Las organizaciones siguen corriendo el riesgo de sufrir incidentes de ciberseguridad, y cada incidente puede costar millones de dólares.

Este riesgo -y su coste- no hará sino aumentar a medida que la ingeniería social y los elementos técnicos de los ciberataques se vuelvan más sofisticados. Para ayudar a las organizaciones a responder eficazmente a estas amenazas, el Centro Australiano de Ciberseguridad y la Dirección de Señales de Australia han desarrollado las estrategias básicas de mitigación "Essential 8". Según el ACSC, estas estrategias pueden personalizarse en función del perfil de riesgo de cada organización y de las ciberamenazas que más le preocupan.

El "Essential 8" incorpora cuatro estrategias de mitigación para prevenir la entrega y ejecución de malware. Las hemos resumido aquí:

• Listas blancas de aplicaciones: Mediante la creación de listas blancas de aplicaciones aprobadas, las organizaciones pueden impedir la ejecución de programas no aprobados o maliciosos.
• Parchee las aplicaciones: Parchear los ordenadores con vulnerabilidades de aplicaciones de "riesgo extremo" en un plazo de 48 horas -y utilizar la última versión de las aplicaciones- puede reducir el riesgo de que se ejecute un código malicioso.
• Configure los ajustes de macros de Microsoft Office para bloquear las macros de Internet -y aplique reglas estrictas a las macros aprobadas- para reducir el riesgo de entrega y ejecución de código malicioso.
• Aplique el endurecimiento de las aplicaciones del usuario: El bloqueo de ciertas aplicaciones y la desactivación de funciones innecesarias en otras pueden eliminar métodos populares de entrega y ejecución de código malicioso.

Los "8 esenciales" también presentan tres estrategias para limitar el alcance de los incidentes de ciberseguridad. Estas estrategias se resumen a continuación:

• Dar a los usuarios derechos de administrador del sistema operativo y de las aplicaciones sólo si su función lo justifica, para evitar entregar las "llaves del reino", aumentando así el riesgo para los sistemas y la información.
• Parchee los ordenadores con vulnerabilidades de sistemas operativos de "riesgo extremo" en un plazo de 48 horas y utilice la última versión de estos sistemas, para evitar verse comprometido.
• Aplique la autenticación multifactor para el acceso remoto, y para todos los usuarios cuando realicen una acción privilegiada o accedan a un repositorio de datos importante, proporcionando un mayor obstáculo para los adversarios que quieran infiltrarse en los sistemas o en la información.

Por último, el "Essential 8" incorpora -como estrategia de mitigación para recuperar los datos y la disponibilidad del sistema- la realización de copias de seguridad diarias de los datos importantes nuevos o modificados, del software y de los ajustes de configuración, y la conservación de las copias de seguridad durante tres meses. Esto ayudará a una organización a recuperarse de un incidente de ciberseguridad.

Su organización debería considerar seriamente la aplicación de los "8 esenciales" como base de una estrategia de ciberseguridad madura y sólida. Si desea obtener más información, póngase en contacto con nosotros en info@firstwave.com.au.

Un punto de dolor común que algunas organizaciones nos han expresado es la incapacidad de preparar o contrarrestar las auditorías de licencias de software. Hay dos preocupaciones principales para cualquier organización que esté experimentando estas ocurrencias, hay una falta de información con respecto a la red y no hay suficiente información para desafiar a un proveedor de software cuando se da una factura.

Saber qué software está instalado en sus dispositivos es más que una buena práctica para gestionar su red, sino una buena práctica para gestionar su presupuesto. Hay muchos proveedores que adoptan una postura agresiva en cuanto a las auditorías de licencias, a continuación se muestra un ejemplo de una factura por una licencia adicional para una duración de contrato de 6 años;

Tener un exceso de licencias en una unidad y recibir una factura tan elevada debería actuar como un claro elemento disuasorio y motivar a las organizaciones para que se aseguren de mantener sus niveles de licencia.

La mejor manera de adelantarse a estas sorpresas es disponer de una amplia información sobre su red y poder controlar las licencias de software a las que tienen derecho sus organizaciones. Open-AudIT puede hacer esto con muy poca información y a un coste muy manejable, especialmente comparado con las cifras mencionadas anteriormente. Una vez que los dispositivos son descubiertos usando Open-AudIT, pueden ser auditados si los niveles de licencias están configurados, entonces se pueden generar informes diarios/semanales/mensuales sobre los niveles de software, dándole una visión genuina de sus niveles; esto mitigará las sorpresas que pueden ocurrir si han pasado tres años entre las auditorías de licencias.

Arriba hay una demostración de cómo puede ser el resultado y, por supuesto, este proceso puede ser programado y se genera un informe mensual. El proceso para configurar esto y adelantarse a las auditorías de licencias se describe en este artículo de la wiki. Si desea más información sobre cómo configurar estas características, le gustaría ver una demostración de esto en acción o quiere una discusión sobre cómo optimizar su red, póngase en contacto con nosotros y estaremos encantados de ayudarle.

Varios países y jurisdicciones están aumentando la protección de la información personal. El Reglamento General de Protección de Datos (RGPD) de la Unión Europea es una de las medidas más completas a nivel mundial para reequilibrar la relación de datos entre los individuos y las empresas.

Las consecuencias para las empresas australianas -de cualquier tamaño- que tienen un establecimiento en la Unión Europea, ofrecen bienes y servicios en la Unión Europea o controlan el comportamiento de los individuos en la Unión Europea son potencialmente profundas.

En virtud de los requisitos de protección de datos del RGPD -que entraron en vigor el 25 de mayo de este año-, las empresas deben cumplir con obligaciones que abarcan la responsabilidad y la gobernanza; el consentimiento; la notificación obligatoria de las violaciones de datos; la ampliación de los derechos de las personas; los avisos de privacidad; la ampliación de los derechos de las personas; el control y el tratamiento de los datos; y las transferencias de datos personales al extranjero.

Por ejemplo, como señala un breve de la Oficina del Comisario de Información de Australia, los "responsables del tratamiento de datos" -normalmente empresas u organizaciones que deciden por qué y cómo deben tratarse los datos- deben avisar a las autoridades de supervisión en un plazo de 72 horas desde que tienen conocimiento de una infracción (a menos que sea improbable que la infracción suponga un alto riesgo para los derechos y libertades de las personas).

Si es probable que una violación de los datos suponga un alto riesgo para los derechos y libertades de las "personas físicas", el responsable del tratamiento debe notificarlo a la persona sin demora indebida, salvo que se apliquen excepciones a este requisito de notificación.

Las empresas afectadas también deben ser conscientes de que el RGPD otorga a las personas el derecho a exigir a los responsables del tratamiento que supriman sus datos en algunas circunstancias, como cuando la información ya no es necesaria para el fin que se recogió, o cuando la persona retira su consentimiento y no existe ningún otro fundamento jurídico para el tratamiento de sus datos.

Las sanciones por incumplimiento son severas: muchas infracciones pueden acarrear multas de hasta 20 millones de euros o el 4% de la facturación anual mundial. Para las organizaciones que hacen negocios en la Unión Europea y no han tenido en cuenta el RGPD, el mensaje es claro: revisar las prácticas de gestión y control de datos en relación con los requisitos del RGPD y, cuando sea necesario, tomar medidas correctivas lo antes posible. Póngase en contacto con Neil o con el equipo de FirstWave hoy mismo en el número +61 2 9409 7000 para hablar de los requisitos del GDPR.

Antes de implementar Open-AudIT en su organización, las auditorías de software y hardware eran una actividad odiada por Neil y su equipo de TI. La empresa crecía rápidamente y experimentaba muchas fusiones y adquisiciones (M&A), lo que era muy bueno para el resultado final, pero una pesadilla para el equipo de TI, que era responsable de hacer un seguimiento de los activos de hardware y software de la empresa.

Todos los años, el equipo sacaba las hojas de cálculo Excel que contenían el registro de activos para revisar la antigüedad, el estado de la garantía y las licencias y versiones de software de todos los dispositivos de la empresa. Todos los años había lagunas, anomalías y errores en el registro que requerían una rectificación manual, lo que desviaba los recursos de la asistencia al cliente y a los productos, hasta que se completaba la auditoría. A menudo, esto daba lugar a costes inesperados de licencias cuando el uso del software se había infravalorado en la organización.

Los auditores eran el enemigo - hasta que Neil se topó con la recomendación de una gran herramienta, que descubriría y auditaría todo en una red corporativa - convirtiendo las visitas de auditoría, de una interrogación de registros a una exploración de datos.

Neil empezó a utilizar la versión gratuita y pronto descubrió que tener un registro de activos en tiempo real como el de Open-AudIT tenía algunas ventajas sustanciales, especialmente cuando el equipo dejó de luchar contra los incendios y empezó a ser más proactivo.

Descubrió que podía apoyar mejor a su equipo de asistencia técnica, que ahora podía identificar rápidamente cualquier dispositivo y sus componentes de hardware y software a través de paneles personalizables, lo que ayudaba a resolver más rápidamente los problemas de TI.

Su equipo de seguridad también quedó impresionado, ya que las vulnerabilidades de seguridad, como los cambios en los permisos de los archivos y los nuevos archivos inesperados, se resumieron en un informe programado, lo que ayudó al equipo a mitigar los riesgos en un plazo determinado.

El aumento de la visibilidad del hardware y el software permitió al departamento de TI ahorrar dinero en sus licencias de software, ya que podía ver de un vistazo en qué casos había un exceso de suscripción de un producto y podía negociar mejores contratos a medida que aumentaba la demanda de software en la empresa en crecimiento.

Los auditores también quedaron impresionados al ver que los activos de software con licencia y alojados en servidores en la nube como Amazon y Azure también se podían ver y notificar desde la aplicación, lo que ofrecía una visión completa de todos los activos de software desplegados en la empresa.

Si desea saber más sobre cómo trabajar con sus auditores para aumentar el rendimiento y reducir los costes de su equipo de TI, póngase en contacto con uno de nuestros ingenieros hoy mismo. Ofrecemos 30 días de soporte gratuito a cualquiera que pruebe Open-AudIT Professional o Enterprise.

Un socio del sector me contó hace poco una historia de terror que podría ocurrirle a cualquiera que opere en un entorno de red híbrido. Uno de sus antiguos empleados tenía una instancia EC2 que había puesto en marcha con fines de prueba y pagó las cuotas iniciales con créditos de Amazon, algo que la mayoría de nosotros habría hecho. Sin embargo, este empleado dejó la empresa y no les informó de la instancia. Avancemos dos años y hubo una factura sustancial que se dirigió a esta empresa.

Crear un entorno de red híbrido tiene muchas ventajas, pero historias como ésta son habituales cuando no deberían serlo. La cuestión con el problema anterior es que había poca visibilidad de los activos empresariales, la empresa no conocía los activos sobre los que tenía control y esto crea vulnerabilidades, de seguridad o financieras. Convertir este pasivo en un activo puede ser un proyecto sencillo y rentable para equipos de cualquier tamaño.

Si quieres probar estas funciones en tu entorno de pruebas, regístrate aquí.