1/20/2017 1 Pronósticos de seguridad de la información 2017 Cinco imperativos para avanzar en un mundo digitalmente modificado Jeimy J. Cano M., Ph.D, Ed.D(c), CFE Facultad de Derecho - GECTI Universidad de los Andes JCM-17 All rights reserved 1 1. Introducción 2. Amenazas claves relevantes 3. Riesgos claves para monitorizar 4. Pronósticos de InfoSec 2017 5. ¿Qué hacer? 6. Conclusiones AGENDA Pronósticos de seguridad de la información 2017 JCM-17 All rights reserved
Transcript
1/20/2017
1
Pronósticos de seguridad de la información 2017Cinco imperativos para avanzar en un mundo digitalmentemodificado
Jeimy J. Cano M., Ph.D, Ed.D(c), CFEFacultad de Derecho - GECTI
Universidad de los Andes
JCM-17 All rights reserved 1
1. Introducción
2. Amenazas claves relevantes
3. Riesgos claves para monitorizar
4. Pronósticos de InfoSec 2017
5. ¿Qué hacer?
6. Conclusiones
AGENDAPronósticos de seguridad de la información 2017
Digital por defectoIndustria 4.0 – Mundo digitalmente modificado
DISCONTINUIDADDIGITAL
CONFIANZA IMPERFECTA
OPORTUNIDADES YPOSIBILIDADES
Seguridad digital
DIGITAL POR DEFECTO
ENTORNOTECNOLOGÍA
COMUNIDAD
JCM-17 All rights reserved 5
Economía criminal digitalMonetización de los datos y las vulnerabilidades
1Tráfico de datos
personales
Datos financieros, perfilesde navegación, vida
personal
2Venta de propiedad
intelectual
Secretos industriales, patentes, desarrollos
técnicos
3Comercialización de
vulnerabilidades
Malware por encargo, alquiler de botnets, DDos
como servicio
4Robo de
credenciales
Usuarios, contraseñas, biométricos, OTP
5Fraude
como servicio
Campañas de phishing, manipulación de perfiles y
páginas web
6Armas
informáticas
Ciberguerra, ataquesdirigidos, malware y
vulnerabilidades“militares”
7Mercenarios
digitales
Operaciones de ciberguerra, ataques
informáticos clandestinos.
JCM-17 All rights reserved 6
1/20/2017
4
Sólo existen dos tipos de empresas:aquellas que han sido hackeadas,y otras que lo serán en el futuro.
Robert Mueller, Director FBI, 2012
JCM-17 All rights reserved
Amenazas relevantesclavesFeedback
JCM-17 All rights reserved 8
1/20/2017
5
¿Qué ocurrió en 2016?Hechos materializados
RansomwareLa extorsión con los datos
es una tendencia que continuará mutando endiferentes productos y servicios digitalmente
modificados
Shadow ITLas aplicaciones para dispositivos móviles
seguirán en aumento y menos control habrá por
parte de las áreas de tecnología de las
empresas
DDoSLa denegación de servicio
distribuido continuarásiendo una alternativa
para los atacantes tantopara distraer como para
comprometer los serviciosdigitales de las organizaciones
CiberataquesLos ataques a las
infraestructuras críticasestán en sus inicios. En los
años venideros nuevasmodalidades y combinaciones
sorprenderán a susresponsables.
EstafasEl engaño continuarásiendo la técnica más
utilizada en internet para comprometer
instalaciones. El endurecimiento del
firewall humano es clave en este reto.
JCM-17 All rights reserved 9
Algunos ejemplosCasos relevantes
JCM-17 All rights reserved 10
1/20/2017
6
Lecciones aprendidas en 2016Hechos y recomendaciones
1El atacante interno puedeestar en cualquier parte
Mecanismos de control y aseguramiento interno
2La ingeniería social es la técnica más utilizada y
efectiva
Aumentar la resistencia del firewall humano
3Servicios y productos
digitalmente modificadosheterogéneos e inseguros
Desarrollo de prácticas de seguridad y control para la
industria 4.0
4Los móviles definen unamayor superficie para los
ataques
Prácticas de aseguramiento de dispositivos móviles
5La gestión de contraseñas
debe ser repensada
Se debe promover el uso de doble factor de autenticación
6Uso de las USB como
vector de ataque
Reporte y control de USB desatendidas
7La fuga y/o pérdida de
información comoamenaza relevante
Uso del cifrado de informacióncomo estrategia resistente a
estos ataques
8El secuestro de
información es la normapara los atacantes
Aseguramiento de datos con respaldos en medios y localizaciones distintas
9Permanecen las
configuraciones pordefecto
Pruebas de vulnerabilidadesperiódicas
10Uso de criptomonedas
para el pago de extorsiones
Monitoreo y cooperación frentea los ecosistemas digitales
criminales
Basado en las ideas de: Pagnota, S. (2016) 10 lecciones de seguridad que nos dejó Mr. Robot S02. Recuperado de:http://www.welivesecurity.com/la-es/2016/09/23/lecciones-seguridad-mr-robot-s02/
11JCM-17 All rights reserved
Una vez aprendida la lección:los golpes ya no son tan fuertes,o ya no eres tan débil.
Tomado de: http://desmotivaciones.es/2247106/Una-vez-aprendida-la-leccion
Aumenta complejidad del entornoMundo digitalmente modificado
Tom
ado
de:
Po
rter
, M. y
Hep
pel
man
n, J
. (2
014)
Ho
w S
mar
t, c
on
nec
ted
p
rod
uct
s ar
e tr
ansf
orm
ing
co
mp
etit
ion
. Ha
rvar
d B
usin
ess
Rev
iew
. N
ovi
emb
re.
JCM-17 All rights reserved 14
1/20/2017
8
Detección de ataques¿Porqué cada día es más retador?
Ataque “sin archivos”Código malicioso escrito
directamente en la memoria RAM
Shell y control remoto
Explotación de debilidades en
protocolos.
Ataques bajoel Sistema Operativo
Afectación y compromiso del firmware,
BIOS y Master Boot Record
Infiltraciones con cifrado
Uso de cifrado para tomar control de
los archivos en los dispositivos.
Industria4.0
Nuevas tecnologías disponibles
Nuevos productos y serviciosdigitalmente modificados
Acelerada convergencia tecnológica
Intersección de tecnologías y exigenciasempresariales para generar mayor
eficiencia y efectividad en susoperaciones.
Mayor flujo de datos personales y corporativos
Mayor interacción de las personas a través de productos y serviciosdigitalmente modificados.
Mayor superficie disponible
Incremento de la movilidad y mayor control de la tecnología por parte de las
personas.
Basado en: Ariu, D., Didaci, L., Fumera, G., Giancinto, G., Roli, F., Frumento, E. y Freschi, F. (2016) A (Cyber)road to the future. A methodology for building cybersecurity research roadmaps. En Akhar, B. y Brewster, B. (Editors) (2016) Combatting cybercrime and cyberterrorism: challenges, trends and priorities. Switzerland: Springer Verlag. 53-80; Mcafee (2016) Mcafee Labs 2016 threats predictions. Recuperado de: http://www.mcafee.com/uk/resources/reports/rp-threats-predictions-2016.pdf
JCM-17 All rights reserved 15
¿Qué se ve delante de la curva?Para mantener en el radar
GeopolíticoLa inestabilidad políticaserá la constante a nivelglobal. El ciberespacio
será un teatro de operaciones muy activo.
RegulatorioLas exigencias de
cumplimiento seguiránavanzando. Las
brechas de seguridad y las sanciones serán el
reto para las empresas.
ReputaciónUna mayor flujo de
información entre las empresas y los individuosserá la mayor virtud o el
peor pecado. La confianzaestará bajo fuego cruzado.
Crimenorganizado
Avanza el fortalecimiento de losecosistemas digitales
criminales. Surgennuevos startups del
crimen digital.
Discontinuidadtecnológica
Aumenta la digitalización de productos y servicios, sensores
embebidos en todas partes, unamayor superficie de acción que
genera tensiones para la privacidad y el acceso a los datos
Ideas tomadas de: Cano, J. (2016) Pronósticos de seguridad de la información 2017. Cinco imperativos para avanzar en un mundo digitalmente modificado. Recuperado de:http://insecurityit.blogspot.mx/2016/10/pronosticos-de-seguridad-de-la.html // Olavsrud, T. (2016) 4 information security threats that will dominate 2017. Recuperado de: http://www.cio.com/article/3153706/security/4-information-security-threats-that-will-dominate-2017.html
Sólo podemos ver un poco del futuro, pero lo suficiente para darnos cuenta que hay mucho que hacer.
Allan Turing, Matemático británico.
JCM-17 All rights reserved
1/20/2017
12
¿Qué hacer?Marcos de acción propuestos
JCM-17 All rights reserved 23
Modelo de “Cero confianza”Forrester Research
Cualquier solicitud o interacción esuna amenaza hasta que no sea autorizada, inspeccionada y asegurada
Analice el tráfico de las redes tanto el entrantecomo el saliente
Todo lo que no estáestrictamente autorizado, serárechazado.
Accesosseguros
(Sin importar la localización)
Regla delMenor privilegio
(Permisos a lo soloA lo necesario)
Revise y Registre
Todo el tráfico(Confío pero
verifico)
JCM-17 All rights reserved 24
Ideas tomadas de: http://csrc.nist.gov/cyberframework/rfi_comments/040813_forrester_research.pdf
1/20/2017
13
Visión de seguridad digitalGartner Research
JCM-17 All rights reserved 25
PERILSeguridad por vulnerabilidad
I
E
R
P
L Seguridad X
Vulnerabilidad
I – Imaginarios : Valores, actitudes, creencias
R – Riesgos : Conocidos, latentes, focales y emergentes
E – Escenarios : Posibles y probables
P – Pruebas : Controladas y no controladas (no avisadas)
L – Lecciones : Aprendidas y por aprender
Modelo de Gobierno de Seguridad de la Información PERIL*
* PERIL – Exponerse al riesgo.
JCM-17 All rights reserved 26
CANO, J. (2015) Modelo PERIL. Repensando el gobierno de la seguridad de la información desde la inevitabilidad de la falla. Recuperado de:https://www.researchgate.net/publication/292984005_Modelo_PERIL_Repensando_el_gobierno_de_la_seguridad_de_la_informacion_desde_la_inevitabilidad_de_la_falla
1/20/2017
14
Los modelos no son buenos o malos. Sencillamente unos son más utiles que otros, dependiendo del contexto donde se usen.
Russell Ackoff, Pensador sistémico.
JCM-17 All rights reserved
ConclusionesReflexiones finales
JCM-17 All rights reserved 28
1/20/2017
15
Nueva realidad empresarialEmpresas digitalmente modificadas
