBER SECURITY Riesgos de no tener una exposición de información controlada (I) 12 de enero de 2022 CYBER SECURITY Riesgos de no tener una exposición de información controlada (II) 17 de noviembre de 2021

Bienvenidos a la era digital. Una era en la que abrazamos la tecnología, con lo que nos ofrece prácticamente en casi todas las esferas de nuestra vida. Desde llevar gran parte de nuestra vida en el móvil, nuestros recuerdos, las gestiones de la banca online o hacer la comprar a base de clic, facilitando en gran medida nuestras tareas diarias. Gran parte de estos servicios llegan a nosotros de manera gratuita, pero ya sabemos que todo tiene un precio, por lo que nos beneficiamos de esta tecnología poniendo en riesgo nuestra privacidad. Hoy en día es difícil que una persona no deje un rastro de información en el ciberespacio. La llegada de internet y la euforia de las redes sociales han provocado la aparición de nuevos riesgos para la privacidad. A menudo, analizando los riesgos de la exposición de información en internet, podemos pensar “yo no intereso a nadie”, y esta idea es un gran error que nos lleva a desatender el control de la información expuesta sobre nosotros. La gran mayoría de los robos de datos financieros que acaban en pérdidas monetarias, son perpetradas contra el usuario final. Es decir, el cliente de a pie, que podría ser cualquiera de nosotros. Riesgos asociados a nuestra huella digital El rastro que vamos dejando en el ciberespacio es lo que se conoce como huella digital. Esta huella es lo que los demás usuarios pueden saber sobre un individuo, en base a la información que nosotros mismos hemos ido dejando en la red. Ya sea por registrarnos en una web, por crearnos un perfil en una red social, o por las publicaciones que realizamos en redes. Cuanta más información se disponga sobre nosotros y mejor sea la capacidad de realizar un perfilado, implicará un mayor nivel de sofisticación en los fraudes, ofreciendo al posible delincuente más herramientas para efectuar ataques de un modo más dirigido. Con nuestros datos podemos ser susceptibles de ser víctimas de suplantación de identidad, fugas de datos, extorsiones, estafas o fraude online, sin olvidarnos de posibles riesgos en el plano de la seguridad física. Asimismo, podremos recibir mayor cantidad de spam, y ser susceptibles de que nos lleguen correos maliciosos o phishings dirigidos. Paralelamente, otro riesgo asociado a los correos maliciosos, son las infecciones de malware o la instalación de programas nocivos en nuestros dispositivos. Por otro lado, la exposición del correo electrónico brinda al público información sobre los servicios asociados, es decir, dónde tenemos un perfil o cuenta creada, así como, fugas de información que pueden llevar asociados datos de IP, geolocalizaciones y contraseñas. En el plano físico, suponen un riesgo la exposición de direcciones y accesos a las ubicaciones. En algunos países en Latinoamérica, de tratarse de una persona de especial interés por su cargo o posición socioeconómica, puede derivar incluso en riesgos de secuestro o extorsión. Del mismo modo, brinda a los actores con fines maliciosos, direcciones físicas a las que dirigir fraudes por correo postal, o información adicional para suplantaciones de identidad. Del mismo modo, a través de suplantaciones de identidad se permite la contratación de servicios externos como seguros, créditos o cuentas en casas de apuestas. Contra organizaciones, deriva en fraudes online como el fraude al CEO o fraude BEC (conocido como Business Email 2 Compromise), donde los ciberdelincuentes suplantan un alto ejecutivo y envían un correo electrónico con el objetivo de obtener transferencias no autorizadas o información confidencial. Por último, también se pueden dar riesgos asociados de reputación y deterioro de imagen. Puede ser debido por comentarios en redes sociales que resulten desafortunadas o inapropiadas por algún motivo, como el plano ideológico. Este caso tiene mayor repercusión entre los perfiles de gran responsabilidad e influencia, directivos y altos cargos, personajes públicos de especial relevancia por su cargo o profesión, pero también puede afectar a cualquier ciudadano en el plano laboral o profesional. ¿Te has quedado con ganas de saber más? Sigue leyendo nuestra serie sobre los riesgos de nuestra huella digital: CYBER SECURITY Riesgos de no tener una exposición de información controlada (II) 17 de noviembre de 2021 CYBER SECURITY Riesgos de no tener una exposición de información controlada (III) 25 de enero de 2022

Como prometimos la pasada semana en el primer post de esta serie, en esta ocasión hablaremos sobre cómo minimizar los riesgos de nuestra huella digital. ¿Cómo minimizar los riesgos de nuestra huella digital? Lo primero en lo que deberíamos centrarnos es en realizar una labor de egosurfing. Esto consiste en realizar una búsqueda sobre uno mismo en los distintos motores de búsqueda para ver qué hay disponible. Para ello, no basta con buscar solo por nuestro nombre completo, sino realizar combinaciones de nuestros nombres, emails, número de teléfono, DNIs, o nombres de usuario a través de dorks. Esto supone, utilizar operadores y símbolos especiales en los distintos motores de búsqueda, como los que ofrece Google. En base a esta investigación o análisis inicial, pasaremos a recopilar la información y valorar el riesgo asociado. Evaluar nuestra exposición y huella digital sobre nosotros o nuestras organizaciones, viendo qué se encuentra disponible, dónde y qué riesgos conlleva, es de vital importancia para reducir nuestra vulnerabilidad frente a terceros con intenciones maliciosas. Una vez detectemos y tengamos en nuestro radar la información expuesta, en aquellos casos donde tengamos información sensible, es recomendable eliminar u ocultar la información. Para ello, será fundamental: Llevar un control sobre en qué páginas o servicios nos hemos registrado. Configurar correctamente la visibilidad de nuestros perfiles en redes sociales, y controlar el contenido que subimos. A la hora de registrarnos en algún servicio o perfil, nos solicitarán muchos datos voluntarios sobre nosotros, como gustos, aficiones o lugar de trabajo. Cabe valorar qué información queremos proporcionar y revisar la finalidad del tratamiento de nuestros datos. Evitar darnos de alta en servicios de dudosa apariencia y valorar si el registro es necesario. Incluso si un servicio promete privacidad, siempre existe la posibilidad de que se produzca una fuga de información involuntaria. Utilizar distintos correos electrónicos para los distintos ámbitos de nuestra vida (laboral, personal, etc) No reutilizar contraseñas y tenerlas controladas junto con nuestros datos de acceso, por ejemplo a través de gestores de contraseña. Ahora que ya sabemos cómo minimizar los riesgos de nuestra huella digital, vamos a ver con qué recursos prácticos contamos para la retirada de información. La próxima semana te lo contamos. Más sobre los riesgos de nuestra huella digital en el resto de artículos de la serie: CYBER SECURITY Riesgos de no tener una exposición de información controlada (I) 12 de enero de 2022 CYBER SECURITY Riesgos de no tener una exposición de información controlada (III) 25 de enero de 2022