La Seguridad en el futuro

 Los siete ámbitos donde la seguridad será más crítica en el futuro

A medida que crece el número de personas y cosas conectadas aumentan también las vulnerabilidades de nuestros sistemas de información, algo que ninguna empresa se puede permitir. La compañía Atos ha identificado siete ámbitos donde la seguridad será más crítica en el futuro inmediato

Fuente: www.belt.es

1. El factor humano.

Las personas seguirán siendo un objetivo prioritario de los ataques. Es necesario reforzar la concienciación para que la gente conozca los riesgos de determinadas acciones aparentemente triviales o inofensivas.

 Se estima que una buena concienciación podría llegar a mitigar el 80% de los riesgos. La protección de los end points, los dispositivos con los que trabajamos las personas, permite reducir el riesgo residual.

2. La amenazas internas.

Estas amenazas no tienen por qué ser malintencionadas en todos los casos. A menudo tienen que ver con el manejo inadecuado que se hace de determinada información crítica, que puede comprometer su confidencialidad. La prevención de fugas de información y la gestión de derechos digitales (“quien puede hacer qué, hasta qué fecha, en qué condiciones…”) ayudarán a las organizaciones a reducir este tipo de riesgos.

3. Seguridad industrial.

Es un campo totalmente nuevo. Poco a poco el mundo industrial y la informática tradicional están convergiendo, a medida que las organizaciones tratan de optimizar su gestión y obtener información de valor de entornos industriales o de infraestructuras críticas, que en su momento no contemplaron necesariamente los requerimientos de seguridad que exige un entorno conectado. Las empresas que gestionan infraestructuras críticas han empezado a ser conscientes de estas nuevas amenazas, que van desde el sabotaje, la manipulación de la información que proporcionan los sistemas de control, hasta el fraude.

4. Crimen como servicio.

Existen organizaciones que prestan servicios criminales con distintos fines: atacar objetivos específicos, identificar vulnerabilidades en los sistemas y comercializarlas, etc. Un ejemplo de esta segunda modalidad son los zero day, una vulnerabilidad en la tecnología que inicialmente ni siquiera es conocida por el fabricante y, por tanto, no suele estar protegida. En este entorno, los zero day son un producto que se puede adquirir, siendo su precio función directa – entre otros parámetros – del nivel de implantación del producto que se pretende vulnerar. Otra práctica creciente es la puesta a disposición de redes de botnets –ordenadores zombies- para generar, por ejemplo, ataques distribuidos por denegación de servicio, DDoS.

5. Ataque a dispositivos móviles.

Los móviles se han convertido en un elemento fundamental en nuestras vidas, también en el trabajo. El problema es que se concibieron principalmente desde el punto de vista de la funcionalidad y de la usabilidad, pero no necesariamente desde la seguridad. Dado el ritmo de expansión e implantación de los dispositivos móviles, se han convertido en un objetivo muy apetecible, ya que sirven para usos personales (hacer pagos, banca on-line) y corporativos (enviar y recibir información, en algunos casos confidencial, conectarse con los procesos de la organización). Además, los podemos extraviar o nos los pueden robar, exponiendo a las organizaciones a una gran vulnerabilidad.

6. Ciberguerra, ciberespionaje y amenazas persistentes avanzadas.

Cada vez de forma más frecuente, está proliferando el uso de tecnologías altamente especializadas con el propósito de atacar objetivos estratégicos. En el ámbito geopolítico, esta tendencia se manifiesta en espionaje entre países (varios han sido publicados en los medios, como Angela Merkel y Obama). En el ámbito privado, los objetivos incluyen organizaciones industriales y corporaciones empresariales de distinta índole. Las tecnologías, altamente especializadas, que se generan para estos propósitos, tarde o temprano llegan a manos de las organizaciones criminales, pero también del dominio público. Por otra parte, prolifera el uso de amenazas persistentes avanzadas (APTs), ataques que no son masivos, que se planifican con mucho tiempo y tienen objetivos muy específicos y dejan señales muy débiles y en algunos casos difíciles de detectar.

7. Lo desconocido.

Aquello de lo que ni siquiera somos conscientes todavía. Muchas empresas ya no discuten si serán atacadas o si romperán sus defensas actuales, sino de cómo detectar y contener a tiempo un ataque cuando éste se produzca, y que, caso de que éste tenga éxito, su información esté lo suficientemente distribuida, fragmentada y protegida con diferentes niveles de seguridad, como para dificultar al atacante el acceso y retardar la recomposición de la información. La anticipación mediante la inteligencia será crucial.

---

Seguridad Corporativa

Autor:  Gonzalo Salas Reinoso

En el cambiante entorno empresarial de hoy, sólo hay un par de cosas ciertas. Una de ellas es que la función principal de los directivos es tomar decisiones.

 La otra es que dichas decisiones raras veces se toman contando con todos los elementos de juicio. La mayoría de las veces, las decisiones deben tomarse sólo con unos cuantos elementos conocidos. Y es en este territorio dominado por la incertidumbre donde hoy en día se hacen negocios.

 Algunos exitosos, otros no tanto, pero todos cual más o cual menos, ha pasado por la toma de decisiones en condiciones de incertidumbre.

Y en Seguridad Corporativa, el procedimiento es más o menos similar. También se toman decisiones basadas en información escasa, fragmentada o lo que es peor, errada. Dado que la información es el principal insumo con que los gerentes de seguridad o los consultores cuentan para tomar decisiones operacionales, es de vital importancia que ésta sea lo más completa posible, en lo posible desprovista de errores y que sea relevante, de forma tal de facilitar el proceso de toma de decisiones. 

En algún otro artículo me referiré a lo que un consultor que se precie de tal debe hacer para obtener información que reúna estas características.

Una de las primeras tareas en las que se adentra el consultor en seguridad corporativa es el análisis del riesgo inherente a la empresa que está bajo análisis. No resulta nada nuevo decir que una correcta interpretación e identificación de los riesgos que incumben a la empresa es el sustrato sobre el cual se sustentará todo el trabajo posterior, y la toma de decisiones subsiguiente, con los costos económicos que ello supone.

 De ahí que sea fundamental que antes de empezar a identificar riesgos se evalúe si la información con que se cuenta para hacerlo es adecuada, suficiente, oportuna, veraz y principalmente objetiva (susceptible de medir).

Entonces, analizar los riesgos y las decisiones que se tomarán es el proceso de considerar detenidamente dichos inconvenientes relacionados con la información.

Supongamos que un equipo de consultores ha desarrollado una matriz de riesgo para el delito de robo que ha señalado que cierta empresa tiene una alta probabilidad de ser objeto de robos y las consecuencias de éstos son muy graves.

 La información para construir esta matriz se obtuvo de sucesivas reuniones que los consultores sostuvieron con distintos actores relevantes de la empresa. Esto por que no existe registro de eventos anteriores.

Una vez obtenido este resultado, los consultores se abocan al diseño de la solución que para este caso consiste en que la empresa deberá hacer inversiones para la reposición del antiguo sistema anti intrusión por uno nuevo, de mejores prestaciones.

Si presentáramos esta solución al directivo responsable de la empresa, la primera pregunta que nos haría es ¿cómo supiste entonces que la empresa tiene una alta probabilidad de ser objeto de un robo? Habría incertidumbre, razonable por lo demás, respecto de la inversión y lo más importante, respecto de los resultados que se obtendrían. ¿Vale la pena realizar esta inversión basado en los datos presentados? Juzgue Ud. mismo.

Cada vez que deba tomarse una decisión en ambiente de incertidumbre, hay 5 factores que deben ser tomados en cuenta:

a) Las alternativas existentes. ¿Cuáles son las alternativas a la decisión?

b) Cualquier hecho basado en la incertidumbre. Si no sabemos si un hecho puede producirse, deberá pensarse que sí puede producirse.

c) Los beneficios que se obtienen en cada par de hechos y alternativas posibles.

d) Las probabilidades que los hechos ocurran.

e) Un criterio de decisión, es decir un método para decidir entre distintas alternativas.

Ahora bien, si suponemos que la empresa cuenta con un registro de la información histórica de eventos delictuales cometidos al interior de sus instalaciones, nuestros consultores podrían tener una base sólida de comienzo.

 Podrían determinar, entre otras cosas, cuales son los hechos que han afectado a la empresa, cuándo y cuánto han representado en términos de pérdidas económicas para la empresa. Esta información podrá ser contrastada con entrevistas u otros métodos.

Luego de tener esta información y habiéndola procesada adecuadamente, se puede elaborar las soluciones más convenientes al problema que aqueja a la empresa. Sin embargo, debe tenerse especial cuidado en como se presentara la solución al dueño de la empresa o directivo. A mi juicio una presentación correcta debe contener al menos lo siguiente:

a) El problema que se ha identificado, debidamente valorado con la información obtenida.

b) Una matriz de clasificación de las distintas alternativas de inversión, si es que se requiere invertir en equipamiento u otros elementos.

c) Una evaluación económica comparativa de las alternativas a fin de presentar aquella que tenga las mejores prestaciones y signifique una menor inversión.

d) Una proyección de los resultados que se espera obtener, que contenga asimismo una valorización económica de los costos que ha dejado de perder la empresa como consecuencia de los eventos 

---

Seguridad Privada: costos

Los verdaderos costos de la Seguridad Privada, versus: la Vigilancia Virtual

Fuente:   Càmara Argentina de Empresas de Seguridad e Investigaciòn (CAESI)

Siempre se analiza el costo de la Seguridad Privada en un todo, pero se deja de lado los marcos regulatorios y los elementos variables que entran en la estructura de costos de la tarea de un vigilador privado. 

Teniendo en cuenta la verdadera realidad, y las diversas situaciones que pueden llegar a vivir todo tipo de clientes, ya que cada uno puede presentar diversas necesidades, según su tipo de vivienda, empresa, ubicación y entorno, lo cual puede hacer mas sencillo o por el contrario, complicar la tarea.

Toda empresa de seguridad profesional esta obligada a cumplir con una serie de regulaciones relacionadas a la autorización para su desarrollo y la habilitación para trabajar de todos los miembros de su personal. 

También debe contratar, según lo marquen las leyes vigentes en cada jurisdicción todos los seguros solicitados, tanto en el área de protección laboral como en el caso de responsabilidad civil hacia terceros.

Estos dos puntos son realmente importantes y aunque a simple vista pueden llegar a parecer poco relevantes en el precio de la seguridad privada, pero también puede significar para el cliente, el punto que separa a una simple contrariedad que se soluciona con un tramite regular o enfrentar un juicio en su contra.

Esto se debe a la falta de alguno de los seguros que mencionamos anteriormente, hacen que la responsabilidad caiga sobre el cliente en forma solidaria con la empresa de seguridad privada, ante cualquier situación de perjuicio que se genere hacia terceros, o bien al personal de la misma empresa de seguridad.

Es importante aclarar este punto, ya que muchas Empresas manejan precios de seguridad privadas sin realmente tener en regla estos trámites, por lo tanto, no garantizaran correctamente la seguridad que se le solicita y para la cual se la contrata. 

Por este tipo de situaciones, se genera una ventaja competitiva en el mercado, porque de esta manera se pueden brindar servicios por precios de seguridad privada mucho más baratos, pero por supuesto, aunque este beneficio, será virtual, debido a que se sostiene mediante un margen de riesgo bastante alto, porque en el caso de presentarse inconvenientes, estos deberán ser afrontados en su totalidad por el cliente que no se ha informado correctamente, pues además, muchas de estas empresas carecen de un patrimonio de real solvencia.

Muchas veces, el bajo precio de seguridad privada, algunas veces puede traer serios inconvenientes, dejando al cliente en una posición bastante vulnerable, debiendo afrontar y pagar con sus ingresos, las indemnizaciones laborales o por daños a terceros.

Por esta razón, además de ofrecer determinados precios de seguridad privada, también ponen a disposición todos los comprobantes fehacientes de la contratación del personal y el pago de todas las obligaciones y seguros que comprendan a la empresa. Además de horarios y presencia dentro de la estructura de seguridad y servicio.

---

Reglamentan el uso de drones

Autor:     Leo Gonzalez Pèrez
Fuente:   www.clarin.com

"Aunque no es lo más habitual, cuando estamos volando un dron a veces aparece gente desconfiada que pregunta: ‘¿tienen permiso?, ¿qué están filmando?". Lo cuenta Agustín Beltrame, socio de una empresa especializada en drones. La posible invasión a la privacidad de estas diminutas aeronaves equipadas con cámaras hizo que el Estado argentino reglamentara la captura y el tratamiento de datos personales a través de ellas.

Mediante la disposición 20/2015, la Dirección Nacional de Protección de Datos Personales establece que con las imágenes obtenidas con un dron y que incluyan información personal deben tomarse los mismos recaudos que con las bases de datos de información personal.La disposición determina que la toma de imágenes con drones deberá realizarse con el consentimiento de las personas filmadas.

Sin embargo, el consentimiento no hará falta cuando los datos se recolecten en un acto público o en un hecho de interés general.

Tampoco será necesario el permiso de los filmados para usar drones en casamientos o cumpleaños. Lo mismo se prevé para el uso de drones propiedades privadas. Sin embargo, en espacios con ingreso habitual de público, se deberá informar sobre el uso de drones.

Por otra parte, cuando se usen drones para fines científicos o cartográficos y de modo incidental se registren datos personales se deberá aplicar sobre ellos una "técnica de disociación definitiva", como el difuminado de imágenes.

En tanto, la normativa da un tratamiento especial al uso recreativo de drones. 

No se aplicarán las disposiciones de la reglamentación cuando se utilicen drones "con fines exclusivamente recreativos", dice la disposición. Para estos casos, de todos modos, se dictan algunas recomendaciones.

Por ejemplo, deberá evitarse el entrometimiento en la vida y actividades de terceros y, especialmente, el registro de datos íntimos o sensibles. Y si durante el uso recreativo de un dron se capta información personal, esta deberá ser eliminada a pedido del afectado. En este punto, la disposición aclara que esto vale aún en espacios públicos.

----

Situaciones Críticas

 

 LA GESTIÓN DE LAS SITUACIONES CRÍTICAS

Autor:    Vicenc Urrutia

Fuente:  www.belt.es

La prevención no siempre evita caer en una situación crítica, pero reduce la posibilidad de que éstas se produzcan y siempre minimiza sus efectos.

 

Tener previsto un plan de acción para el caso en que se sufra una situación crítica, no la convierte en inocua, pero minimizará enormemente sus efectos negativos sobre la organización.

 

Resulta evidente que si establecemos los medios para verla venir, prevenirla, informarla y controlar el flujo informativo, estamos desposeyendo a la situación crítica de sus características más importantes, la estamos haciendo “menos crisis“.

 

Cuando los socios y el equipo directivo tienen claro y definido qué es lo que han de hacer frente a una determinada situación, es mucho más probable que se dediquen a actuar acertadamente para solucionar el problema en beneficio de todos y de la empresa, en lugar de entrar en una guerra de mutuas acusaciones, desconfianzas, deserciones y enfrentamientos, que es el peor y el más común, de los efectos de las situaciones críticas sobre los miembros de la organización.

 

a.- Mejor con un plan:

 

Existe la errónea creencia de que los protocolos de análisis, prevención y gestión de situaciones críticas, son procedimientos que convienen sólo a grandes organizaciones. Nada más lejos de la verdad. El riesgo de verse bajo una situación crítica afecta tanto a los accionistas y directivos de una gran multinacional, como al propietario y personal de una modesta “pyme”.

Si no lo tenemos, generar El Plan es lo primero y lo más urgente.

 

Si debemos enfrentarnos a una situación crítica, y hemos realizado una previa labor de prevención tenemos mucho adelantado, pero si no nos hemos preparado, tendremos que realizar primero, urgentemente, las mismas tareas que en el proceso de prevención.

 

Y es bien sabido que las prisas y urgencias nunca han ayudado a solucionar un problema.

 

Si en la tranquilidad de un despacho puede resultar difícil trazar un plan de acción, sólido y coherente, frente a situaciones hipotéticas cuando las cosas están calmadas, cuesta poco imaginar la dificultad añadida que supone hacerlo cuando estamos inmersos en una situación crítica. Es en estos casos cuando la ayuda externa especializada resulta más necesaria.

 

b.- Efectos de la situación crítica sobre la organización:

 

Cuando la organización se enfrenta a una situación crítica ésta se ve afectada por:

 

1. La sorpresa y el desconocimiento: Por muy previsora que sea su organización, siempre se moverá en un entorno de incertidumbre. Caer en una situación crítica es, por definición, algo posible pero poco probable, por lo que, cuando se presenta, siempre supone una sorpresa, y la organización debe enfrentarse a ella careciendo de un parte importante de la información necesaria para afrontarla

2. La pérdida de control: Las situaciones críticas se afrontan con nerviosismo y evidente descontrol. Resulta imprescindible contar con una guía serena que aporte orden y método para afrontarla.

3. El pánico: Las primeras percepciones que se tienen ante el arribo de una crisis son de pánico y miedo entre los responsables de la organización. Ya que vivimos en la incertidumbre, el pánico sólo puede aminorarse teniendo previamente desarrollado un plan de respuesta para la crisis.

4. La sucesión de acontecimientos: Las situaciones críticas nunca se presentan solas, y traen consigo además, más situaciones y efectos secundarios que perturbarán aspectos claves de la organización.

5. La dispersión: Las situaciones críticas implican a los responsables de la organización, quienes tienden a centrar su atención en ellas, descuidando otros aspectos que pueden parecer circunstanciales, pero que ante la desatención, pueden o bien aumentar el problema, o bien generar uno nuevo que abarque otras esferas.

6. El victimismo: Ante una situación crítica la Organización tiende hacia la paranoia en la que tiende a verse más como objeto de una conspiración que de un hecho fortuito, restando concentración sobre la propia situación.

7. El enfoque cortoplacista: En primera instancia, se suele trabajar y pensarse única y exclusivamente en respuestas a corto plazo frente a la crisis, es decir, buscando “borrar” tajantemente la situación problemática, sin detenerse a observar qué consecuencias podría desencadenar ésta vicisitud en el futuro.

2.- PROCEDIMIENTO ANTE UNA SITUACIÓN CRÍTICA:

a.- Evaluación:

 

Acaecido el acontecimiento que genera la situación crítica procede:

 

1. El control de la situación: Reunión inmediata del grupo elegido para su gestión, convocado por su responsible.

2. La determinación de los hechos: ¿Qué la ha provocado? ¿Cómo ha surgido? ¿Por qué se ha producido?

3. La evaluación de los hechos: Analizar profundamente la situación de crisis y determinar exactamente la naturaleza de los hechos (Negligencia, fallo técnico, caso fortuito, acción dolosa de terceros), y en qué grado inciden en la situación crítica.

b.- Los afectados:

 

Una situación crítica, es crítica porque, de un modo u otro, hay personas físicas y jurídicas afectadas, por lo que debemos contemplar:

 

1. El análisis de afectados: Delimitación del público afectado, sus posibles ramificaciones, la reacción de los competidores y mercados complementarios, las reacciones de empleados, sindicatos, accionistas y medios de comunicación, etc. También debemos delimitar las áreas más afectadas por la crisis en la organización.

2. La preocupación real por los afectados: La indiferencia mostrada por las organizaciones hacia terceros afectados en una situación crítica, siempre agrava la misma y en muchos casos constituye su mismo núcleo.

3. El diseño de la estrategia a seguir.
4. La elaboración de un plan de repuesta inmediata.
5. La apertura y contacto constante con los afectados.
6. La inmediata creación de una relación de trabajo con las instituciones que tienen poder para actuar ante esta crisis.

c.- La política de comunicación:

En las situaciones de crisis se tiende a olvidar la importancia de la comunicación. Inmersa en la vorágine de la crisis, la organización tiende a olvidar la importancia de la comunicación desde un primer momento. Olvidar la comunicación indefectiblemente suma un descrédito que es muy difícil compensar en un momento posterior.

 

En la comunicación ante las situaciones de crisis es imprescindible:

 

1. La elaboración cuidadosa de la información al público y al personal.
2. Crear un mensaje único y uniforme para toda la organización y para el exterior.
3. Fijar un único portavoz oficial de la organización frente al público, la Administración y la prensa.
4. No olvidar informar a todos los miembros de la organización.
5. Mantener transparencia y apertura absoluta con los medios de comunicación y una colaboración constante.
6. Responder rápidamente, pero siempre que la información se haya contrastado.
7. No mentir, solo dar información contrastada. Sólo de esta forma podremos enfrentarnos a situaciones críticas que, de seguro, todas las empresas acaban pasando de alguna u otra forma, y evitar problemáticas que pueden incluso llevar al final de la empresa.

d.- La actitud de la organización ante una situación crítica:

Podemos resumirla en la expresión “Dar la cara“, que concretamos en este decálogo que la organización ha de aplicar ante una situación crítica:

 

1. Se muestra honesta y transparente. Hace pública toda la información relevante.
2. Permanece visible y disponible en todo momento durante la crisis, tanto frente a terceros como frente a sus miembros.
3. No se esconde tras frías notas de prensa o simples “sin comentarios”.
4. No actúa a la defensiva ni desvía posibles culpas.
5. Admite los hechos y asume las responsabilidades que le corresponden y pide disculpas.
6. Toma medidas razonables para solucionar el problema y garantizar que no vuelva a suceder.
7. Muestra sensibilidad hacia los perjudicados.
8. Garantiza la protección del entorno.
9. Respeta los derechos de todos los grupos de interés.

10.Fija compensaciones justas para los afectados.

------

  

Toma de decisiones

Autor:  José Luis Spaltro En las distintas áreas del quehacer cotidiano, sean gubernamentales, empresarias o específicas en la Seguridad, se trata que las decisiones que deba adoptar la Conducción sean las más acertadas o en su defecto, que causen el mal menor, con un costo insignificativo y sin daños colaterales. La decisión debe fundamentarse en: "... Información apropiada, oportuna y completa" Quien deba adoptar una decisión trata de que sus fundamentos contemplen: precisión y una proyección por lo menos en el corto plazo. Para ello, convoca  -o debería convocar-  a quienes con dedicación exclusiva en tareas de Inteligencia, puedan elaborar y sostener en tiempos acotados esos fundamentos. Cabe recordar que el Area Inteligencia cumple una tarea contínua en la recopilación y análisis de los hechos para volcarlos en Informes, Estudios, Apreciaciones o simples comentarios de base. Debemos considerar asimismo, que quien deba adoptar una decisión, tiene indefectiblemente que consultar con los especialistas del Area, interpretando el contenido de la Información suministrada y finalmente, considerar si es apropiada o no. ----

Deficiente estadìstica delictiva

El diseño de una Política de Seguridad, como en cualquier otro campo de la actividad humana, debe comenzar necesariamente, por disponer de un cuadro de situaciòn lo más completo y actualizado posible del problema.  Desde este punto de vista, la pobreza de las estadísticas oficiales sobre delitos hacen que la situación de la Argentina sea poco alentadora. El Ministerio de Justicia  dio a conocer en 2010  estadísticas nacionales sobre delitos que abarcan hasta 2008. Hasta ese momento el país tenía información que llegaba sólo hasta 2007 y todavía no sabe que pasó en 2009,2010,2011,  2012, 2013 y 2014,  lo cual da lugar a dos posibilidades:  1)  Que el Gobierno tenga un serio déficit de gestión en elaborar información sobre el problema que más preocupa a la sociedad desde hace años. 2) Que no quiera difundirla como parte de su política de negación de realidades incómodas. Cabe recordar, además que, poco antes de difundir las estadísticas oficiales, el entonces ministro de Justicia Julio Alak había informado que el delito había disminuido desde 2002, pero los números presentados luego muestran un incremento del delito del 7% a nivel nacional y del 25% en la Provincia de Buenos Aires, con una tendencia creciente desde hace más de una década, en los delitos contra las personas. Refiriéndose a este tema, el ex-ministro de la Corte Suprema Eugenio Zaffaroni, sostuvo en una charla en Rosario, que el Estado no invierte en investigar sobre inseguridad, por lo que no existe un diagnóstico sobre el problema y en estas condiciones, es imposible hacer Prevención del delito. --