Etiqueta: empresa

Yo Navego Seguro: Autenticación por datos biométricos: tecnología con pro y contras.

Autenticación por datos biométricos: tecnología con pro y contras

, ,

De acuerdo con el portal del Instituto de Ciberseguridad de España, los datos biométricos son datos personales obtenidos a partir de características físicas, fisiológicas o conductuales únicas de una persona, como huellas dactilares o reconocimiento facial.

En la actualidad la autenticación biométrica ofrece grandes ventajas en seguridad y su uso se ha incrementado en aplicaciones de seguridad y autenticación, debido a que:

  • Proporciona una alta seguridad y confiabilidad al verificar la identidad a través de características únicas que una persona posee.
  • Es una experiencia de usuario conveniente y rápida.
  • Los datos biométricos no son transferibles, ya que cada persona tiene un conjunto único.
  • Combinar la biometría con otros sistemas en una plataforma integrada puede aumentar significativamente la seguridad en todas las etapas de la vida del usuario, haciendo que sea difícil falsificar la identidad.

La autenticación de los datos únicos aún es vulnerable

Sin embargo, para aprovechar estos beneficios es necesario conocer algunas vulnerabilidades del sistema, para que siga siendo una opción segura. Entre las debilidades podemos mencionar:

Calidad de la tecnología. Puede que la tecnología implementada no cumpla con estándares adecuados, así que es necesario tomar en cuenta a la hora de adoptar alguno: la calidad del sensor, la eficiencia del algoritmo de comparación, la seguridad del cifrado para almacenar las muestras obtenidas y la capacidad de interoperabilidad con otros sistemas.

Incidencias con el sistema. Incluso este tipo de sistema de autenticación puede presentar fallos eléctricos y caídas de las líneas de comunicación, por lo que es fundamental implementar medidas desde el diseño mismo del sistema que son reglamentadas según el país.

Yo Navego Seguro. Autenticación por datos biométricos: tecnología con pro y contras.

Indisponibilidad del sensor. La falta de disponibilidad o el fallo del dispositivo de captura de los datos puede imposibilitar la autenticación o el acceso. Es necesario por ello, que la empresa cuente con alternativas de reconocimiento adicionales en caso de que el sistema falle.

Por ejemplo, un empleado que necesite acceder urgentemente al correo electrónico desde fuera de la oficina mediante huella dactilar podría enfrentar problemas si su ordenador tiene fallas en el sensor.

Variación involuntaria en los rasgos biométricos. Los datos biométricos pudieran cambiar por temas como: un resfriado, vello facial o peinado, que, aunque no sean intencionales, pueden generar una percepción negativa o dificultades adicionales en la autenticación biométrica.

Ahora, ¿cómo luce un fraude por suplantación de datos biométricos?

Los datos biométricos son únicos de persona a persona, pero aun así existen ciberdelincuentes que pueden imitar y usurpar esta información a través de la suplantación. Por ejemplo, usando documentos de huellas dactilares falsas para engañar sistemas de reconocimiento biométrico. Veamos dos casos.

El ataque de presentación es una forma de ciberdelito que consiste en usar un artefacto para hacerse pasar por otro usuario.

La protección en este caso consiste en medidas de verificación de vida o prueba de fe de vida y el uso de número limitado de intentos para autenticación.

El otro es el ataque por repetición, en el que el pirata informático intenta tener acceso a los datos biométricos originales de fuentes como cristales, pomos de puertas o pantallas táctiles, usando técnicas especiales para tomar huellas dactilares, provocando el desbloqueo ilegítimo de dispositivos.

Para protegerse de este tipo de suplantación las empresas deben monitorizar los sensores, aplicar la detección de intrusiones y la protección física de los dispositivos biométricos.

Para mitigar las amenazas contra los datos biométricos puedes:

  • Adquirir tecnología biométrica de calidad, para reducir la posibilidad de fallos.
  • Usar “liveness check” para asegurar que los datos biométricos provienen de una persona viva y presente.
  • Monitorizar y proteger físicamente los dispositivos biométricos.
  • Adoptar medidas alternativas de autenticación, aparte del sensor biométrico.

Te invitamos a leer: Firma digital: ciberseguridad en tus manos

Compartir
Política de privacidad de mi empresa

¿Cómo debe ser la política de privacidad de mi empresa?

, , , , ,

Las empresas tienen el compromiso y la obligación de proteger los datos personales de sus usuarios. Sigue leyendo para que aprendas cómo debe ser la política de privacidad de tu organización.

En República Dominicana, existe la Ley 172-13 sobre Protección de Datos Personales que regula el uso de la información personal grabada en archivos, registros públicos, bancos de datos u otros medios técnicos de tratamiento de datos destinados a dar informes, sean estos públicos o privados.

¿Qué son datos personales?

 Ley 172-13 sobre Protección de Datos Personales regula la información de los ususarios en la República Dominicana
Fuente: Freepik

La legislación no. 172-13 reconoce como datos de carácter personal cualquier información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo concerniente a personas físicas identificadas o identificables.

En otras palabras, todo aquello que identifique o permita la identificación de una persona.

¿Qué es y qué debe incluir la política de privacidad de mi empresa?

La política de privacidad es el documento legal en el que se informa a los usuarios sobre los datos personales que se recopilan sobre ellos.

¿Cómo debe ser la política de privacidad de mi empresa?- Yo Navego Seguro
Fuente Freepik

Para elaborarla toma en consideración que el texto debe ser claro y preciso, pero con un lenguaje de fácil comprensión. Debe responder las siguientes preguntas:

  • ¿Qué información guardas y por cuáles motivos?
  • ¿Cómo, dónde y por cuánto tiempo la archivas?
  • ¿Quién la recibe?
  • ¿Cómo modificar o eliminar los datos del titular?

Según la Ley 172-13, los datos solo se recogerán para su tratamiento, cuando sean adecuados, pertinentes y no excesivos en relación con el ámbito y las finalidades determinadas, explícitas y legítimas para los que se hayan obtenido.

Puede leer la nuestra y tomarla como ejemplo: Política de Privacidad Yo Navego Seguro 

Deberes del administrador de datos personales

Cuando una persona le facilita información íntima a tu compañía lo hace confiando en que estará resguardada. Para garantizar esto, el Estado Dominicano en la Ley 172-13 establece los deberes que te corresponden como responsable del tratamiento de datos. Entre ellos:

¿Cómo debe ser la política de privacidad de mi empresa?- Yo Navego Seguro
Fuente Freepik
  • Conservar la información bajo las condiciones de seguridad necesarias para impedir su adulteración, pérdida, consulta y uso o acceso no autorizado.
  • Permitir el acceso a la información a personas autorizadas. 
  • Realizar oportunamente la actualización, rectificación o supresión de los datos cuando sea el caso. 
  • Tramitar las consultas y los reclamos de los titulares.
  • Adoptar un manual interno de políticas y procedimientos para garantizar el adecuado cumplimiento de la ley.
  • Garantizar al titular de los datos el derecho de hábeas data (derecho de las personas para solicitar y obtener la información existente sobre sí mismo, y de solicitar su eliminación o corrección).

Por tal razón, “se deberán adoptar e implementar las medidas de índole técnica, organizativa y de seguridad necesarias para salvaguardar los datos de carácter personal que eviten su alteración, pérdida, tratamiento, consulta o acceso no autorizado”, sugiere el documento legal.

Ya conoces cómo proteger la información de tus clientes y los deberes que te corresponden como administrador de ella.

Ahora, puede que te interese conocer: ¿qué profesionales necesito en mi empresa para estar CiberSeguro?

Compartir
Programa de Protección Avanzada de Google

Cuida la información de tu empresa con el Programa de Protección Avanzada de Google

, , , , ,

¿Te sentirías más seguro si redujeras al mínimo los ciberdelitos que pueden afectar a tu negocio? El Programa de Protección Avanzada de Google es lo que necesitas, ya que prácticamente blinda las cuentas de correo electrónico de accesos indeseados. ¡Te contamos más sobre esta potente herramienta!

Como su nombre lo indica, este sistema va más allá de las clásicas medidas de seguridad.

“Está diseñada para proteger las cuentas de Google frente a ataques online (…) que a menudo van dirigidos contra individuos concretos, y puede ser difícil distinguirlos de las actividades legítimas”, señala la empresa de tecnología.

El Programa de Protección Avanzada de Google brinda una capa extra de seguridad.
El Programa de Protección Avanzada de Google brinda una capa extra de seguridad. Fuente externa.

El objetivo de la compañía estadounidense es resguardar a usuarios en riesgo de recibir ciberataques intencionales por su alta visibilidad y la información sensible que manejan.

Beneficios para tu equipo

Para mantener seguros los datos que administran tus empleados y tú mediante los emails, la Protección Avanzada te proporciona lo siguiente:

  • Autenticación segura con llaves de seguridad.
  • Uso de códigos de seguridad con llaves de seguridad (según sea necesario).
  • Restricciones sobre el acceso de terceros a los datos de la cuenta.
  • Análisis exhaustivos de Gmail.
  • Protecciones de Navegación Segura de Google en Chrome.
  • Recuperación de la cuenta por medio del administrador.

Si activo el Programa de Protección Avanzada, ¿qué cambiará?

Google te ofrece la seguridad que necesitas
para Navegar Seguro. Fuente externa

La mayoría de las actividades diarias de la cuenta permanecerán igual. Sin embargo, se necesitará la llave de seguridad para iniciar sesión en un dispositivo nuevo, o si se ha cerrado sesión en el teléfono y se necesita volver a iniciarla.

También, puede que se reciban más alertas antes de descargar archivos o instalar aplicaciones, y que ciertas funciones de seguridad, que eran opcionales, se activen automática y permanentemente.

Sigue leyendo: 5 características del empleado ciberseguro (+ infografía)

¿Tiene algún costo?

Este programa es totalmente gratuito, pero es necesario que quienes se sumen a la iniciativa cuenten con una o varias llaves de seguridad, y estas sí pueden tener un precio.

Una llave de seguridad es un dispositivo pequeño que se conecta a tus dispositivos mediante puertos USB o de forma inalámbrica mediante una conexión Bluetooth o NFC (sistema de comunicación inalámbrico de corto alcance).

Google es consciente de que la información es el principal activo de una empresa. El Programa de Protección Avanzada te ayuda a protegerla.
Llave de seguridad. Fuente externa

En otras palabras, la llave es una versión mejorada y fácil de la verificación en dos pasos que permite a Google certificar que realmente quien accede a la cuenta es el dueño de ella. 

Dependiendo del teléfono que se posee, puede que este tenga una llave integrada, pero también se puede optar por una externa.

La compañía de tecnología recomienda tener dos llaves, ya que, servirá de ayuda si se pierde el acceso a la cuenta o se extravía el teléfono (u otra llave principal).

Salvaguardar la información de tus clientes ahora será pan comido con la ayuda de Google. ¿Alguna vez pensaste que fuera tan sencillo? Anímate a probarla y navega seguro

Descarga nuestra guía de ciberseguridad para empresas: aquí

Compartir
Business E-mail Compromise

El fraude del CEO o Business E-mail Compromise: táctica de phishing en auge

, , , , , ,

El fraude del CEO o el Business E-mail Compromise puede afectar a cualquier empresa sin importar su tamaño o su producto/servicio. En esta entrada te contamos en qué consiste y cómo protegerte.

¿Qué es el Business E-mail Compromise ?

El Business E-mail Compromise (BEC por sus siglas en inglés) o el Compromiso de Correo Electrónico es una modalidad sofisticada de phishing dirigida a negocios, especialmente a aquellos que:

  • Trabajan con proveedores extranjeros.
  • Realizan pagos por transferencia bancaria con regularidad.
  • Utilizan servicios de correo electrónico populares basados ​​en la nube.

Para los perpetradores del BEC no existe un usuario en específico, pero, una vez seleccionado el objetivo, se dan la tarea de investigarlo lo suficiente para que caiga en el anzuelo. 

Sigue leyendo: 5 hábitos ciberseguros: ¿los practicas?

Un zoom a su maniobra delictiva 

Conocer cómo operan los ciberdelincuentes para ejecutar el BEC te ayudará a evitarlo. A continuación el paso a paso.

  • Paso 1. El atacante suplanta tu identidad o la de uno de los ejecutivos.
  • Paso 2. Envía un email falso a un empleado del departamento de finanzas en el que solicita una transferencia bancaria inmediata a un proveedor de confianza para disminuir las sospechas. También puede pedir que se revele información comercial o financiera crítica.
  • Paso 3. En el caso de la transferencia, el empleado objetivo cree que el dinero se envía a la cuenta esperada, pero los datos se han modificado y el depósito cae en la cuenta del grupo delictivo.

La creación de correos o páginas web falsas, suplantación de identidad de los directivos y el uso de malwares son las tres tácticas que emplean los cibercriminales para llevar a cabo su estafa según el Buró Federal de Investigaciones (FBI, por su sigla en inglés) de los Estados Unidos.

Te puede interesar: 10 recomendaciones para detectar un email falso

¿Cómo puedes proteger tu negocio del BEC? 

Cuidar los datos y los fondos de tu compañía puede ser simple si sigues las siguientes sugerencias del FBI.

Eduque a sus empleados para que conozcan sobre el BEC y los ciberdelitos más comunes a fin de evitarlos.

– Establezca un protocolo en el que se comprueben los pagos y solicitudes de compras en persona o vía telefónica para verificar que sea auténtica. Cerciórese de que no existan cambios en el número de cuenta o proceso de pago con quien está haciendo la transacción.

Dude de quienes le presionen por hacer procesos rápidamente, y más cuando hay dinero de por medio.

– Tenga precaución con la información que comparte en internet. Es muy probable que sin querer le entregue a los piratas informáticos toda la información que necesitan para adivinar su contraseña o responder sus preguntas de seguridad.

Active pasos de doble autenticación en todas las cuentas que se lo permitan y nunca las desactive.

Evite hacer clic en solicitudes de “actualización” o “verificación de cuenta” que no haya pedido. Extra: confirme la veracidad de la solicitud llamando por teléfono al emisor del email (no uses el que coloque el estafador en el correo).

Verifique que la dirección de correo es la de siempre. Los estafadores cambian un poco las direcciones de correo electrónico para engañar tus ojos y ganar tu confianza. Con igual cautela, chequee la URL y la redacción del texto que le enviaron. 

Atención con lo que descargue. Nunca abra archivos enviados por un desconocido y sea cauteloso con documentos que le reenvíen. 

Como ya cuentas con la información, prevenir el fraude del CEO en tu establecimiento comercial es posible. ¡Pon en práctica estas recomendaciones y navega seguro!

Compartir

Robaron las redes sociales de tu negocio: ¿ahora, qué?

, ,

¿Con qué frecuencia hackean las cuentas de redes sociales? La respuesta corta es: con demasiada frecuencia.

Las probabilidades son muy reales, puesto que para 2017, el BID reportó que en República Dominicana 7.103.852 de personas tenían acceso a Internet con una penetración del 65%. 

Y hoy en día, con el auge del teletrabajo a consecuencia de la pandemia, ese número ha aumentado y las probabilidades de ser hackeado también.

Entonces, si estás leyendo esto, es porque lo que temías se ha vuelvo realidad: te han robado las redes sociales de tu negocio.  

Según la empresa de seguridad cibernética ZeroFOX, en el caso de los negocios los intentos de robar cuentas de redes sociales corporativas ocurren casi 30 veces al año en promedio (casi 3 por mes).

¿Y ahora qué? Primero, tienes que conocer las señales de que te robaron las redes sociales de tu negocio:

  • Recibes correos electrónicos de inicio de sesión sospechosos.
  • Tienes publicaciones que no hiciste.
  • No puedes acceder a la cuenta.
  • Amigos, clientes y familiares están recibiendo mensajes que no enviaste.
Si robaron las redes sociales de tu negocio esto es lo que tienes que hacer

Pasos para recuperar tu cuenta

Efectivamente, has confirmado que te han robado la cuenta, ahora hay que recuperarla. Para eso haz lo siguiente:

  • Cambia las contraseñas

Tienes que cambiar las contraseñas de todas tus cuentas. Es posible que aún puedas acceder a la cuenta ingresando códigos o respondiendo a una o a varias preguntas de seguridad, como sucede en la mayoría de las redes sociales. Es recomendable usar un gestor de contraseñas, dado que las buenas claves son difíciles de recordar, además de que facilita el proceso de cambiarlas de manera regular y gestionarlas.

  • Activa la autenticación de dos pasos

No estaría de más asegurar la cuenta más importante con una autenticación en dos pasos. Se trata de un sistema de seguridad doble que necesita un código de cifras separado además de la contraseña normal. Este código suele enviarse por mensaje de texto a la persona autorizada. ¿Por qué funciona? El acceso a la cuenta se autoriza con ambos datos, pero los hackers solo pueden robar la contraseña, no el código.

  • Verifica tu actividad de inicio de sesión

Estáte atento a tu actividad de inicio de sesión, que también se puede encontrar en la sección de seguridad de la aplicación. Allí, verá todos los dispositivos en los que tu cuenta está conectada actualmente, además de sus ubicaciones geográficas. Si ves actividad sospechosa aquí, puedes desconectarte de esos dispositivos desde tu dispositivo actual.

¿Sabías que en República Dominicana tenemos una ley que rige los delitos electrónicos? La Ley No. 53-07 sobre Crímenes y Delitos de Alta Tecnología en su artículo 17 establece sobre el robo de identidad que, “el hecho de una persona valerse de una identidad ajena a la suya, a través de medios electrónicos, informáticos, telemáticos o de telecomunicaciones, se sancionará con penas de tres meses a siete años de prisión y multa de dos a doscientas veces el salario mínimo.”

Finalmente, protege tu cuenta de ser robada de nuevo

Ya recuperaste tu cuenta. Ahora, toca prevenir que pase de nuevo.

¿Cómo? Sencillo:

  • Usa contraseña seguras. Sí, con mayúsculas, minúsculas, números y todo lo que te pide la aplicación.
  • Protege tu información. Piénsalo antes de ingresar tu usuario y contraseña en dispositivos que no son de confianza.
  • Instala un software de seguridad. Es una inversión que vale la pena y evita sustos como el que probablemente estás pasando.
  • No uses redes públicas como las tuyas. El WiFi de la plaza comercial no solo es usado por ti, así que ojo con las contraseñas que ingresas y más si le das a recordar mientras usas estas redes.
  • Nunca hagas clic en ofertas que son demasiado buenas para ser verdad o artículos de noticias dudosos, ya que estos a menudo conducen a aplicaciones maliciosas.
  • Nunca descargues aplicaciones no solicitadas, especialmente aquellas que tengan permisos para publicar en su nombre.
  • Y, por último, actualiza tus contraseñas y configuraciones de seguridad con regularidad.
  • Comparte este artículo con todos sus colaboradores.

¿Quieres saber más? Pásate por nuestra Guía de ciberseguridad para empresas. Aquí damos pautas para ayudar a las pequeñas y medianas empresas a que se protejan de los incidentes de ciberseguridad más comunes.

Compartir

Aprende cómo la política de Escritorio Limpio puede salvar a tu empresa

, , , , ,

¿Escritorio limpio? ¿a qué nos referimos? La política de escritorio limpio es una práctica que busca prevenir la pérdida de datos corporativos e información sensible en los puestos de trabajo.

Asimismo, mediante la aplicación de lineamientos preestablecidos, busca evitar que dentro y fuera de los horarios de trabajo, personas malintencionadas tengan acceso no autorizado a equipos de cómputos, medios extraíbles, dispositivos de impresión y digitalización de documentos.

Un dato importante es que cualquier información o documento dejado encima de tu escritorio o hasta incluso en la pantalla de tu computadora puede constituir información vulnerable. Siendo más grave cuando se trata de espacios que son visitados por personas ajenas a la institución.

Lee aquí: 5 características del empleado ciberseguro.

Ahora bien, ¿Cómo puedes aplicar la política de escritorio limpio en tu espacio de trabajo?

Al salir de tu oficina o al finalizar tu jornada laboral, asegúrate de:

  • Dejar tu escritorio libre de documentos físicos, medios extraíbles y/o dispositivos móviles que contengan información privada o vulnerable.
  • Mantener bajo llave los documentos con información sensible. Esto para evitar la pérdida de los mismos.
  • Cerrar sesión en los sistemas institucionales.
  • Apagar o bloquear tus equipos computacionales. Cuando regreses, verifica que el equipo solicite la clave de acceso.
  • Resguardar las contraseñas. Se recomienda no exponer las claves de acceso en tu computadora, cerca de este o en lugares muy visibles.
  • Asegúrate de limpiar pizarras y equipos utilizados para presentaciones y/o reuniones.
  • Luego de imprimir o escanear algún documento, debes retirarlo inmediatamente. Los dispositivos de impresión y/o escaneo deben permanecer libres de documentos.
  • Confirma que la pantalla de tu computadora (escritorio) u otro dispositivo que utilices, esté libre de archivos o documentos.

Es bueno saber que hay muchas formas de llevar a cabo estos lineamientos.

Es posible acatar distintas reglas dependiendo de la naturaleza de la institución. Sin embargo, la decisión de llevar a cabo esta política de escritorio limpio en las empresas, debe ser tomada basándose en las necesidades de la misma y de los empleados.

Lo que sí podemos asegurarte es que mantener un escritorio limpio o bien, una oficina ordenada, contribuye a la productividad, confidencialidad y seguridad de las informaciones en los puestos de trabajo.

Compartir

5 características del empleado ciberseguro (+ infografía)

, , ,

¿Descargas aplicaciones de terceros en tus equipos de trabajo? ¿Publicas información de tu empresa en tus redes sociales?

Si tu respuesta es sí a alguna de estas preguntas, podrías estar poniendo en riesgo, sin saberlo, la seguridad de la organización para la que trabajas.

Sigue leyendo⬇ y al final del texto descarga GRATIS la infografía del empleado ciberseguro.

A continuación aprende con nosotros 5 maneras de proteger la información confidencial de tu empresa:

1.- Guarda seguros los documentos

Cada documento de la organización sea físico o digital tiene gran información personal y empresarial muy apetecible para los ciberdelicuentes. Siempre que hagas uso de ellos compártelos de forma segura.

Si vas a usar discos extraíbles o memorias USB, cifra los documentos. Realiza al menos dos copias de seguridad de los archivos digitales.

No dejes a la vista en tu escritorio papeles que contengan información de sumo interés para la organización. Guárdalos en archivos, bajo llave o con claves que solo tú manejes.

Como clasificar tu informaciónEl empleado ciberseguro es cuidadoso al manejar la información confidencial de la empresa.

2.- Usa únicamente equipos corporativos

Una máxima para la seguridad de la organización es mantener a raya el uso de dispositivos, conexiones o equipos personales para el trabajo.

Si estás en la modalidad de teletrabajo, procura siempre usar los equipos de la empresa, nunca emplees ordenadores personales. Y si usas dispositivos externos para conectarlos a tu computadora, realiza un escaneo en búsqueda de virus.

Lee aquí: Cómo lograr que tus colaboradores cumplan con las políticas de ciberseguridad

Usa solo softwares autorizados por la empresa. No descargues aplicaciones de terceros sin el consentimiento de tu empleador.

Si usas una flota, procura usar el bloqueo de pantalla con una clave que solo tú conozcas. Igualmente, bloquea tu portátil cuando no la uses o debas pararte de tu puesto de trabajo.

El empleado ciberseguro usa solo equipos corporativos

y no comparte sus accesos con terceros.

3.- Sé celoso con tu información personal

La fuga de información en las empresas ocurre frecuentemente porque compartimos con mucha facilidad información personal en redes sociales u otros medios de comunicación.

Por eso, un hábito de un empleado ciberseguro es aplicar una configuración de privacidad en todas las redes sociales que uses.  

Evita compartir información personal (fechas de nacimiento, ubicación en tiempo real, etc.) no de la organización (datos de funcionamiento, claves, pin de tarjetas de crédito corporativas) que pueda ser captada para delitos informáticos.

Parece una recomendación lógica, pero todos hemos compartido esta información pensando que nadie se va a enterar o a nosotros no nos va a pasar. Pero al hacerlo abrimos una puerta a los ciberdelincuentes y nos volvemos vulnerables.

El empleado ciberseguro no comparte su información personal que pueda ser usada para un fraude contra la empresa.

4.- Entrénate para identificar el phishing

En estos tiempos de teletrabajo y entornos digitales cada vez más presentes en las empresas, debes estar educado no solo para realizar bien tu trabajo.

Debes ser capaz de detectar cuándo se trata, por ejemplo, de un correo legítimo y cuándo no. El phising es una de las prácticas más comunes de fraude y delito informático.

Elimina cualquier correo sospechoso y evita enviar cadenas de correos que lleguen a tu bandeja de entrada.

Confirma la procedencia del correo, quien crees que es el remitente real y si observas algo extraño en la redacción, en la misma dirección de email o en el asunto del correo. Quizá se trata de phishing.

El empleado ciberseguro se ha educado acerca de los diferentes delitos informáticos y aplica las políticas de seguridad de la empresa.

5.- Detecta e informa de cualquier actividad sospechosa

Al recibir un correo que parece de sospechosa procedencia es necesario reportar inmediatamente al departamento de seguridad informática o verificar con “el supuesto” remitente del email para confirmar el origen del mensaje.

Si sufres un robo o incidente de pérdida de los dispositivos corporativos es importante que reportes el incidente o bloquees los accesos conocidos desde otro aparato, para borrarlos de inmediato.

Es tu deber reportar cualquier incidente que te parezca fuera de lo normal:

  • Un acceso forzado.
  • Un virus en tu equipo.
  • Problemas de acceso a tus dispositivos sin razón aparente.
  • Mal uso de los recursos tecnológicos por parte de otras personas.

El empleado ciberseguro informa de los incidentes de ciberseguridad

que puedan poner en riesgo la organización.

En definitiva, está en tus manos la seguridad o vulnerabilidad de la información sensible de tu empresa.

Si te gustó esta información, haz clic sobre la imagen y descarga GRATIS nuestra Infografía del empleado ciberseguro :

Compartir

Cómo lograr que tus colaboradores cumplan con las políticas de ciberseguridad

, ,

Más del 50% de los empleados visitan páginas web o contenidos no relacionados con su puesto de trabajo, según un estudio de Eserp Business & Law School.

Esto podría resultar en un riesgo a la seguridad de la información confidencial de una empresa, si los colaboradores no cumplen con las políticas de ciberseguridad necesarias para prevenir los delitos informáticos.

Entonces ¿cómo puedes implementar políticas de ciberseguridad que sean efectivas y respetadas?

Teoría de los empujoncitos

Diariamente tu equipo de trabajo debe tomar diferentes decisiones al utilizar internet. Desde la elección de la Wifi adecuada para conectarse hasta descargar o no una app.

Al respecto, Thomas Paulino, presidente de ciberseguridad de ABA, considera que “es en cada uno de estos momentos en que están expuestos a un fraude. Por lo que, al final, lo que va a minimizar la exposición al riesgo es la madurez que tenga el usuario”.

De acuerdo con el libro Decisiones Irracionales en Ciberseguridad, la “teoría del empujoncito, consiste en ayudar a tus empleados a que tomen decisiones inteligentes y que, a su vez, cumplan con las medidas de ciberseguridad sin que sientan que les restringen su libertad”.

El siguiente ejemplo grafica esta “teoría del empujoncito”:

“Estás en una cafetería. Necesitas conectar tu smartphone a una WiFi. Miras tu pantalla y ves estas opciones. Supón que conoces o puedes pedir la contraseña en caso de que se te exigiera una. ¿Qué WiFi elegirías?

red wifi publica
Imagen de una red wifi pública. Foto de Libro Decisiones Irracionales en Ciberseguridad

Dependiendo de tu nivel de concienciación en seguridad, irías a por la primera, mi38, que parece tener la mejor cobertura, o a por v29o, que no está mal de cobertura, pero es segura y pide contraseña.

Imagina que estás en la misma cafetería, pero en tu smartphone aparece esta nueva pantalla de listado de redes WiFi disponibles. ¿Cuál elegirías ahora?

red wifi segura
Imagen de una red wifi segura. Foto de Libro Decisiones Irracionales en Ciberseguridad

Tengas o no conciencia elevada en materia de seguridad, apostaríamos a que seleccionas 3gk6. ¿Qué ha cambiado? Son las mismas redes WiFi, pero presentadas de forma diferente.

Sin que seas ni siquiera consciente, esta presentación habrá influido en tu decisión.

Es decir que juzgamos como más seguro lo que está en color verde que en rojo, favorecemos las primeras opciones de una lista frente a las últimas, hacemos más caso a pistas visuales (candados) que a textuales, primamos la (supuesta) velocidad frente a la seguridad, etc.

Todo ello conduce a que se seleccione la red 3gk6.

Políticas de ciberseguridad que no parezcan obligatorias

Las políticas de seguridad, según el sitio web UNIR, consisten en una serie de normas y directrices que permiten garantizar la confidencialidad, integridad y disponibilidad de la información, minimizando los riesgos que le afectan.

Pero para dar a conocer a los empleados las normas de seguridad es necesario que estas sean:

  • Concretas: con procedimientos y reglas bien definidos.
  • Claras: que expliquen de forma sencilla y directa las responsabilidades y obligaciones de los usuarios, sean colaboradores, administradores o equipo directivo.

Según el profesor experto en ciber leyes R. Calo, existen maneras de lograr que los usuarios acaten e implementen las políticas de seguridad con éxito.

“Por ejemplo, volviendo a las contraseñas, si quieres que los usuarios de tu sistema las creen más seguras según las directrices de tu política de seguridad mencionada anteriormente, puedes añadir un medidor de la fortaleza de la contraseña”.

Los usuarios sienten la necesidad de conseguir una contraseña fuerte y es más probable que sigan añadiendo caracteres y complicándola hasta que el resultado sea un flamante «contraseña robusta» en color verde.

A pesar de que el sistema no prohíbe las contraseñas débiles, respetando así la autonomía de los usuarios, este sencillo empujoncito eleva drásticamente la complejidad de las contraseñas creadas”, explica el libro.

Educa mientras aplicas las políticas de seguridad

Otra manera de fomentar, sin forzar, un comportamiento seguro de nuestros usuarios es creando notificaciones informativas que lleven a la reflexión junto al medidor de fortaleza.

“Por ejemplo, el formulario de introducción de nuevas contraseñas puede incluir un mensaje informando de las características esperadas en las contraseñas y de la importancia de las contraseñas robustas para prevenir ataques, etc., e incluir el medidor de fortaleza en la misma página de creación de contraseñas”.

Más opciones

•  Elecciones predeterminadas: Ofrece más de una opción, pero asegurándote siempre de que la predeterminada sea la más segura. Aunque permitas al usuario seleccionar otra opción si así lo desea, la mayoría no lo hará.

•  Feedback: Proporciona información al usuario para que comprenda si cada acción está teniendo el resultado esperado mientras se está ejecutando una tarea. Por ejemplo, informar del grado de seguridad alcanzado durante la configuración de una aplicación o servicio, o bien informar del nivel de riesgo de una acción antes de apretar el botón «Enviar».

Usa un lenguaje o comparaciones que el usuario entienda.

Por ejemplo, el uso de metáforas bien conocidas, como «cerrojos» y «ladrones», hizo que los usuarios entendieran mejor la información y tomaran mejores decisiones (Raja, Hawkey, Hsu, Wang, & Beznosov, 2011).

Informar de cuánta gente puede ver tu post en redes sociales condujo a que muchos usuarios borraran el post para evitar el arrepentimiento en el futuro (Wang, y otros, 2014).

•  Comportamiento normativo: Muestra el lugar que ocupa cada usuario en relación a la medida de seguridad en comparación con sus compañeros.

Por ejemplo, tras la selección de una contraseña, el mensaje «el 87% de tus compañeros han creado una contraseña más robusta que tú» consigue que usuarios que crearon una débil recapaciten y creen una más segura.

•  Orden: Presenta la opción más segura al principio de la lista. Tendemos a seleccionar lo primero que nos ofrecen.

•  Convenciones: Usa convenciones pictográficas: el color verde indica «seguro», el color rojo indica «peligro». Un candado representa seguridad, y así sucesivamente.

•  Prominencia: Destacar las opciones seguras atrae la atención sobre ellas y facilita su selección. Cuanto más visible sea la opción más segura, mayor será la probabilidad de que la seleccionen.

Aplica las políticas de seguridad con transparencia

Al crear medidas de ciberseguridad a través de estos “empujoncitos” debes hacerlo de  manera ética sin violentar la libertad de tus colaboradores.

La misma teoría indica que hay una serie de principios a la hora de “diseñar tus propios empujoncitos para tu organización” (Renaud & Zimmermann, 2018):

  1. Autonomía: El usuario final debería ser libre de elegir cualquiera de las opciones ofrecidas. Es decir que ninguna opción será prohibida o eliminada del entorno, y si lo hacen se debe explicar por qué.
  2. Beneficio: Debe significar un beneficio claro y real para la seguridad de la organización.
  3. Justicia: Debería beneficiar al máximo número posible de individuos dentro del sistema.
  4. Responsabilidad social: Deberían contemplarse siempre empujoncitos pro-sociales que avancen el bien común.
  5. Integridad: Los empujoncitos deben diseñarse con un respaldo científico, en la medida de lo posible.

Al final la idea es que ayudes a tus usuarios o colaboradores a tomar mejores decisiones a la hora de navegar por la internet y red empresarial. Empújalos a navegar seguro, siempre respetando su libertad.

Antes de crear la política de ciberseguridad, lee esto 👇
¿Qué profesionales necesito en mi empresa para estar ciberseguro?

Compartir
Protégete de los ciberdelitos
Recibe informaciones, recursos gratis y consejos para navegar seguro.
Protégete de los ciberdelitos
Recibe informaciones, recursos gratis y consejos para navegar seguro.
Ir al contenido