Los medios de comunicación publican constantemente artículos sobre la posibilidad de ataques de hackers organizados contra las grandes corporaciones –o entidades públicas. Mientras que la tecnología y la infraestructura tienen sus procesos (en particular protección contra la negación de servicio en su forma distribuida) establecidos e implementados, normalmente las primeras señales son detectadas por los usuarios de los servicios durante el curso normal de las operaciones diarias.
Por favor asegúrese de comunicar inmediatamente los casos de servicios o aplicaciones no disponibles a los respectivos equipos de servicio de asistencia o apoyo.
La temporada navideña es ocupada para todos, incluyendo a los criminales. Usted puede esperar ver un aumento en los ataques de phishing, tanto en su negocio y las cuentas personales de correo electrónico. El phishing es el proceso criminal fraudulento de intentar adquirir información confidencial, como nombres de usuario, contraseñas y detalles de tarjetas de crédito, haciéndose pasar por una entidad de confianza en una comunicación electrónica. Una estafa de phishing es un ejemplo de ingeniería social que normalmente toma la forma de correos electrónicos no solicitados, mensajes instantáneos (IM) o mensajes de texto de teléfonos celulares.
Algunos ejemplos son gangas ofrecidas mediante correo electrónico, tweet, sitios web de mensajes instantáneos o incluso teléfono celular; propuestas para la descarga de películas o salva pantallas, rumores de la farándula; entrega de paquetes previa confirmación de datos personales; chistes, tarjetas navideñas o de felicitación (provenientes de cuentas comprometidas de nuestros conocidos); entre otros.
Debe tratar todos los mensajes de correo electrónico con precaución, particularmente aquellos que no fueron solicitados y donde solicitan información confidencial.
Tenga en cuenta que los perpetradores emplearán muchas tácticas para que la posible víctima haga clic en vínculos, descargar ejecutables o divulgar información. Algunas tácticas incluyen, tácticas de miedo (ataques scareware o anuncios pop-ups engañosos), notificaciones de virus o una recomendación urgente para descargar una actualización del antivirus o parches de software, buenas oportunidades para obtener una recompensa; o en la web con ventanas emergentes del navegador que contienen imágenes o animaciones tentadoras para atraer a usuarios desprevenidos.
La seguridad de la información no se detiene en su lugar de trabajo personal, sino que incluye todas las áreas del ambiente de negocio. ¡Manténgase siempre vigilante!
Asegúrese de remover todos los documentos de salones de conferencias después de reuniones.
Colecte todos los documentos de las impresoras, fotocopiadoras, escáner, y máquinas de fax.
Un incidente de seguridad de la información se define como:
- La notificación o el descubrimiento de cualquier hecho real o posible por lo que la confidencialidad, la integridad o la disponibilidad de la información de la institución ha sido o podría verse comprometida. Un evento real o posible que constituye un incidente de seguridad de la información puede involucrar daño accidental o intencional, alteración o modificación, destrucción, divulgación, pérdida, mal uso o robo de la información de la institución (recuerde nunca compartir su clave de acceso con otra persona).
- El uso no autorizado de software prohibido como sniffers, recuperación de contraseñas y herramientas de escaneo de red contra los sistemas internos o externos.
- Cambios intencionales o erróneos en las configuraciones, código fuente o datos, que impacta negativamente la operación del sistema en producción.
- El uso no autorizado o uso inadecuado de los recursos tecnológicos de la institución (todo servicio entregado por la institución, equipo electrónico o producto de software, propio o de terceros), incluyendo robo y piratería.
El acceso a Internet en la institución se otorga a través de la red de la institución. Esto significa que cualquier visitante a la institución que quiera conectarse a Internet mediante un cable Ethernet, utilizando un dispositivo personal, no autorizado por la institución, es una amenaza potencial a nuestra red. Sin quererlo, un usuario puede introducir software malicioso a través de su dispositivo potencialmente mal protegido directamente a nuestra red sin tener que pasar primero a través de nuestra robusta seguridad del perímetro de red. Malware no controlado puede causar destrucciones incalculables, modificaciones y divulgación, resultando en pérdida de ingresos y reputación.
Sólo dispositivos manejados por y que sean propiedad de la institución, o dispositivos de proveedores que cumplan con las normas de seguridad de la institución y que son supervisados y autorizados pueden tener acceso directo a la red de la institución.
Para que nuestra red permanezca segura, sea consciente de que los visitantes de fuera de la institución, que se sienten inclinados a conectar físicamente su dispositivo personal a la red de la institución, bajo ninguna circunstancia les está permitido hacerlo.