Source: http://revistaesecurity.com/author/zenoninesec/
Timestamp: 2017-09-19 17:15:26
Document Index: 307081534

Matched Legal Cases: ['Artículo 40', 'Artículo 42', 'Artículo 12', 'Artículo 32', 'Artículo 32', 'artículo6']

zenoninesec, Autor en E.Security
Home Authors Posts by zenoninesec
Mejores prácticas, procedimientos y cifrado: nuevos pasos hacia el objetivo GDPR de 2018
Casi seis meses después de la aprobación del Reglamento General de Protección de Datos (GDPR, por sus siglas en inglés) las empresas -firmas legales y consultoras- ya están trabajando en el tema, a fin de adecuar sus prácticas a este texto y con la vista puesta en mayo de 2018, fecha límite para poner en marcha las medidas impuestas por dicho reglamento.
GDPR propone una nueva normativa de protección de datos personales que es aplicable a todos los Estados miembros de la Unión Europea. A este respecto, el Supervisor Europeo de Protección de Datos (EDPS)1 Giovanni Buttarelli, define GDPR como “un monumento a los derechos humanos”. Pese a ello, y aunque se ha escrito mucho sobre el tema, la nueva regulación plantea de momento más preguntas de las que ha respondido. Tras la lectura y análisis del texto, y la publicación por parte de la AGPD2 de la “Guía sobre Privacidad y Seguridad en Internet”2 en octubre de 2016, se están uniendo sinergias y avanzando en un esfuerzo colectivo por integrar GDPR en las empresas de toda Europa.
Grupos de trabajo y mejores prácticas
Como se estipula en el nuevo reglamento Europeo, las partes implicadas en el tratamiento y almacenamiento de datos personales están llamadas a definir y a seguir códigos de conducta. Este paso (mencionado en el Artículo 40) especifica así que “la existencia de códigos de conducta puede utilizarse como un elemento para demostrar el cumplimiento de las obligaciones con el regulador”3. A dichas partes, también se les anima a pensar en crear mecanismos de certificación aprobados (Artículo 42).
A raíz de estas demandas, ya se han creado los primeros grupos de trabajo al respecto. Si bien muchas empresas ya están liderando su transformación digital y su migración hacia la Nube, estos grupos de trabajo serán al mismo tiempo instrumentos importantes para armonizar las mejores prácticas y asesorar a las empresas en su elección de infraestructura (estructura y alojamiento) ya sea en modalidad in-situ o a través de un proveedor externo (Cloud).
Desde el año 2000, la CNPD4 (Comisión Nacional de Protección de Datos de Portugal) y la AGPD se han reunido anualmente para debatir cuestiones relacionadas con la protección de datos personales. En un reciente comunicado de prensa, AGPD anunciaba lo siguiente: “la directora de la AEPD, Mar España, ha destacado la importancia de ofrecer herramientas prácticas para fomentar e impulsar la cultura de protección de datos entre los ciudadanos, mientras que el director general de INCIBE, Miguel Rego, insiste sobre la necesidad de que los ciudadanos adopten una actitud proactiva en cuanto al hábito de actualizar y ampliar sus conocimientos sobre seguridad, como medida preventiva para usar las nuevas tecnologías con confianza“.
En esencia, es necesario ofrecer una lectura simplificada del reglamento, para el cual, CNIL5, otra entidad nacional de ciberseguridad en Francia, define tres objetivos: reforzar los derechos de los individuos, empoderar a los actores que procesan los datos (recolectores y hosts) y otorgar credibilidad a la regulación mediante la aplicación de GDPR en todos los Estados miembros de la Unión Europea (UE). El incumplimiento de estos objetivos está sujeto a sanciones que pueden llegar a representar hasta el 4% del volumen de negocio total de una empresa.
Procedimientos de TI y marketing
El camino hacia el cumplimiento comienza con una meticulosa auditoría de los procedimientos actuales que afectan a los datos personales. En una segunda fase, trabajar para alcanzar la certificación ISO puede ayudar a las empresas a mejorar los procedimientos existentes, ya que las cuestiones planteadas por la nueva normativa Europea pueden resumirse en tres grandes temas, intrínsecamente vinculados: herramientas, procedimientos y la cuestión de Alojamiento en nube. No importa la forma, pero las compañías deben realizar un examen detallado de cómo procesan y almacenan sus datos para entender, completamente, los diversos procedimientos escritos e impuestos por la nueva regulación.
El primero se aborda en el Artículo 12, el cual define los procedimientos y mecanismos previstos para el ejercicio de los derechos de las personas a las que pertenecen los datos personales (rectificación, derecho a ser olvidados, etc.). Estos procedimientos implican -en primer lugar- a los puestos de trabajo e, indirectamente, a los servicios de Recursos Humanos y Marketing. Ellos gestionan los puntos de entrada de datos personales, el procesamiento, y el compromiso de los clientes y potenciales clientes con la empresa.
El segundo requisito de procedimiento relacionado con el procesamiento de datos personales en su contexto tecnológico (alojamiento, almacenamiento, migración o ciberseguridad) concierne al departamento de TI. De hecho, el Artículo 32.1.a establece que “el responsable del tratamiento y el encargado del tratamiento deberán aplicar las medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad adecuado al riesgo, incluyendo, entre otros, el uso de seudónimos y el cifrado de datos personales”.
En este contexto, ¿por qué el problema del cifrado se ha vuelto tan destacado? Principalmente, porque los datos están en movimiento, pasando de una infraestructura a otra, de un terminal a otro, sin restricciones geográficas y solo con un clic.
El Director de Ingeniería de Ventas de Google, Gabriele Carzaniga, entiende esto cuando explica que “Hoy en día, la transformación digital requiere que los datos estén disponibles, accesibles y compartibles en cualquier momento”. Por tanto, aunque las empresas pueden tener varios sistemas de seguridad dentro de su propio perímetro de TI, los datos ya no se limitan a este espacio, lo que los hace más vulnerables ante terceros no autorizados o malintencionados. El cifrado permite mantener la confidencialidad de los datos, aunque estos sean compartidos o enviados interna o externamente. GDPR incluye este aspecto en el citado Artículo 32.
Además, el cifrado en disco (aunque sigue siendo interesante como parte de un clásico plan de seguridad cibernética) no es una solución adecuada; los datos personales deben ser cifrados desde la estación de trabajo antes de que abandonen el perímetro de la empresa. De hecho, si los datos se cifran con una clave alojada en territorio de la UE, se puede almacenar en cualquier lugar sin dificultad alguna.
A este respecto, y según el estudio Global Data Encryption Research5, durante los próximos seis años se espera que la tasa de crecimiento anual para el mercado de cifrado de datos aumente -de media- un 18%, alcanzando los 4.000 millones de dólares en los Estados Unidos en 2022. Según dicho informe, la migración a la Nube es lo que podría alimentar esta tendencia. Sin embargo, GDPR tampoco es ajeno a él.
En España, OSI (Oficina de Seguridad del Internauta) también recomienda el cifrado de datos personales en un reciente artículo6. Por tanto, es tiempo de asegurar que los datos estén protegidos y encriptados; no sólo porque es lo correcto, sino también porque las empresas que no lo tomen en serio podrían ser gravemente multadas a partir de mayo de 2018.
Para las organizaciones que busquen información sobre las expectativas concretas previstas para su entrada en vigor en mayo de 2018, el próximo paso será la esperada publicación por parte de la EDPS de las mejores prácticas.
1Newsletter, October 2016 from the EDPS: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/PressNews/Newsletters/Newsletter_49_EN.pdf
2 AGPD website : Privacidad y Seguridad en internet, Guía sobre Privacidad y seguridad en internet. https://www.agpd.es/portalwebAGPD/index-ides-idphp.php
4 CNPD (Comissão Nacional Protecção de Dados) : https://www.cnpd.pt/index.asp
5CNIL (Commission National Informatique et Libertés): https://www.cnil.fr/professionnel
6OSI (Oficina de Seguridad del Internauta) Protege tu información, utiliza herramientas de cifrado: https://www.osi.es/es/actualidad/blog/2016/11/17/protege-tu-informacion-utiliza-herramientas-de-cifrado
HPE extiende las funcionalidades de “Composable Infrastructure” a las soluciones Cloud e Hiperconvergentes
Hewlett Packard Enterprise anuncia una expansión de su iniciativa “Composable Infrastructure” con el lanzamiento de una nueva oferta de cloud híbrida y extensiones tecnológicas de los sistemas hiperconvergentes de HPE. Extendiendo la infraestructura programable de HPE Synergy a la plataforma multi-cloud de HPE a través de mejoras software en HPE Hyper Converged 380, HPE permite a los operadores TIC ofrecer una infraestructura definida por software tan pronto como el cliente lo demande. Las nuevas soluciones incluyen:
Los desarrolladores de las empresas de hoy en día están creando cada vez más aplicaciones nativas en Cloud utilizando más microservicios y contenedores. Al mismo tiempo, están transformando las aplicaciones tradicionales en modelos como servicio (as-a-service), requiriendo una infraestructura que puede soportar ambos entornos operativos. HPE Synergy ofrece la primera plataforma de infraestructura “Composable”/componible de la industria, tratando la infraestructura como código, permitiendo a los desarrolladores acelerar la entrega de aplicaciones. HPE Synergy tiene cerca de 100 clientes que ya lo han implementado con éxito en una gran variedad de industrias, y ahora está disponible en todas las regiones para su compra.
HPE Synergy con HPE Helion CloudSystem 10 – proporcionando la primera Cloud Privada de la industria construida sobre “Composable Infrastructure”
HPE Synergy y HPE Helion CloudSystem 10 incorporan HPE OneView, el software de gestión de automatización de infraestructura de HPE, que proporciona la capacidad de descubrir, gestionar y designar recursos de infraestructura utilizando una interfaz unificada. Esto permite una utilización más eficiente de la infraestructura al permitir a las TIC orientar la infraestructura adecuada para las cargas de trabajo adecuadas, acelerando los ciclos de desarrollo y manteniendo con el control y el cumplimiento.
Además, los clientes pueden aprovechar el amplio ecosistema que HPE ha desarrollado a través del Programa “Composable Infrastructure Partner Program”. Esto incluye alianzas con los ISVs de las herramientas como por ejemplo Chef, Docker, SaltStack y Puppet, así como socios tradicionales como Microsoft, VMware, SUSE y Red Hat a través de la integración con el API unificada de HPE OneView.
HPE Hyper Converged Operating Environment – ofrece capacidades de gestión de “Composable Infrastructure” en los sistemas Hiperconvergentes
La actualización del software HPE Hyper Converged Operating Environment introduce nuevas capacidades de administración para HPE Hyper Converged 380, la solución de virtualización de software HPE totalmente integrada. Las mejoras permiten a los operadores TIC convertirse en un proveedor interno de servicios para las diferentes líneas de negocio de su organización, ofreciendo aplicaciones virtualizadas con la eficiencia de una Cloud.
La actualización introduce nuevos espacios de trabajo multi-tenant que permiten a los operadores TIC componer y recomponer de forma rápida y sencilla entornos virtualizados de forma instantánea desde un conjunto de recursos. La actualización también integra analíticas, proporcionando a los administradores TIC los conocimientos para asegurarse que los recursos necesarios están disponibles cuando se necesitan y para predecir las necesidades futuras, por lo que la TIC puede agregar capacidad antes de que los desarrolladores sepan que la necesitan.
HPE Services – ayuda a los clientes a adoptar y consumir infraestructura componible
Los clientes no sólo pueden ofrecer capacidades cloud fácilmente, sino que también pueden aprovechar la economía cloud a través del HPE Flexible Capacity Service. Esto permite a los clientes escalar y reducir la capacidad según sea necesario, mientras que sólo paga por lo que consume. Flexible Capacity también ayuda a los clientes con aplicaciones nativas cloud utilizando microservicios con agilidad.
Para que los clientes puedan acelerar el tiempo de valoración de estas nuevas soluciones, HPE ofrece HPE Technology Services para ayudar a los clientes a adoptar y capturar rápidamente los beneficios de la infraestructura componible y las soluciones Hiperconvergentes. El nuevo Servicio de Asesoría Rápida de HPE Synergy explora casos que aprovechan al máximo las capacidades de infraestructura componible y el taller de HPE Software-Defined Infrastructure y los servicios de arquitectura estratégica ayudan a acelerar el viaje de los clientes.
Cloud28 + expansión – permitiendo un ecosistema híbrido de proveedores cloud globales
HPE también anunció planes para expandir Cloud28 +, una comunidad abierta de organizaciones comerciales y del sector público con el objetivo común de eliminar las barreras para la adopción cloud. Cloud28 + se abrirá a socios en todas las regiones HPE. El servicio de partners de HPE apoya Cloud28 +, que une proveedores de servicios, proveedores de soluciones, VIS, integradores de sistemas y entidades gubernamentales para compartir conocimientos, recursos y servicios destinados a ayudar a los clientes a construir y consumir la combinación adecuada de soluciones cloud para sus necesidades.
España entre los países afectados por Gooligan
Check Point® Software Technologies Ltd. (NASDAQ: CHKP), el mayor proveedor mundial especializado en seguridad, anuncia que su equipo de investigadores de seguridad ha descubierto una nueva variante de malware que afecta a Android y que ha conseguido traspasar la seguridad de más de un millón de cuentas de Google, incluyendo la de usuarios españoles.
España entre los 100 países más infectados
Cerca del 57% de todas las víctimas de Gooligan se encuentran en Asia, y alrededor del 9% en países europeos. España está entre los 100 países más infectados, con un total de 748 cuentas comprometidas.
Check Point ha compartido la información de esta campaña de forma inmediata con el equipo de seguridad de Google. “Gracias a nuestro partnership con Check Point hemos podido trabajar juntos para entender y actuar ante este problema. Hemos tomado un gran número de medidas para proteger a nuestros usuarios de la familia de malware Ghost Push y para mejorar la seguridad de todo el ecosistema Android”, explica Adrian Ludwig, director de seguridad de Android en Google. Entre otras acciones, Google ha contactado con los usuarios afectados y ha anulado sus tokens. También ha borrado de Google Play las apps asociadas con Ghost Push y ha añadido nuevas capas de protección a su tecnología de verificación de apps.
Check Point ofrece una herramienta online gratuita que permite a los usuarios de Android comprobar si han sido hackeados. “Si tu cuenta ha sido expuesta, debes reinstalar completamente el sistema operativo de tu dispositivo. Este complejo proceso se llama “flashear”, y recomendamos apagar el terminal y contactar con un técnico certificado o con el proveedor del dispositivo para hacer el proceso”, añade Shaulov.
Ransomware: el 52% de las empresas españolas infectadas pagó el rescate, pero un 15% no recuperó sus datos
*Informe de Seguridad de TrendLabs correspondiente al primer semestre de 2016, «El Reino del Ransomware”.
ESET Endpoint Security, solución de seguridad corporativa con mejor rendimiento, según AV-Comparatives
“ESET es conocido en la industria porque utiliza muy pocos recursos del sistema”, afirma Andreas Clementi, CEO de AV-Comparatives. “El resultado de este estudio valida lo que ofrecen las soluciones corporativas de la compañía: protección de alto nivel sin sobrecargar las redes corporativas ”.
ESET consiguió la más alta puntuación en el test, con tan sólo 0,2MB de uso de la memoria, mejorando los resultados obtenidos por Symantec, Trend Micro, Kaspersky, McAffee o Sophos (que llegó a consumir hasta 2.500 MB de tráfico de red).
Para leer el estudio completo, se puede visitar la web: https://www.eset.com/int/business/avcomparatives-network-performance-test/.
¿Cómo frenar los ciberataques en las líneas de producción industrial?
Alhambra-Eidos ha colaborado a través de su área de Ciberseguridad denominada OneseQ, junto con el fabricante líder en soluciones de seguridad Fortinet, en un desayuno tecnológico organizado por Keyland, una sociedad Participada por el Grupo Antolín y dedicada a la optimización, desarrollo, comercialización e implantación de procesos y soluciones de gestión para empresas que actúen en entornos competitivos, especializada en la actividad industrial, un evento que se celebró el miércoles 23 de noviembre en el hotel NH Collection Palacio de Burgos para tratar la situación de la ciberseguridad en el sector industrial, bajo el título “El sector industrial al descubierto ¿Cómo protegerlo?”.
Stormshield simplifica el proceso del usuario durante el cifrado en la Nube
Stormshield continúa desarrollando su solución de protección de datos para dispositivos móviles y Cloud con la versión, 1.2 de Stormshield Data Security for Cloud & Mobility.
Stormshield Data Security for Cloud & Mobility es una solución multi-plataforma, multidispositivo (PC, servidores, smartphones) y multiformato (aplicaciones SaaS, servidores de archivos, mensajería, unidades USB, etc.) que permite enviar y recibir documentos de forma segura y con facilidad, con un máximo nivel de seguridad, independientemente del dispositivo utilizado.
Las nuevas características ofrecidas se integran en el concepto de Seguridad Colaborativa Multicapa desarrollado por Stormshield:
Cuadro de mando específico para visibilidad completa del intercambio de datos
Al igual que con todos los productos Stormshield, todos los eventos de seguridad originados en Stormshield Data Security para Cloud & Mobility, ahora pueden ser exportados y centralizados en la nueva plataforma de reporting de Stormshield (Stormshield Visibility Center).
Los cuadros de mando e indicadores específicos permiten visualizar con facilidad los tipos de medios y documentos utilizados, facilitando, además, la identificación de la plataforma utilizada para compartirlos, la identidad de quién los comparte y el dispositivo utilizado. Poseer una visión o perspectiva general de los usuarios es una interesante fuente de información que puede utilizarse para identificar empleados inactivos, alertándoles, o, a partir de su uso real, para revisar el número de licencias adquiridas por aplicación.
Nuevas características para minimizar los riesgos para los datos
La solución ofrece a las empresas una visibilidad de uso mejorada para anticiparse ante los riesgos. Los administradores cuentan así con una visión detallada por usuario a través de descripciones individuales de todo el equipamiento utilizado y el registro de consulta de datos por dispositivo. El análisis de esta información hace posible (eventualmente) bloquear una aplicación en un dispositivo específico.
De igual forma, la implementación de un mecanismo de aprendizaje para el cifrado de teléfonos inteligentes ayuda a reducir el riesgo. Basándose en los intercambios realizados, Stormshield Data Security para Cloud & Mobility memoriza los contactos y envía este registro al usuario durante el cifrado. De esta manera, el empleado puede intercambiar documentos protegidos con terceras partes identificadas.
La solución también incluye APIs de Dropbox para poder definir de forma centralizada espacios colaborativos seguros en la herramienta.
Por último, la versión 1.2 ha sido equipada con una función de autenticación biométrica para evitar que los usuarios de teléfonos inteligentes tengan que volver a escribir sus contraseñas. Esta función es compatible con iOS y ahora se puede acceder a ella desde Android.
-El usuario dejará de ser el principal objetivo: crecerán los ataques dirigidos contra grandes entidades. El sector bancario recibirá el mayor número de APTs y el malware ATM será uno de los principales vectores de ataque, como ha quedado patente en recientes ataques reportados (Banco de Tailandia, Tesco Bank o ataques a bancos europeos por parte del grupo cibercriminal COBALT). Adicionalmente, los expertos creen que los insiders (individuos que forma parte de la propia entidad o de la empresa que desarrolla el software, entre otros), provocarán muchas de las fugas de datos sensibles que se darán en el sector. Aumentará, asimismo, la exposición a ataques en dispositivos IoT (tarjetas contactless, servicios de pago con tecnología NFC en smartphones, etc).
-Los ciberataques estarán especialmente dirigidos a smartphones y se incrementarán los de tipo ransomware. Desde 2015 los expertos vienen observando el auge de estos ataques, que requieren de menor elaboración que otros métodos de hacking y que, con el incremento en el uso de smartphones, suponen una rápida monetización. También los expertos aluden al posible incremento de Exploit Kits que permitan hacer cambios en los parámetros del móvil para extorsionar a sus dueños o el uso de recursos (como la implementación de antenas no legítimas) para proceder al robo de datos o interceptar comunicaciones. Los ciberataques seguirán afectando en mayor medida a Android que a iOS, y, por último, destacar que en 2017 se incrementarán los ataques del tipo DDoS, ante el aumento del número de dispositivos conectados y la falta de seguridad de los mismos: muchos formarán parte de botnets.
-Crecerá el número de APTs y se reducirán los tiempos de infección en el sector industrial. Crecerán los ataques contra el sector industrial y seguiremos siendo testigos de actos de ciberespionaje y cibersabotaje a través de APTs cada vez más sofisticadas. También observaremos una reducción de los tiempos de infección en los sistemas, lo que dificultará la labor de encontrar rastros de su presencia. Asimismo, se prevé un aumento en el número de ciberataques al sector sanitario debido a la gran cantidad de datos de pago o información sensible que maneja, así como por la multitud de dispositivos conectados poco securizados y expuestos a malware de este sector.
-Aumentará la relevancia del ciberdelincuente autónomo. Las bandas de cibercrimen organizado seguirán actuando y con un papel importante a la hora de llevar a cabo con éxito sus ataques. Sin embargo, esta necesidad de inversión inicial y de una infraestructura compleja abrirán el camino a un nuevo perfil de ciberdelincuente autónomo. Les veremos utilizar el método ransomware y los expertos apuestan por el auge del Malvertising-as-a-Service, con lo que conseguirán sacar beneficios económicos sin ataques de gran preparación.
-A pesar de la creciente concienciación, muchas empresas tomarán medidas de seguridad una vez hayan sido atacadas en 2017. Los expertos de S21sec son pesimistas en cuanto a la concienciación de las empresas. A pesar de que se están haciendo esfuerzos progresivos por aplicar medidas de seguridad efectivas lo cierto es que muchas compañías siguen siendo reactivas. Es necesario, según los especialistas, realizar una labor de concienciación con los empleados de las compañías acerca de la sensibilidad de los datos que manejan y las consecuencias de algunas de sus acciones.
Check Point® Software Technologies Ltd. alerta sobre una nueva tendencia: la globalización de los ataques de denegación de servicio (DDoS). La reciente ofensiva contra DYN nos ha enseñado una lección muy clara: un ejército de bots alojados en cámaras conectadas a internet es capaz de tumbar Twitter, Amazon, Spotify y Netflix. Sin duda, este DDoS global ha mostrado al mundo la fragilidad de la red de redes.
Para conocer en profundidad el protocolo de actuación ante un ataque DDoS, puede visitar el blog de Check Point:
http://blog.checkpoint.com/2016/11/08/denied-dealing-global-distributed-denial-service/
Check Point® Software Technologies Ltd. (NASDAQ: CHKP), el mayor proveedor mundial especializado en seguridad, ha identificado un nuevo vector de ataque que introduce malware en imágenes y gráficos: ImageGate. Además, el equipo de investigadores de Check Point ha descubierto el método por el que los cibercriminales ejecutan código malicioso dentro de imágenes usando aplicaciones de redes sociales como Facebook y LinkedIn.
En los últimos tres días, todas las empresas de seguridad han estado siguiendo con atención la difusión masiva del ransomware Locky vía redes sociales, especialmente en una campaña basada en Facebook. Los analistas de Check Point creen que la técnica ImageGate explica cómo ha sido posible esta campaña de ataques, punto que no había sido respondido hasta ahora
Puedes ver una demo aquí: https://youtu.be/sGlrLFo43pY
Si has hecho clic en una imagen y tu navegador empieza a bajarla, no la abras. Cualquier red social debería dejarte verla sin necesidad de descargas.
No abras ningún archivo con extensiones poco comunes (SVG, JS o HTA, por ejemplo).