Novedades

Reunimos en una misma página todas las noticias más importantes de NextVision, incluyendo el contenido de los comunicados de prensa, artículos de Ciberseguridad, investigaciones, novedades de nuestro equipo NV y mucho más!

El camino hacia una gestión del Riesgo de Terceras Partes

NextVision

0

Hoy en día, ninguna organización puede realizar su trabajo y operar sin la colaboración de terceras partes, bien sean estos proveedores, consultores, socios, en general colaboradores de cualquier índole. Y aquí es precisamente dónde debemos poner especial atención.

Efectivamente, las empresas u organismos públicos y privados funcionan gracias a un cierto grado de dependencia en los servicios que se externalizan. La decisión de contratar los servicios se puede deber a diversas razones, pero conceptualmente esto se suele hacer para mejorar la eficiencia y/o coste de determinadas actividades que por sus características son susceptibles de ser subcontratadas. Esta situación de subcontratación o externalización no significa que la responsabilidad sobre los riesgos a los que están expuestas dichas actividades se transfieran de igual manera, la responsabilidad sobre los mismos sigue estando en la empresa, y en particular hablando de riesgos de seguridad de la información, la responsabilidad sobre los datos y sistemas gestionados por un tercero sigue siendo absolutamente nuestra.

La transformación digital ha acelerado la integración con proveedores, generando un desafío muy importante, ya que nos encontramos frente a potenciales brechas en organizaciones que no gestionamos pero que pueden, sin embargo, causarnos un impacto negativo como consecuencia de un incidente. Según Gartner más del 55% de los presupuestos de TI se los llevan los servicios y tecnologías contratados a terceras partes. No obstante, no parece ser que las organizaciones estén invirtiendo en la misma proporción en la gestión de los potenciales riesgos provenientes de los suministradores de servicios.

Y no debemos olvidar a los reguladores. Como es sabido, cada vez más están considerando a los terceros como un factor determinante en el ciberriesgo. Podríamos decir, sin temor a equivocarnos, que todas las regulaciones del ámbito de la seguridad de la información incluyen la gestión de riesgos de terceras partes como un requisito a cumplir por las entidades reguladas, de igual manera que ya lo venían haciendo los distintos estándares, guías, recomendaciones y marcos de control.

La cuestión, entonces, es dilucidar cómo instrumentar un programa eficaz de gestión de terceras partes. Y no es un desafío menor, dado que uno de los factores más relevantes es que las organizaciones aún no tienen un proceso coherente para identificar, monitorizar, y analizar los múltiples riesgos provenientes de terceros.

Efectivamente, encontramos que no hay un proceso de análisis para diferenciar los distintos niveles de riesgo entre proveedores de diferentes servicios, los que tienen diferente criticidad y potencial impacto sobre nuestra organización. En consecuencia, deberíamos determinar en primer lugar el riesgo inherente del servicio a contratar. Incluso es conveniente hacerlo antes de haberse lanzado el proceso de búsqueda de proveedores. Esto nos permitirá segmentar los distintos servicios, con criterios del estilo:

  • Sin acceso a datos y sistemas.
  • Con acceso a datos no sensibles.
  • Servicios importantes con accesos a los sistemas.
  • Servicios críticos para el negocio que pueden ocasionar su disrupción. 
  • Otros.

Cuando analizamos el servicio en el que involucraremos terceras partes (incluyendo a filiales de nuestra propia organización) debemos estipular qué tipo de daño podrían ocasionarnos, por ejemplo:

  • Filtración de Información Propietaria.
  • Información financiera de clientes.
  • Datos de carácter personal.
  • Información estratégica.
  • Otros datos.

Y entonces debemos pensar en las potenciales consecuencias para la organización: 

  • Daño reputacional.
  • Impacto económico o financiero.
  • Penalizaciones de los reguladores.
  • Interrupción del negocio.
  •  Otras

En función de todos estos factores podremos determinar los servicios que tienen mayor impacto en la ciberseguridad de nuestra organización y qué presupuesto se asignará a evaluar a los proveedores de cada una de las prestaciones, según su criticidad.

Una vez identificados los factores críticos y su relación con las terceras partes, podemos comenzar a evaluar los riesgos asociados a éstas. Actualmente, cuando se evalúan proveedores, en muchos casos se ejecuta de forma periódica (anual, semestral, cuatrimestral.) y en consecuencia la información obtenida queda rápidamente desactualizada. Sabemos muy bien que, en el ecosistema de nuestras terceras partes, al igual que en el nuestro, surgen continuamente nuevas amenazas y vulnerabilidades, así como cambios en su postura de seguridad. Si no realizamos análisis continuos no podremos nunca mantener actualizada nuestra valoración del riesgo asociado a estos terceros. De hecho, la mayoría de las veces no podremos enterarnos de un incidente hasta que el proveedor decide alertarnos o se ha hecho público y en ese intervalo, un ciberataque proveniente de dicho incidente podría haberse materializado en nuestra organización. Por el contrario, disponiendo de información adecuada, monitorizando a los proveedores críticos y evaluando en proporción a la criticidad del servicio prestado, tendremos la oportunidad de reaccionar y mitigar a tiempo potenciales incidentes.

Ante este escenario, consideramos que la monitorización continua es un proceso que debe incorporarse en la gestión del riesgo de terceros. De hecho, según diversas encuestas, es sabido que la mayoría de las grandes organizaciones carecen de un proceso que permita obtener información en tiempo real sobre problemas o incidentes críticos en nuestras terceras partes.

Yendo un paso más allá, disponer de procesos y recursos dedicados al Vendor Risk Management ha de ser el objetivo a cubrir por cualquier organización de un determinado tamaño. Y durante este proceso pueda evaluarse el impacto que tiene el servicio y el proveedor en la ciberseguridad.

A lo largo del camino hacia un modelo más maduro de gestión de proveedores, podemos incorporar medidas adicionales, tales como el diseño de los controles, métodos de reporting y monitorización de procesos específicos. Incluso, deberíamos exigir a nuestras terceras partes que hicieran esto mismo con sus propias subcontratas. Estos son potencialmente sujetos de los mismos riesgos.

A partir de este punto, establecer el proceso de seguimiento y colaboración con nuestros proveedores, definir KPIs, y pactar con ellos qué información deben suministrar. Y acordar cómo será la cooperación mutua durante el proceso de mitigación de riesgos o remediación de una eventual brecha. Asimismo, esta cooperación les pueda facilitar a nuestros proveedores la monitorización de las subcontratas o cuartas partes. 

Dentro de los procesos comentados, la utilización de plataformas va a facilitarnos una gestión mucho más óptima del riesgo de terceros. Podemos puntualizar como recomendable que el servicio disponga de:

  • Monitorización continua de proveedores con una plataforma de Scoring, potente y continuamente actualizada, con baja tasa de falsos positivos.
  • Segmentación por servicios, riesgo, grupos a los proveedores.
  • Evaluación del cumplimiento de las normativas.
  • Emisión de alertas ante brechas o amenazas emergentes.
  • Integración de los terceros para facilitarles su proceso de mejora.
  • Disposición de cuestionarios para agilizar el proceso de due diligence , permitiendo a nuestra organización el envío, gestión y revisión de cuestionarios a gran escala.
  • Integración entre scoring y cuestionarios, que permita utilizar la información de la huella digital del vendor como evidencia de que su respuesta a los cuestionarios es o no coherente con las vulnerabilidades detectadas.
  • Cibervigilancia de terceras partes que permita identificar potenciales amenazas contra estos o incluso incidentes no reportados.

Concluyendo, la criticidad de las terceras partes y su impacto en el ciberriesgo ya es un hecho que no puede soslayarse. Debemos coordinar acciones, procesos e implementar plataformas que nos lleven a disponer de un programa maduro de Gestión de Riesgos de Terceras Partes.

Asistimos como ponentes al ISMS FORUM Regional de Barcelona para presentar el caso de éxito de la agencia de la ONU “UNICC” junto a SecurityScorecard

NextVision

0

El pasado 18 de marzo participamos en el II Foro Regional de Barcelona organizado por ISMS Forum. Estos foros regionales permiten que las empresas dedicadas al ámbito de la ciberseguridad, tengan un espacio en el que puedan explicar los procesos y las acciones que se desarrollan para afrontar las vulnerabilidades que presenta hoy en día la red en la que todos nos conectamos. Un terreno peligroso con un especial foco en aquellas empresas que puedan poseer información de interés para los ciberdelincuentes.

 

¿Cuál fue la temática principal de nuestra intervención?

Asistimos de manera virtual como ponentes en colaboración con Alejandro Bustos, Information Security Analyst de UNICC (agencia de las Naciones Unidas), quien nos acompañó en esta ocasión para exponer el “caso de éxito” presentado por NextVision junto a SecurityScorecard.

 

La base de nuestra ponencia giró en torno al potencial riesgo de sufrir un ataque aprovechando los puntos débiles de las empresas, por ello es de vital importancia cooperar en la prevención de incidentes, como indicaba nuestro CEO, Roberto Heker. El inicio de nuestra labor se centra en detectar, identificar y clasificar esas detecciones que pueden suponer un serio problema para una organización de cualquier índole.

 

Como bien comentaba nuestro compañero Alejandro: “la huella digital, si nosotros la vemos, también nuestros adversarios la ven” y ese es nuestro punto de partida para empezar a trabajar mano a mano con SecurityScorecard.

 

¿Por qué elegir la plataforma de rating SecurityScorecard? 

Actualmente es la solución líder a nivel mundial de plataformas de scoring y ofrece beneficios dirigidos a reducir puntos débiles y generar confianza en sus organizaciones partner. Además, entre otras de sus muchas ventajas, nos encontramos ante una plataforma especialmente intuitiva y que ofrece muy buena integración con sistemas de ticketing o ITSM; o plataformas como ServiceNow por ejemplo.

 

¿Cómo podríamos definir las mejoras en la gestión de ciberseguridad desde la incorporación de SecurityScorecard?

Tal y como comentamos con Alejandro, en el día a día se presentan muchos puntos de inflexión o pequeños factores de riesgo: un puerto expuesto, un parámetro a expensas de configurar en un website, una actualización que no se haya parcheado a tiempo, un sistema operativo que esté en “end of life”…Y es que solo hace falta un único punto de débil entre miles y miles de activos para ser víctimas de un ataque. 

 

Para afrontar este riesgo, contamos con SecurityScorecard que nos ayuda de manera proactiva y preventiva a reducir los puntos débiles en los que “podemos fallar” (es decir, aquellos que nosotros mismos podemos parchear y arreglar) de manera que les compliquemos un poco más a nuestros adversarios, ya que si estos conocen nuestras debilidades, tienen mucho ganado en un posible ataque.

Esta solución que presentamos forma parte de nuestro servicio actual: VRM (Vendor Risk Management). Si quieres ampliar información sobre el mismo y ver de qué manera podría ayudarte a reducir tus riesgos empresariales en cuanto a los datos que alberga la organización, puedes descargarte nuestro E-book explicativo en el siguiente enlace: https://nextvision.es/ebook-vrm/

Como conclusión de esta interesante charla con Alejandro: “Con SecurityScoreCard intentaremos hacer que sea más difícil que nos puedan vencer”.

Ciberataque Ransomware en despachos profesionales: pautas para protegernos

NextVision

0

En la sociedad hiperconectada en la que vivimos, se producen ciberataques todos los días. Varios de ellos son graves y pueden acabar con la infraestructura digital de una empresa. Es el caso del ataque de Ransomware que sufrieron multitud de despachos profesionales hace dos semanas en Lleida, España.

 

En dicho ciberataque se encriptaron valiosos datos de gestorías, asesorías y otras empresas. Es decir, se secuestraron miles de archivos de dichos negocios gracias a un ciberataque a Esofitec, distribuidora leridana de servidores cloud.

 

¿Qué significa esto? Que el ataque fue perpetrado a un proveedor de servidores, y trajo como consecuencia la afectación de cientos de clientes que hacen uso de ellos para el almacenamiento de información crítica. Hoy en día, son cada vez más crecientes los ciberataques que sufren las organizaciones a través de brechas de seguridad de sus terceras partes.

 

A pesar de que la empresa ya se ha puesto manos a la obra para recuperar los datos, los hackers responsables de este ciberataque han pedido una cuantiosa recompensa por devolverlos. Las empresas afectadas se han empezado a organizar para comenzar el proceso legal por los perjuicios sufridos.

 

¿En qué consiste un ciberataque Ransomware?

Un ransomware es un ciberataque cuyo objetivo es el de “secuestrar” un dispositivo. Es decir, el ciberdelincuente bloquea el acceso al dispositivo a su legítimo dueño, y pide un rescate por reestablecer dicho acceso.

 

Este tipo de ciberataques no son una novedad. De hecho, hace unos meses hablábamos del ransomware Sodinokibi, que tuvo un impacto global, aunque no afectó a servicios críticos. Y, como expertos, hemos desarrollado una guía ransomware que puedes descargarte para profundizar más en esta materia.

 

Lo que ha llamado mucho la atención del caso de Esofitec es que ha sido un ciberataque dentro de la nube. Ha sido un ataque enfocado en pymes y solo posible a través de una brecha en una tercera parte, en este caso el proveedor de servidores. Este tipo de incidentes ponen de relieve la necesidad de realizar un análisis de riesgos sobre el impacto que puede provocar también un tercero.

 

Desde hace años se utilizan los servidores cloud en multitud de empresas precisamente como una forma de evitar ataques a dispositivos físicos. Sin embargo, a principios del año pasado ya empezaban a salir a la luz investigaciones que mostraban una mayor sofisticación de este malware. Y también un nuevo objetivo: la nube. Atacar la nube significa una oportunidad de llegar a más víctimas.

 

¿Cómo protegernos de un ransomware?

El caso de leida ha dado mucho que hablar por las graves consecuencias que ha tenido. No obstante, noticias así nos hacen revisar y replantear la seguridad de nuestros archivos.

Hay algunas acciones que podemos llevar a cabo para estar preparados ante un ataque ransomware, incluso si se produce en la nube.

1.   Concienciación respecto a correos sospechosos

El principal medio por el que se producen este tipo de ataques es el correo electrónico. Lo primero es que todo el mundo tenga esta información para que se puedan prevenir los ataques. Monitorizar correos sospechosos y no ejecutar archivos contenidos en esos correos son acciones básicas que todo usuario ha de considerar.

2.   Copias de seguridad

Tener varios backups de datos siempre es una buena manera de estar prevenidos. Estas copias han de ser ubicadas en servidores distintos (incluyendo servidores locales para no depender enteramente de la nube), tener incorporadas distintos métodos de autenticación y en distintas localizaciones. Si el ataque se produce en uno de los servidores, podemos seguir accediendo a  los datos en las copias de seguridad.

3.   Autenticación en dos pasos

En cuanto a los métodos de autenticación, es más seguro usar aquellos que necesitan de dos pasos. Es decir, que no solo dependan de una contraseña para poder acceder a los datos. Mensajes SMS, métodos biométricos, aplicaciones específicas, etc.

4.   Protocolo de respuesta

La concienciación sobre este tipo de ataques no solo pasa por un conocimiento general. Las empresas que dependan de una infraestructura digital necesitan tener un protocolo específico para este tipo de situaciones. Un protocolo dedicado a detectar, paliar y compensar de alguna manera el ataque, si es que este no se puede evitar finalmente.

 

Hay una sofisticación de los ciberataques según evolucionan también los procesos de seguridad informática. Es importante que las empresas se mantengan al día con este tipo de noticias para poder actualizar sus protocolos de respuesta; y también que gestionen los riesgos a partir de una definición y priorización de proyectos. Incluyendo en estas consideraciones la monitorización de proveedores, pues, como hemos visto, pueden ser una fuente de brechas de seguridad.

 

Para alinear estas prioridades con las inversiones y con los objetivos estratégicos de las empresas, en NextVision ofrecemos un servicio de consultoría de Plan Director diseñado para cubrir estas necesidades. Por otra parte, ya que multitud de empresas no cuentan con un CISO (Chief Information Security Officer) dentro de su estructura, también contamos con el servicio de CISO as a service. Y por supuesto que es importante contar con una buena gestión del ciberriesgo de terceras partes. En este sentido, podemos colaborar con nuestro servicio NV Vendor Risk Management.

 

Contáctanos para saber más sobre estos servicios a medida y sobre cómo podemos ayudarte en la seguridad digital de tu empresa.