¿Cuál es el rol del CISO dentro de una organización?

El rol de CISO es una función clave en una organización ya que de manera horizontal es la responsable de asegurar que la estrategia de seguridad de la información y ciberseguridad esté debidamente alineada a la habilitación y cumplimiento de los objetivos de negocio en todas y cada una de las áreas de la estructura organizacional que los soportan.

Dentro de sus funciones se encuentran:

  • Diseño, implementación y medición de la efectividad de la estrategia de seguridad y ciberseguridad de la información.
  • Evaluar, monitorear y medir el nivel de riesgo de una organización identificando con claridad sus amenazas (actores, motivaciones y vectores de ataque)
  • Implementar y dar continuidad al cumplimiento regulatorio.
  • Diseñar la arquitectura de seguridad de acuerdo a las necesidades actuales y con crecimiento y tendencia al crecimiento y a los objetivos de negocio a mediano y largo plazo.
  • Coordinar y orquestar a todas las áreas de la organización para diseñar y ejecutar planes de:
    • Respuesta a incidentes de seguridad
    • Continuidad del negocio

¿Es necesaria la presencia de CISO en una organización?

En general el tema presupuestario es un tema crítico en cualquier organización no importando su tamaño, sin embargo en aquellas de mayor tamaño suele ser más común la creación de un área y una estructura organizacional enfocada a temas de seguridad y ciberseguridad de la información, sin embargo aquellas organizaciones micro, pequeñas y medianas normalmente suelen “ahorrar” en sus presupuestos estas figuras y funciones, pensando entre otras cosas lo siguiente:

  • “El tamaño de mi organización no es relevante para ser objetivo de un ataque de este tipo”
  • “Aún no tengo los ingresos relevantes que puedan llamar la atención de un atacante”
  • “En mis bases de datos tengo información de mis clientes, sin embargo está no es relevante para ningún atacante”
  • “Ampliar la estructura organizacional a funciones relacionadas con seguridad o ciberseguridad encarecerán mis precios y me pondrán fuera del mercado”
  • “A mis clientes, usuarios o proveedores no les es relevante que tenga implementados controles de seguridad por el tamaño de mi organización”

El ser víctima de un incidente de seguridad puede tener diferentes impactos en cualquier tipo y tamaño de organización, encontrándose entre estos:

  1. Que la privacidad de los datos de mis clientes, aliados y proveedores, sea divulgada perdiendo la confianza de estos que puede derivar en cancelación de contratos.
  2. Que mi infraestructura sea utilizada con fines de minería de datos sin que me de cuenta, pero si afectando el rendimiento y la efectividad de desempeño de mis sistemas de información
  3. Que información propia de mis procesos de negocio sean divulgados en la competencia haciendo que mi organización pierda contratos, clientes, innovaciones, etc.
  4. Que en caso de ocurrir un incidente de seguridad que pueda ser evidente en la organización a pesar de la carencia de controles, la organización no sepa como reaccionar correctamente desde el punto de vista de contención, respuesta, contención y medición del impacto cualitativo y cuantitativo.

#HablemosDeSeguridad
Por: Ana Cecilia Pérez

¿Cuál es el rol de los hackers éticos en la nueva era de la ciberseguridad?

Los hackers éticos son tan importantes en la protección contra las violaciones de la ciberseguridad como las nuevas tecnologías. Su objetivo es ayudar a que Internet sea más seguro para todos.

Los hackers éticos son los héroes olvidados de la ciberseguridad; “la mayoría de los hackers no son delincuentes”. En realidad, hay más hackers que están trabajando para ayudar a fortalecer las defensas de seguridad cibernética.

Más información

#HablemosDeSeguridad

Vía @infosecuritymag

Las organizaciones avanzan lento en seguridad de IoT.

A pesar del floreciente mercado de IoT, las organizaciones lograron avances limitados en seguridad de IoT en 2018, según un nuevo informe de Gemalto. Solo el 48% de las empresas dijeron que tienen la capacidad de detectar si sus dispositivos IoT han sufrido una violación. “Dado el aumento en la cantidad de dispositivos habilitados para IoT, es extremadamente preocupante ver que las empresas aún no pueden detectar si han sido violadas”.

“Sin una regulación consistente que guíe a la industria, no es de extrañar que las amenazas y, a su vez, la vulnerabilidad de las empresas, estén aumentando. Esto solo continuará a menos que los gobiernos intervengan ahora para ayudar a la industria a evitar perder el control “.

Más información

#HablemosDeSeguridad

Vía @infosecuritymgz

vCards pueden comprometer su computadora con Windows

Una vulnerabilidad de día cero detectada en Microsoft Windows puede poner el sistema del usuario en peligro.

Un atacante puede aprovechar esta vulnerabilidad para ejecutar código en el contexto del usuario actual”, informó ZDI. Por lo tanto, dejar la vulnerabilidad tal como está, sin el parche, puede llevar a los atacantes a comprometer una red de computadoras con Windows.

Más información

#HablemosDeSeguridad

Vía @cyware

¿Qué es y diferencias entre Identidad digital y certificado digital?

“¿Qué hay en un nombre?” se preguntaba Julieta, el célebre personaje de Shakespeare en una de sus obras más famosas, cuestionando así la idea de que la identidad tenga que estar asociada a una palabra concreta. Puede que, desde un punto de vista literario, esta escisión sea posible, pero desde una perspectiva puramente tecnológica las cosas son muy distintas.

Y es que la identidad digital va intrínsecamente ligada al concepto de certificado digital, que funciona como un pasaporte, asociando una serie de datos únicos e intransferibles a un usuario o dispositivo. Es decir, es imposible separar el nombre (el certificado, en este caso) de la identidad digital, puesto que una es consecuencia del otro.

Más información

#HablemosDeSeguridad

Vía @cybersecuritynewsES

Esto fue lo mejor del CES 2019.

Cannabis, Amazon, Google, Facebook, Aptiv, BMW, Byton, M-Byte, K-Byte, Samsung, KitchenAid, Apple. El evento tecnológico que se llevó acabo en las vegas demostró que sigue siendo el espacio para saber hacia dónde apuntan las tendencias de la industria.

Más información

#HablemosDeSeguridad

Vía @Elfinanciero

Plataforma de Cobros Digitales, CoDi, con requerimientos de seguridad elevados para los pagos electrónicos.

La plataforma de Cobros Digitales (CoDi), que el Banco de México (Banxico), de la mano de otras autoridades financieras y la banca comercial, lanzará en los próximos meses y que permitirá masificar los pagos electrónicos desde el teléfono celular, considera elementos que buscan garantizar la seguridad de las transacciones.

Más información

#HablemosDeSeguridad

Vía @Eleconomista

Seis preguntas de ciberseguridad que cada junta directiva debería hacerse.

La mayoría de los ataques, incluidos los de las corporaciones más grandes, son relativamente poco sofisticados.

¿Qué activos “debemos” protegemos?, ¿De qué vulnerabilidades deberíamos estar más preocupados?, ¿Qué tan robusta es nuestra respuesta a la incidencia?, ¿Estamos invirtiendo prudentemente en el área de la ciberseguridad?, ¿El gobierno de nuestro consejo apoya la resistencia cibernética?, ¿Qué tan maduras son nuestras prácticas de ciberseguridad en comparación con los estándares líderes de la industria?

Más información

#HablemosDeSeguridad

Vía @livemint

Automóviles eléctricos: las fallas de seguridad podrían permitir a los atacantes controlar las estaciones de carga.

Los conductores de automóviles eléctricos podrían encontrarse incapacitados para cargar sus vehículos, si los atacantes explotan las fallas recientemente descubiertas en las estaciones de carga del estacionamiento EVlink de Schneider Electric, que se encuentran en oficinas, hoteles y supermercados en varios países.

Más información

#HablemosDeSeguridad

Vía @zdnet

Hombre de Massachusetts recibe 10 años de prisión por ciberataque en un hospital.

Un hombre de Massachusetts fue condenado el jueves a más de 10 años de prisión por llevar a cabo un ataque cibernético en un hospital en nombre del grupo de Hackers activistas Anonymous.

Un jurado federal lo declaró culpable de dos cargos, incluida la conspiración para dañar las computadoras protegidas relacionadas con los ataques cibernéticos que realizó en 2014 en el Hospital de Niños de Boston y en otras instalaciones.

Más información

#HablemosDeSeguridad

Vía @reuters

CrowdStrike: más organizaciones ahora autodetectan sus propios ataques cibernéticos.

La mala noticia: les tomó un promedio de 85 días detectar un ataque. Eso significa que los hackers todavía tienen la delantera, además, solo necesitan menos de dos horas, en promedio, para pasar de la máquina inicialmente atacada a la red de un objetivo, según CrowdStrike.

Más información

#HablemosDeSeguridad

Vía @darkreading