28 abril 2010

Lectura: "Alicia en el País de las Maravillas"

Pues sí, aunque parezca mentira ha sido mi última lectura. Básicamente, por dos motivos. Primero porque no lo había leído [sí, sí, había visto la película de Disney pero no había leído la obra]. Y tengo que reconocer que me ha gustado, la he leído de un plumazo y me he divertido. No lo puedo remediar, me encantan los juegos de palabras [os recomiendo su lectura en inglés], las referencias a sucesos externos de una manera más o menos velada y los razonamientos falaces. Y el libro está repleto de ellos.

Y segundo, porque una mañana hace unos pocos días [afeitándome, que es cuando me pasan estas cosas], me dí cuenta que hay momentos en la vida (tanto personales, como profesionales) que son, a todos los efectos, como un viaje al País de las Maravillas:
  • Hay un conejo blanco, que despierta tu curiosidad y te atrae de manera irremediable a la madriguera de entrada al País.
  • Durante un tiempo [lo que dura una siesta, y yo soy muy dormilón], vives experiencias increíbles, alucinantes, diferentes a todo lo que has vivido hasta ese momento.
  • Cuando despiertas, te das cuenta, de que todo ha sido una ilusión y que aquello fue solo un espejismo, el producto de tu imaginación, de tu inocencia.
En definitiva, lo he leído porque, ya que tenía la sensación de haber realizado un viaje a un País de las Maravillas, quería conocer en detalle cuál había sido el viaje de Alicia.

09 abril 2010

2ª Edición del Curso de Analista de Riesgos en Seguridad de la Información del ISMS Forum

No sé si lo sabréis, pero el próximo 19 de abril se inicia la Segunda Edición del curso intensivo que organiza el ISMS Forum Spain sobre Análisis de Riesgos en Seguridad de la Información.

Os lo digo porque acabo de recibir un correo de los organizadores diciendo que quedan sólo 2 vacantes y creo que es un curso que merece la pena (no porque yo esté entre los que lo imparten... ;-), qué también) sino por quién lo organiza, por el resto de profesores (todos/as ellos/as con mucha, muchísima experiencia) y por el enfoque práctico y nada dogmático del mismo (vamos, desde el sufrimiento de todos los que hemos lidiado con un análisis de riesgos).

Si estáis interesados, solo tenéis que mandar una carta de motivación y un breve CV a formacion@ismsforum.es que  confirmará la admisión a través de un correo electrónico, e incluirá las instrucciones para realizar el pago de la matrícula.

Espero veros por allí... ¡¡animaros!!

Actualización: Los alumnos han decidido que sea el profesor mejor valorado... gracias a todos y en especial a Adolfo, ya sabes que el mérito es compartido, ¿verdad?

28 marzo 2010

Lectura: Schneier on Security

Tengo que reconocer que me ha costado un poco... leerlo, me refiero. Supongo que debido al hecho de que se trata "simplemente" de una recopilación de ensayos y textos ya publicados, bien en el blog de Bruce o en otros medios. De hecho, el libro te sirve sobre todo para leer artículos "antiguos" porque los más recientes ya los hemos podido leer en su blog, principalmente.

De todas formas leer (o releer) las reflexiones de Bruce siempre está bien porque te hacen pensar sobre la seguridad y sobre todo el por qué de la no-seguridad.

Algunos de las citas que me gustaría compartir con vosotros (traducidas al castellano, claro):

"La seguridad es un intercambio [...] El terrorismo no es diferente. Necesitamos sopesar cada contramedida de seguridad. ¿Merece la pena el coste de la seguridad adicional respecto a los riesgos? ¿Son estas cosas en las mejores en las que gastarnos el dinero?
"La lección es clara (para el ámbito de la privacidad desde el mundo de las tarjetas): Hacer a la parte en la mejor posición para mitigar el riesgo, responsable de dicho riesgo"
"La seguridad debe ser evaluada no basándose en cómo funciona, sino en ćomo falla"


Y artículos que HAY que leer:
  • "Sitios web, contraseñas y clientes", publicado en IEEE Security and Privacy, julio/agosto 2004.
  • "Una mentalidad de seguridad", publicado en Wired, marzo 2008.
  • "Seguridad de una planta química y las externalidades", publicado en Wired, octubre 2007.
  • "Usuarios domésticos: Un problema de Salud Pública", publicado en Information Security, septiembre  2007.
  • "Separando la propiedad de los datos y la propiedad de los dispositivos", publicado en Wired, 30 de noviembre de 2006.
  • "Combatiendo el spam", publicado en Crypto-Gram, 15 de mayo de 2005.
En resumen, un buen compendio de textos sobre seguridad de la información para aquellos que están interesados en esta temática.

26 marzo 2010

¿Aplica PCI DSS a los emisores de tarjetas?

Esta es una de las preguntas más recurrentes de un tiempo a esta parte en relación con el estándar PCI-DSS (ya sabéis, ese en el que se han puesto de acuerdo todas las marcas para volvernos locos a todos... es broma, para elevar el nivel de protección de los datos de tarjetas).

Para abordar la respuesta correctamente, hemos de matizar algunos puntos antes de entrar a responder abiertamente a la cuestión:
  1. Como sabéis los que estáis familiarizados con este tema, el PCI Council se "limita" a velar por el estándar y a hacer que los que somos QSA / ASV hagamos bien nuestro trabajo (formación, registro, control de calidad...) pero corresponde a las marcas de tarjeta determinar el modelo de cumplimiento.
  2. Las marcas que operan de manera indirecta (VISA y MASTERCARD, que son las que emiten y admiten tarjetas a través de entidades financieras, puesto que el resto de marcas tiene relación directa con poseedores de tarjeta y comercios que las aceptan) han decidido que, aunque todas las organizaciones tienen que cumplir con el estándar, las entidades que forman parte de ellas, no tienen porque demostrar el cumplimiento (es decir, tienen que cumplir pero no tienen que auditarse).
  3. El estándar no distingue en ningún sitio entre operativa emisora y operativa adquirente (es decir, cuando pagamos en un comercio). Simplemente dice que todos aquellos sistemas que almacenen, procesen o transmitan datos de titulares de tarjeta  se considera que están dentro del alcance.
  4. El estándar prohíbe de manera clara y expresa el almacenamiento de los datos de autenticación sensibles (CAV2/CVC2/CVV2/CID, PIN/PIN block o banda magnética completa) después de la autorización (incluso aunque se cifren) [ya sabéis que no se encriptan].
En mi opinión, es este último aspecto el que nos ha llevado a todos a tener dudas sobre la aplicación del estándar a la operativa emisora, puesto que la autorización es una etapa de la operativa merchant. Esto y el hecho de que en los cursos de preparación como QSA te explican detalladamente la operativa merchant y nada la operativa de emisión.
Pero, en cualquier caso, si leemos exactamente lo que nos dicen no encontramos ningún lugar en el que se nos diga si el estándar aplica o no a la operativa emisora, al contrario, dado que el emisor almacena datos de titulares de tarjeta debería de considerarse incluido en el alcance.

Esto nos deja otra disyuntiva: ¿Cómo voy a cumplir con el estándar si tengo que almacenar datos de autenticación sensibles que, en teoría, están prohibidos? Pues bien, para esto he encontrado la respuesta en la sección de preguntas frecuentes de la web del Council correspondiente al estándar PCI DSS (con ID #9575). En resumen, lo que el Council nos viene a decir es que se pueden almacenar esos datos en el caso de operativa emisora puesto que es imprescindible para el funcionamiento del negocio, pero que el resto de requerimientos del estándar siguen siendo de aplicación. Vamos que la operativa emisora NO está fuera del alcance...

Corolario: Si consideramos el supuesto de un proveedor de servicios, la única diferencia es que tendría que auditarse, puesto que que no es una entidad financiera y por tanto, debe demostrar el cumplimiento aunque podría almacenar los datos de autenticación puesto que la excepción, según el Council, aplica a aquellas entidades que realizan, facilitan o prestan soporte a los servicios de emisión.

Actualización: Presentación en prezi

Más información | PCI Council
En Carpe Diem | Etiqueta PCI-DSS

24 marzo 2010

ISO 27001 vs Esquema Nacional de Seguridad

Me llegaba a través de ISO27000.es un artículo de Manuel Díaz en Estrategia Magazine en el que reflexiona sobre la posible evolución del estándar ISO hacia una norma de obligado cumplimiento.

Lo que me ha llamado la atención del artículo ha sido el hecho de descubrir que en algunos países de Latinoamericana (en concreto, Perú y Colombia), los Gobiernos han tomado la determinación de hacer que esta familia de estándares sea de obligado cumplimiento:
  • Para la Administración Pública en el caso de Perú
  • Para sectores concretos en Colombia
Y me ha llamado la atención por la diferencia de enfoque con lo que hemos hecho aquí. Me explico: Hace unas semanas veía la luz el Esquema Nacional de Seguridad como norma de seguridad a aplicar en la Administración Pública que, en lugar de centrarse en determinar cuales deberían ser las medidas a aplicar en los distintos sistemas utilizados por la Administración o, al menos, unos criterios objetivos para el análisis de riesgos, ha  creado  una especie de ISO paralela que deja a criterio del que lo aplica la determinación exacta de medidas a aplicar en función de un análisis de riesgos.

¿No habría sido más fácil remitir a la norma para la aplicación de un SGSI? ¿Por qué hemos empleado recursos en desarrollar algo que ya estaba desarrollado? ¿No habría sido más efectivo centrarnos en realizar análisis de riesgos "tipo" para los distintos sistemas y determinar las medidas de seguridad para cada uno de esos "tipos"?

22 marzo 2010

Yo estuve en la RootedCON 2010

Después de 3 días inmerso en el Congreso [sin WiFi, "aquello era Vietnam"] y con un poco de tiempo para haber reposado la experiencia, quería transmitir mi más sincera enhorabuena a los organizadores de la RootedCON 2010. ¿Por qué? Muy sencillo:
  • Por la idea: Un congreso como el que hemos vivido era necesario.
  • Por la capacidad de convocatoria: No recuerdo otro congreso en el que haya asistido tanta gente con los medios tan justitos de promoción que existían.
  • Por la cobertura lograda: Varias televisiones se han hecho eco en sus telediarios (¡prime time!)
  • Por la selección de las ponencias: No se han limitado en las profundamente técnicas, sino que han abierto el abanico para cubrir la seguridad en general [en esta estoy especialmente agradecido porque ha significado que mi presencia tuviera lugar... ;-) ].
  • Por la frescura: Han conseguido que no fuera un congreso "enlatado", han manejado los problemas con simpatía y sinceridad y dejando a un lado el excesivo formalismo de este tipo de eventos.
En definitiva, que aunque haya cosas que se puedan mejorar (quizás organización de ponencias por temáticas, proceso de registro - ahora ya saben todos los que somos, quizás la logística...) pueden estar orgullosos para ser el primer RootedCON. Ahora bien, han de saber que han puesto el listón muy alto para la #rooted2011...

¡Enhorabuena!

Actualización: Subida la presentación a slideshare...

19 marzo 2010

Aprender a hacer mejor preguntas

Para los que me sigáis un poco, sabéis que una de mis preocupaciones constantes es cómo ser un buen jefe. Por eso, quería compartir con vosotros el post de John Baldoni en el blog The Conversation - Harvard Business Review que lleva el mismo título que éste.

Según John, todos los líderes tienen algo en común: la necesidad de conectar honestamente con los demás. Y para ello, John propone realizar "buenas" preguntas, lo que se traduce en ciertas actitudes:
  • Ser curioso
  • Ser claros sobre la finalidad (cómo, por qué, cuándo)
  • Demostrar compromiso
  • Ser profundo
¿Qué opináis? ¿Os parece importante?

Vía | The Conversation - Harvard Business Review
En Carpe Diem | Estilos de dirección. ¿Cómo ser un buen jefe?, Sugerencias para ser un buen jefe

17 marzo 2010

¿Deberían cobrar las operadoras a Google y similares?

Perdonar por este post un poco [bastante] offtopic y, si me apuras, hasta a destiempo...

Estaba yo pensando, ya sabéis, sobre las declaraciones de Alierta al respecto y he llegado a la conclusión de que sí....de que los operadores deberían cobrar a Google y compañía.

No, no, no alucinéis. Lo que me ha convencido ha sido el argumento de que, dado que Google hace negocio usando "sus" infraestructuras es lógico que las operadoras le cobren de alguna forma. Y os preguntaréis por qué. Pues muy sencillo, porque he seguido aplicando el razonamiento y he llegado a una conclusión que me ha gustado... la comparto con vosotros para escuchar vuestra opinión: Dado que la operadora hace negocio con los usuarios que visitan mi blog, me siguen en twitter o ven mis fotos en Picasa [no es mucho, ya sé, pero oye, algo es...] lo suyo es que las operadoras me paguen de alguna forma por el tráfico que les genero, ¿no?

¿Qué os parece el razonamiento? ¿Justo? ¿Falaz?


15 marzo 2010

¿Dudas sobre seguridad? (o formspring.me)

Vi hace unos días una iniciativa interesante de Security by Default por la que se ofrecían para contestar a las preguntas que sus lectores les hicieran utilizando un "nuevo" servicio denominado formspring.me.

Básicamente este servicio permite a los usuarios que se dan de alta, recibir preguntas y contestarlas utilizando una sencilla interfaz...

Pues bien, como podéis ver por el gadget de la barra lateral, también yo me he apuntado a la iniciativa, así que no os cortéis, podéis hacerme todas las preguntas que deseéis [espero ser capaz de responderlas]: formspring.me/sorani.

Animaros...

14 marzo 2010

La evolución de la seguridad de la información en el Sector Público

Acabo de leer en GCN un artículo que reflexiona sobre algunas de las conclusiones de una encuesta realizada por ISC(2) durante los pasados meses de diciembre y enero. Según esta encuesta, el Gobierno Federal de los EE.UU. puede ser un refugio para los profesionales de la seguridad de la información gracias al mantenimiento, o incluso crecimiento, de sus presupuestos destinados a la seguridad. En concreto:
  • Un 44% han visto incrementados sus presupuestos respecto al 2008, frente al 40% que los han visto reducirse.
  • Respecto a la evolución del presupuesto para 2010 se espera así: 52% - mantenimiento, 28% - reducción y 20% - incremento.
  • En cuanto a las contrataciones (sobre un total de 175), un 58% espera contratar personal de seguridad, destacando el hecho de que un 14% (es decir, 25) esperan contratar 10 ó más personas.
Me ha parecido interesante comentarlo por varias cuestiones. En primer lugar, por la gran diferencia con la situación española donde la reducción es generalizada en todos los estamentos de la Administración Pública (nacional, regional y local). En segundo lugar, porque se comenta la evolución de los perfiles solicitados, dándose cada vez mayor importancia a la monitorización continua y la evaluación de riesgos frente a las certificaciones.

Y finalmente, y no por ello menos importante, porque esta situación me sugiere una reflexión como proveedor de servicios de seguridad:
  • ¿Qué ocurre con el sector privado si el sector público sigue creciendo?
  • ¿Quedarán las empresas sólo para dar servicio al sector privado?
  • ¿Deben conformarse las empresas privadas con actuar como cantera del sector público? Si es así, ¿qué incentivos tendrían las empresas para formar a esos profesionales?
  • ¿Os imagináis que incluso alguna de estas agencias públicas se dedicará a dar servicio al resto del sector público? [Que conste que no me considero un liberal radical que apueste por la reducción del sector público a su mínima expresión... nada más lejos de la realidad]
Se admiten comentarios...


11 marzo 2010

¿Acabará el Cloud Computing con la industria de seguridad?

Según Seth Godin, el Axioma Wordperfect establece que "Cuando la plataforma cambia, el líder cambia". Y la verdad es que hay unos cuantos ejemplos: plataformas de videojuegos, música, libros...

Recordando las previsiones de Gartner sobre el futuro de los departamentos de TI, ¿pensáis que el Cloud Computing acabará con los proveedores de servicios de seguridad? ¿Será el cloud computing la killer application de la industria de seguridad?

Se admiten comentarios, puntos de vista, opiniones...

10 marzo 2010

Ciberataques contra PYMEs

Uno de los retos principales con los que me he enfrentado en mi vida profesional ha sido el de intentar llevar servicios de seguridad "avanzados" (algo más que firewalls y antivirus) al mundo de las PYMEs. Y digo que ha sido uno de mis retos principales porque no he tenido demasiado suerte.

¿Los motivos? Normalmente porque los responsables / dueños de esas PYMEs hacen su análisis de riesgos [de cabeza] y te espetan: "Pero... ¿quién va a estar interesado en atacarnos a nosotros?". Vamos, que consideran que la probabilidad de que pase algo es tan baja que no le sale a cuenta la medida de seguridad que propones para el nivel de riesgo resultante.

Pues bien, parece que eso está cambiando y que va a haber que replantearse la posibilidad de que pequeñas empresas sean objetivo de ciberataques. ¿Por qué lo digo? Pues, por la noticia que leo en SANS de que PYMEs irlandesas han notificado recientemente que han sido objeto de ciber-extorsiones con un mecanismo muy sencillo y poco innovador: su datos habían sido cifrados por los secuestradores que les han pedido un "rescate" por la clave de cifrado... os suena, ¿verdad? Además, lo "hábil" de estos tipos es que previamente ya se habían encargado de inutilizar el sistema de copias de respaldo [y por supuesto, nadie se había dado cuenta, porque nadie lo estaba monitorizando, claro...].
Es cierto que el rescate no es muy alto, 700$, pero lo indudable es que cambia radicalmente el escenario... ¿cambiarán las PYMEs sus planteamientos para enfrentar este nuevo escenario?

Ya veremos... Ya os contaré.

Más información | Silicon Republic y The Independent

24 febrero 2010

Juego limpio

Aunque yo no voy a estar en la RSA Conference, me sumo al deseo de Will Gragido en Cassandra Security (al que llegué gracias a @lostinsecurity por cierto) pero no solo con carácter temporal, sino con carácter general:
  1. Si no puedes decir algo agradable no digas nada en absoluto.
  2. Incluso cuando sabes que sabes más o tienes más experiencia, no impidas que otros aprendan; es una falta de consideración
  3. Haz más bien que daño
En definitiva, tratarnos con respecto nos ayudará a compartir nuestras ideas y nuestras experiencias de una forma más provechosa para todos...

20 febrero 2010

Los secretos del desarrollo del liderazgo en las mejores compañías

Este es el título del artículo publicado por Norm Smallwood hace unos días en uno de los blogs de la Harvard Business Review. En dicho artículo se resumen los resultados del estudio que realizan cada 2 años, RBL Group y Hewitt sobre aquellas compañías que han demostrado ir más allá en el desarrollo de nuevos líderes como vía para garantizarse el futuro.

Lo que me ha llamado la atención del estudio es que, según los autores, hay 6 elementos que se repiten en esas compañías que mejor han desarrollado el liderazgo de sus empleados:
  1. La gestión del talento se realiza de manera centralizada.
  2. La involucración de la Alta Dirección.
  3. La selección de los mejores talentos y el desarrollo del resto junto con la exposición de esas personas a experiencias que les permitan desarrollarse.
  4. Hacer foco en el desarrollo del liderazgo como un elemento estratégico.
  5. Construir líderes y desarrollar una cultura de integración y oportunidad.
  6. Crear valor para los grupos de interés internos y externos.
Por mi propia experiencia, creo que resumen en muy pocos elementos los factores clave que marcan la capacidad de una organización de desarrollar verdaderos líderes que garanticen la continuidad de dicha organización en las mejores condiciones.

Además, estos elementos se convierten en esenciales cuando nos movemos en un entorno de pequeñas y medianas empresas (y sobre todo si son familiares).


13 febrero 2010

A vueltas con las Políticas de Seguridad y la propiedad intelectual

Gracias a Raúl y @fodor, llegué a esté artículo de Rosabeth Moss Kanter acerca de los problemas de controlar el flujo de información cuando lidiamos con "trabajadores del conocimiento".

Con este artículo me ha pasado eso que pasa algunas veces: Que hay cosas que, no dejando de ser triviales, al verlas escritas negro sobre blanco, tienen un impacto revelador sobre la conciencia. Algunos ejemplos:
  • "No podemos saber lo que saben [los trabajadores]. Solo podemos esperar que elijan compartirlo con nosotros".
  • "¿Qué ocurre si sus pensamientos se convierten en ideas útiles fuera del horario laboral y fuera de las instalaciones sin ningún elemento de la compañía implicado? Por otra parte, si la gente trabaja de manera flexible y remota, ¿cómo pueden establecerse límites?"
  • "Y si damos más derechos a los "trabajadores del conocimiento" - a la vez que los hacemos sentir leales y comprometidos con la compañía - se sentirán más dispuestos a compartir voluntariamente y, además la mejor protección de la compañía es hacer que cuando las ideas se van vuelvan nuevas ideas.
Al margen de otras reflexiones, esta idea enlaza con lo que comentábamos hace unos días sobre cómo debía ser una política de seguridad y es que, por mucho que nos empeñemos en imponer comportamientos y formas de hacer a los miembros de una organización, al final lo único que funciona es que nuestros usuarios quieran comportarse de manera que no dañen a la organización... como dice Rosabeth, hay que hacerlos "sentir leales y comprometidos".

Desde luego esto es algo que trasciende el ámbito del CISO pero a lo que éste deberá contribuir de manera decidida con políticas flexibles, específicas, confiando en la autocensura y el buen juicio de las personas, monitorizando las desviaciones, actuando en caso de desviaciones y, lógicamente con actuaciones de concienciación orientadas a hacer de los empleados los principales valedores de la seguridad de la información en la organización... ¡¡¡¡todo un reto!!!


Vía | Vida de un Consultor - El conocimiento, ¿es de la empresa?
En Carpe Diem | ¿Cómo debe ser una política de seguridad?

09 febrero 2010

Trasparencia: El control de seguridad clave

Si hay un control por excelencia, creo que ese es, la transparencia. Quizás suene un poco raro, pero, a nada que pensemos durante un rato, seguro que sabremos encontrar multitud de situaciones en las que la transparencia juega un papel fundamental.

  • Quizás el más claro ejemplo lo encontremos en la PKI (Public Key Infrastructure) donde los algoritmos son expuestos al escrutinio público para que cualquiera pueda detectar cualquier problema de seguridad en los mismos.
  • El mediático Bruce Schneier lo ha dicho mil veces en relación a los problemas con las máquinas de votar, la solución pasa porque se imprima una boleta en la que el usuario pueda comprobar que su voto había sido bien generado... es decir, transparencia en el proceso.
  • Hace unos días lo comentábamos al hablar sobre la modificación prevista en la Directiva de Telecomunicaciones que iba a obligar a comunicar los incidentes de seguridad: Ya os dije mi opinión en ese momento, comunicar los incidentes [todo un ejercicio de transparencia] hará que mejoren las medidas de protección, estoy seguro.
  • En relación con esto mismo, una buena amiga siempre me dice que toda la problemática que existe sobre la privacidad de los datos de la Historia Clínica Compartida se terminaría si se diera acceso al paciente a la misma y pudiera saber quién ha accedido y que datos ha visualizado... es decir, total transparencia.

Al fin y al cabo, hasta los mercados [ya me sale otra vez la vena economista] funcionan mejor, es decir, las decisiones que toman los agentes que intervienen son óptimas cuando existe información perfecta. Otra vez... transparencia.

Ahora que lo pienso, supongo que por eso no se hacen ejercicios de transparencia en muchas empresas, porque con toda la información se podría controlar más a los gestores y eso no conviene, ¿verdad?

02 febrero 2010

El estado de flujo según Mihaly Csikszentmihalyi

Supongo que muchos de vosotros ya lo habréis visto pero he llegado a esta charla de TED Talk en la que Mihaly Csikszentmihalyi nos explica en menos de 15 minutos lo que es el flujo y cómo afecta a nuestra felicidad y creo que merecía la pena compartirlo.



Explica por qué muchas de las situaciones de frustración, así como de éxtasis que sentimos en determinadas ocasiones...

Technorati Tags | Mihaly Csikszentmihalyi

01 febrero 2010

Informe de riesgos 2010 del Foro Económico Mundial

Hace unos días tuve conocimiento de la publicación del informe del Foro Económico Mundial sobre Riesgos Globales en 2010 (PDF en inglés) y tratándose de un tema de riesgos me dije, bueno, vamos a echarle un vistazo, seguro que es interesante.

Pues bien, la verdad es que sí... que es bastante interesante. Os comento los aspectos que más han llamado mi atención.

1. La forma de presentar los resultados de un análisis de riesgos
Uno de los temas más difíciles [¿hay alguno fácil?] a la hora de realizar un análisis de riesgos es la presentación de los resultados del mismo. Me ha gustado la forma en la que lo han solventado mediante una simple gráfica en la que, en uno de los ejes han colocado la probabilidad de la amenaza y en el otro su impacto (traducido en dólares). Muy sencillo, pero muy visual y muy potente.

2. El reconocimiento de una mayor interconexión entre los riesgos
Mayor interconexión, en dos sentidos. Por un lado, entre ellos, haciendo que su probabilidad e impacto aumenten. Y, por otro, en la necesidad de afrontar de manera coordinada a nivel mundial su tratamiento (lo que el Foro denomina riesgos sistémicos).

Ambos aspectos también los vemos en nuestro día a día en la gestión del riesgo tecnológico:
  1. La interconexión entre los riesgos es un elemento clave cuando tratas con infraestructuras críticas.
  2. La necesidad de una actuación global para actuar contra ellos: Internet elimina las fronteras nacionales.
3. Metodología de análisis de los riesgos seleccionados
El informe utiliza un método denominado 5i para analizar los riesgos que se basa en identificar para, cada riesgo:
  • Insight (comprensión / entendimiento)
  • Información
  • Incentivos
  • Inversión
  • Instituciones

4.También se han considerado riesgos tecnológicos
En concreto, los riesgos que aparecen en el análisis son:
  1. Fallo/avería de infraestructuras críticas de información. Respecto a este riesgo, se apuntan 3 vías para afrontar la problemática que supone la eficiencia de la gestión privada para esta vulnerabilidad pública: La inspección por terceros junto con regulaciones bien impuestas, la construcción de una capacidad de reacción y coordinación global y, por último, la consideración del retorno de la inversión a largo plazo.
  2. Toxicidad de nanopartículas (que significa que los "estudios revelan efectos en la salud por el uso a nanopartículas ampliamente utilizadas - pintura, cosméticos, medicamentos. Impacta primero en la salud público y segundo en la inversión en una serie de nanotecnologías")
  3. Fraude / Pérdida de datos
5. Reflexiones sobre los propios riesgos identificados
Y, finalmente, [perdón por la longitud de esta entrada] en relación a los propios riesgos identificados en el informe me ha llamado la atención que:
  • Uno de los tres riesgos sobre los que el informe dice que hay que mantener bajo vigilancia es la cibervulnerabilidad y los sistemas de información críticos.
  • Los riesgos con mayor probabilidad e impacto son el colapso del precio de los activos, epidemias crónicas, la crisis fiscal, la ralentización de la economía China y el gap de un buen gobierno global.
  • El aumento de regulación es uno de los riesgos más probables aunque de impacto medio.
  • El terrorismo internacional es uno de los riesgos con menor probabilidad e impacto. Esto pone de manifiesto algunos de los problemas que tenemos los humanos a la hora de percibir los riesgos.
  • Por el contrario, el crimen y la corrupción transnacional se situa con una probabilidad y un impacto medio. Más o menos, al mismo nivel que las pandemias.

Vía | El Blog Salmón
En Carpe Diem | ¿Estamos preparados para un ciberataque? Proyecto eCid, ¿es la certificación la única vía? 100 cáminos al éxito #4: El CISO nunca dice "no"
Technorati Tags | análisis de riesgos, Foro Económico Mundial, Global Risk

31 enero 2010

La privacidad y la comunicación de incidentes

Antes de que se pasen los ecos del 4º día de la Privacidad de Datos me gustaría comentar las declaraciones de la Comisionada de la Unión Europea, Viviane Reding, aprovechando las celebraciones de este día.

Para empezar, lo que desde la UE se consideran actualmente los principales retos para la privacidad:
  1. La publicidad basada en nuestros patrones de comportamiento
  2. Las redes sociales
  3. La denominada "location privacy"
Pero lo que me ha parecido más interesante es que ha anunciado que va a proponer una modificación, tanto de la Directiva de Protección de Datos, como de las reglas específicas para la privacidad de las comunicaciones electrónicas para adaptarlas a las nuevas tecnologías en línea con las actuaciones de la Comisión durante 2009:
  • Recomendación sobre las smart tags utilizadas en RFID.
  • Acuerdo con las redes sociales para mejorar la protección de menores.
  • Acciones contra la publicidad basada en el comportamiento en el Reino Unido.
  • Y, sobre todo, la introducción en la Reforma de las Telecomunicaciones de la UE de la obligación de los proveedores de servicios de comunicaciones de informar a las autoridades cuando una brecha de seguridad provoca una pérdida o una mala utilización de datos personales.
Quizás esta obligación de informar sea la forma de que, de una vez por todas, tengamos datos relativos a los incidentes de seguridad que se producen y su impacto en las organizaciones. No por "hacer leña del árbol caído" sino porque sería la manera de que se puedan tomar decisiones relacionadas con la seguridad con mejor información de lo que lo hacemos hoy en día cuando, como mucho, contamos con los datos históricos de nuestra organización [al margen del propio efecto de control que ejerce esta obligación puesto que nadie quiere comunicar este tipo de sucesos dado el efecto potencial sobre el negocio y la confianza de los clientes / usuarios].

Medidas de este tipo están siendo facilitadas por iniciativas como el Nuevo Acuerdo de Capital de Basilea y su método de cálculo del riesgo operacional que fomenta la creación de un data mart de riesgos con información sobre los incidentes acaecidos y su efecto sobre el negocio como base para el cálculo del riesgo.

Ya sabemos por Nassim Nicholas Taleb y sus cisnes negros que no podremos basarnos únicamente en el pasado puesto que no nos sirve para predecir el futuro (recordar la anécdota del pavo) pero, sobre todo, si podemos establecer un data mart de riesgos común (para tener información de todas las organizaciones, no solo de la nuestra) podremos mejorar en la toma de decisiones.

Vía | Europe's Information Society Thematic Portal
Technorati Tags | privacidad

30 enero 2010

3er aniversario del ISMS Forum

Hoy, día 30 de enero, hace 3 años que nació el ISMS Forum, así que solo quería aprovechar para felicitar a la Asociación y a tod@s los que han hecho posible que haya alcanzado los niveles que ostenta en la actualidad, así como logros como el DPI o las seis Jornadas Internacionales organizadas hasta el momento.

Es especial, gracias a Cristina, Germaine, Angelina y Joris... Y a los que de una forma u otra han ayudado o ayudan a la Asociación.

¡Enhorabuena y que sea por muchos años!

Technorati Tags | ISMS