Hasta hace algún tiempo había una clara frontera entre el ámbito real o mundo físico y el ámbito virtual o mundo digital. Nada de lo que ocurría en los ordenadores tenía una consecuencia directa sobre objetos físicos o personas, sólo actuaban sobre objetos virtuales, transformando unos en otros. Si se producía un error, el daño recaía directamente sobre algún producto virtual que un proceso determinado tuviera como salida. ¿Qué es lo que ha desdibujado dicha frontera? 

La automatización de las máquinas

Las máquinas herramientas se han empleado desde hace mucho tiempo, se han automatizado para realizar una tarea concreta, y han trabajado junto a otras coordinadas y controladas por personas. Los sensores y medidores y en general, los sistemas de control industrial (aquellos sistemas de información empleados en el control y la supervisión de procesos [físicos] productivos), proporcionaban medidas recogidas por personas, que decidían actuar de una manera u otra en base a dichas mediciones.

También había -hay- automatismos como puertas que se abren con una señal de infrarrojo o detectan que algo o alguien quiere pasar, o grifos que suministran agua automáticamente, o luces que se encienden al paso de las personas, o detectores de movimiento de intrusos que hacen saltar alarmas, o de incendio que envían señales a una central de alarmas y que, además pueden liberar agua.

Todos estos automatismos eran -y algunos siguen siendo- físicos, es decir, dependían del cambio de propiedades como calor produciendo una dilatación o contracción, recepción o no de señal electromagnética; o la electricidad y la electrónica aplicada a las máquinas. 

El SW: puente entre el mundo virtual y el real

Con el software (SW), se pasó a automatizar las máquinas con código, mucho más flexible y barato que el control físico, y con la posibilidad de que las máquinas pudieran comunicarse entre sí, lo que, por ejemplo, posibilitaba que mediciones de una modificara la acción de otra, o el control de varias desde de una tercera.

Este paso hizo de puente entre el mundo virtual y el físico, desapareciendo la frontera que los separaba. Los objetos virtuales en máquinas, sensores o controladores ya tenían una consecuencia en el mundo real, una acción sobre él para la cual se había programado dicha máquina.

Los fallos de SW, tanto los inconscientes como los intencionales -malware- podían causar daños físicos al producir un mal funcionamiento en las máquinas. La seguridad de los sistemas no consiste ya sólo en proteger la información como bien último y los objetos virtuales tratados por el SW, sino también evitar los daños físicos que la modificación de todo ello pudiera ocasionar en el mundo real sobre el que la máquina actúa.

La comunicación entre los distintos componentes de un sistema en un principio era por un cable que conectaba una máquina a otra. Para acceder a un sistema y controlarlo se necesitaba acceso físico.

Con Internet y el hecho de estar conectando todo a través de ella, ya es posible tener el control de cualquier máquina a distancia, desde cualquier punto del globo.

La conectividad proporcionada por puertos, antenas y protocolos, tanto por cable como sin cable, permite a las máquinas conectarse a una central de control, o con otra máquina para proporcionar o recibir datos; o con bases de datos, formando un sistema que no tiene por qué residir en un único espacio físico.

A la revolución del SW, de Internet y la conectividad, hay que añadir la miniaturización de los componentes de un ordenador, pudiendo introducir este en cualquier dispositivo, haciendo extensivo el mundo TI -sus ventajas y sus inconvenientes- a casi cualquier cosa, fuera de lo que conocemos por ordenador. Esto es lo que se conoce por "Internet de las cosas" -IoT, del inglés Internet of Things-.

Tener todo este mundo conectado tiene sus ventajas, ya que enriquece las funciones que en principio puede realizar un dispositivo, al poder intercambiar información con otros sistemas de su entorno, con centros de su fabricante, con el usuario. Por ejemplo, un automóvil puede recibir informaci n sobre el tráfico e informar al conductor sobre el mejor camino por el que dirigirse, al tiempo que está enviando información al fabricante sobre su rendimiento y estado de sus componentes, que a su vez puede entonces informar al conductor de si debe llevar el coche al taller para subsanar algún fallo o se le puede enviar una actualización que arregle algún mal funcionamiento; o puede intercambiar información con otros coches en un aparcamiento para saber si queda alguno libre, etc. Y, por supuesto, llevarnos a nuestro destino sin necesidad de dirigirlo nosotros.

Pero esto también tiene sus inconvenientes que son los relacionados con los riesgos en que se incurre por el hecho de estar siempre conectados y de estar intercambiando datos. No siempre lo que entra es legítimo y no dañino, y no siempre lo que sale llega sólo al destinatario adecuado.

Stuxnet y otros

Uno de los primeros ejemplos de virus encontrados en máquinas es Stuxnet[i], creado para hacer funcionar mal PLC's -controladores lógicos programables- de Siemens, y que entre otros sitios, se utilizaban en una planta de enriquecimiento de uranio de Irán. Stuxnet averió las centrifugadoras de la planta. Por medio de un pendrive que llevaba un SW para explotar una vulnerabilidad -exploit- de Windows no conocida en el momento de lanzamiento del virus se accedió a la central y a sus sistemas de operación y se tomó control de ellos, bajando a través de Internet el SW para los PLC's que los hacían funcionar inadecuadamente. 

El pasado 5 de mayo tuvo lugar una nueva edición del evento del CCI (Centro de Ciberseguridad Industrial) "La Voz de la Industria"[ii]. En una de las ponencias de dicho evento se realizó una demostración de cómo hackear un contador de la luz de los llamados "inteligentes" desde un PC, que, según comentaron, igual se podía haber hecho desde un smartphone. Se realizaron dos tipos de ataque, uno de denegación de servicio y otro de "Man in the middle". Estos contadores inteligentes están conectados con la empresa comercializadora informando del consumo que se realiza, y estos datos que se envían no todas las marcas de contadores los envían cifrados.

Por un lado, es fácil entrar en los contadores y, por ejemplo cortar el suministro. Como la información no está cifrada, puede hacerse, además, un ataque "Man in the middle" a los datos de consumo y obtener un patrón de las costumbres de los habitantes de la casa. Pero los contadores también pueden servir para enviar datos del contrato si se quiere modificar éste.

Siguiendo con el tema industrial, en el 2014 hackearon unos altos hornos en Alemania[iii], infligiendo graves daños, con cortes e interrupciones en los sistemas de producción. La entrada fue desde TI por medio de phising y desde aquí consiguieron acceso a los sistemas de producción.

El pasado 25 de abril, una compañía estadounidense distribuidora de agua y electricidad[iv] sufrió  un ataque de tipo ransomware que según parece sólo afectó  a sus redes corporativas y no a las de operación ni a los sistemas de control industrial. En el momento en que se detectó el incidente, se bloqueó la red corporativa. Si este ataque hubiera llegado a las redes de operación, el suministro a clientes se podría haber visto comprometido gravemente.

Peor suerte corrieron los habitantes de la región ucraniana de Ivano-Frankivsk que se quedaron sin suministro eléctrico durante varias horas debido a un ataque con un troyano[v]. Este ataque se completó con otro de denegación de servicio a las redes telefónicas para impedir la comunicación del ataque.

Patrones de funcionamiento y aprendizaje de las máquinas

Para poder detectar el malware antes de que entre en los sistemas hay varias estrategias. Una de ellas es conocer las redes y como funcionan, qué componentes hablan entre sí, qué se dicen y con qué protocolo, permitiendo solamente dichos intercambios, o al menos hacer saltar alarmas de lo que puede resultar sospechoso.

El pasado mes de abril, en Futurism se publicó  un artículo titulado "MIT Artificial Intelligence Can Predict 85% of Cyber-Attacks"[vi]. En él se describía un sistema de IA -inteligencia artificial- que era entrenado por investigadores para ayudar a las personas a identificar ciber-ataques.

Para ello, alimentaron al sistema con millones de líneas de log de una plataforma de comercio electrónico durante tres meses, para hacerlo trabajar con métodos que empleaban las personas, pero que el sistema hacía de forma más eficiente al poder revisar millones de líneas cada día.

Cuando el sistema encontraba algo sospechoso, una persona revisaba ese punto, y devolvía una respuesta al sistema, con la cual la máquina aprendía. Las amenazas evolucionan continuamente y la máquina de momento parece que ella sola puede llegar a ese 85%, pero trabajando junto a una persona este porcentaje sería mayor.

La persona no tiene ya que examinar una cantidad imposible de puntos sospechosos, ya que la máquina puede devolver del orden de 200 al día o menos, y la máquina sigue aprendiendo al tiempo que la persona los revisa y devuelve una respuesta. 

IoT y los riesgos para la vida cotidiana

Centrándonos en las cosas que utilizamos habitualmente, el riesgo a sufrir un ataque es el mismo. Por ejemplo los coches. En julio del año pasado sali  a la luz el ataque a un Jeep Cherokee, explotando una vulnerabilidad no conocida y que proporcionaba a los atacantes un control total sobre dicho coche[vii]. Fue un ataque controlado y los participantes conocían los riesgos.

Por otra parte, en "Scientific American" aparecía otro artículo titulado "Why Car Hacking Is Nearly Impossible"[viii] en el que se explica que el experimento que realizaron los hacker con el Jeep les costó un año de investigar el coche. Es decir, que no es tan fácil ... pero sí es posible en un tiempo razonable. Lo que habría que conseguir es que no lo fuera. 

Creo que nos hicieron un favor a todos descubriendo la vulnerabilidad, cosa nada rara ya que hay muchos White-hat hackers (hackers éticos) trabajando de esta manera y dando a conocer dichas vulnerabilidades para que los fabricantes las arreglen cuanto antes y no las aprovechen otros para conseguir dinero o hacer daño de alguna manera.

Por ejemplo, el 2 de mayo pasado apareció publicado en Wired un artículo titulado "Flaws in Samsung’s ‘Smart’ Home Let Hackers Unlock Doors and Set Off Fire Alarms"[ix]. En él se decía que tener un detector de humo que te enviara una alerta cuando tu casa estuviera ardiendo parece una buena idea; o que la puerta de la casa esté conectada a internet y cerrada con cerradura electrónica con una clave que se programe desde el móvil, suena bien. Pero cuando es atacado el detector y salta la alarma a las cuatro de la mañana, o es atacada la puerta y se abre a un extraño, de repente la casa inteligente nos parece bastante tonta. La comunidad investigadora -en seguridad- lleva avisando durante años de que la IoT, y en particular los aparatos domésticos conectados, introduciría una avalancha de vulnerabilidades en los objetos cotidianos.

Tanto es así que un grupo de investigadores de la Universidad de Michigan y Microsoft han publicado lo que ellos llaman el primer análisis[x] en profundidad de una plataforma de "casa inteligente" que permite controlar aparatos de uso doméstico como las bombillas o la puerta, desde un ordenador o un móvil. 

Para terminar, en un artículo del año 2011 de "Scientific American"[xi] titulado "Printers Can Be Hacked to Catch Fire", se cuenta como dos investigadores de la Universidad de Columbia en Nueva York, encontraron un fallo en una impresora normal de oficina que les permitió  hacerse con el dispositivo para espiar a los usuarios, distribuir malware e incluso forzarla para que se sobrecalentara y se incendiara.

Desde que el hombre primitivo aprendió a iniciar el fuego haciendo saltar chispas con dos piedras hasta ahora, que se puede hacer mandando unos códigos a unos dispositivos remotos. Incendio a distancia y de manera digital. 

* * *

Este artículo fué publicado originalmente por @PuntoSeguridad.com/"Cuadernos de Seguridad", junio-2016, nº 312, pg.70, Ciberseguridad – "La digitalización del fuego" – María José de la Calle.    

--------------------------

[i] David Kushner, 26 Feb 2013. "The Real Story of Stuxnet". IEEE SPECTRUM. url [a 9-05-2016] http://spectrum.ieee.org/telecom/security/the-real-story-of-stuxnet 

[ii] CCI. url [ a 9-05-2016 ] https://www.cci-es.org/web/cci/detalle-evento/-/journal_content/56/10694/220300 

[iii] Kim Zetter, 08 Jan 2015. "A Cyberattack Has Caused Confirmed Physical Damage for the Second Time Ever". Wired. url [a 9-05-2016] https://www.wired.com/2015/01/german-steel-mill-hack-destruction/ 

[iv] Kevin Townsend, 3 May 2016. "Michigan Power and Water Utility Hit by Ransomware Attack", SecurityWeek. url [a 9-05-2016] http://www.securityweek.com/michigan-power-and-water-utility-hit-ransomware-attack 

[v] Mónica Valle, 22 Ene 2016. "Continúan los ciberataques contra las compañías eléctricas en Ucrania". GlobbSecurity. url [a 9-05-2016] http://globbsecurity.com/continuan-ciberataques-companias-electricas-ucrania-37575/ 

[vi] Futurism, 19 Apr 2016. "MIT Artificial Intelligence Can Predict 85% of Cyber-Attacks". url [a 09-05-2016] http://futurism.com/mit-artificial-intelligence-can-predict-85-cyber-attacks/ 

[vii] Andy Greenberg, 21 Jul 2015. "Hackers Remotely Kill a Jeep on the Highway—With Me in It". Wired. url [a 9-05-2016] https://www.wired.com/2015/07/hackers-remotely-kill-jeep-highway/ 

[viii] David Pogue, 22 Feb 2016. "Why Car Hacking Is Nearly Impossible". Scientific American. url [a 9-05-2016]  http://www.scientificamerican.com/article/why-car-hacking-is-nearly-impossible/ 

[ix] Andy Greenberg, 02 May 2016. "Flaws in Samsung’s ‘Smart’ Home Let Hackers Unlock Doors and Set Off Fire Alarms". Wired. url [a 9-05-2016] https://www.wired.com/2016/05/flaws-samsungs-smart-home-let-hackers-unlock-doors-set-off-fire-alarms/?mbid=nl_5216   

[x] "Security Analysis of Emerging Smart Home Applications". University of Michigan, 2016. url [a 2016.05.09] https://iotsecurity.eecs.umich.edu 

[xi] Paul Wagenseil, 29 Nov 2016. "Printers Can Be Hacked to Catch Fire". Scientific American. url [a 9-05-2016] http://www.scientificamerican.com/article/printers-can-be-hacked-to-catch-fire/ 

El DRAE define miscelánea como 'Obra o escrito en que se tratan muchas materias inconexas y mezcladas'. 

Esto es un poco lo que me propongo en este artículo, tratar una serie de aparentemente temas inconexos -de ciberseguridad, por supuesto-, aparecidos en distintos medios en los últimos meses, desde la guerra que han comenzado los publicistas y organizaciones que ponen contenidos gratuitos en la red a cambio de publicidad, contra los desarrolladores de app's que bloquean dicha publicidad; o las nuevas tácticas del ransomware; hasta la disputa de Apple con el FBI.

* *

Los ad-blockers

Los bloqueadores de publicidad -ad blockers, en inglés-, desde hace algunos meses vienen apareciendo en los medios más que como defensores de los usuarios de la web, que en mayor o menor medida somos todos, como enemigos tanto de las empresas de publicidad que utilizan la web como soporte de los anuncios de sus clientes, como de web's que ofrecen contenidos gratuitos financiándose con publicidad.

Los bloqueadores son app's que se añaden a los navegadores como extensiones, y que impiden la aparición molesta de anuncios mientras se visitan las páginas web. Los anuncios consumen recursos y ralentizan la navegación, constituyendo elementos invasivos, y produciendo una experiencia frustrante.

Según un estudio[i] llevado a cabo por Adobe y PageFair, se estima que unos 200 millones de personas utilizan estos bloqueadores en sus navegadores. Por otra parte, las pérdidas en los negocios relacionados con la publicidad debido a los bloqueadores supusieron unos 20.000 millones de dólares en el 2015.

Sumado a esto, en septiembre Apple anunció que iba a permitir los bloqueadores en el Safari del sistema operativo iOS9 para dispositivos móviles, a lo que se le sumó Samsung posteriormente para su propio navegador. Con esto, a los millones de personas -o más bien de ordenadores- que ya disponían de ellos, se le unía ahora la posibilidad de los dispositivos móviles.

En estos dispositivos, el coste en tiempo y dinero es importante, ya que, por una parte, funcionan con batería, con lo que es muy importante la rapidez en la obtención de lo que se busca, y por otro, el coste de la comunicación móvil se factura por cantidad de datos bajados. Muchos de los datos que se bajan pertenecen realmente a anuncios y no a lo que realmente se quiere obtener[ii].

Todo esto ha prendido la mecha en lo que el NYTimes ha dado en llamar la guerra de los bloqueadores en un artículo titulado así "The Ad Blocking Wars"[iii], entre los publicistas y los desarrolladores de las app's que bloquean la publicidad. Tanto en Europa como en EEUU hay iniciativas para parar el uso de este software, desde mostrar mensajes para que el usuario desactive el bloqueador para una página determinada, o una site, o pagar una cantidad si se quiere seguir en la página, caso de Wired o de The Washington Post; o sencillamente no permitir el acceso a los contenidos si está activado un bloqueador, caso de Le Monde o de Le Parisien. 

En dicho artículo, además de los problemas que causa al usuario la invasión de publicidad en las páginas, se menciona el tema de la privacidad de los datos, ya que, el software que muestra publicidad, recoge información sobre la página que se está visitando, el sistema que estamos utilizando -dispositivo y sistema operativo-, localización, etc. Todos tenemos experiencia de haber estado consultando, por ejemplo, coches o viajes, y que empiecen a inundarnos con publicidad sobre ellos y que nos llenen el correo de spam.

Para evitar esto se puede bien activar en los navegadores el llamado "Do Not Track", o añadir una extensión del mismo nombre, o con el servicio de "navegación privada", ya ofrecido por algunos.

Sin embargo, las piezas de software hechas para mostrar un anuncio no sólo pueden llevar incluido software para recoger datos del usuario que visita una página, también pueden llevar malware, tanto hecho a propósito para ello, cuanto porque cibercriminales lo hayan introducido. 

Ya Elias Manousos, CEO y co-fundador de RiskIQ, comentaba el pasado 4 de agosto de 2015[iv] en el Black Hat de Las Vegas el incremento del 60% en el número de anuncios conteniendo malware -malvertisement, en inglés- durante el primer semestre del año 2015 respecto del año anterior. Además añadía que el mayor incremento de malvertisement en los pasados 48 meses confirmaba que los anuncios digitales se habían transformado en el método preferido para distribución de malware, ya que este es difícil de detectar dentro de los anuncios, no reside en las páginas web y se entrega a través de las redes de publicidad, utilizando la capacidad de dichas redes para segmentar a los usuarios por perfiles y así dirigir diferentes mensajes a objetivos específicos de manera precisa.

Como ejemplo podemos citar el incidente que tuvo tuvo lugar el fin de semana del 11-12 de marzo de este año, cuando varias de las más grandes websites del mundo, como MSN, The New York Times, BBC, o AOL, expusieron a millones de personas a través de los anuncios en sus páginas, a software malicioso el cual cifraba datos y solicitaba un rescate a cambio de liberarlos, software tristemente famoso por la abundancia de casos, conocido como ransomware.

Tom Simonite, entre otros, se hizo eco de este hecho en su artículo "Are Ad Blockers Needed to Stay Safe Online"[v], en el que afirmaba que esto no es un problema nuevo -incluir software maliciosos en publicidad-, lo que sí es nuevo es el crecimiento alarmante de estas tácticas, tal y como afirmaba Elias Manousos citado en el párrafo anterior, y que, por tanto, sí son necesarios los bloqueadores de publicidad como medida de seguridad.

Es cierto que ciertas webs ofrecen contenidos gratuitos vendiendo espacio en su página para ser ocupado por publicidad; o apps que se ofrecen en dos modalidades, una gratuita con publicidad, y otra de pago sin publicidad. ¿Se podría eliminar la publicidad pagando por los contenidos, las apps o los servicios en general ofrecidos por internet?

En primer lugar, quizás tampoco todos estarían de acuerdo en ello, ya que la publicidad digital debe ser un gran negocio a juzgar por las cifras que se manejan en este sector, como los ya mencionados 20.000 millones de dólares de pérdidas en el 2015 debido a los bloqueadores.

En segundo lugar, si nos atenemos a medios más convencionales del cine o la televisión, las películas que vamos a ver muchas de ellas contienen publicidad, y por ver la película pagamos; en la televisión pasa lo mismo, las cadenas de pago también tienen publicidad, quizás no interrumpan un programa con ella, pero si la hay entre programas. Pagar en estos casos no nos asegura librarnos de ella.

Sin embargo, lo que hay que destacar es que hay una muy importante diferencia entre la publicidad más convencional y la publicidad digital, y esta es el tema de las [ciber]amenazas que pueden llegar a través de ella, como es el caso del ransomware distribuido a través de las redes de publicidad, expuesto anteriormente; o el intrusismo a la privacidad que se puede hacer desde ella.

Ransomware y sus nuevas tácticas

La importancia de este malware es indiscutible, por los daños que causa en organizaciones y particulares. Pero si hasta ahora el software malicioso entraba en el sistema por medio de un click de una persona sobre un fichero adjunto en un correo y en ese momento cifraba los datos de ese ordenador, la nueva táctica se centra en atacar a las organizaciones desde sus redes de ordenadores.

Dicha táctica consiste en que el ataque se realiza en varias fases, primero explotando alguna vulnerabilidad de los elementos conectados -como websites mal configuradas- para entrar, conseguir credenciales de administrador de servidores, y desde ahí extenderse por toda la red, pudiendo lanzar software para cifrar ficheros del sistema en servidores, o en estaciones de trabajo.

Este vector de ataque no es novedoso para otros tipos de malware. La cuestión es que cualquier ataque a una red se puede transformar en un ransomware, con lo que el daño se multiplica. Es posible que algunos ataques sean consecuencia de otros anteriores, aprovechados por quienes los realizaron.

Sobre este tema, Sean Gallagher explica esta nueva modalidad en el artículo "OK, panic—newly evolved ransomware is bad news for everyone"[vi] del 8 de abril, en el cual detalla un vector de ataque iniciado con una herramienta de test de penetración sobre un servidor JBOSS.

Una vez cifrado un fichero, se supone que es imposible, de momento, en un tiempo razonable descifrarlo. Este cifrado, entonces, constituye un medio para que por lo menos se pueda evitar, en el caso de que datos de una organización se roben, que sean utilizados para dañar a la organización. Y esto es una buena noticia para la seguridad, tanto de una organización como de un individuo.

Bueno, con el permiso de ciertos elementos de las fuerzas de seguridad que defienden que el cifrado fuerte no sea utilizado por los ciudadanos porque dificulta la persecución de los delincuentes, ... a los que no les importará utilizarlo. 

Apple y el FBI 

Esto nos conduce a otra noticia que lleva ya por lo menos un mes en los medios, y que parece que ha terminado con el descifrado del iPhone5C en cuestión por parte de una empresa.

La Oficina Federal de Investigaciones (FBI) de los Estados Unidos (EEUU) solicitó  ayuda a Apple con el fin de desbloquear el iPhone que usó  uno de los presuntos terroristas de San Bernardino, California. Apple se negó  a ello, aduciendo, entre otras cosas, [vii] que aquello que hiciera serviría como puerta trasera, que a la postre podría ser utilizada por cualquiera.

Apple argumenta que tendría que haber construido una herramienta para hackear sus propios teléfonos. Las investigaciones realizadas para hacer un cifrado fuerte y proteger la información se transformarían ahora en investigaciones para debilitar dicho cifrado.

Según el FBI, la técnica utilizada para desbloquear el iPhone 5C, sólo sirve para él. Así que a vuelto ha solicitar a Apple ayuda por vía judicial para desbloquear un teléfono iPhone en un caso contra un narcotraficante en una corte de Nueva York. Otra petición similar fue presentada ante un juez de Boston. Parece que el Gobierno de EEUU quiere conseguir un precedente judicial que obligue a compañías tecnológicas como Apple a colaborar con las fuerzas de seguridad cuando sea requerido por un juez. 

Pero la actitud del Gobierno de los EEUU no es única. El Gobierno Británico también apoya que las fuerzas del orden sean capaces de acceder a las comunicaciones de delincuentes y terroristas para prevenir actos criminales[viii]. Si los dispositivos no son seguros, no lo son en ningún sitio ni para nadie.

La postura de Apple es apoyada por otras empresas como Google, Facebook o Twitter, y ha abierto un debate que habrá que resolver antes o después. El Gobierno de Obama lleva buscando el apoyo de las empresas tecnológicas desde hace algún tiempo, con reuniones en Silicon Valley, al parecer sin resultados muy satisfactorios.

¿Está la privacidad reñida con la seguridad de las personas? ¿Estará cada vez menos segura la información de los ciudadanos?

Conclusión

Para cerrar, una última reflexión.

La seguridad de la información que debería ser una prioridad para todos ya que la falta de ella nos expone, tanto a ciudadanos como a organizaciones a muchos peligros, cuando se quiere implementar en cada una de sus facetas, surgen grupos -empresas de publicidad y Gobiernos, en los casos tratados- que se ponen en contra de ella, como si a las personas que forman parte de dichos grupos no les pudiera afectar la falta de seguridad.

Lo malo es que no sabemos en qué grado ni cuándo puede llegar a hacerlo. Por ello hay que seguir trabajando para encontrar una solución satisfactoria, sin menoscabar la privacidad y la libertad. Si nos quedamos sin ellas, ya no necesitaremos la seguridad.

* * * 

Este artículo fué publicado originalmente por @PuntoSeguridad.com/"Cuadernos de Seguridad", mayo-2016, nº 311, pg.66, Ciberseguridad – "Miscelánea" – María José de la Calle.    

---------------------------------

[i] "The 2015 Ad Blocking report", Ago.10, 2015. PageFair. url [a 11-04-2016]       https://blog.pagefair.com/2015/ad-blocking-report/ 

[ii] Gregor Aisch, Wilson Andrews, Josh Keller, Oct.1, 2015. "The Cost of Mobile Ads on 50 News Websites", The New York Times. url [a 11-04-2016] http://www.nytimes.com/interactive/2015/10/01/business/cost-of-mobile-ads.html?_r=1  

[iii] Kate Murphy, Feb.20, 2016. "The Ad Blocking Wars", The New York Times. url [a 11-04-2016] http://www.nytimes.com/2016/02/21/opinion/sunday/the-ad-blocking-wars.html?_r=0 

[iv] "RiskIQ Reports 260 Percent Spike in Malicious Advertisements in 2015", Ago.4,2015. RiskIQ. url [a 11-04-2016] https://www.riskiq.com/resources/press-releases/260-percent-spike-in-malicious-advertisements-2015 

[v] Tom Simonite Mar.16,2016. "Are Ad Blockers Needed to Stay Safe Online?". MIT Technology Review. url [a 11-04- 2016] https://www.technologyreview.com/s/601057/are-ad-blockers-needed-to-stay-safe-online/#/set/id/601060/ 

[vi] Sean Gallagher, Apr.8,2016. "OK, panic—newly evolved ransomware is bad news for everyone". ars technica. url [a 11-04-2016] http://arstechnica.com/security/2016/04/ok-panic-newly-evolved-ransomware-is-bad-news-for-everyone/

[vii]  Tim Cook, Feb.16,2016 "A Message to Our Customers". Apple. url [a 11-04-2016] http://www.apple.com/customer-letter/ 

[viii] Eduardo Archanco, 6, Nov. 2015. "Reino Unido también quiere obligar a Apple a espiar nuestros dispositivos". Applesfera. url [a 11-04-2016] http://www.applesfera.com/apple-1/reino-unido-tambien-quiere-obligar-a-apple-a-espiar-nuestros-dispositivos  

      "In the Future, Wearables Will Meld with Your Skin. Yes, eventually, you'll basically have an electronic tattoo" .

Brent Rose, Feb-2016[i]

La seguridad y el buen servicio [al paciente] ¿están reñidos?  

Según un informe publicado por Raytheon-Websense -ahora Forcepoint- en septiembre de 2015, y del cual da cuenta DarkReading[ii], los centros de salud tienen dos veces más probabilidades de sufrir un robo de datos que otros sectores.  

Y en el mismo artículo se puede leer que los profesionales de la salud tienen una tendencia cada vez mayor a tratar de saltarse las normas de seguridad con el fin, según ellos, de dar un mejor servicio a sus pacientes. 

Según Mike Orcutt en un artículo[ii] del 18 de febrero pasado, los hospitales están siendo [ciber]atacados más frecuentemente por varias razones.  

La primera, la creciente digitalización de estas organizaciones, y con ello, la de los datos de sus pacientes, que incluyen información personal que puede alcanzar un alto precio en el mercado negro. 

La segunda, la seguridad de los datos en estas organizaciones no se prioriza al mismo nivel que el propio cuidado de la salud. Como consecuencia, frecuentemente los sistemas están desactualizados o carecen del mantenimiento apropiado. Además, la urgencia del acceso a los datos en situaciones críticas para la salud del paciente favorece el incumplimiento de las medidas de seguridad.  

Pero la falta de seguridad ¿no irá en contra del objetivo de dar un mejor servicio al cliente o de un acceso inmediato a los datos? ¿Acaso la seguridad de la información no busca precisamente proteger los datos de miradas no autorizadas, asegurando su disponibilidad y salvaguardando su integridad? ¿No garantizaría eso un mejor servicio? 

El que no se respete estrictamente una política de seguridad, resulta, cuanto menos, llamativo, habida cuenta de la información sensible que albergan los servidores informáticos de los centros sanitarios. Información relativa al estado de salud de los pacientes, a sus tratamientos y pruebas médicas; e incluso a su ADN (enfermedades hereditarias, etc.).

Yendo a casos concretos, en julio de 2014 la empresa Community Health Systems, Inc., -que gestiona 207 hospitales en 29 estados de los EEUU-, informaba[iv] de que en abril y junio de ese año había sufrido el robo de registros de sus bases de datos, con información de carácter personal -nombre, fecha de nacimiento, número de teléfono y seguridad social- relativos a 4,5 millones de pacientes que habían pasado por los centros sanitarios del grupo en los últimos 5 años. 

Sin duda, cabe pensar que ese grave compromiso de la seguridad de la compañía -particularmente, y como mínimo en su vertiente de la confidencialidad- ha podido verse afectado seriamente.  

Un caso más reciente es el del Hollywood Presbyterian Medical Center de Los Angeles (EEUU)[v] que, a principios del pasado mes de febrero sufrió una pérdida de disponibilidad al ver cómo sus recursos de información quedaban inaccesibles como consecuencia de un ataque de ransomware. 

El ransomware un tipo de ataque informático mediante el cual los delincuentes "secuestran" los equipos de la víctima, cifrando la información que contienen, que de ese modo, deja de estar disponible. 

La información "secuestrada" sólo es liberada tras el pago de un rescate ("ransom", en inglés), que en el caso del centro médico mencionado ascendió a varios miles de dólares. 

Aparte de la pérdida económica directa, las consecuencias de estos actos de chantaje van más allá. En este caso se produjo un "atasco" en el funcionamiento ordinario del hospital; hubo que proceder al traslado de algunos pacientes a otros hospitales; no se pudo acceder a los historiales médicos de los usuarios del centro; el servicio de correo-e quedó igualmente inutilizado, por lo que hubieron de recurrir a medios más convencionales (y anticuados, de la era pre-internet) como el papel y los faxes.  Por otro lado, de la misma manera que los atacantes fueron capaces de infectar con un tipo de código dañino los servidores de la institución, cabe la sospecha de que podrían haber introducido otro tipo de código para hacerse con información del hospital y con claves de acceso y credenciales de los usuarios de sus sistemas. 

Según Orcutt citado anteriormente, la urgencia del acceso a los datos en situaciones críticas para la salud del paciente es tan importante que favorece el incumplimiento de las medidas de seguridad, lo que viene a ser un contrasentido ya que esta falta de seguridad puede provocar, como se ha visto, una ralentización en los servicios y una falta de disponibilidad de esa información a la que tan urgentemente se necesitaba acceder.   

Si los sistemas se bloquean y no se tiene acceso, en primer lugar se causará un gran perjuicio al no poder decidir de forma inmediata qué acción tomar para un paciente en particular; o al no disponer de su historial para realizar un adecuado diagnóstico, o no poder aconsejar un tratamiento.  

Por otra parte, si personas o procesos no autorizados pueden acceder a la información quizá puedan también modificarla, por error o de manera intencionada para producir un daño, con lo que la integridad de la información quedará comprometida. Si no se cumple el principio de integridad, los datos no son fiables, y no se puede estar seguro de la bondad de un diagnóstico o de un tratamiento a seguir.

Si no se puede asegurar la confidencialidad de la información, con el perjuicio que puede ocasionar; si la disponibilidad de la información se ve comprometida al igual que su integridad, todo ello está totalmente en contra de ofrecer un buen servicio al cliente, como en los dos casos expuestos, en los que los daños o perjuicios al paciente han sido el resultado de los fallos de seguridad. 

Los datos asociados a la salud tienen mucha importancia, ya que están intrínsecamente unidos a la persona. Esto tiene, entre otras, estas dos graves consecuencias: 

- La primera, cuando se roban datos relacionados con la salud, la persona a la que pertenecen desafortunadamente no los puede cambiar por otros, con el fin de "desactivar" la importancia de ellos y no sufrir perjuicio. Esto se puede conseguir, por ejemplo, con el robo de una contraseña, de las llaves de casa o cualquier otro cosa no intrínsecamente ligada a la persona. 

- La segunda, no se sabe, a priori, quién va a disponer de esos datos, ni la forma ni el momento en que pueden hacer uso de ellos, hasta que se  materializa; no se puede prever el daño, como con una cuenta bancaria, cuyo fin es el robo de dinero. La seguridad es fundamental ya que puede afectar muy seria y directamente a nuestra vida y para siempre.

Móviles, apps y wearables

Las cosas podrían empeorar previo a una mejora ya que cada vez más los hospitales añaden más dispositivos conectados a sus redes, lo que potencialmente crea más formas en que los hackers puedan entrar. 

Un ejemplo de esto son los cada vez más utilizados dispositivos móviles con aplicaciones tanto para los profesionales de los centros de salud, como de los ciudadanos para acceder a sus datos o solicitar servicios de estos. A esto hay que añadir aquellas que tienen como función la monitorización del estado de algunos indicadores de salud, como el pulso o el ritmo cardíaco.

Una aplicación[vi] para móvil desarrollada por una spinoff del MIT, junto con un equipo del Massachusetts General Hospital, recoge de qué humor está la persona que habla, utilizando patrones de voz para detectar emociones.  Es una forma de recoger cambios de humor para poder hacer un seguimiento de personas con depresión o con trastornos bipolares.  

Los dispositivos que se llevan puestos -wearables- y que están conectados a Internet, pueden dar información acerca de la salud de la persona que lo lleve, y estos datos pueden transmitirse a un centro de salud. Esto simplifica un seguimiento continuo de la evolución de parámetros de salud, facilitando la prevención de algún problema o enfermedad, a la par que favorece una más rápida atención médica a través de consejos sobre lo que hacer en caso de algún problema o mediante la presencia de personal, si fuera necesario. 

Parte de la cita del comienzo es el título de un artículo[vii] donde se informa de que la empresa "mc10" ha creado un producto llamado "BioStamp Research Connect". Este es una especie de tirita un poco gruesa que se ajusta perfectamente a cualquier parte del cuerpo y que lleva sensores para monitorizar  el músculo dónde se coloque y también el corazón. 

Las mediciones y datos médicos se recogen para, por una parte, monitorizar el estado de salud de una persona, como ya se ha indicado, y por otro, con grandes cantidades de datos acumulados de distintos centros y pacientes,  servir a la investigación de las enfermedades, y a la creación de sistemas de ayuda para diagnóstico y tratamiento. 

Un ejemplo es el programa lanzado por Google el pasado 24 de febrero llamado "DeepMind Health" en colaboración con hospitales como el Royal Free Hospital London, con el que Google ya ha trabajado para crear una app llamada "Streams" para el diagnóstico de daños en el riñón. Señalar que en la página web de este proyecto se hace una mención especial al compromiso de mantener la privacidad y confidencialidad de los datos de los pacientes. 

Son evidentes las ventajas que esta tecnología aporta al bienestar de las personas, pero también se incurre en riesgos de seguridad de la información recogida y transmitida. En el caso de violación de la seguridad, afectaría directamente a la vida de dichas personas, pudiendo mermar y en muchos casos anular dichas ventajas.  

El futuro: Robótica e IA 

Mirando hacia el futuro y uniendo la Robótica con la Inteligencia Artificial, se podrá disponer, entre otras cosas, de asistencia médica remota, sustituir en muchos casos la presencia de un médico por un robot, el cual tendrá acceso al historial del paciente y a una cantidad ingente de datos e información con los que poder hacer un diagnóstico y recomendar un tratamiento. Como la plataforma RP-VITA -Remote Presence Virtual + Independent Telemedicine Assistant-, una colaboración entre iRobot e InTouch Health. 

Como contrapunto, el 25 de abril de 2015 Gizmodo se hizo eco de que investigadores de la Universidad de Washington en Seattle acababan de 'hackear' un robot quirúrgico para intervenciones a distancia -'tele-intervenciones"-, demostrando una gran debilidad de la seguridad en máquinas, las cuales, finalmente, reemplazarán a las manos de los cirujanos en los hospitales de todo el mundo. 

* *

La seguridad de la información y de las máquinas y dispositivos que recogen, transmiten, manipulan y consultan dicha información relacionada con la salud, y que pueden actuar en base a ella, ya no es una opción, es cuestión de vida o muerte.  

* * *

Este artículo fué publicado originalmente por @PuntoSeguridad.com/"Cuadernos de Seguridad", abril-2016, nº 310, pg.46, Ciberseguridad – "La seguridad y la salud" – María José de la Calle.   

---------------------------------

[i] Rose, Brent (February, 8, 2016) "In the Future, Wearables Will Meld with Your Skin". Outside. url [a 28-02-2016] http://www.outsideonline.com/2053326/future-wearables-will-meld-your-skin 

[ii] Peters, Sara (September, 23, 2015) "Healthcare Organizations Twice As Likely To Experience Data Theft". DarkReading. url [a 28-02-2016] http://www.darkreading.com/risk/healthcare-organizations-twice-as-likely-to-experience-data-theft/d/d-id/1322312?_mc=sm_dr_editor_kellyjacksonhiggins&hootPostID=94d701cec4475551b0b4e78bdcfda408 

[iii] Ocutt, Mike (February, 18, 2016) "Hollywood Hospital’s Run-In with Ransomware Is Part of an Alarming Trend in Cybercrime". MIT Technology Review. url [a 28-02-2016]  https://www.technologyreview.com/s/600838/hollywood-hospitals-run-in-with-ransomware-is-part-of-an-alarming-trend-in-cybercrime/ 

[iv] United States Securities and Exchange Commission (August, 8, 2014). url [a 22-02-2014] http://www.sec.gov/Archives/edgar/data/1108109/000119312514312504/d776541d8k.htm  

[v] Simonite, Tom (February, 16, 2016) "Hospital Forced Back to Pre-Computer Era Shows the Power of Ransomware". MIT Technology Review. url [a 22-02-2016] https://www.technologyreview.com/s/600817/hospital-forced-back-to-pre-computer-era-shows-the-power-of-ransomware/#/set/id/600825/  

[vi] Monegain, Bernie (February 24, 2016) "Mass General Hospital teams with MIT spinoff Cogito on behavioral health analyzer". HealthcareITNews. url [a 28-02-2016]  http://www.healthcareitnews.com/news/mass-general-hospital-teams-mit-spinoff-cogito-behavioral-health-analyzer 

[vii] Ver nota [i]

"The age of the password is over. We just haven’t realized it yet"[i].

Mat Honan - Wired, 11/2012

En el principio ... 

Diciendo las palabras entrecomilladas que forman parte del título de este artículo, se abría la puerta de la cueva donde los ladrones del cuento "Alí Babá y los 40 ladrones" guardaban su botín. Creían que esta contraseña era segura dado que sólo la conocían ellos, craso error, no pensaron que alguien los estuviera espiando y la escuchara, con lo cual, como no la cambiaban después de su uso, esa persona -Alí Babá- podía franquear la entrada cuando quisiera y apoderarse de parte del botín. 

Las contraseñas son tan viejas como la civilización y al mismo tiempo siempre ha habido personas dispuestas a hacerse con ellas o, en el caso digital, a "crakearlas". Por una parte, éstas se colocan con el fin de proteger un bien de la vista o acceso público, y así prevenir un daño que la revelación o el robo pudiera causar al bien en sí, a una organización o a las personas; y por otra, los atacantes quieren obtener algún beneficio que el acceso a ese bien les proporcione, normalmente en contra de los intereses de los atacados. 

Cuando se llegó  al mundo de los ordenadores y se quiso controlar el acceso a estos, se crearon unas pequeñas aplicaciones de acceso para capturar una identificación de usuario (UserID) que quería entrar y una contraseña asociada, la cual validaba al usuario, a diferencia del caso del cuento, en el que la contraseña era la llave de la puerta, independientemente de quién la tuviera. 

Uno de los primeros ordenadores con control de acceso fue, allá por 1961, el "Compatible Time-Sharing System" del MIT, usando un login -usuario y contraseña, que conformaban un proceso de autenticación- con el fin de repartir y controlar el tiempo de uso del mismo. Sin embargo, en 1962 un estudiante de doctorado llamado Allan Scherr quiso conseguir más tiempo del autorizado, para lo cual engañó al login con un simple ataque -hack-: localizó el fichero que contenía las contraseñas y las imprimió, con lo que consiguió tanto tiempo como deseara. 

... Y llegó internet

En el caso de la ciberseguridad, lo que se quiere proteger es la información, entendida esta tanto como el código que define lo que la máquina puede hacer como los datos que residen en ellas o que están en tránsito por redes y otros elementos que intervienen en las comunicaciones, así como la identidad de todo ello: tipo de máquina, sistema operativo y su versión, protocolo, etc. Para ello se instrumentan controles de acceso a las máquinas y redes, inspecciones de lo que circula por ellas, y, como los sistemas son vulnerables en mayor o menor grado, se cifra toda la información -o sería conveniente hacerlo-.

En su inicio las redes de ordenadores de las empresas eran privadas y sin acceso desde el exterior. Para buscar los usuarios y contraseñas de acceso, había que hacerlo desde dentro.

En los primeros años de desarrollo de la web, eran pocas las aplicaciones que estaban en la nube, una de las cuales fue el correo electrónico. Para el acceso se tenía un usuario -la propia dirección de correo- y una contraseña, usuario que serviría más adelante a otras aplicaciones, y práctica que se conserva en muchos casos, haciendo crecer la vulnerabilidad de la información: con un único usuario -y quizás la misma contraseña del correo- se accede a más sitios. 

Un ejemplo sería el uso en las redes sociales del correo corporativo, susceptible al envío de phising a los empleados a través de las mismas, indetectable por los antivirus de correo, y creando un vector de ataque para desplegar malware, tal y como contaba Yelena Osin el pasado julio de 2015 [ii] sobre el ataque sufrido por W.W.Grainger, proveedor industrial de EEUU. 

Con la generalización del uso de Internet, no sólo se tenía acceso al correo, también al banco, a la Administración del Estado, a diversas tiendas para realizar compras, a las redes sociales, y así un largo etcétera, y los tipos de dispositivos desde los cuales se podía acceder también se multiplicaron y se hicieron móviles, siendo utilizados profusamente para la vida cotidiana.

En cuanto a las empresas, en lugar de conectar sus ordenadores vía redes privadas, se conectaron vía Internet, facilitando la entrada desde el exterior de la organización. A esto hay que añadir que, al igual que en el ámbito privado, el terminal desde el cual se accedía a las aplicaciones y datos de la empresa también se hizo móvil y ya no estaba encuadrado dentro de unas paredes, pudiendo estar siempre conectados desde cualquier sitio y en cualquier momento. Los límites de la empresa dejaron de ser físicos, como eran las puertas, pudiendo ahora servir de 'puerta' cualquier dispositivo que tuviera una conexión a la empresa, no necesariamente por cable.

Con todo esto, el número de ataques a los sistemas aumentó, tanto por la facilidad de acceso como porque lo que se podía encontrar buceando por dispositivos y redes también devolvía más réditos.

Las intenciones de aquellos que entraban sin permiso cambiaron. Lo que al principio eran meros ataques con la intención de curiosear, de hacerse para uso propio con algún material para, como en el caso de Allan Scherr, obtener un beneficio personal, se transformó en delitos organizados de robos de información para terceros, robo de dinero, daños a instalaciones, y todo un glosario de delitos cuya novedad principal era -y es- la forma de llevarlos a cabo, desde cualquier sitio del planeta, sentado tranquilamente en una habitación, realizado de forma anónima en la medida de lo posible -en internet todo deja rastro-, y desde países distintos del del objetivo del ataque, dificultando con ello su persecución -Internet es global pero las leyes son locales. 

Según un informe de Symantec publicado en abril del 2014, en el año 2012 se produjeron 156 violaciones de seguridad con 93 millones de identidades divulgadas, en el año 2013 el número aument  hasta 253 -62% más- con 552 millones de identidades divulgadas -493 % más-.

Las violaciones de seguridad en las empresas en el 2014 aumentaron un 46% con respecto al 2013, según Gemalto en su "Breach Level Index 2014". Éstas ocasionan pérdidas monetarias, robo o destrucción de datos y daños a la imagen de la empresa, por citar algunas consecuencias no deseadas. Según un informe de "Kaspersky Lab" de septiembre de 2015, la media del presupuesto requerido para recobrarse de uno de estos incidentes de seguridad es de 551.000 $ para empresas grandes, y para pequeñas y medianas empresas es de 38.000 $.

Las contraseñas se fortifican: ¿y sirve de algo? 

A pesar de que el sistema de contraseñas parecía ser un poco débil, no se ha abandonado esta forma de control de acceso nacido en una época antes de Internet,  más bien se ha querido reforzar con las llamadas "contraseñas fuertes", contraseñas de al menos 8 caracteres sin significado, combinando letras, números y símbolos tipográficos, mayúsculas y minúsculas. 

Pero tanto débiles como fuertes, las maneras de obtener ilícitamente dichas contraseñas se han revelado bastantes efectivas. Entre ellas podemos citar: la fuerza bruta -ir probando contraseñas extraídas de los llamados diccionarios o listas de las mismas recopiladas a través de los años-; los programas keylogger  -recogen códigos de las teclas pulsadas-; el uso de los procesos habilitados para, en caso de olvido, poder dar de alta una contraseña sin conocer la anterior, utilizados por los atacantes, que, suplantando al propietario del "UserID", consiguen unas nuevas credenciales asociadas al usuario; o los ataques de phising. 

Es cierto que las empresas han adoptado la medida de seguridad de cifrar las contraseñas, sin embargo millones de hashes -contraseñas cifradas- más o menos crakeables, se descargan en los ataques a empresas como Linkedin, Yahoo, eHarmony o Ashley Madison y, los "buenos" las publican, los "malos" las venden, con lo que la práctica de reutilizar usuarios y contraseñas para distintos sitios de la web no es nada recomendable.  

¡Ay! Somos humanos y lo de recordar largas contraseñas que no respondan a patrones, que no signifiquen nada, que mezclen distintos tipos de caracteres en mayúsculas y minúsculas, y, además distintas para cada sitio al cual se acceda, y además tener que cambiarlas periódicamente, es una tarea poco menos que imposible. 

Para poder cargar con esta pesada carga se han creado programas de gestión de contraseñas, los cuales se supone que con una sola que conozcamos que nos permita ejecutar dicho programa para editar las demás, éstas permanecerán, cifradas, a buen recaudo. Claro, que esto tiene el peligro de que al "poner todos los huevos en la misma cesta", si se rompe la cesta nos quedamos sin nada. Esto es lo que le pasó al gestor de contraseñas "LastPass", en el que el pasado 15 de junio de 2015 la empresa que lo administra detectó una intrusión en sus servidores. Aunque parece que se consiguió mantener en secreto las contraseñas de los usuarios, se filtraron detalles importantes como direcciones de correos de usuarios y correos recordando contraseñas olvidadas. 

El sistema de contraseña, que se ha visto ineficaz, se basa en el factor de autenticación de lo que el usuario sabe. Pero hay otros factores de autenticación como "lo que se posee", un token, por ejemplo, que no hay que recordar nada pero se puede perder o se puede robar; o "lo que se es", es decir, la autenticación biométrica, aunque ésta, más que constituir una contraseña es más bien el UserID; o incluso "lo que se hace", llamado factor de comportamiento.  

La autenticación biométrica: ¿tendremos que "resetearnos"? 

Aparentemente el factor de autenticación por "lo que se es" tiene muchas ventajas ya que no hay que llevar nada adicional encima con lo que no se puede perder ni nos lo pueden robar -ya veremos-, no hay que recordar nada con lo que no se puede olvidar, y no se puede repudiar una acción que se haya realizado ya que es algo que nos define físicamente de forma única, y es muy difícil de falsificar.

Sin embargo, los sistemas biométricos no son perfectos y se caracterizan por unas tasas de falsos positivos o FAR (False Accept Rate), que indican la frecuencia de reconocimiento de un usuario cuando no debería serlo, y de falsos negativos o FRR (False Reject Rate), que indican la frecuencia de no reconocimiento del usuario, cuando debería haberlo sido.  Según la Agencia de Seguridad Nacional de EEUU, la NSA, la mayoría de los sistemas biométricos declaran un FAR que está en un rango de 1 entre 10.000 a 1 entre 1.000.000. Esto no pasa con las contraseñas habituales. 

Por otro lado, todo tiene dos caras, y las características que en principio pueden suponer una ventaja, por su propia definición también pueden suponer una desventaja. 

Pongamos como ejemplo el atributo de que nos definen "de forma única", el cual, por definición, se puede considerar como una invasión de la privacidad y crear resistencia a la cesión de dicha información, ya que las características biométricas que se vayan a utilizar de cara a una autenticación hay que digitalizarlas y almacenarlas en un servidor, lo que conduce a otra desventaja, que paso a explicar.  

Apunté anteriormente que las características biométricas no se podían robar, a lo que habría que añadir no se puede robar el objeto físico, como un dedo, en el caso de la huella dactilar o el iris del ojo; pero después de que dichas características estén digitalizadas, ya tienen la misma vulnerabilidad que cualquier otro dato virtual en una máquina, como tal susceptible de ser hackeada. No nos roban el iris del ojo pero sí sus características en forma de ceros y unos, que, para el caso, es lo mismo ya que es precisamente esto lo que interesa a la máquina que verifica la identidad del usuario. 

Llegados a este punto y volviendo al hecho de que son una característica física, suponen una clara desventaja frente a las contraseñas o los token ya estos  se pueden resetear si se roban o revelan, pero con aquellas no es posible hacer esto sin pasar por la mutilación.    

En el "Black Hat" de Amsterdam del año 2008, Matthew Lewis, un investigador de seguridad británico, realizó una demostración de un sistema -un biologger- para interceptar datos de autenticación biométricos que el scanner enviaba al servidor de procesamiento. Matthew puso de relieve la importancia de que los datos enviados deberían estar cifrados, cosa que, según él en ese momento -año 2008- la mayoría de los sistemas biométricos no cumplían.

Sin llegar a sofisticaciones ni herramientas especiales, un elemento biométrico fácil de copiar son las huellas dactilares ya que continuamente estamos tocando cosas donde se quedan las huellas como una mancha y  se pueden obtener de ahí, sin enterarse el propietario de las mismas. Al fin y al cabo eso es lo que la policía científica viene haciendo en la escena del delito, desde tiempos de Sherlock Holmes.  

Por consiguiente, se puede concluir, que la teórica seguridad de este tipo de autenticación no lo es tanto. 

El último factor : Lo que se hace, el comportamiento

Realmente lo que hacemos responde a unos patrones, patrones que aprovechan muy bien los departamentos de marketing para inundarnos con información de cosas que nos pueden gustar o amigos que podríamos hacer, o dependiendo de nuestros gustos y de dónde nos encontremos, lo que podemos hacer y visitar.

Estos patrones se podrían aprovechar para verificar nuestra identidad, para en caso de encontrar inconsistencias, solicitar algún dato más. Para ello se necesitaría un sistema que hiciera uso de lo que la nube ya tiene acerca de nosotros, qué sistema estamos utilizando, desde qué servidor, quienes somos, con quién hablamos, dónde vamos y qué hacemos ahí, de qué somos propietarios y qué nos gusta, lo que decimos, cómo lo decimos y nuestro tono de voz, y hasta cómo pensamos [iii].  

¡Uff! ¿Hasta qué punto queremos ceder nuestra privacidad -si es que no lo hemos hecho ya- para conseguir en teoría, más seguridad?  

El sistema de múltiple autenticación

Como todas por separado tienen más o menos debilidades, se están implantando nuevas formas de autenticación basadas en la combinación de al menos dos claves de distintos factores, llamado el sistema de doble autenticación. Un ejemplo de esto sería cuando después de autenticarnos con un usuario y contraseña al uso (lo que sabemos), nos envían al móvil (lo que tenemos) un código para confirmar una operación; otro ejemplo sería la propia tarjeta de crédito, que sería lo que tenemos, y el PIN, lo que sabemos. 

Especulando un poco y viendo los avances en Inteligencia Artificial, es posible que en un futuro cercano las máquinas nos reconozcan de manera análoga a como nosotros reconocemos a otras personas, simplemente con presentarnos y tendiendo una mano, con lo que somos y con lo que hacemos, confiando en que también habrán aprendido a tomar medidas de seguridad para no dejarse "hackear". 

* *

La ciberseguridad en la cumbre

De lo que hay que ser conscientes es de que la seguridad nunca está garantizada al 100%. En cada organización, alineados con la política de riesgos y la política de seguridad definidas, tendrán que existir unos umbrales de aceptación de falta de seguridad, de lo que pueda suponer de freno al negocio por lo que pueda constreñir, o de cambio de costumbres, según el activo, y establecer cuánto dinero se está dispuesto a gastar en su protección. 

Estos límites y normas relacionados con los riesgos en el uso de las TI son responsabilidad, en última instancia del órgano de gobierno de cada organización y debería formar parte de la agenda de dicho órgano de gobierno. Según la Organización Internacional de Normalización (ISO, International Organization for Standardization), el Gobierno Corporativo de las TI es “el sistema mediante el cual se dirige y controla el uso actual y futuro de las TI. [...] ... y es un subconjunto del gobierno de la organización o del gobierno corporativo.”[iv].

Del 20 al 23 de enero se ha celebrado la reunión del Foro de Davos y que, de acuerdo con Fortune y la propia página del "Word Economic Forum", este año han dominado los temas tecnológicos frente a los bancarios de otras convocatorias, concretamente el de la Industria 4.0 y el de la ciberseguridad. Con esto parece que la tecnología va a estar muy presente a partir de ahora en los consejos de administración. !Por fin¡  

* * *

Este artículo fué publicado originalmente por @PuntoSeguridad.com/"Cuadernos de Seguridad", marzo-2016, nº 309, pg.82, Ciberseguridad – "El «Ábrete sésamo» digital" – María José de la Calle.  

-------------------------

[i] "La era de la contraseña ha terminado. Solo que aún no nos hemos dado cuenta de ello". Honan, Mat (11-15-2012) "Kill the Password: A String of Characters Won’t Protect You", Ed. Wired. url [a 02-02-2016]   http://www.wired.com/2012/11/ff-mat-honan-password-hacker/ 

[ii] Osin, Yelena (07-15-2015) "The Problem With Corporate Email Addresses on Social Networks". blog SecuryScorecard. url [a 02- 02-2016] http://blog.securityscorecard.com/2015/07/17/grainger-breach-social-engineering/?utm_content=17987083&utm_medium=social&utm_source=twitter    

[iii] Honan, Mat (11-15-2012) "Kill the Password: A String of Characters Won’t Protect You", Ed. Wired.  url [a 02-02-2016]    http://www.wired.com/2012/11/ff-mat-honan-password-hacker/  

[iv] "ISO/IEC 38500:2015 applies to the governance of the organization's current and future use of IT including management processes and decisions related to the current and future use of IT. [...] ... defines the governance of IT as a subset or domain of organizational governance, or in the case of a corporation, corporate governance." url [a 02-02-2016]: http://www.iso.org/iso/home/store/catalogue_ics/catalogue_detail_ics.htm?csnumber=62816  

Del DRAE:

Confiar: Depositar en alguien, sin más seguridad que la buena fe y la opinión que de él se tiene, la hacienda, el secreto o cualquier otra cosa. 

Confianza: Esperanza firme que se tiene de alguien o algo. 

* *

“Privacy and security are important brand differentiators and companies need to move from a mindset of meeting compliance requirements to becoming a steward of consumer data.”  

[Del correo enviado por Craig Spiezle, Director y fundador de la "Online Trust Alliance" a la NIST el 1 de agosto de 2011]. 

Aunque esta cita ya tiene más de 4 años, el contenido del correo no ha perdido vigencia en absoluto. 

Las brechas de seguridad en todo tipo de organismos, tanto públicos como privados, compañías tecnológicas o de cualquier otro sector, y hasta en empresas dedicadas a desarrollar y vender herramientas de intrusión en los sistemas -como la empresa italiana Hacking Team[i] que en julio de este año -2015- sufrió un ataque divulgándose una gran cantidad de información de clientes-, están pasando a ser consideradas sucesos cotidianos. 

En el individuo esta cotidianidad podría tener, entre otros, dos efectos a cual más nocivo, consecuencias ambos de considerarlos irremediables, y como tales, rendirnos a su inevitabilidad. Uno de ellos sería  dejar de tomar medidas adecuadas para evitar la intrusión, otro sería dejar de utilizar los servicios proporcionados a través de la red, como consecuencia de la pérdida de confianza en los sistemas, y, por extensión, en las empresas que los proporcionan. 

El primer efecto causaría a nivel de dispositivo individual -de hecho está causando por negligencia o ignorancia- daños por virus con efectos de secuestro del contenido del ordenador, cifrándolo y solicitando dinero como rescate (ransomware); o uso por terceros de dispositivos sin permiso del propietario creando redes de ordenadores esclavos (botnets) utilizados posteriormente para actuaciones ilícitas, como por ejemplo ataques distribuidos de denegación de servicios (DDoS, Distribuited Denial of Service); o para entrar en una red de una empresa a través de un dispositivo móvil autenticado; o simplemente robo de información contenida en los dispositivos, importante para el individuo, para la empresa en la que este trabaje o para terceros relacionados con él.

El segundo efecto daría al traste con la digitalización del mercado y los servicios en particular, y de la sociedad de la información en general. 

La Global Commission on Internet Governance  (GCIG) publicó este pasado mes de abril "Toward a Social Compact for Digital Privacy and Security", de lo que se hizo eco iTTi[ii], un importante documento de 29 páginas que, al considerar necesario restaurar la confianza en el uso de internet, proponía que todas las partes interesadas colaboraran en la adopción de normas para un comportamiento responsable de dicho uso.  

Sin embargo, no es sólo cuestión de datos en línea. Hoy día, todos las organizaciones utilizan para su gestión tecnologías de la información aunque no sea en-línea, manejando datos sobre sus trabajadores, asociados, clientes, socios, proveedores, etc. así como los datos producto de la relación establecida con ellos. Y sus sistemas son susceptibles de ser atacados y que estos ataques tengan éxito. 

Por tanto, aunque no se utilicen directamente servicios en-línea, los datos que es necesario proporcionar a una entidad con la que se está estableciendo alguna relación o los datos producto de dicha relación -por ejemplo, los de una prueba médica- se van a almacenar probablemente en un sistema informático. Y este sistema informático es probablemente accesible desde la red. Como se indica en la cita que abre este artículo, "las empresas han de transformarse en administradores de datos" de los terceros con los que se relacionan.  

Los negocios y las instituciones dependen en gran medida de un bien intangible que se llama "marca". La marca de una empresa es como la reputación de las personas. Esta marca está ligada a la confianza -hipótesis que los demás hacen sobre la conducta futura de la empresa- que sepan transmitir. 

Según un estudio, realizado por el instituto Ponemon y publicado el 26/08/2015, para responder a la pregunta "what erodes trust in digital brands?", 

- el 63% de los consumidores no confían en las web de compañías que han tenido brechas de seguridad;

- el 55% de los consumidores no confían en webs que no tienen salvaguardas para proteger la información personal;

- el 50% de los consumidores aún después de un año de una brecha de seguridad perciben negativamente una marca;  

- el 69% de los consumidores han dejado webs de compañías por problemas de seguridad.

Aunque este estudio se centra en las páginas web y la marca digital, casi todas las empresas han sufrido o están sufriendo una transformación digital, y tienen página web, a través de la cual ofrecen más o menos servicios y se comunican con sus clientes, siendo, en muchos casos, la página web la generadora -y mantenedora, junto con las redes sociales- de su marca, ya digital. 

Como consecuencia de todo lo anterior, un aspecto que ha entrado de lleno en la imagen de marca de una institución o empresa ha sido la seguridad de sus sistemas informáticos, ya que en ellos residen datos de terceros, y, por tanto, contractualmente o no, deben ser garantes de la seguridad de dichos datos, al haber sido cedidos en la confianza de una relación.  

Enlazando con las definiciones con las que se iniciaba este artículo, los datos se depositan y son confiados sin más que con la buena opinión que se tiene de la empresa -imagen de marca- y en la esperanza firme de que sean tratados adecuadamente para el fin para el que se ceden. 

La seguridad de la información ha pasado de ser un tema "de los informáticos" a ser un tema "de negocio". La posible pérdida o robo de información generados por la aplicación y uso de las tecnologías de la información, especialmente, del "siempre conectados" es un riesgo que ha de gestionarse adecuadamente dentro de la política de gestión de riesgos de la compañía en cuestión, y estar sobre la mesa de su órgano de gobierno. 

Entender la [ciber]estrategia es esencial, pero salvo honrosas excepciones, los temas de [ciber]seguridad -y los temas de TI en general- se tratan principalmente desde un punto de vista técnico, ignorando que sólo un enfoque estratégico puede preparar a las empresas para conseguir ventaja sobre los ciber-atacantes. El órgano de gobierno necesita preguntarse porqué es necesaria la [ciber]seguridad, qué caracteriza las distintas amenazas, cual es el riesgo derivado del uso de las TI, qué nivel de [ciber]seguridad se necesita para disponer de un sistema que funcione y con capacidad para recuperarse de un ataque -resiliencia-[iii]. En resumen, la estrategia para defender el valor y anticipar nuevos escenarios de amenazas. 

En realidad, la decisión de cómo se utilizan las tecnologías de la información y los riesgos asociados, o lo que se ha llamado "Gobierno Corporativo de las TI", debería formar parte de la agenda de dicho órgano de gobierno. En palabras de la Organización Internacional de Normalización (ISO, International Organization for Standardization), el Gobierno Corporativo es “el sistema mediante el cual se dirige y controla el uso actual y futuro de las TI. [...] ... y es un subconjunto del gobierno de la organización o del gobierno corporativo.”[iv] 

* *

En iTTi, prestamos atención preferente al gobierno corporativo de las tecnologías de la información por quien tiene, en las empresas y organismos, la obligación y potestad para ejercerlo; esto es, por quien tiene la responsabilidad última de decidir sobre la aplicación y uso de dichas tecnologías en el ámbito de la organización: el Órgano de Gobierno (Consejo de Ministros, Consistorio, Consejo de Administración, Patronato, Rectorado, …, según el caso).

Ese Órgano de Gobierno ha de ocuparse, además, de identificar a todos los ‘interesados’ (incluidos sus intereses y demandas).

* *

No nos vamos a quejar si las TI se sientan en el consejo aunque sea de la mano de la seguridad ... 

* * *

Este artículo fué publicado originalmente por @PuntoSeguridad.com/"Cuadernos de Seguridad", dic-2015, nº 306, pg.57, Ciberseguridad – "Confianza, seguridad y CGTI" – María José de la Calle.  

-----------------------------------

[i] url [a 2015.10.04] http://politica.elpais.com/politica/2015/07/07/actualidad/1436284983_731864.html 

[ii] Palao, Manolo. "Hacia un nuevo contrato social sobre la privacidad y seguridad digitales", abril, 2015. url [a 2015.10.04]: http://www.ittrendsinstitute.org/perspectives/item/nuevo-contrato-seguridad-digital.  

[iii] url [a 2015.10.18]: https://blogs.mcafee.com/executive-perspectives/fighting-fire-fire-will-lead-us-dangerous-future/  

[iv] "ISO/IEC 38500:2015 applies to the governance of the organization's current and future use of IT including management processes and decisions related to the current and future use of IT. [...] ... defines the governance of IT as a subset or domain of organizational governance, or in the case of a corporation, corporate governance."

url [a 2015.10.23]: http://www.iso.org/iso/home/store/catalogue_ics/catalogue_detail_ics.htm?csnumber=62816  

¿Qué es lo que ellos hacen diferente, que no es compatible con las prácticas de seguridad de la información? 

Introducción

Estas preguntas rondan con frecuencia los pensamientos de muchos ejecutivos de seguridad de la información. Inquietudes que pueden tener muchas interpretaciones y reflexiones como quiera que mucha de la apropiación de la práctica de seguridad de la información de una empresa, se lee desde el ejemplo de los miembros de la alta gerencia.

Si quisiéramos explicar un poco este comportamiento, que es el más reiterado y documentado en varios estudios, habría que ver un poco la dinámica de estos dirigentes, donde las actividades diarias asociadas con la atención de reuniones, las responsabilidades propias del cargo y la necesidad de agilidad en sus decisiones (para lo cual requieren acceso expedito a información, muchas veces privilegiada) establecen un referente básico de revisión y análisis de las prácticas de seguridad y control de estos directivos. 

Atender las reuniones

La agenda en general de los directivos de una empresa  está colmada de reuniones, para lo cual requieren información permanente, que le permita documentarse sobre el tema y tener una vista general para poder establecer alguna postura. En este ejercicio, interviene no solamente el ejecutivo, sino sus asistentes, los cuales ubican la información y preparan lo pertinente para efectos de documentar a su superior para la reunión.

Esta interacción delega de forma sutil en los asistentes la responsabilidad del manejo y control de la información, pues su papel fundamental no está en el control de los datos requeridos para tomar una decisión, sino en el uso que éste (el ejecutivo) le da para poder participar de las conversaciones previstas en los niveles adecuados de la organización. En este escenario, al recibir información (particularmente restringida o reservada) el ejecutivo no advierte o muchas veces ignora su nivel de sensibilidad, generando vectores de pérdida y/o fuga de información, que terminan con exposición de datos de forma no intencional. 

Considerando lo anterior, se hace necesario encontrar espacios de conversación con los directivos de las empresas, no para recordarles lo sensible de la información que manejan, sino los impactos que puede generar el inadecuado manejo de la información, los cuales afectan no solo la imagen de la empresa, sino que habla de las prácticas personales del ejecutivo sobre su tratamiento.

No obstante, para aquellos casos donde aun teniendo el conocimiento concreto del nivel de confidencialidad y la advertencia propia de los estándares corporativos sobre el particular, no se toman los recaudos del caso, deben aplicarse las consecuencias prevista en el contexto del gobierno corporativo, sobre el deber de cuidado propio de las juntas directivas y cuerpos de dirección, donde existe por definición indicaciones para temas específicos como el “silencio de oficio”. 

Responsabilidades del cargo

Generalmente cuando un ejecutivo es contratado por una organización, pocas veces recibe entrenamiento sobre los protocolos del tratamiento de la información de la empresa. Se deja a la buena intención e intuición del nuevo directivo la forma como debe tratarse los datos, que por ocasión de su cargo, va a tener acceso.

Sin perjuicio de lo anterior, las descripciones de cargo por lo general incluyen algunos elementos propios de la protección de la información, los cuales son algunas veces pasados por alto por los ejecutivos, concentrándose en aquellos temas medulares de su especialidad, donde particularmente esperan que genere valor para la empresa. Si bien esto puede ocurrir, no está de más que la empresa motive prácticas de seguridad y control que le recuerden a los directivos, el activo estratégico que tienen en sus manos; no solamente en formato físico, sino electrónico y de forma conversacional.

Cuando un ejecutivo asume su cargo, debe pensar no solamente en la responsabilidad que asumen al llegar a esa posición, sino lo que conlleva el tener acceso a la información y sus actuaciones tanto dentro como fuera de la empresa. 

Una conversación de ascensor, un documento en preparación ajustado en un aeropuerto, una pérdida de una tableta o un teléfono inteligente, dejan de ser situaciones aisladas y se convierten en verdaderos eventos que ponen en riesgo la imagen de la empresa, sin contar las posibles implicaciones jurídicas que se puedan presentar por el tipo de información que se puede exponer. 

Agilidad en las decisiones

La dinámica de los ejecutivos modernos los obliga a llevar una vida en movimiento, conectados y en permanente actualización. Una vida agitada claramente poco saludable como quiera que descuidan aspectos propios de su dieta y condiciones personales, temas que escapan al alcance de esta reflexión.

En este escenario, el tratamiento de la información se vuelve un elemento sensible de su actividad, particularmente aquella a la cual tiene acceso para participar de las decisiones propias de la empresa. Contar con mecanismos de seguridad instalados en sus dispositivos les puede generar, a algunos, contratiempos y demoras para acceder a aquello que necesitan; pero a otros, los motiva pues saben que tienen una forma para demostrar su cuidado y control en el eventual caso que se produzca una brecha de seguridad de la información.

Cualquiera sea la postura que asuma el directivo, deberá saber que él se constituye en garante de la información que recibe y maneja; esto es, una representación “casi legal” de la empresa, que le exige el máximo cuidado y control sobre un activo estratégico, donde la organización sabe que tiene un deber legal de cuidado y que el mismo, es transferido a sus ejecutivos cuando se comparte para adelantar las actividades del gobierno corporativo.

Reflexiones finales

Luego de revisar los tres elementos anteriores tenemos algunas pistas para tratar de responder las preguntas. Si las vemos desde los ejecutivos, la exigencia es que: 

los mecanismos de seguridad y control deben ser prácticamente “invisibles”, es decir no deben notarse, pues así es posible conjugar la agilidad que se requiere y la protección que se necesita. 

Si la vemos desde los oficiales de seguridad de la información, la respuesta es en

la concienciación de los ejecutivos sobre el tratamiento de la información y la forma como estos deben asegurar sus prácticas dentro y fuera de la empresa. 

Una vista que si bien se ajusta a las responsabilidades que estos oficiales tienen, se enfrenta a las necesidades particulares de los ejecutivos.

Conciliar estas dos posiciones, requiere necesariamente de un tercero que dirima y disponga de una declaración empresarial que ambos actores lean con claridad y acepten de conformidad. Si la decisión favorece a los ejecutivos y sus demandas, el área de seguridad de la información estará motivada a desarrollar cada día estrategias más automáticas, que necesariamente exigirán importantes inversiones tecnológicas. Si la decisión favorece al oficial de seguridad de la información, los ejecutivos deberán adoptar nuevas prácticas de protección que cambien sus hábitos y actitudes respecto del uso de la información, haciendo evidente las responsabilidades propias de su tratamiento.

Si la decisión no está en ninguno de los dos lados, sino que es una postura que toma lo mejor de ambos escenarios, se hace necesario que aquel que arbitra la problemática, 

Abra un espacio de conversación donde cada parte indique qué puede ceder y que no, para que se establezca una puente de comunicación donde se comparta, no solo la necesidad de agilidad y protección, sino el cambio de actitud y responsabilidad por el adecuado tratamiento de la información. 

Si bien este documento no busca agotar las consideraciones sobre las preguntas que motivaron esta reflexión, si quiere provocar conversaciones entre los interesados para continuar abriendo espacios donde confluyan los intereses tanto de los ejecutivos como de los oficiales de seguridad, que en últimas beneficien a la empresa como un todo. 

* * *

Jeimy Cano, PhD, CFE, es Director de la Revista "Sistemas" de la Asociación Colombiana de Ingenieros de Sistemas (ACIS). El Prof. Cano es, además, Analista Asociado de iTTi. 

Este artículo fue publicado inicialmente en el servicio Pulse de LinkedIn, el 10 de  diciembre de 2015, en la dirección https://www.linkedin.com/pulse/por-qué-algunos-ejecutivos-son-los-que-motivan-las-en-jeimy 

----------------------------------

Referencias 

International Chamber of Commerce (2003) Information security assurance for executives. Recuperado de: https://www.intgovforum.org/cms/documents/contributions/general-contribution/2009-1/329-information-security-executives/file 

Veracode (2015) Cyber-Related Corporate Liability is Top of Mind for Boards and Executives. Recuperado de: http://www.informationsecuritybuzz.com/study/cyber-related-corporate-liability-is-top-of-mind-for-boards-and-executives/ 

PricewaterhouseCoopers (2015) The Global State of Information Security® Survey 2016. Recuperado de: http://www.pwc.com/gx/en/issues/cyber-security/information-security-survey/key-findings.html 

Information Security Magazine (2011) Security Education: A Lesson Learned? Recuperado de: https://www.infosecurity-magazine.com/magazine-features/security-education-a-lesson-learned/ 

Monteleone, F. (2015) Effective information security governance: executive support a must. Recuperado de: http://www.dataprivacyandsecurityinsider.com/2015/07/effective-information-security-governance-executive-support-a-must/ 

Una imagen vale más que mil palabras

El brutal atropello -sorprendentemente no mortal- de Mario Valencia [i] por parte del agente de policía de Arizona, EE.UU., Michael Rapiejko, ocurrido el 19 de febrero de 2015; la muerte de Eric Courtney Harris [ii] provocada, supuestamente de manera accidental, por el veterano ayudante del sheriff de Tulsa (Oklahoma, EE.UU.), Robert Bates, el pasado 2 de abril de 2015; o la ejecución de Walter L. Scott [iii], dos días después, el 4 de abril, a manos del agente de policía Michael T. Slager, en North Charleston (Carolina del Sur, EE.UU.), han formado parte del sumario de los noticieros televisivos de medio mundo, ampliando un ya notable registro de lamentables acontecimientos similares [iv],[v]. 

Un elemento común a todos los casos citados: la omnipresencia de “lo digital”; más concretamente, de la tecnología de video digital, que se ha integrado en todo tipo de dispositivos, desde equipos de bolsillo (teléfonos o similar, lo que nos ha permitido conocer de primera mano el caso Scott), hasta aparatos electrónicos corporales (wearables, según su denominación inglesa, del estilo de las minicámaras que llevan como parte de su equipo los más vanguardistas agentes de la ley y que nos han convertido en testigos directos de los casos Valencia y Harris). 

En cualquiera de estas dos variantes, “lo digital” vuelve a mostrarse disruptivo; en esta ocasión en relación a una actividad pública como lo es la policial. Y ello, por cuanto va a modificar, si no está haciéndolo ya, algunos de los más reprochables usos y costumbres de la citada actividad. 

Mientras se determinan los pros y contras del despliegue de minicámaras entre las fuerzas del orden -en el lado de los beneficios, la materialización de una nueva estrategia pública de mejora en la rendición de cuentas y de una mayor transparencia; en el lado de las desventajas, la complejidad y coste derivados de la gestión y tratamiento de la ingente cantidad de datos de video recabados- el uso de esta tecnología va configurando un nuevo escenario para el enfrentamiento, para el ataque y la defensa; va abonando el terreno para viejos conflictos, como las protestas sociales, habilitados por nuevos medios: los digitales. 

En toda confrontación los medios materiales y físicos que la hacen posible constituyen su armamento. Las herramientas digitales no son una excepción. Son las nuevas “ciberarmas” empleadas, como se ha apuntado, tanto en la defensa, como en el ataque.

En el plano defensivo, las agencias policiales dotan a sus miembros de cámaras corporales, entre otros motivos como garantía de “higiene profesional”, de aval de una labor profesionalmente realizada. En este sentido, el ejemplo más paradigmático puede ser el del Departamento de Policía de Seattle (Washington, EE.UU.), que en febrero de 2015 [vi] habilitó un canal de YouTube [vii] en el que muestra videograbaciones de las actuaciones de sus agentes. 

En el lado del “ataque” -en este caso “denuncia”, dado que no pretende ser más que otro mecanismo de defensa ante los excesos y abusos policiales- estarían las posibilidades ofrecidas por los teléfonos móviles (vimos la muerte de Walter gracias a la grabación realizada por el inmigrante dominicano Feidin Santana), en combinación con las redes sociales que se han convertido en el campo de acción de activismos de todo tipo. 

Las guerras de YouTube

Pocos ejemplos muestran mejor la rápida y reciente explosión de lo digital, de la creciente ubicuidad de la imagen digital, que las famosas fotografías de la romana Via della Conciliazione, tomadas en 2005 y 2013, por los fotógrafos Luca Bruno y Michael Sohn para la agencia Associated Press [viii].

El 4 de abril de 2005, tras el fallecimiento del Papa Juan Pablo II, Bruno retrató una calle atestada de fieles dirigiéndose en procesión hacia la basílica de San Pedro, donde presentarían sus respetos al cadáver papal. La gente aparece caminando con normalidad, con los brazos hacia abajo y solo es visible, en el primer plano de la imagen, un único teléfono móvil (¡Faltan dos años y medio para la llegada del iPhone!).

La fotografía de Sohn, tomada en la noche del 13 de marzo de 2013, tras la elección del cardenal Jorge Bergoglio como nuevo Pontífice, muestra una escena bien distinta: la multitud avanza hacia la Plaza de San Pedro para presenciar el primer discurso del Papa Francisco, pero, esta vez lo hace con los brazos en alto, sujetando sus teléfonos móviles y tabletas, que guardarán para la historia el jubiloso momento (¡Es el sexto año de la era iPhone!).

Sin embargo, como se ha apuntado al principio de esta reflexión, cámaras, móviles y redes sociales no siempre han sido protagonistas de escenas tan inocentes. En 2009, durante el reivindicativo “Movimiento Verde” iraní, un móvil e Internet mostraron la muerte de la joven estudiante Neda Salehi Agha Soltan [ix] ¡Posteriormente, las autoridades prohibirían captar imágenes de su funeral! Dicha prohibición trataba de atajar el que se ha demostrado como uno de los mayores potenciales de estos nuevos medios: su capacidad de movilización, la cual fue ampliamente explotada durante las “primaveras” que recorrieron el norte de África en 2011.  

Pero sería en el marco de la contienda de Irak, desarrollada a lo largo de la primera década del siglo XXI, donde realmente adquiriría sentido tildar al video digital como una verdadera ciberarma. En su informe de 2009, elaborado para el Instituto de Estudios Estratégicos del Ejército de los EE.UU., “YouTube War: Fighting in a world of cameras in every cell phone and Photoshop on every computer”[x] (“La Guerra de YouTube: Luchando en un mundo de cámaras en cada teléfono móvil y Photoshop en cada ordenador”), la académica y analista Dra. Corie E. Dauber señalaba el impacto de las grabaciones en video -habitualmente de ataques a blancos aliados- realizadas y difundidas por los insurgentes. Un impacto que se materializó en el desaliento de al menos una parte de la opinión pública occidental -objetivo prioritario de las citadas grabaciones- respecto de la utilidad del conflicto.

Sería solo el principio ...

La macabra presencia mediática del “Cibercalifato”

La Primera Guerra del Golfo (1990-91), que siguió a la invasión de Kuwait por parte de Irak, fue la guerra de la cadena estadounidense CNN, que la retransmitió en directo a todo el mundo. Durante la Segunda Guerra del Golfo (2003-2011), que acabó con el régimen de Saddam Husein en Irak, la cadena catarí Al-Jazeera se dio a conocer en Occidente. La actual contienda que el mundo mantiene con el Estado Islámico de Irak y el Levante (EI), no ha requerido periodistas: el desarrollo tecnológico ha facilitado a los terroristas grabar, montar en sus propios “estudios” y divulgar sus acciones, sin la cobertura que habría ofrecido la prensa convencional.

Dichos estudios de campaña, verdaderos laboratorios de medios, son y han sido objetivo prioritario de las fuerzas occidentales desde los tiempos de la Guerra de Irak. Como relata la Dra. Dauber en su estudio, ya en ese momento el tratamiento que recibían ese tipo de instalaciones era el de infraestructuras críticas para el uso: se mantenían aisladas de Internet y solo cuando su producción videográfica estaba preparada, era trasladada a aquellos otros puntos desde donde se la podía subir a la red. De ese modo, la combinación de las capacidades tecnológicas que hoy ofrece el video digital con las que aporta Internet, han hecho del conjunto una verdadera “ciberarma” y han convertido al autoproclamado califato en un “cibercalifato”, cuya presencia en Internet, descrita parcialmente en el reciente “The ISIS Twitter Census”[xi], ha resultado clave para las pretensiones del EI desde diferentes perspectivas:

- En primer lugar, como se ha señalado en alguno de los casos mencionados más arriba, EI ha sabido aprovechar la capacidad de movilización de sus acciones propagandísticas, consiguiendo atraer a Irak y Siria a varios miles de combatientes que han acudido en su apoyo desde todos los rincones del globo. 

- En segundo, las macabras imágenes difundidas por EI a lo largo del último año -la más estremecedora, sin duda, la muerte del piloto jordano, Muath al-Kaseasbeh[xii], quien fue quemado vivo a principios de año- han buscado doblegar los ánimos de quienes han tenido la fortuna de verlas desde la distancia. 

El terror desde la comodidad de un sofá parece menor, pero no debería despreciarse el potencial de estas ciberarmas de difusión masiva.

* * *

Este artículo fué publicado originalmente por la revista mejicana Magazcitum el 29/11/2015. Ref: Magazcitum, año 6, nº3, 2015 pág. 16. "[Ciber]Armas de difusión masiva" - Miguel García-Menéndez. 

---------------------------------------------------

[i] Lisaius, Som. “Marana police video shows cruiser ram crime spree suspect”. Tucson News Now, 14 de abril de 2015. URL [a 2015.04.26]: http://www.tucsonnewsnow.com/story/28801395/marana-police-dash-cam-video-shows-cruiser-ram-crime-spree-suspect 

[ii] Ortiz, Erik. “Oklahoma Man Eric Harris Fatally Shot by Deputy Who Meant to Fire Taser”. NBC News, 12 de abril de 2015. URL [a 2015.04.26]: http://www.nbcnews.com/news/us-news/oklahoma-man-eric-harris-fatally-shot-police-accident-instead-tased-n340116. 

[iii] Smith, Michael S. y Matt Apuzzo. “South Carolina Officer Is Charged With Murder of Walter Scott”. International New York Times, 7 de abril de 2015. URL [a 2015.04.26]: http://www.nytimes.com/2015/04/08/us/south-carolina-officer-is-charged-with-murder-in-black-mans-death.html. 

[iv] López, Germán y Anand Katakam. “Interactive map: US police have killed at least 5,600 people since 2000”. Vox Media, 9 de abril de 2015. URL [a 2015.04.26]: http://www.vox.com/2014/12/17/7408455/police-shootings-map. 

[v] Katakam, Anand. “Police-involved deaths (2000-2015)”. Anand Katakam/CartoDB, 9 de abril de 2015. URL [a 2015.04.26]: https://anandkatakam.cartodb.com/viz/e13166bc-854f-11e4-abdb-0e018d66dc29/embed_map. 

[vi] Área de Comunicación del Departamento de Policía de Seattle. “SPD Launches YouTube Channel for Bodyworn Video”. Blog “SPD Blotter”, 25 de febrero de 2015. URL [a 2015.04.26]: http://spdblotter.seattle.gov/2015/02/25/spd-launches-youtube-channel-for-bodyworn-video/. 

[vii] Departamento de Policía de Seattle. “SPD BodyWornVideo”. YouTube, febrero de 2015. URL [a 2015.04.26]: https://www.youtube.com/channel/UCcdSPRNt1HmzkTL9aSDfKuA. 

[viii] Dellaverson, Carlo. “Witnessing papal history changes with digital age”. NBCNews, 14 de marzo de 2013. URL [a 2015.05.02]: http://photoblog.nbcnews.com/_news/2013/03/14/17312316-witnessing-papal-history-changes-with-digital-age. 

[ix] El Mundo. “Neda, el ‘Ángel de Irán’”. ElMundo.es, 23 de junio de 2009. URL [a 2015.05.02]: http://www.elmundo.es/elmundo/2009/06/23/internacional/1245737789.html 

[x] Dauber, Corie E. “YouTube War: Fighting in a World of Cameras in Every Cell Phone and Photoshop on Every Computer”. Strategic Studies Institute, 16 de noviembre de 2009. URL [a 2015.05.04]: http://www.strategicstudiesinstitute.army.mil/pubs/display.cfm?pubID=951.  

[xi] Berger, J.M. y Jonathon Morgan. “The ISIS Twitter census: Defining and describing the population of ISIS supporters on Twitter”. The Brookings Institution, marzo de 2015. URL [a 2015.05.05]: http://www.brookings.edu/research/papers/2015/03/isis-twitter-census-berger-morgan. 

[xii] Uno de los primeros ‘tweets’ recogiendo la noticia del brutal asesinato del piloto jordano Muath al-Kaseasbeh, publicado el 3 de febrero de 2015. URL [a 2015.05.05]: https://twitter.com/reecegeisler/status/562673337315647488. 

Introducción

La evolución acelerada de la tecnología y las comunicaciones en todas las esferas de la vida y particularmente en las empresas, demanda entender ahora una realidad interconectada, donde los productos y servicios se definen en medio de lo que se llama un ecosistema digital. 

Las empresas deben comprender que el escenario de operación, ya no es del todo conocido y que se requiere superar la distinción vigente de la seguridad de la información, como ejercicio de práctica interna para proteger la organización de vulnerabilidades y fallas de seguridad y control que puedan comprometer tanto la dinámica de negocio como la de sus terceros, en los cuales la empresa es custodio de sus datos, por una nueva y complementaria que se ha denominado ciberseguridad.

La ciberseguridad, desde el punto de vista empresarial, es una realidad que prepara a la organización para comprender un escenario de amenazas digitales propias del ecosistema donde opera y establece un conjunto de nuevas prácticas de defensa y anticipación antes desconocidas y poco nombradas. La ciberseguridad empresarial no puede ni debe confundirse con el ejercicio que se hace a nivel nacional para proteger y defender las infraestructuras críticas de la nación, como quiera que dicho ejercicio escapa a las disposiciones que un país hace para reconocer su ecosistema digital de gobierno y cómo se mantiene la operación del mismo a pesar de los posibles ataques.

En este sentido, la ciberseguridad se enmarca en el contexto de lo empresarial, más allá de una nueva exigencia de cumplimiento, como una responsabilidad de marca mayor que implica a los miembros de la junta directiva para entender y construir una estrategia corporativa que permita proteger y asegurar la resiliencia de las operaciones y la reputación de la empresa, como quiera que al estar expuesta en su ecosistema, se hace vulnerable a las tendencias y posiciones en las redes sociales y demás expresiones digitales disponibles a la fecha.

Así las cosas, la ciberseguridad juega un papel relevante en las empresas del siglo XXI habida cuenta que los impactos de los posibles ciberataques, bien focalizados sobre la infraestructura tecnológica, o a través de campañas mediáticas de desprestigio, o provocando la pérdida de propiedad intelectual o sanciones legales, establecen una nueva realidad que las empresas modernas deben asumir ahora como la nueva frontera del precio que se debe pagar por estar interconectados y haciendo parte de una red de contactos y conexiones, muchas de ellas compartidas por terceros con los cuales otras industrias igualmente contratan.

Este documento presenta una breve revisión del concepto de ciberseguridad desde la perspectiva de las empresas, como una primera aproximación para ilustrar los conceptos, prácticas y retos que las organizaciones deben asumir por ser parte de un entorno hiperconectado, con relaciones asimétricas, abundancia de propuestas y servicios novedosos, que en cualquier momento tiene la capacidad de cambiar la historia y motivar cambios hasta el momento inimaginados. 

La ciberseguridad en la empresa. Algunas precisiones conceptuales

Si bien, es cierto que un ciberataque puede ocurrir en cualquier momento y de cualquier forma, los especialistas en ciberseguridad de las empresas no están para reducir este tipo de riesgo, sino para que las organizaciones tomen riesgos de manera inteligente. Para lo cual se requiere al menos dar respuesta a las siguientes preguntas: (Kaplan, Bailey, O’Halloran, Marcus y Rezek, 2015, p.xvi)

- ¿Cuáles son los riesgos asociados con esta nueva iniciativa tecnológica del negocio? ¿El negocio está informado sobre el incremento del nivel de exposición de la empresa con esta iniciativa? 

- ¿Cómo esta iniciativa tecnológica del negocio será diseñada para generar la mejor experiencia en el cliente y el menor riesgo de pérdida de datos por un ciber ataque?

- ¿El negocio conoce con claridad la dinámica y amenazas del ecosistema digital donde se enmarca la iniciativa tecnológica que se quiere desarrollar? 

Responder estas preguntas, establece en la empresa un entendimiento extendido de lo que significa operar en un entorno interconectado donde, las empresas no pueden protegerse ellas solas, sino que requieren conectar y desarrollar cooperación interempresarial para construir una distinción de defensa y anticipación completamente distinta a lo que se tiene en el ejercicio interno de seguridad de la información.

En este contexto, el primer ejercicio para movilizar esfuerzos hacia la ciberseguridad empresarial, es reconocer y construir su ecosistema digital, para enumerar sus proveedores de servicios y tecnología, las expectativas de los posibles clientes, las agencias gubernamentales y sus capacidades de acción, la sociedad civil y sus grupos relevantes y los aseguradores con sus propuestas de cobertura frente ciberataques.

Una vez recreado el mapa de actores y relaciones propios del ecosistema digital, la empresa, sabiendo que no puede eliminar de sus análisis la materialización de un ciberataque, debe fundamentar sus acciones para alcanzar lo que la literatura llama resiliencia digital, donde: (Kaplan, Bailey, O’Halloran, Marcus y Rezek, 2015, p.xvii-xviii)

- La empresa comprende los riesgos de los ciberataques y puede tomar decisiones, donde los retornos de las iniciativas tecnológicas planteadas, justifican el incremento del riesgo.

- La empresa tiene la confianza que los riesgos de los ciberataques son manejables, más que los estratégicos – los cuales no ponen en riesgo la posición competitiva de la empresa o su existencia.

- Los clientes y los negocios tienen confianza en la economía en línea – donde los riesgos sobre los activos de información y los fraudes en línea no son freno para el crecimiento del comercio digital.

- El riesgo de ciberataques no limita a las empresas de continuar tomando ventaja de las innovaciones tecnológicas.

El ejercicio de resiliencia digital debe procurar la continuidad de los negocios, fundada en la capacidad de la empresa para gestionar los incidentes de seguridad y asegurar la disponibilidad de los sistemas, basado no solamente en sus posibilidades técnicas y operacionales, sino con el apoyo de sus socios estratégicos en el ecosistema digital donde participa. 

La ciberseguridad en la empresa y sus nuevos normales

Las empresas entienden que las prácticas básicas de seguridad de la información, sustentadas en los estándares conocidos (p.e ISO 27002) establecen los elementos que articulan las estrategias que se desarrollen para asegurar la nueva función de ciberseguridad de la organización.

Esto supone que se debe pasar de un enfoque basado en proteger y asegurar, el cual moviliza las actividades al interior de la organización para cultivar un adecuado tratamiento de la información y soportar las exigencias propias del cumplimiento regulatorio, a otro basado en defender y anticipar donde la organización censa y responde de acuerdo con su lectura del ambiente, las tendencias identificadas y los retos de negocio que crean entornos disruptivos que afectan su posición estratégica y competitiva (Cano, 2014).

Lo anterior significa que las prácticas que conocemos de la seguridad de la información asociadas con autenticación, autorización, auditabilidad y no repudio, deben ser complementadas con otras que den cuenta de las exigencias de anticipación que ahora las empresas requieren para mantener ahora su nivel de “ciber-riesgo” (Frapolli, 2015, p.1.3).

Las prácticas complementarias, que podemos llamar propias de la ciberseguridad de las empresas, deben estar fundadas en actividades relacionadas con:

- Análisis de escenarios – Una práctica que establece y proyecta contextos posibles de amenazas y riesgos emergentes, con el fin de motivar reflexiones y acciones que preparen a la organización frente a situaciones imprevistas y eventos no esperados.

- Ciber inteligencia – Una función de monitoreo y valoración de información sobre amenazas, que desarrolla pronósticos sobre vectores de ataques y objetivos que los atacantes pueden materializar en el contexto del ecosistema digital donde opera la organización.

- Juegos de guerra – Se diferencian de las pruebas de vulnerabilidades tradicionales, donde se contratan terceros para identificar fallas en la infraestructura que habilitan una fuga y/o pérdida de información, en cuanto a que en los juegos de guerra se busca comprender la información a proteger, sabiendo las fallas de seguridad que el atacante puede concretar y así poder ver las limitaciones que la empresa tiene para enfrentar un ciberataque, particularmente en la forma de establecer su estrategia de comunicaciones y su proceso de toma de decisiones (Kaplan, Bailey, O’Halloran, Marcus y Rezek, 2015, p.150)

- Defensa activa – Que implica pasar de una postura pasiva de respuesta frente ataques del exterior, a una reflexión que modela y anticipa los nuevos movimientos de los atacantes, para lo cual: (Kaplan, Bailey, O’Halloran, Marcus y Rezek, 2015, p.134-135)

    - Establece los perfiles de actividades que son consideradas normales en la organización, para poder ver los cambios inusuales, y así alertar y actuar en consecuencia.

    - Integra los resultados de la ciber-inteligencia para plantear hipótesis de posibles intrusiones peligrosas y emergentes.

    - Consulta y afina los resultados del Centro de operaciones de seguridad (en inglés SOC – Security Operation Center), que filtrando los posibles falsos positivos y descifrando los nuevos patrones o vectores de ataque, permite focalizar las acciones que son decisivas para enfrentar y tratar de contener los posibles atacantes. 

La ciberseguridad en la empresa y sus nuevos retos 

La ciberseguridad en el contexto empresarial tiene un foco completamente diferente a las connotaciones del concepto en el escenario de la protección de la gobernabilidad de una nación. Mientras a nivel de país, la ciberseguridad adquiere una distinción de práctica transversal que conecta los sistemas de protección de cada una de las entidades que hacen parte del sistema de gobierno nacional para hacer más resiliente la operación gubernamental, a nivel empresarial se revelan las conexiones propias de la corporación y la sensibilidad de las mismas frente a su capacidad de resistencia a ciberataques que comprometen su modelo de operaciones.

En razón a lo anterior, se requiere formular una nueva función de protección del modelo de negocio, basado en la lectura del ecosistema digital, que incorpore nuevas habilidades y capacidades para defender y anticipar nuevos escenarios de ciberataques, las cuales deben responder a retos empresariales como: (Kaplan, Bailey, O’Halloran, Marcus y Rezek, 2015, p.163)

- Priorizar los activos de información basado en los riesgos de negocio.

- Integrar las prácticas complementarias previamente enunciadas en el entorno de la tecnología de información empresarial.

- Incorporar el concepto de ciber-riesgo dentro del sistema de riesgos empresariales y los procesos de gobierno corporativo.

- Establecer estrategias de protección diferenciadas de acuerdo con en el nivel de sensibilidad de los activos identificados.

- Mantener y sostener la capacidad de respuesta a incidentes, que permita incorporar y asegurar las lecciones aprendidas y aumentar la resiliencia corporativa.

Estos retos se deben traducir en planes de acción y estrategias concretas que permitan asegurar la incorporación de los “nuevos normales” y así cambiar, no solamente la estrategia de participación de la empresa en su entorno digital, sino activar un nuevo conjunto de habilidades y recursos que construyan un nivel de resiliencia mayor dentro de su ecosistema digital para lo cual es clave tener en cuenta: (Kaplan, Bailey, O’Halloran, Marcus y Rezek, 2015, p.191)

- Las definiciones de política pública nacional e internacional vigente.

- Los aportes de la sociedad civil, las comunidades académicas y de investigación.

- La dinámica de los mercados y cambios en internet, que hablen de acciones coordinadas para estabilizar y normalizar operaciones comprometidas.

Finalmente y no menos importante, se hace necesario incorporar dentro de la agenda empresarial a nivel de junta directiva (Rai, 2014), la lectura de algunos deberes claves de los miembros del directorio, como práctica de gobierno corporativo que reconoce las amenazas externas y las volatilidades propias del ecosistema digital donde se encuentra la organización.

En este escenario, los miembros de junta deben asegurar que sus actuaciones son consistentes con esta realidad y dar cuenta de sus acciones respecto de estos eventos, para movilizar y asegurar su debido cuidado y diligencia frente a los intereses de la empresa y el cuidado de la imagen corporativa. Por tanto, cada miembro de junta debe asegurar el cumplimiento de al menos cinco deberes (Frappolli, 2015, p. 3.16 - 3.17) frente a la dinámica de las tensiones que provoca un ciberataque y las exigencias que la ciber seguridad demanda tanto para la organización como para sus ejecutivos de primer nivel.

Deber de cuidado - Cada miembro de junta debe mantenerse informado de los eventos y noticias relevantes sobre ciber seguridad y/o ciber ataques con el fin de asegurar un tono adecuado de las discusiones en el contexto de los objetivos y estrategias de la organización.

Deber de lealtad - Cada miembro de junta no debe tener o participar en negocios que compitan con la organización para cual sirve, y más aún, comunicar situaciones adversas de las cuales tenga conocimiento que afecten las condiciones de seguridad y control que tenga la empresa de la cual es miembro en su directorio ejecutivo.

Deber de divulgación - Los miembros de junta están obligados a revelar los hechos que son relevantes para los grupos de interés de la empresa para cual trabajan. En particular, establecen el mecanismo y la estrategia que permite dar cuenta de eventos desafortunados de seguridad de la información con impactos en alguno de sus grupos de interés.

Deber de obediencia - Los miembros de junta deben ceñir sus actuaciones a la Constitución y la ley, así como frente a los fundamentos del gobierno corporativo. Esto es, asegurar las prácticas y estándares requeridos para aumentar la resistencia de la empresa frente a ataques informáticos, así como motivar y apoyar comportamientos adecuados en el tratamiento de la información de la empresa.

Deber de verificación - Los miembros de junta deben contar con mecanismos para validar las acciones que sobre el tema de seguridad de la información se adelantan en la empresa, motivar los planes de mejora que sean del caso y asegurar los recursos necesarios para incorporar las buenas prácticas tanto en personas, procesos y tecnología.

Reflexiones finales

Si bien a lo largo de este documento se han enunciado algunas ideas sobre la ciberseguridad en el contexto empresarial, es importante anotar algunos de los retos legales propios de la tensión existente entre el uso abierto y libre del ciberespacio y la protección del mismo como espacio de estrategias competitivas e innovación: (García, 2013, p.87-90)

- La neutralidad de la red.

- La regulación del ciberespacio.

- Las amenazas para derechos y garantías individuales.

- Las responsabilidad de los proveedores de los servicios.

- Los problemas de la jurisdicción sobre los alcances de las conductas punibles en internet.

- Las tecnologías emergentes estructurales como computación en la nube, computación móvil, las redes sociales, los grandes datos y su analítica y el internet de las cosas.

Estos retos completan el escenario volátil, incierto, complejo y ambiguo (Johansen, 2009) que configura la realidad de las organizaciones modernas enmarcadas dentro de un ecosistema digital en permanente movimiento y evolución. Así las cosas, la ciberseguridad empresarial debe prepararse para las nuevas amenazas digitales derivadas ahora de su relacionamiento con cada uno de los actores del ecosistema donde participa:

- Las agencias de regulación

- Los proveedores de servicios y productos

- Los vendedores de tecnologías de información y comunicaciones

- Las asociaciones industriales

- Los clientes corporativos y los consumidores

- El gobierno y sus agencias de seguridad y control

- Los atacantes

- La sociedad civil

Lo anterior implica entender con claridad qué significa ser una empresa digital (Dörner y Edelman, 2015) o con maestría digital (Westerman, Bonnet y McAfee, 2014), esto es:

- Lectura y análisis de los comportamientos y expectativas de los clientes que se desarrollan dentro y fuera del contexto de negocio, así como fuera de su sector, para identificar las tendencias que pueden entregar o destruir valor.

- Uso de nuevas capacidades para mejorar la forma como se atiende a los clientes y se mejora su experiencia como usuario.

en pocas palabras los procesos tecnológicos y organizacionales que permiten que una empresa sea ágil y rápida para responder y anticipar los cambios disruptivos del entorno y capitalizar las oportunidades que se derivan de los mismos (Dörner y Edelman, 2015).

Por tanto, la ciberseguridad empresarial debe apoyar y movilizar a la organización para establecer su nivel de exposición al ciber-riesgo, entendiendo sobre que parte de la cadena de valor tendrá control y cuanto desea invertir en conocer sus clientes finales (Weill y Woerner, 2015). Esto significa que deberá desarrollar escenarios de análisis, donde se desconecten los puntos de la realidad conocida, se incorporen los resultados de la ciber inteligencia realizada, para nuevamente conectarlos (De Jong, 2015) y así expandir el entendimiento de su ecosistema y revelar aspectos ocultos de futuros inciertos o riesgos inesperados (Roxburgh, 2009).

La ciberseguridad empresarial por tanto, es una nueva práctica corporativa que demanda explorar por debajo de la superficie institucional y en medio de la vorágine de propuestas emergentes, aspectos novedosos de la realidad que motiven y descubran agentes de riesgo inéditos o renovados, que puedan comprometer la dinámica de los negocios y establecer condiciones adversas que limiten su participación en las oportunidad de su sector.

Si lo anterior es correcto, la ciberseguridad empresarial se convierte en un nuevo estándar de las operaciones de las empresas con presencia global, que reconocen que no existen límites geográficos para que un atacante, o actor no identificado, pueda concretar un ciberataque y crear un escenario de inestabilidad e incertidumbre que comprometa sus virtudes corporativas y alianzas estratégicas.

* * *

El Prof. Jeimy J. Cano, PhD, CFE, Director de la revista ‘Sistemas’ de la Asociación Colombiana de Ingenieros de Sistemas (ACIS) es Analista Asociado de iTTi.

Este artículo fue publicado originalmente en el blog ‘IT Insecurity’, el 7 de septiembre de 2015, en la siguiente URL: http://insecurityit.blogspot.com.co/2015/09/ciberseguridad-empresarial-primeras.html”.  

--------------------------------------

Referencias

- Cano, J. (2014) Transformando la función de la seguridad de la información. Anticipando el futuro, entendiendo el presente. Blog IT-Insecurity. Recuperado de: http://insecurityit.blogspot.com.co/2014/11/transformando-la-funcion-de-la.html 

- De Jong, R. (2015) Anticipate. The art of leading by looking ahead. New York, NJ. USA: Amacon.

- Dörner, K. y Edelman, D. (2015) What ‘digital’ really means. Mckinsey Digital. Recuperado de: http://www.mckinsey.com/insights/high_tech_telecoms_internet/what_digital_really_means 

- Frappolli, M. (2015) Managing cyber risk. Malvern, Pennsylvania.USA: American Institute for Chartered Property Casualty Underwriters.

- García, P. (2013) El derecho de internet. En Segura, A. y Gordo, F. (coords) (2013) Ciberseguridad global. Oportunidades y compromisos en el uso del ciberespacio. Granada, España: Editorial Universidad de Granada. 69-90

- Johansen, B. (2009) Leaders Make the Future: Ten New Leadership Skills for an Uncertain World. San Francisco, USA:Berrett-Koehler Publishers.

- Kaplan, J., Bailey, T., O’Halloran, D., Marcus, A. y Rezek, C. (2015) Beyond cybersecurity. Protecting your digital business. Hoboken, New Jersey. USA: Wiley.

- Rai, S. (2014) Cybersecurity: What the Board of Directors Needs to Ask. ISACA-IIA. Recuperado de: http://www.theiia.org/bookstore/downloads/freetoall/5036.dl_GRC%20Cyber%20 

- Roxburgh, C. (2009) The use and abuse of scenarios. Mckinsey Quarterly. Noviembre.

- Weill, P. y Woerner, S. (2015) Thriving in an increasingly digital ecosystem. Sloan Management Review. 56, 4. 27-34

- Westerman, G., Bonnet, D. y McAfee, A. (2014) Leading digital. Turning technology into business transformation. Boston, MA. USA: Harvard Business Review Press.

"¿qué nos protege? Supongo que los fundamentalistas religiosos dirían que la fe. Los académicos, que el conocimiento. Los médicos, que la ciencia. El policía, que una pistola de nueve milímetros. El político, que la ley. Pero en realidad, ¿qué nos protege?" ( Katzenbach, John. 2007. "El hombre equivocado"). 

En esta novela el autor cuenta como un hacker a través de la red convierte la vida de una estudiante y su familia en una pesadilla.

El sector público es crítico en este tema, ya que posee información de todo tipo -direcciones y teléfonos, financiera, de salud, de formación, vida laboral, judicial, etc.-, sobre personas y organizaciones, mucha de la cual hay que entregarle por ley, como los datos fiscales o datos de identificación para el NIF o el pasaporte o el carnet de conducir, y otros pueden recabarlos, igualmente apoyados en leyes, de organizaciones con las cuales se tenga una relación contractual, como el banco o el proveedor de servicios de telecomunicaciones.

Dependiendo del tipo de información, la filtración de datos puede afectar a la privacidad y seguridad de las personas, y por ende a sus vidas, como el caso de la protagonista de la novela con la que he abierto el artículo, o al funcionamiento de una empresa.

Son muchas las noticias acerca de pérdidas o filtraciones de datos, o ataques a las instituciones públicas. Wikipedia[i] ofrece un listado de pérdidas de datos del Reino Unido, debido a malas prácticas o descuidos, como pérdida de usb's conteniendo información sin cifrar, o venta de ordenadores en eBay de hospitales sin borrar los datos de pacientes.

El pasado mes de junio se publicó la noticia, de la cual se hizo eco IT Reseller[ii] de un ataque contra el parlamento alemán con nuevas variantes del troyano bancario Swatbanker[iii], que incorporaba funciones de filtro para el dominio “Bundestag.btg”. Cualquier ordenador infectado que accediera a la intranet del Bundestag, transferiría a los atacantes los datos del "cliente", introducidos en formularios, y los datos del navegador, además de las respuestas del servidor, haciéndose tanto con los datos de acceso como con información detallada del servidor. 

Y, también en este mismo mes de junio, un ataque de denegación de servicio a varias web del gobierno de Canadá mantuvo caídos los servicios asociados[iv].

Pero el sector público, además de su función de administrador de los bienes públicos tiene también como función garantizar la seguridad de los ciudadanos para lo que se sirve, entre otros medios, de la información que posee y recoge -supuestamente- dentro de lo que la ley le permite, ley que puede primar en ciertos casos la merma en los derechos de privacidad de los ciudadanos por mor de una mayor seguridad.

Algunos ejemplos ya conocidos serían la "Patriot Act" de Estados Unidos aprobada tras los atentados del 11-S, o la aprobación de una ley este año en el Reino Unido según la cual se pueden llevar a cabo actuaciones de hacking en equipos ajenos, o la interceptación de teléfonos de cualquier persona sin autorización judicial[v]. También, la intención del gobierno británico de prohibir el cifrado fuerte en las comunicaciones[vi], en línea con el director del FBI que argumentó que Apple y Google deben limitar la solidez del cifrado en smartphones para apoyar las iniciativas de aplicación de la Ley de Seguridad Nacional, cosa que a los ciudadanos los hace más vulnerables. ¿Pero no era el objetivo que los ciudadanos estuvieran más seguros?

En este punto y para terminar creo que viene bien una cita de hace 50 años del arquitecto inglés Cedric Price (1934-2003): “Technology is the answer, but what was the question?” 

* * *

[i] https://en.wikipedia.org/wiki/List_of_UK_government_data_losses (último acceso 11/09/2015)

[ii] http://www.itreseller.es/seguridad/2015/06/el-parlamento-aleman-atacado-por-malware (último acceso 11/09/2015)

[iii] http://www.siliconweek.es/security/descubren-un-troyano-que-se-mueve-golpe-de-peticiones-de-pago-y-facturas-irreales-60054 (último acceso 11/09/2015)

[iv] http://www.tripwire.com/state-of-security/latest-security-news/canadian-government-websites-taken-down-in-cyber-attack-anonymous-claim-responsibility/ (último acceso 11/09/2015)

[v] Análisis de la actualidad internacional: “Hacia una Patriot Act del viejo continente: quo vadis Europa?”, de Angel Vallejo y Julia Rubiales – p. 7 http://www.realinstitutoelcano.org/wps/portal/web/rielcano_es/contenido? (último acceso 11/09/2015)

[vi] http://www.businessinsider.com/david-cameron-encryption-back-doors-iphone-whatsapp-2015-7?r=UK&IR=T (último acceso 11/09/2015)

"... parece mentira que no hayamos conseguido una navegación segura, que comprar online signifique pasar a formar parte de una base de datos, se quiera o no, o que usar nuestro correo electrónico pueda ser todavia una excelente via de entrada para el malware y los virus".

"El consumidor recibe mensajes del tipo: 'No ejecute aplicaciones peligrosas'... pero ¿cómo puede saber cuáles lo son? ¡Si además, potencialmente, todas lo son realmente!".

                         Radia Perlman "DISI 2008: Adventures in Network Security"[i]

Esto lo decia la Dr. -en Ciencias de la Computación por el MIT- Radia Perlman [ii] en el año 2008, en Madrid con motivo de las jornadas organizadas por la Cátedra UPM (Universidad Politecnica de Madrid ) Applus+ de Seguridad y Desarrollo de la Sociedad de la Información "Dia Internacional de la Seguridad de la Información, DISI". 

A pesar de las leyes de protección de datos, en realidad, tal y como afirma la Dr. Perlman, no somos dueños de los datos que "voluntariamente" dejamos en Internet cuando interactuamos con la Red. Podriamos, por ejemplo, una vez conseguido el objetivo de nuestra interacción, ser capaces de borrar nuestro rastro, si asi lo deseáramos, y no que todo lo que hacemos queda registrado y perdemos el control sobre ello. 

Utilizamos herramientas que no sabemos muy bien que es lo que hacen, además de para lo que se supone que están hechas, y recibimos mensajes ominosos acerca del peligro que podemos correr utilizandolas. 

Y aún hay más. En esta misma sección y en el otoño del 2014 ya apunté, bajo el titulo '"Internet de las cosas” o la peligrosa transformación del mundo real en virtual"[iii], que la conectividad de los objetos cotidianos a internet ampliaba el margen de inseguridad de la vida misma al poder ser “manipulados” de forma remota, ellos mismos o los datos que se intercambian, violando el principio de 'integridad' de la seguridad de la información. 

Un subconjunto de dichos dispositivos lo constituyen los "wearables" o, en español, lo que podemos llevar encima, como relojes, pulseras, gafas, etc., integrando cámaras, micrófonos y sensores que pueden constituir medidores de nuestros parámetros biológicos y de nuestro entorno próximo. Y en el caso de dispositivos como marca-pasos y prótesis activas varias, no sólo medidores, sino actuadores.

A los objetos cotidianos se les provee de más funcionalidades, permiten grabar y transferir datos, están hechos para ser llevados regularmente y para registrar información sobre nuestros propios hábitos y estilos de vida, y, una vez que los datos se almacenan de forma remota, pueden ser compartidos con terceros, a veces sin que la persona afectada sea consciente de ello.

Como ejemplo podemos citar rastreadores de movimiento, indicadores cuantitativos relacionados con la actividad fisica, calorias quemadas o distancias recorridas, pulso u otros indicadores de salud. Estos son datos que se refieren a personas fisicas -nosotros- que se pueden identificar, por tanto son datos personales y como tales hay que tratarlos. Pasamos, entonces a otro principio de la seguridad de la información, el de la 'confidencialidad'.

Las vulnerabilidades de dichos dispositivos entrañan riesgos significativos para nuestra privacidad y, además, dado que los tenemos con nosotros casi permanentemente, puede crear un sentimiento de estar siempre vigilados.

Para paliar estos desafios de privacidad, el órgano consultivo europeo de protección de datos conocido como Grupo de Trabajo del Articulo 29 (GT29/ WP29)[iv] aprobó en el pasado año 2014 el primer Dictamen conjunto sobre internet de las cosas (IoT)[v].

De dicho Dictamen se puede resaltar lo siguiente: 

"Las organizaciones que coloquen la privacidad y protección de datos en la vanguardia del desarrollo de productos, estarán en buenas condiciones para asegurar que sus productos y servicios respetan los principios de privacidad desde el diseño (PbD) y están dotados de la privacidad por defecto de forma amigable, que esperan los ciudadanos de la UE."[vi]

"Los datos personales deben ser recogidos y tratados de manera leal y licita. El principio de equidad requiere especificamente que los datos personales nunca se recojan y procesen sin que el individuo realmente sea consciente de ello. Este requisito es tanto más importante en relación con la IoT al estar los sensores realmente diseñado para no ser invasivos, es decir, tan invisibles como sea posible."[vii]

Debemos dotarnos de una serie de normas para un uso adecuado de la tecnologia y conseguir para todos un acceso digital de calidad en todas las facetas de la vida, apoyando la confianza y la innovación.

Poco a poco ...

* * *

Este artículo fué publicado originalmente por la revista mejicana Magazcitum el 05/07/2015. 

--------------------------------------

[i] Véase el siguiente vídeo: https://www.youtube.com/watch?v=zDyQ5TleDYg 

[ii] A Radia Perlman se la conoce como "la madre de Internet" por su desarrollo en 1985 del STP (spanning tree protocol) y a lo largo de su carrera ha desarrollado más de 100 patentes, muchas de ellas dedicadas a la seguridad en Internet. http://solutionists.ieee.org/radia-perlman/ 

[iii] María José de la Calle. Magazcitum, Oct-2014. http://www.magazcitum.com.mx/?p=2697 / http://www.ittrendsinstitute.org/perspectives/item/internet-de-las-cosas 

[iv] Véase http://www.agpd.es/portalwebAGPD/internacional/Europa/grupo_29_europeo/index-ides-idphp.php 

[v] Véase https://drive.google.com/file/d/0B4ag6tWSZgLVLVZqRlltU3c0R2c/view?pli=1 

[vi] "Organisations which place privacy and data protection at the forefront of product development will be well placed to ensure that their goods and services respect the principles of privacy by design and are equipped with the privacy friendly defaults expected by EU citizens." https://drive.google.com/file/d/0B4ag6tWSZgLVLVZqRlltU3c0R2c/view?pli=1 

[vii] "Personal data should be collected and processed fairly and lawfully. The fairness principle specifically requires that personal data should never be collected and processed without the individual being actually aware of it. This requirement is all the more important in relation to the IoT as sensors are actually designed to be non-obtrusive, i.e. as invisible as possible."  https://drive.google.com/file/d/0B4ag6tWSZgLVLVZqRlltU3c0R2c/view?pli=1