Nuevas Tecnologías de Protección de Datos Jornada de formación del CDI de la FGUAM El día 25 de febrero de 2009 Duración 4 horas.

Presentación del tema: "Nuevas Tecnologías de Protección de Datos Jornada de formación del CDI de la FGUAM El día 25 de febrero de 2009 Duración 4 horas."— Transcripción de la presentación:

1 Nuevas Tecnologías de Protección de Datos Jornada de formación del CDI de la FGUAM El día 25 de febrero de 2009 Duración 4 horas.

2 Causas de tiempos de inactividad y de pérdida de datos Fuente: ZDNet by ADIC, octubre de 2002

3 Como garantizar la seguridad 1. Determine las necesidades empresariales críticas de su organización 2. Evalúe la subcontratación 3. Concéntrese en la rentabilidad Antes de que adquiera cualquier tecnología o firme un contrato de servicio, tenga en consideración tareas que costarán poco o nada a su empresa, tales como asegurarse de que sus equipos dispongan de confguraciones seguras, y buscar versiones gratuitas de soluciones de protección contra el spyware (como Windows Defender). A pesar de las ventajas de rentabilidad de la tecnología de seguridad mejorada, su mejor rendimiento de la inversión es el dinero que ahorrará su empresa en administración de desastres si se produce infracciones perjudiciales. Si quedasen expuestos datos de clientes, por ejemplo, tendrá que considerar lo difícil que será recuperarse de un golpe de tal magnitud a las relaciones públicas. La mejor manera de obtener un mayor presupuesto para seguridad, dicen los expertos, es exprimir al máximo el dinero asignado actualmente a la seguridad. Esto implica evaluar los sistemas de seguridad actuales y garantizar que funcionen a la máxima eficiencia posible.Windows Defender

4 Determinación de las necesidades empresariales críticas de su organización Debe evaluar su nivel de vulnerabilidad a la pérdida de datos y decidir qué solución le ofrece la protección de datos más apropiada y eficaz para su empresa. Para ello es necesario evaluar numerosas áreas, entre las que se incluyen las siguientes: Identificación de sus procesos empresariales fundamentales Tiempo y punto de recuperación óptimos Pérdida de ingresos por no poder disponer de los datos Pérdida de productividad por no poder disponer de los sistemas Costo de la restauración de los datos Pérdida de la base de datos de clientes y de proveedores Pérdida de datos del inventario Pérdida de clientes que pasan a ser clientes de la competencia

5 Factor humano El hacker norteamericano Kevin Mitnick: "Tomarse en serio a sus empleados, implicando también a los directivos, crear protocolos de actuación con normas sencillas, fáciles de recordar y cumplir, implicar a la gente, mostrándoles qué puede pasar si se dejan engañar y, sobre todo, enseñarles que está bien negarse a hacer o decir algo si no lo ven claro". Además, el experto aconseja no tirar a la basura información importante, que alguien pueda encontrar rebuscando en los contenedores; ni publicar datos en Internet, como directorios de teléfonos internos, muy valiosos para un atacante.

6 Qué ocurre cuando los datos no están protegidos El 93% de las empresas que perdieron su centro de datos durante 10 días o más debido a una catástrofe, quebraron en el plazo de un año tras el desastre. Fuente: Administración Nacional de Archivos y Registros en Washington Cerca del 40% de las medianas empresas no realizan ninguna copia de seguridad de los PC de sus usuarios finales. Gartner preferencias de almacenamiento de servidor y planes de inversión de las Empresas

7 Hardware de seguridad Comunicación Sistemas de encriptación/desencriptación de datos Cortafuegos Trusted Platform Module Restauración y integridad de datos Hardware de copias de seguridad Bloqueo de cambios Identificación de personas / limitación de acceso Sistemas biométricos Cámaras de seguridad Llaves USB y otros dispositivos tipo llave (I.e. PD ResQ)

8 Software de seguridad Firewall Programas antivirus Programas de copias de seguridad automáticas Programas de restauración de datos (unerase, creación de puntos de restauración) Programas de destrucción de datos Sistemas de encriptación/desencriptación de datos

9 Firewall Solución gratis: Deshabilitar disqueteras y reproductores de CD es importante ya que a través de estos medios, se puede tomar control del ordenador de forma sencilla. A no ser que sea absolutamente necesario, estos dispositivos deberían estar eliminados de los PCs donde trabajan los empleados. Una solución sería tener un solo ordenador con estos equipos por si hay que grabar alguna cosa. Así mismo, también sería conveniente tener bajo control las memorias USB. Cualquier dispositivo para almacenar datos puede tener virus o programas para vulnerar el sistema. Basado en hardware Si tu oficina tiene mas de 10 ordenadores, un Firewall de tipo hardware sería mas conveniente. Si nos basamos en la arquitectura para definirlo, a este tipo se le suele llamar firewall DMZ, porque se encargan de separar la red "desmilitarizada" (De Militarized Zone) o red externa donde se encuentran los equipos que dan servicio a Internet de la red local. Son equipos con un sistema operativo sobre el que corren programas de routing, firewalling, etc., eso si se le llama firmware. Basado en software Si tiene menos de 10 ordenadores con un Firewall tipo software instalado en cada ordenador sería suficiente. También depende de la importancia de la información de esos 10 ordenadores. De hecho los routers de gama media tienen capacidad de firewalling y montan microprocesadores de las características del 386. Microprocesadores luego ejecutan código, luego también "tienen software".

10 Programas antivirus Un antivirus es una aplicación o grupo de aplicaciones dedicadas a la prevención, búsqueda, detección y eliminación de programas malignos en los sistemas informáticos, como las computadoras. Un antivirus también puede contar con otras herramientas relacionadas a la seguridad como antispam, firewall, antispyware, etc. Un antivirus debe cumplir con ciertos requisitos para ser considerado efectivo y eficiente: constante actualización, protección permanente, completa base de datos de programas malignos y buena heurística. Algunos tipos de antivirus: antivirus activo, antivirus pasivo, antivirus online, antivirus offline y antivirus gratuito Otros tipos de aplicaciones "anti" son: los antispyware, los antispam, los antiintrusos (firewalls), los antipop-up, etc.

11 Antivirus más populares Kaspersky Anti-virus. Panda Security. Norton antivirus. McAfee. avast! y avast! Home AVG Anti-Virus y AVG Anti-Virus Free. BitDefender. F-Prot. F-Secure. NOD32. PC-cillin. ZoneAlarm AntiVirus. Otros: ClamXav, Comodo AntiVirus, Norman, PC Tools AntiVirus, Protector Plus, Quick Heal Antivirus, Rising AntiVirus, Sophos Anti- Virus, Windows Live OneCare, BullGuard, Cisco Security Agent.

12 5 claves para proteger tu WiFi 1. Cobertura de la señal: es interesante limitar la fuerza de la señal WiFi para que esta sólo esté disponible a corto alcance. 2. Ocultación del ESSID: este identificador de nuestra red WiFi (como los famosos WLAN_XX de Telefónica) puede ser ocultado para que los usuarios casuales no vean el nombre de la red y sea más molesto el posible acceso a la misma. 3. Cifrado WPA: aunque se ha demostrado que ningún método de cifrado es completamente seguro - sobre todo el cifrado WEP, realmente pobre - el cifrado WPA/WPA2 añade mejoras que también harán algo más complicado el proceso de posible detección de claves. 4. Cambia tu clave WiFi con frecuencia: si es posible, modificar la clave WiFi supondrá un seguro más para impedir el acceso a posibles intrusos. 5. Filtrado MAC: las direcciones MAC son identificadores únicos de cada dispositivo de red - tarjetas de red alámbricas o inalámbricas - y por tanto si activamos esta opción y listamos las direcciones MAC de nuestros dispositivos sólo ellos tendrán acceso. Un atacante tendría que averiguar las MACs permitidas para luego poder suplantarlas, de modo que esta media aumenta un poco más el nivel de protección.

13 Proteja a su empresa del robo de datos Los elementos mas atractivos para un ladrón de datos son: No se necesita estar cerca de la victima; se puede inclusive estar en otro continente. Muchas de las informaciones que se necesitan para cometer un robo de identidad, están en la web. La mayoría de las compañías mantienen una gran cantidad de información sensitiva en archivos los cuales están pobremente protegidos. Las computadoras pueden ser un punto de entrada fácil hacia tus datos, los ladrones solo necesitan encontrar un punto débil para entrar en tu sistema.

14 Navegación segura El buscador te sigue. Saber qué información guarda, por ejemplo, un buscador de Internet cada vez que lo usamos es el primer paso para tener más control sobre la propia privacidad en Internet. Por caso, las políticas de seguridad de Google aseguran que por cada búsqueda la empresa almacena en sus servidores la dirección IP asignada al usuario por su proveedor de acceso a Internet (la IP es una cifra que identifica a la PC), la fecha y hora de la búsqueda, el navegador y el sistema operativo usados, y el número de cookie ID (una identificación del navegador). Como se ve, no hay datos personales del usuario, pero Google sí identifica el navegador y, si la IP es fija, a la PC. La galletita espía. Una cookie es un archivo que muchos sitios dejan en la PC de sus visitantes, que sirve para que cuando el usuario vuelva, el navegador sea identificado. Es a través de las cookies que los sitios pueden almacenar datos sobre los hábitos de navegación de los usuarios para, por ejemplo, ajustar servicios a la medida de cada uno. Las cookies pueden bloquearse desde el navegador, pero hay que tener en cuenta que si se hace esto algunas funciones de los sitios podrán interrumpirse. ¿Publicidad? Paso. También es a partir de las cookies que muchos sitios envían publicidad personalizada. Sin embargo, es posible dejar de recibir este tipo de publicidad. Desde la opción Consumer Opt-Out del sitio de la Network Advertising Initiative se puede rechazar la publicidad personalizada de varios sitios (Yahoo!, por ejemplo); en www.google.com/privacyads.html se rechaza la de Google; y en https://choice.live.com/advertisementchoice/Default.aspx, la de Microsoft. Esa es mi historia. El buscador Google guarda un historial de todas las búsquedas que se hicieron mientras se navegó logueado a una cuenta de Google; sin importar que ello haya ocurrido desde diferentes computadoras. Entre otros datos, Google guarda la fecha y la hora de cada búsqueda, la frase o el término buscados, y los sitios que se visitaron entre los que aparecieron como resultados. Para detener el almacenamiento de estos datos, logueado en la cuenta de Google correspondiente, hay que ir, desde la página inicial del buscador, a Mi Cuenta, y allí hacer clic en Historial web. Luego, seleccionar en el borde izquierdo de la página, según lo que quiera hacerse, Detener y/o Eliminar elementos. Para evitar desde el comienzo que se cree el historial, hay que retirarle la tilde a Habilitar Historial web, en el formulario de suscripción a los servicios de Google. Los videos también. Youtube va agregando a una lista todos los videos online que se vean mientras se está logueado como usuario del sitio. Para borrar este historial (en este caso no es posible impedir que se arme), hay que ir arriba a la derecha de la pantalla, pasar el cursor por Cuenta y hacer clic en Mis videos. Se abrirá una nueva página, en ella hay que hacer clic en Historia (a la izquierda), y luego en Borrar el historial de reproducciones (arriba, al medio). Listo. Los datos quedan. Si por cualquier motivo se quiere dar de baja una cuenta de webmail, generalmente basta con llenar un breve formulario online, y la cuenta y los datos de su titular desaparecen de modo instantáneo. Sin embargo, eso no quiere decir que esos datos sean eliminados completamente. Las empresas proveedoras de servicios de webmail conservan los datos de las cuentas eliminadas en sus servidores, durante algún tiempo. Las políticas de privacidad de Yahoo! señalan que la información de las cuentas cerradas queda en sus servidores unos 90 días.

15 Consejos para proteger tu dominio 1. Bloquea tu dominio : Mantener el dominio bloqueado hace que, si se intenta una transferencia de dominio aun con un AUTH code valido, sea denegada, y esta restricción es también valida para cambios en los servidores DNS. En el panel de control que ponga a tu disposición la empresa con quien tengas registrado el dominio ha de encontrarse la opción de activar el bloqueo, buscala o pregunta por ella. 2. Activa el Whois Privacy: Muchas empresas de gestión de dominios permiten activar lo que se conoce como Whois Privacy que, básicamente, lo que significa es que a la hora de hacer un Whois a tu dominio (preguntar a una base de datos PUBLICA y accesible A CUALQUIERA que gestiona la información asociada al dominio) no obtendrán información que se pueda volver contra ti. Por ejemplo, si haces accesible a cualquiera la dirección de correo electrónico que gestiona tu dominio ¿Donde irán a parar los posibles intentos de secuestro?. Un servicio de Whois Privacy ampliamente usado es Privacy Protect. Consulta a la empresa donde tengas contratado tu dominio por esta opción. 3. Defiéndete contra ataques de tipo XSS y CSRF: El caso mencionado anteriormente de tonterias.com pudo suceder debido a un fallo de tipo CSRF en Gmail. Cualquier aplicación 2.0 basada en la web es susceptible de sufrir este tipo de vulnerabilidades, sea un webmail, sea facebook o blogger. Tanto en el caso de un ataque XSS como CSRF, el escenario necesario para hacer diana se basa en tener una sesión abierta en la aplicación que se pretende atacar y visualizar otra pagina que contenga el código malicioso. En este punto hacer notar un falso mito sobre el tema: SSL NO te defiende de este tipo de ataques, el hacer pasar tu sesión por SSL lo único que impide es que alguien consiga snifar la cookie de acceso. 4. Como primera defensa, empieza por usar una cuenta de correo para gestionar tu dominio que no sea la tuya habitual con la que gestionas otro tipo de temas. Si te planteas usar un webmail, huye de aquellos que sabes serán los que mas ojos maliciosos tienen puestos encima, como Gmail o Yahoo y dale una oportunidad a sitios como Hushmail que sustancialmente es el mismo concepto de Webmail pero tiene una vocación orientada a la privacidad / seguridad. Y finalmente la solución mas paranoica pero la 99% mas efectiva: Usa un navegador única y exclusivamente para coger el correo electrónico de la cuenta asociada a tu dominio. Como decía antes, casi todos los bugs que permiten secuestrar sesiones en webmails tienen como premisa tener una pestaña o ventana abierta en el webmail y navegar por sitios con contenido malicioso, por tanto, si empleas un navegador solo para leer esa cuenta de correo y bloqueas el resto de URLs tendrás una mas que razonable protección. ¿Como bloquear el resto de internet? Muy fácil, en las opciones de tu navegador configura un proxy inexistente que apunte, por ejemplo, a 127.0.0.1 y añade como excepción para que no pase por el proxy únicamente la web de tu webmail. Puedes usar Firefox como navegador habitual y tener configurado Chrome para acceder a Hushmail.

16 Resguarde su información (1) Desarrolle hábitos informáticos seguros Aunque las herramientas de seguridad ayudan a proteger su información personal, sus decisiones y hábitos son igualmente importantes. Estas sugerencias son un conjunto de medidas básicas que puede tomar para proteger su computadora y la información que tiene guardada en ella. Desconéctese de Internet cuando no lo esté usando Los periodos de conexión prolongados y el acceso de alta velocidad siempre contribuyen a que los hackers asalten los equipos caseros. Para disminuir la probabilidad de poner en peligro su equipo, desconéctese de Internet cuando haya terminado de utilizarlo. Habilite el uso compartido de archivos sólo cuando sea necesario El sistema operativo probablemente tiene funcionalidades de uso compartido de archivos que les permite a otros usuarios de la red tener acceso a archivos en áreas designadas de su computadora. Es una forma conveniente de colaborar con los compañeros de trabajo o de compartir archivos con los amigos. Sin embargo, también es un punto de vulnerabilidades porque puede exponer sus archivos a personas no autorizadas, y dejar el sistema abierto a troyanos y virus. Protéjase contra el robo de identidad El robo de identidad es uno de los delitos actuales de más rápido crecimiento e Internet se ha convertido en el lugar de encuentro favorito de los ladrones de identidad. Por lo tanto, debe proteger celosamente toda la información importante como su número de cuenta bancaria, claves de acceso y otros documentos de identificación personal. No entregue información vital en Internet a menos que conozca y confíe absolutamente en la persona que la solicita, y en lo posible no guarde el número de sus cuentas bancarias o tarjetas de crédito en su computadora. Abra con precaución programas descargados y archivos adjuntos del correo electrónico Muchos programas descargados de Internet parecen inofensivos, aunque puede haber problemas que acechan desde adentro. Los programas ejecutables como los protectores de pantalla y juegos pueden tener virus o mecanismos ocultos de ataque. Si no sabe quién desarrolló un programa y no confía en esa persona o empresa, no lo abra. No abra o envíe un archivo adjunto de correo electrónico de fuentes desconocidas o sospechosas, o archivos que no esperaba sin antes asegurarse con el destinatario que es un archivo seguro.

17 Resguarde su información (2) Actualice el sistema operativo y los programas de Internet Los fabricantes de los sistemas operativos, exploradores y otros programas importantes en Internet constantemente producen actualizaciones de los productos, generalmente en la presentación de parches relacionados con la seguridad. Para estar seguro que tiene las últimas actualizaciones de los programas, visite periódicamente los sitios web de sus proveedores y descargue los parches de seguridad disponibles. Realice copias de seguridad frecuentes Los hackers y autores de virus no son la única amenaza a su información personal. Los desastres naturales y la falla de equipos también pueden comprometer la seguridad de la información almacenada en su computadora casera. Entonces, prepárese contra los incendios, las inundaciones y las subidas de voltaje. Software de seguridad Se necesita un conjunto poderoso de herramientas de seguridad para proteger su computadora personal: protección antivirus para defenderse de los virus, gusanos y troyanos, un firewall personal para detener a los hackers, y un bloqueador robusto de correo electrónico para bloquear correo potencialmente peligroso. Idee contraseñas seguras Las contraseñas son las herramientas de seguridad más importantes y frecuentes que utilizamos. En consecuencia, es muy importante evitar contraseñas débiles y de fácil adivinación. También es esencial cambiarlas con frecuencia y guardarlas en un lugar seguro. Use una combinación de letras mayúsculas y minúsculas, símbolos y números. Asegúrese de que sus contraseñas tengan por lo menos ocho caracteres. Trate en lo posible de que sus contraseñas no tengan sentido y sean escogidas al azar. Use diferentes contraseñas para cada cuenta. Cambie sus contraseñas con frecuencia. Nunca anote sus contraseñas ni las entregue a nadie.