Reflexiones sobre Ciberguerra [Security Chat & Beers]

Durante el día de ayer se llevó a cabo un nuevo encuentro en el marco del "Security Chat & Beers" que organiza TrendMicro Argentina, cuyo objetivo es reunir a los interesados en temas de seguridad de la información y debatir en un espacio común las distintas alternativas sobre una temática determinada. En este caso el tema que se trató fue la "Privacidad en tiempos de Ciberguerra".

Se utilizó como un disparador una charla que Mikko Hypponen dio en TED acerca del cibercrimen y su visión en relación a 3 tipos de modalidad: http://www.ted.com/talks/lang/es/mikko_hypponen_three_types_of_online_attack.html.

En su charla Mikko define como los tres tipos de ataques a:

• Ciberdelincuentes cuyo objetivo es el dinero.
• Hacktivismo, centrado en el accionar de anonymous principalmente
• Espionaje gubernamental, con casos como Diginotar.

No es el objetivo de esta nota realizar un análisis de la presentación o discutir los puntos de vista planteados, sino compartir algunas reflexiones de lo conversado entre los distintos profesionales que asistieron al encuentro, dentro de los que se encuentran miembros del board de Cloud Security Alliance Argentina.

En relación a los distintos tipos de ataques, se intercambiaron opiniones respecto a la necesidad de concientizar tanto a los ciudadanos como también a los miembros de las Organizaciones, en definitiva a las personas, acerca de la necesidad de contar con una serie de medidas técnicas y hábitos de uso que permitan minimizar la posibilidad de materialización de dichos ataques, pero siempre teniendo claro que el factor humano es el eslabón más débil. Un aspecto que se resaltó es el la importancia de no considerar a la seguridad de la información un tema tecnológico, sino un aspecto que se debe gestionar en forma integral incluyendo temas técnicos, tecnológicos, legales, administrativos, culturales, etc.

Relacionado con el hacktivimos se coincidió en que no existen métodos eficaces para impedir que, por ejemplo, un DDoS sea efectivo, aunque se criticó el accionar considerándolo un método totalitario y/o de censura. Además de que en el plano nacional en muchos casos se incurre en delitos informáticos, a pesar de que ello podría desconocerse en algunos casos, por quienes se suman a las acciones.

Sobre el espionaje gubernamental se conversó en relación a la posibilidad que brindan las nuevas tecnologías y la evolución de los mercados como para que dichas actividades pudieran trasladarse a estos "nuevos" medios. En relación a Diginotar se establecieron miradas distintas a las de la charla TED dado que la empresa no contaba con medidas básicas de seguridad, por lo tanto, era muy factible que cualquiera que estuviera interesado hubiera tenido un éxito similar. Las conclusiones surgieron en base a un informe publicado durante 2011 con el análisis de seguridad del incidente: http://www.rijksoverheid.nl/documenten-en-publicaties/rapporten/2011/09/05/diginotar-public-report-version-1.html

Como conclusión se estuvo de acuerdo en las siguientes premisas:

• Las personas deberían estar más interesadas en los aspectos de seguridad, priorizando el cuidado de la información personal y/o sensible. Aplicable al plano de la vida cotidiana y laboral.
• Las Organizaciones deberían considerar un tema central a la seguridad de la información, pero en este caso, teniendo claro que la Dirección de la Organización es la máxima responsable por ello.

Si esto se lograra, teniendo en cuenta que en muchos casos los programas de concientización podrían ayudar a todo nivel, algunas cuestiones estarían considerablemente mejor, por ejemplo:

• Se asignarían responsabilidades claras sobre el cuidado de la información.
• Se comprometería a todos los integrantes acerca de lo importante de cuidar la información.
• La información se podría gestionar en base a su clasificación.
• Los activos se podrían gestionar en base a su valoración e impacto en las operaciones.
• La estrategia de seguridad tendría una visión más integral y alineada al cumplimiento de los objetivos y requerimientos legales y/o regulatorios que apliquen.
• La relación costo/beneficio sería más clara, debido a la existencia de procesos básicos que permiten obtener dichos criterios.

Lograr el nivel de madurez que permita que los cambios culturales se presenten y los procesos se estrablezcan, requiere mucho trabajo y lamentablemente muchos incidentes. De todas formas es una buena oportunidad para compartir algunos de los trabajos que desde Cloud Security Alliance se generaron con el objeetivo de acompañar dichos cambios y establecer dichos procesos, todo ello en el asociado a la seguridad en el Cloud Computing:

• Security Guidance for Critical Areas of Focus in Cloud Computing:
  https://cloudsecurityalliance.org/research/security-guidance/
• Cloud Security Alliance Cloud Controls Matrix (CCM):
  https://cloudsecurityalliance.org/research/ccm/
• Top Threats to Cloud Computing:
  https://cloudsecurityalliance.org/research/top-threats/
• Consensus Assessments Initiative Questionnaire:
  https://cloudsecurityalliance.org/research/cai/
• Security as a Service:
  https://cloudsecurityalliance.org/research/secaas/
• Cloud Computing Risk Assessment - ENISA:
  http://www.enisa.europa.eu/activities/risk-management/files/deliverables/cloud-computing-risk-assessment-spanish/view

Aprovechamos finalmente para agradecer a TrendMicro Argentina la posibilidad de participar de los encuentros, dar a conocer nuestro trabajo y difundir las buenas prácticas en relación a la seguridad de la información en el Cloud Computing.

Fuente: Cloud Security Alliance Argentina - Facebook - @cloudsa_arg y LinkedIn

Suscríbete a nuestro Boletín