Nada pone más de manifiesto «la deficiente experiencia digital de los empleados » que el hecho de que su empresa sea víctima de un ciberataque que haya tenido éxito. De repente, la reputación de la empresa en materia de « » está por los suelos, el precio de sus acciones se ha desplomado y su información personal se está vendiendo en la dark web.
Para evitar situaciones tan graves como esta, es necesario que todos estén en sintonía desde el punto de vista de la seguridad. Y eso empieza por , donde se explican conceptos de seguridad de forma que sus compañeros que no sean expertos en ciberseguridad puedan entenderlos:. En algún momento, en los inicios de la tecnología de la información, nos volvimos adictos a la jerga. El sector está plagado de ello, y es fácil olvidar que incluso algunos de los términos más básicos que los profesionales de la ciberseguridad dan por sentados resultan incomprensibles para los compañeros de otros departamentos y —lo más importante— para la junta directiva.
Traducir la jerga informática al español coloquial es la clave para que se entienda lo que quiere decir, por no hablar de conseguir que se aprueben sus presupuestos. Además, constituye un factor determinante para el compromiso de los empleados .
Empezar por utilizar la terminología adecuada es también una buena forma de iniciar un debate más amplio sobre las amenazas más graves para la empresa y sobre lo que se necesitará para minimizarlas o mitigarlas, afirma Malcolm Harkins, director de seguridad y confianza de la empresa de seguridad especializada en IA HiddenLayer.
A continuación le ofrecemos una guía breve y sencilla sobre 15 conceptos clave de ciberseguridad, desde APT hasta ZTA. Utilícelo como guía de traducción o compártalo con otros directivos antes de su próxima reunión de aprobación del presupuesto.
1. APT
Acrónimo de « » (amenaza persistente avanzada), o, más concretamente, un atacante que permanece oculto en su red durante largos periodos de tiempo, sustraendo información de forma sigilosa. Imagínese a un desconocido escondido en su desván durante meses, escuchando a escondidas sus conversaciones y conectándose a su red Wi-Fi sin su permiso. Eso es un APT. Entre los grupos de ciberdelincuentes más conocidos por estas prácticas se encuentran los siguientes, con sede en Rusia: APT28 (también conocidos como y Fancy Bear) y los siguientes, con sede en Irán: APT34, entre muchos otros.
Lo que debe recordar: En lugar de «APT», piénselos como «intrusos afianzados» o «espías digitales».
«» Imagínese a un desconocido escondido en su ático durante meses, escuchando a escondidas sus conversaciones y conectándose a su red Wi-Fi. Eso es un APT.»
2. Sombreros negros
Los piratas informáticos que se introducen en los sistemas y roban datos con fines maliciosos propios o por encargo de sus clientes. Son lo contrario de los «sombreros blancos», quienes se infiltran en los sistemas para identificar vulnerabilidades con el fin de que puedan subsanarse antes de que los delincuentes actúen (también se les conoce a veces como «hackers éticos»). Los «sombreros grises» se sitúan entre ambos extremos; a veces actúan con buenas intenciones y otras veces no. También existen los «sombreros rojos» (vigilantes que lanzan contraataques contra los «sombreros negros»), los «sombreros azules» (hackers que buscan vengarse de un objetivo concreto) y los «sombreros verdes» (principiantes que aspiran a alcanzar uno de los otros colores).
Lo que debe recordar: « ». Antes de permitir el acceso a su red a cualquier persona, asegúrese de saber qué «sombrero» lleva puesto.
3. CIA
No, no me refiero a la agencia de espionaje. Este acrónimo significa « » (confidencialidad, integridad y disponibilidad), más conocida como la tríada de la ciberseguridad. Garantizar la CIA es la prioridad número uno para los profesionales de la seguridad, pero no pueden lograrlo sin contar con los procesos, las políticas y el personal adecuados, señala Sue Bergamo , de , quien cuenta con una dilatada trayectoria como directora de sistemas de información y directora de seguridad de la información (CIO/CISO), además de asesora ejecutiva.
Lo que debe recordar: . Si cree que la tecnología por sí sola puede garantizar la CIA, es probable que ya haya sufrido una brecha de seguridad.
4. Deepfakes
Imágenes, audio o vídeo « » generados por IA y diseñados para engañarle y hacerle creer que está tratando con una persona real —como el «deepfake» de audio que engañó a un empleado de una empresa de servicios financieros de Hong Kong para que transfiriera 25 millones de dólares a un estafador telefónico, creyendo que se trataba de su director financiero—. Un «deepfake» puede formar parte de un ataque de ingeniería social (véase más abajo) destinado a ganarse la confianza de los empleados y persuadirles para que revelen información confidencial.
Lo que hay que recordar: Si algo parece demasiado bueno, extraño o impactante para ser verdad, probablemente se trate de IA.
5. COI
Los «indicadores de compromiso» ( ) son términos técnicos que se refieren a los indicios de que su dispositivo o red ha sido objeto de un ataque informático, tales como una actividad inusual en las cuentas, modificaciones en los archivos del sistema o solicitudes de mayores privilegios de acceso. Encontrar un IOC es como llegar a casa y descubrir que le han roto la ventana de la entrada y que le falta la televisión. Aunque no le permitirá recuperar sus pertenencias, sí que puede proporcionarle información suficiente para reducir el riesgo de futuros robos y alertar a otras personas.
Lo que hay que recordar: El COI afirma que es hora de instalar rejas en las ventanas y hacerse con un perro.
«. Ese IOC [indicador de compromiso] indica que es hora de instalar rejas en las ventanas y hacerse con un perro.»
6. LOLBins
De acuerdo, tenemos que analizar esto detenidamente. En realidad, «LOL» es la abreviatura de «LOTL», es decir, «living off the land» (vivir de lo que ofrece la red), que hace referencia a un tipo de ciberataque en el que los piratas informáticos se apropian de herramientas y sistemas ya instalados en una red. «Bins» = archivos binarios. Aunque es posible que las personas sin conocimientos técnicos estén familiarizadas con el «código binario» —todos esos 1s y 0s que conforman el lenguaje básico que utilizan los ordenadores—, es posible (o, mejor dicho, es probable) que no sean tan conscientes de que el término también hace referencia a los archivos y bibliotecas de este código.
Por lo tanto, los binarios « » de «living-off-the-land» son bibliotecas de código legítimas integradas en su entorno operativo que los adversarios pueden utilizar en su contra. Por ejemplo, un atacante podría utilizar el lenguaje de scripts PowerShell de Windows para obtener las credenciales de inicio de sesión de un administrador del sistema. Estos ataques también se conocen como «sin archivos», ya que no instalan malware, lo que les permite eludir la mayoría de las herramientas de software antivirus. El software de seguridad que detecta actividades inusuales en el sistema , además de las firmas de malware, puede ayudar a identificar los LOLBins.
Lo que hay que recordar: Tener un APT que sea «LOL» en su red no es motivo de risa.
«Si una filtración de datos le quita el sueño, probablemente sea relevante.»
7. Incumplimiento grave
Cualquier fuga de datos o ataque que obligue a una empresa que cotiza en bolsa a darlo a conocer en sus documentos presentados ante la SEC, de conformidad con las nuevas normas de la agencia sobre la « » ( ), que entraron en vigor en diciembre. Si la infracción provoca una pérdida importante de ingresos, un daño a la reputación o una caída en la cotización de las acciones de la empresa, puede considerarse «significativa». Pero lo que eso significa en la práctica depende de usted (y del asesor jurídico jefe de su empresa).
Lo que debe recordar: Si una filtración de datos le quita el sueño, es probable que sea relevante.
8. Máster en Bellas Artes
La autenticación multifactorial es ese paso adicional, molesto pero necesario, que debe seguir un usuario para iniciar sesión en una red o en un dispositivo; suele consistir en un código enviado por SMS o a través de una aplicación móvil, lo que añade una capa adicional de protección a su contraseña (probablemente débil y fácil de piratear). Y, no, por enésima vez, « “12345», «contraseña» y el nombre de su jugador favorito del Mundial no son buenas contraseñas (aunque esas tres siguen siendo sorprendentemente populares).
Lo que hay que recordar: Los sistemas de autenticación multifactorial (MFA) siguen siendo menos molestos que los piratas informáticos que le roban sus datos de acceso y le impiden acceder a sus cuentas.
9. Aplicación de parches
Actualizar periódicamente el software para subsanar las vulnerabilidades recién descubiertas, normalmente como solución provisional hasta que se pueda lanzar una versión más segura del software. Esto no está exento de riesgos; aplicar un parche a una aplicación puede provocar fallos en otra aplicación que dependa de ella, o puede introducir nuevas vulnerabilidades, señala Harkins.
Lo que hay que recordar: Cuando transcurre demasiado tiempo entre dos versiones completas de una aplicación, esta puede acabar pareciéndose a una colcha de retazos.
10. Escalada de privilegios
Cuando los atacantes logran acceder a una red y utilizan credenciales sustraídas o aprovechan vulnerabilidades para ascender en la cadena de mando, hasta obtener, en última instancia, privilegios administrativos. Es como si alguien entrara a la fuerza en el armario del conserje y se llevara las llaves de todas las demás habitaciones del edificio; no se detendrá hasta llegar a la última planta. Limitar el número de personas con privilegios de administrador y supervisar de cerca dichas cuentas es un buen primer paso para limitar la escalada de privilegios.
Lo que hay que recordar: Ser socio puede tener sus ventajas, pero esperemos que no todas.
11. Equipo rojo/equipo azul
The red team actively attacks your network to identify points of vulnerability; think of them as white hat hackers with stock options and 401(k)s. El equipo azul se encarga de la defensa, tratando de impedir que los ataques tengan éxito o de mitigar los incidentes a medida que se producen. También hay equipos «purple» que combinan elementos de ambos. Una estrategia de seguridad sólida debe incluir ejercicios periódicos de tipo «rojo/azul» (o «púrpura»).
Lo que hay que recordar: Cuando se hace correctamente, la seguridad es siempre un trabajo en equipo.
12. Ingeniería social
Engañar a las personas para que hagan clic en un enlace malicioso incluido en un correo electrónico de phishing , para que respondan a un mensaje SMS fraudulento (smishing) o para que faciliten información confidencial por teléfono (vishing). La ingeniería social representa entre el 70 % y el 90 % de los ataques que tienen éxito, señala Roger Grimes, promotor de la defensa basada en datos de la empresa de formación en seguridad KnowBe4, y resulta más eficaz cuando el estafador se hace pasar por alguien en quien usted confía.
Lo que hay que recordar: Es posible que esa llamada que proviene del interior del despacho del director general no sea, en realidad, del director general.
13. Ataque a la cadena de suministro
Cuando un adversario logra burlar sus defensas al comprometer con éxito a uno de sus proveedores de confianza. Esto suele llevarse a cabo mediante la introducción de malware en sus aplicaciones o la instalación de microchips maliciosos en sus placas de circuitos, lo que abre una puerta trasera a su red. Evaluar el riesgo asociado a terceros mediante una selección minuciosa de los posibles proveedores — las herramientas de evaluación automatizadas pueden ser de gran ayuda en este sentido— constituye un paso fundamental en cualquier relación con un proveedor.
Lo que hay que recordar: « ». Mantenga a sus amigos cerca, a sus enemigos aún más cerca y a sus proveedores externos en el bolsillo trasero de sus vaqueros más ajustados.
«. El modelo “Zero Trust” es más que una arquitectura o una tecnología: es una cultura.»Malcolm Harkins, director de seguridad y confianza de HiddenLayer
14. Vulnerabilidad de día cero
Una vulnerabilidad en un sistema de software o hardware que los delincuentes conocen, pero usted no, lo que significa que sus víctimas no disponen de tiempo alguno para prepararse ante ella. Es poco probable que las protecciones antimalware existentes detecten un ataque de día cero hasta después de que se haya lanzado, si es que llegan a detectarlo. Afortunadamente, la mayoría de los ataques de «día cero» se aprovechan de software obsoleto y recurren a la ingeniería social para colarse en los sistemas, por lo que la aplicación regular de parches y la formación en seguridad pueden limitar su exposición.
Lo que hay que recordar: Cualquier día es un mal día para una vulnerabilidad de «día cero».
15. ZTA
La arquitectura «zero trust», o simplemente « » zero trust, exige que se verifique a cada usuario y a cada dispositivo, no solo al iniciar sesión, sino también antes de acceder a cualquier recurso de la red. Y parte de la premisa de que no se debe confiar en los usuarios ni en los dispositivos hasta que se demuestre lo contrario. Esto puede evitar problemas como la escalada de privilegios (usted puede leer ese documento «solo para uso interno», pero su becario de verano no puede) y limitar los daños derivados de ataques de ingeniería social que hayan tenido éxito.
«El modelo "zero trust" es más que una arquitectura o una tecnología: es una cultura», afirma Harkins. «Y es fundamental que se extienda a todos los ámbitos, no solo a su entorno informático». «Los directivos deben comprender toda la complejidad que conlleva el modelo «zero trust» antes de decidirse a implantarlo».
Lo que hay que recordar: Con el modelo «zero trust», incluso su madre tiene que presentar algún documento de identidad. Y eso es algo positivo.
