James Thew - Fotolia

Lo básico Póngase al día con nuestro contenido introductorio.

Siete pasos que debe tomar ya para prevenir ciberataques

Vaya y consulte el software de vanguardia para una cerrada seguridad de TI, dice el CTO de Harvard Business School. Pero primero, renueve su enfoque en la prevención de ciberataques.

Rick Kamal prologó una lista de consejos de ciberseguridad con algunos consejos de los anales de la historia. De la historia antigua.

El CTO de Harvard Business School invocó a Galeno, el médico griego del siglo II. Galeno fue el médico personal de varios emperadores romanos, y sus descubrimientos influyeron en la medicina, la fisiología y la anatomía durante 1.500 años. Su enseñanza sobre el mantenimiento de una buena salud era simple: una pequeña prevención puede ayudar muchísimo, explicó Kamal a una audiencia de ejecutivos de TI.

"Sí, se puede tratar una dolencia, pero lo más poderoso es tener una buena higiene y hacer las cosas correctas: hacer ejercicio, comer bien, evitar las intoxicaciones, tener amigos y familia", dijo Kamal en el Foro de Tecnología de la información y Seguridad de Argyle 2017 en Boston. "Y si hace algo así, su calidad de vida, en lugar de comenzar un declive constante después de la edad de 40 años, es bastante buena hasta los 80, y luego tiene un descenso repentino, y mueres".

Tras una carcajada, Kamal mantuvo una cara seria. La realidad es, dijo, que la mayoría de la gente no sigue el consejo de sentido común de Galeno sobre la salud. Del mismo modo, las organizaciones no toman medidas que están bajo su control para garantizar una mejor ciberseguridad: las violaciones masivas de datos en Yahoo y la agencia de informes de crédito Equifax y el hackeo encubierto en Uber hace un año eran evitables, dijo Kamal. Él enumeró una lista de consejos de prevención de ataques cibernéticos que pueden ayudar a las organizaciones a eliminar la mayoría de las amenazas.

"Hay muchos productos, muchas soluciones en el espacio de seguridad; no estoy diciendo que no las miren", dijo. "Antes de ir a buscar una solución interesante, de nicho y brillante, primero aborde la prevención. Le ayudará a avanzar 99 de cada 100 millas allí".

Un poco de trabajo, mucho beneficio

La primera medida que las compañías deben tomar para proteger sus datos de ojos maliciosos y entrometidos es "trivial", dijo Kamal: Actualice y aplique parches a su sistema operativo. También lo es el segundo: Actualice y parche sus aplicaciones.

Él contó las razones de la brecha de datos de Equifax de este año. El punto de entrada para los hackers fue Apache Struts, software de código abierto para desarrollar aplicaciones web. El equipo de Struts descubrió la vulnerabilidad, lanzó un parche y aconsejó a los usuarios del software que lo apliquen. Equifax no lo hizo, y no están solos al dejar de seguir un consejo tan simple.

"Estoy seguro de que muchos de nosotros no lo haremos de forma deliberada y diligente", dijo Kamal. Al actualizar y aplicar parches a los sistemas, "se ha librado del 60% al 70% de las vulnerabilidades".

Luego, ponga aplicaciones en la lista blanca, aconsejó Kamal, para dar a conocer las que deberían ejecutarse en sus servidores. Muchas organizaciones instalan software de detección de virus y malware, y eso está bien, dijo Kamal. Pero ese es un "enfoque de lista negra": se identifica un compromiso, se pone en cuarentena y luego se elimina. La inclusión en listas blancas es diferente.

"Es en el sistema operativo en el que dices: 'Este es mi servidor; solo espero que las aplicaciones X, Y, Z se ejecuten y los procesos A, B y C se ejecuten", dijo Kamal. "Si algo más intenta correr, simplemente no puede".

La aplicación de este enfoque, dijo, esencialmente evitaría cualquier ataque de ransomware y malware posible.

Rick Kamal, CTO de Harvard Business School, habla en el Foro de Tecnología de la Información y Seguridad de Argyle 2017 en Boston.

Mantenerlo complicado

Kamal luego mostró lo que parecía el parloteo de un niño pequeño en una pantalla: "dadada".

"Esa es la contraseña de alguien. ¿Pueden adivinar de quién es la contraseña? ¿Alguna conjetura?", preguntó Kamal. "En realidad, era de Mark Zuckerberg".

El cofundador y CEO de Facebook acuñó la contraseña después de convertirse en padre y la usó en varios sitios de redes sociales, incluidos Twitter y Pinterest, que fueron vulnerados el año pasado.

Muchas personas menos inclinadas técnicamente que Zuckerberg usan contraseñas débiles. De hecho, algunas de las principales contraseñas utilizadas en 2016 fueron "123456", "qwerty" y "111111", según un análisis realizado por la empresa de gestión de contraseñas Keeper Security. Y como Zuckerberg lo hizo, muchas personas usan las mismas contraseñas para desbloquear cuentas en múltiples sitios, como lo mostró un análisis del hackeo de Sony Pictures en 2014.

"Ahora piense en esto: Sus empleados, que están accediendo a sus sistemas sensibles, están haciendo lo mismo", dijo Kamal.

Esas prácticas permiten el relleno de credenciales, un tipo de ataque cibernético que comienza con un nombre de usuario y una contraseña robados: piense en la brecha de datos de Yahoo de tres mil millones de cuentas de correo electrónico. El ataque libera bots en una gran cantidad de sitios web e intenta iniciar sesión, probando miles de combinaciones.

"Solo tienen una tasa de éxito del 0,1%", dijo Kamal. "¿Pero, adivina qué? Punto cero por ciento de mil millones es un millón".

¿La moraleja de esta historia? Utilice contraseñas seguras, dijo Kamal. Y use las bóvedas de contraseñas o los administradores de contraseñas, software o servicios que generan, almacenan y tienen acceso a contraseñas difíciles de descifrar. Y los líderes de TI reforzarán la ciberseguridad al fomentar el uso de autenticación multifactorial, que requiere que los usuarios proporcionen varias piezas de información identificable para demostrar que tienen autorización para un sitio o servicio.

Consejo adicional

Las empresas que no sigan estos siete consejos sobre prevención de seguridad cibernética deberían "obtener cierta motivación para hacerlo, porque son simples y dará gracias por haberlo hecho", dijo Rick Kamal, CTO de Harvard Business School.

Aquellos que han implementado las medidas pueden beneficiarse de un último consejo: obtener asistencia externa. "Nos volvemos tan miopes cuando miramos nuestra propia seguridad debido a nuestra propia industria, a nuestro propio lo que sea", dijo Kamal. "Si puede traer a alguien periódicamente para que solo tome una vista de tercero de su situación, puede ser muy útil".

'Sentido común'

Luego, encripte sus datos, dijo Kamal; codifique el texto que otros puedan encontrar y usar en un formato ilegible. Muchos de los datos eliminados en la brecha de Equifax fueron encriptados pobremente o no estaban encriptados. "Y era información sensible", dijo.

Todo lo que se necesita es una configuración simple o un poco de trabajo para cifrar datos, dijo Kamal. Pero si usa claves de encriptación (bits de código diseñados para codificar y descifrar información), practique la administración adecuada de claves. "No coloque las claves junto a los datos en el mismo servidor".

Y también encripte sus claves para que, si alguien las encuentra, no se puedan usar.

Finalmente, asegure los puntos de entrada. Los puertos en los servidores que no se están utilizando deben cerrarse para evitar visitantes no deseados. Muchos no lo hacen, dijo Kamal, citando un análisis reciente que encontró que más del 80% de las principales organizaciones tienen puertos abiertos, "lo cual es como dejar las ventanas y puertas abiertas para que la gente venga y empiecen a atizarle", dijo Kamal.

Jeffrey Cunningham, director de arquitectura empresarial de Thomson Reuters en Boston, dijo que seguir los consejos de Kamal depende en parte de la cantidad de deuda técnica a la que se enfrenta una organización. Un ejemplo, dijo Cunningham, son las aplicaciones heredadas en compañías que han crecido a través de la adquisición, como lo ha hecho Thomson Reuters.

"Es más, ¿cómo lo implementas? ¿Cuánta deuda tecnológica tiene que le impida hacer esas cosas?", afirmó Cunningham. El consejo en sí mismo, señaló, es de sentido común. "Todos deben ser conscientes de sí mismos. Es decir, deben ser conscientes de lo que están haciendo y no meterse en problemas".

Este artículo se actualizó por última vez en diciembre 2017

Profundice más

PRO+

Contenido

Encuentre más contenido PRO+ y otras ofertas exclusivas para miembros, aquí.

Inicie la conversación

Envíenme notificaciones cuando otros miembros comenten sobre este artículo.

Enviando esta solicitud usted acepta recibir correos electrónicos de TechTarget y sus socios. Si usted reside afuera de Estados Unidos, esta dando autorización para que transfiramos y procesemos su información personal en Estados Unidos.Privacidad

Por favor cree un Nombre de usuario para poder comentar.

- ANUNCIOS POR GOOGLE

Close