El pasado 15 de Mayo se llevó a cabo la publicación oficial de la nueva ISO 22301:2012, el esperado estándar que recoge los requisitos que debe cumplir un sistema de gestión de la continuidad del negocio. Esta norma, que viene a ser la evolución internacional de las normas BS 25999 -2:2007 / UNE 71599-1:2010, determina los requisitos que debe cumplir cualquier organización que quiera desarrollar un sistema capaz de gestionar de manera eficaz incidentes "graves" capaces de poner en riesgo su continuidad operativa.
La norma desarrolla, a lo largo de 7 apartados (aparte de los clásicos de introducción, referencias y terminología), los requisitos que debe cumplir un SGCN (Sistema de Gestión de la Continuidad del Negocio) en cada uno de sus ámbitos (contexto de la organización -alcance-, liderazgo -responsabilidades de la dirección-, planificación, soporte -designación de recursos-, operación, evaluación y mejora). Contiene todos los elementos de cualquier Sistema de Gestión ISO, aunque se echa de menos una mejor alineación con el marco de referencia desarrollado por ISO para los sistemas de gestión, al que sí se aproximan otras normas más veteranas.
Aunque no deja de ser una buena noticia, le sigo viendo un problema de base. ¿Podemos hablar de continuidad de negocio cuando sólo nos centramos en gestionar riesgos operativos? ¿Qué ocurre con otro tipo de riesgos (financieros, de mercado, regulatorios) que también son parte del negocio? Desde mi punto de vista, creo que el alcance de esta norma es, en sí mismo, su principal hándicap: demasiado grande para las consultoras de TI (que son principalmente las que han impulsado los SGCN hasta la fecha) y demasiado pequeño para las empresas de consultoría estratégica, que centran su actividad en otro tipo de riesgos. Pero los que realmente tienen que asumir los principios de este nuevo estándar son las empresas en general. ¿Cómo lo acogerán? ¿Verán claras sus ventajas? ¿O seguirán sin tenerlo claro? Lo veremos con el paso del tiempo...
22 mayo 2012
21 mayo 2012
Seguridad, Transparencia y ENS
Hace casi dos años que en este mismo blog hablaba del borrador de la Ley de Transparencia. Desde entonces esta Ley ha sufrido muchos cambios, incluyendo varios borradores y un cambio de gobierno, hasta llegar a la situación actual (aunque en este momento el texto todavía no está actualizado con la última versión). Un anteproyecto de Ley que ha suscitado bastante polémica, y que probablemente lo siga haciendo durante su tramitación.
No obstante, mi objetivo en este post no es criticar el contenido del anteproyecto, sino analizar la estrecha relación entre Seguridad y Transparencia, y ver las consecuencias prácticas que puede tener esta Ley.
Por un lado, tenemos que tener en cuenta que el concepto de "transparencia" es precisamente el complementario al de "confidencialidad". Estamos hablando de lo mismo desde el punto de vista contrario. Por lo tanto, es necesario tener en cuenta que es una Ley que regula, en ciertos aspectos, la seguridad de la información de las Administraciones Públicas (os suena a algo relacionado con el ENS?).
Además, el concepto de transparencia también tiene cierta relación con la necesidad de garantizar la autenticidad de dicha información publicada, su integridad o su disponibilidad (aspectos que, de hecho, cobran mayor importancia cuanto más se deba permitir el acceso a dicha información).
Si profundizamos en la citada Ley, podemos ver cómo hace referencia a la información que debe ser pública (artículos 3 - 6 y 9), la que debe ser "publicable", con ciertas restricciones en su publicación (artículos 10-13) y la que no debe ser publicada (artículo 9). Establece, por tanto, 3 niveles de clasificación desde el punto de vista de la confidencialidad de la información, que podemos entender como 3 escalones de confidencialidad (podemos hablar de confidencialidad Baja/Media/alta?).
Bajo este punto de vista, creo que la relación con el Esquema Nacional de Seguridad es obvia. Estamos frente a una regulación con caracter de Ley, y que por tanto puede incluir este tipo de directrices (por lo que tengo entendido, el ENS, por ser un Real Decreto, y por tanto de inferior rango, no podía). Sin embargo, echo de menos alguna relación más específica con dicha regulación, y sobre todo una mejor explicación de los tipos de información que deben ser clasificados en cada uno de los ámbitos. Soy consciente de cierta deformación profesional a la hora de estructurar contenidos (un ingeniero suele tener la mente más cuadriculada que un jurista), pero... No hubiera sido conveniente establecer una "tabla" un poco más clara de los diferentes tipos de información que puede tener una Administración Pública y la clasificación asociada en cada caso? Y lo que es más importante... Será el texto actual una referencia válida para su utilización práctica por parte de quienes tienen que clasificar cada información? No lo tengo nada claro...
No obstante, mi objetivo en este post no es criticar el contenido del anteproyecto, sino analizar la estrecha relación entre Seguridad y Transparencia, y ver las consecuencias prácticas que puede tener esta Ley.
Por un lado, tenemos que tener en cuenta que el concepto de "transparencia" es precisamente el complementario al de "confidencialidad". Estamos hablando de lo mismo desde el punto de vista contrario. Por lo tanto, es necesario tener en cuenta que es una Ley que regula, en ciertos aspectos, la seguridad de la información de las Administraciones Públicas (os suena a algo relacionado con el ENS?).
Además, el concepto de transparencia también tiene cierta relación con la necesidad de garantizar la autenticidad de dicha información publicada, su integridad o su disponibilidad (aspectos que, de hecho, cobran mayor importancia cuanto más se deba permitir el acceso a dicha información).
Si profundizamos en la citada Ley, podemos ver cómo hace referencia a la información que debe ser pública (artículos 3 - 6 y 9), la que debe ser "publicable", con ciertas restricciones en su publicación (artículos 10-13) y la que no debe ser publicada (artículo 9). Establece, por tanto, 3 niveles de clasificación desde el punto de vista de la confidencialidad de la información, que podemos entender como 3 escalones de confidencialidad (podemos hablar de confidencialidad Baja/Media/alta?).
Bajo este punto de vista, creo que la relación con el Esquema Nacional de Seguridad es obvia. Estamos frente a una regulación con caracter de Ley, y que por tanto puede incluir este tipo de directrices (por lo que tengo entendido, el ENS, por ser un Real Decreto, y por tanto de inferior rango, no podía). Sin embargo, echo de menos alguna relación más específica con dicha regulación, y sobre todo una mejor explicación de los tipos de información que deben ser clasificados en cada uno de los ámbitos. Soy consciente de cierta deformación profesional a la hora de estructurar contenidos (un ingeniero suele tener la mente más cuadriculada que un jurista), pero... No hubiera sido conveniente establecer una "tabla" un poco más clara de los diferentes tipos de información que puede tener una Administración Pública y la clasificación asociada en cada caso? Y lo que es más importante... Será el texto actual una referencia válida para su utilización práctica por parte de quienes tienen que clasificar cada información? No lo tengo nada claro...
02 mayo 2012
Securmatica 2012
La semana pasada estuve en el congreso Securmática 2012. No pude asistir al congreso completo, aunque las pinceladas que me llevé creo que pueden ser suficientes para hacer un mini-diagnóstico del sector:
Y para no perder la ola, yo también aproveché el congreso para estrenar mi nueva cuenta de twitter @JosebaEnjuto. Así que si quieres seguirme... Ahora también estoy en twitter!
- Se está poniendo de moda el término ciberseguridad, aunque no dejan de ser los mismos conceptos de siempre puestos al día.
- El cumplimiento legal cada vez preocupa más a la empresa privada, que se ve cada vez más presionada pero sigue sin considerar que pueda ser aprovechado como ventaja competitiva.
- Sigue existiendo una pugna filosófica entre los partidarios de la seguridad por oscuridad y los defensores del full-disclosure, que tengo la sospecha que no es tan grave a nivel práctico (una vez que se considera el dinero dentro de la ecuación).
- El precio va a ser un fuerte impulsor de los servicios cloud y el software libre aplicado a la seguridad durante los próximos años... Pero muchos no van a conocer el significado real de lo que están comprando.
- La gestión de vulnerabilidades puede empezar a ser un nicho de negocio en sí mismo, con múltiples variantes y posibilidades.
- Todo el mundo empieza a vender inteligencia en seguridad... y yo no veo mucho más que correlación de eventos.
Y para no perder la ola, yo también aproveché el congreso para estrenar mi nueva cuenta de twitter @JosebaEnjuto. Así que si quieres seguirme... Ahora también estoy en twitter!
23 abril 2012
Anonimato on-line
Hace unos días leí una noticia que me pareció bastante interesante. Parece que Google quiere patentar los "perfiles fantasma", una especie de perfil virtual asociado al personal y que se podría utilizar para navegar con múltiples identidades (o con identidad anónima) por la web, con la capacidad de mostrar esos alter-ego a quien nosotros decidiésemos.
La idea, de ser correcto el planteamiento, me parece muy interesante. Por un lado, existiría la capacidad de crear identidades virtuales permanentes específicas por entorno, de modo que sería posible aislar la actividad on-line profesional y privada, por ejemplo, manteniendo un control uniforme sobre ambas. Por otro lado, sería posible crear perfiles completamente anónimos, de modo que los más paranoicos pudieran hacer uso de múltiples perfiles zombi para sentir su intimidad a salvo. Y además cabría la posibilidad de "descubrir" esas múltiples identidades a personas específicas, gestionando de forma dinámica la pertenencia de cada "amigo" a los diferentes círculos (o a varios de ellos).
En cualquier caso, es obvio que siempre quedaría una duda. Si esos perfiles están relacionados entre sí a través de una herramienta proporcionada por Google... No podría Google trazar la actividad completa de todos los perfiles en conjunto en un momento dado? En definitiva... ¿Creemos que a día de hoy Google mantiene en vigor su famoso lema "don't be evil"?
La idea, de ser correcto el planteamiento, me parece muy interesante. Por un lado, existiría la capacidad de crear identidades virtuales permanentes específicas por entorno, de modo que sería posible aislar la actividad on-line profesional y privada, por ejemplo, manteniendo un control uniforme sobre ambas. Por otro lado, sería posible crear perfiles completamente anónimos, de modo que los más paranoicos pudieran hacer uso de múltiples perfiles zombi para sentir su intimidad a salvo. Y además cabría la posibilidad de "descubrir" esas múltiples identidades a personas específicas, gestionando de forma dinámica la pertenencia de cada "amigo" a los diferentes círculos (o a varios de ellos).
En cualquier caso, es obvio que siempre quedaría una duda. Si esos perfiles están relacionados entre sí a través de una herramienta proporcionada por Google... No podría Google trazar la actividad completa de todos los perfiles en conjunto en un momento dado? En definitiva... ¿Creemos que a día de hoy Google mantiene en vigor su famoso lema "don't be evil"?
10 abril 2012
Internet: lo que no vemos
En vacaciones mucha gente cambia su comportamiento on-line. Dejamos de lado las webs profesionales y las sustituimos por webs de viajes, de juegos on-line, de ocio en general... Nuevas páginas web, más interesantes y atractivas que las habituales... y muchas veces más peligrosas.
En general, no somos conscientes de la cantidad de tráfico web que generamos con nuestra navegación. Y no me refiero al contenido de las webs que visitamos, sino a la cantidad de información que genera nuestra navegación, y que sirve para monitorizar nuestro comportamiento. Pongamos como ejemplo las páginas web de tres medios de comunicación generalistas:
Qué quiere decir esto? Que cada vez que accedemos a una página web (prácticamente a cualquiera), no sólo estamos cargando información de esa web, sino de muchas otras, y a la vez enviando información sobre nosotros a una gran variedad de destinatarios diferentes al dueño de la web visitada.
Toda esta navegación "encubierta" puede suponer un importante riesgo para nuestra privacidad e incluso para nuestra seguridad. Por tanto, cuantas más webs visitemos más probabilidades habrá de toparnos con una empresa anunciante "poco ética", que utilice esa información de manera ilegítima. Probabilidades que aumentan al visitar webs más minoritarias, que generalmente se preocupan menos de la ética de las empresas de anuncios contratadas. Y este problema puede llegar a ser un problema de seguridad, porque aunque la página visitada pueda ser en principio segura (y en general las de la mayoría de las empresas conocidas lo son), basta que una de las webs de los anunciantes haya sido infectada para que los banners que se cargan desde la web principal puedan contener un virus que a través de esa web llegue a nuestro ordenador.
Por lo tanto, la conclusión es muy sencilla. En vacaciones, extremar las precauciones.
En general, no somos conscientes de la cantidad de tráfico web que generamos con nuestra navegación. Y no me refiero al contenido de las webs que visitamos, sino a la cantidad de información que genera nuestra navegación, y que sirve para monitorizar nuestro comportamiento. Pongamos como ejemplo las páginas web de tres medios de comunicación generalistas:
- ABC: Proporciona información a 3 redes de anunciantes (Dedicated Networks, Nielson y TradeDoubler) y a 5 compañías específicas (Doubleclick, Comscore Beacon, Netratings Site Census, Google Analytics y ChartBeat) que rastrean la información de los visitantes.
- El Mundo: Proporciona información a 4 redes de anunciantes (AudienceScience, Dedicated Networks, Nielson y TradeDoubler) y a 4 compañías específicas (Doubleclick, Omniture, Netratings Site Census y Revenue Science) que rastrean la información de los visitantes.
- El País: Proporciona información a 4 redes de anunciantes (24/7 Real Media, Dedicated Networks, Invite Media y Smart Adserver) y a 5 compañías específicas (Doubleclick, Omniture, Real Media, Invite Media y Comscore Beacon) que rastrean la información de los visitantes.
Qué quiere decir esto? Que cada vez que accedemos a una página web (prácticamente a cualquiera), no sólo estamos cargando información de esa web, sino de muchas otras, y a la vez enviando información sobre nosotros a una gran variedad de destinatarios diferentes al dueño de la web visitada.
Toda esta navegación "encubierta" puede suponer un importante riesgo para nuestra privacidad e incluso para nuestra seguridad. Por tanto, cuantas más webs visitemos más probabilidades habrá de toparnos con una empresa anunciante "poco ética", que utilice esa información de manera ilegítima. Probabilidades que aumentan al visitar webs más minoritarias, que generalmente se preocupan menos de la ética de las empresas de anuncios contratadas. Y este problema puede llegar a ser un problema de seguridad, porque aunque la página visitada pueda ser en principio segura (y en general las de la mayoría de las empresas conocidas lo son), basta que una de las webs de los anunciantes haya sido infectada para que los banners que se cargan desde la web principal puedan contener un virus que a través de esa web llegue a nuestro ordenador.
Por lo tanto, la conclusión es muy sencilla. En vacaciones, extremar las precauciones.
29 marzo 2012
Riesgos y responsabilidad
Hoy quiero plantear una duda, poco menos que existencial, que me surge siempre que hablamos de gestión de riesgos. Adelanto desde ahora que no tengo una respuesta clara a esta pregunta, y que estaría encantado de que dejarais vuestras opiniones al respecto.
Todos sabemos que una de las estrategias de gestión de riesgos puede ser (junto con reducir, eliminar y asumir) la de transferir los riesgos a un tercero. Por otro lado, también es muy conocida y aceptada la máxima de que la responsabilidad no se puede delegar. ¿Qué ocurre si juntamos ambas afirmaciones?
La duda me surge en el concepto de transferencia del riesgo. ¿Si estamos transfiriendo un riesgo, también transferimos la responsabilidad asociada? ¿Si es así, no estamos yendo contra la segunda afirmación? Y si no es así, qué significa exactamente eso de transferir? Según el diccionario, es "ceder a otro el derecho, dominio o atribución que se tiene sobre algo". ¿No es ceder a otro la responsabilidad, en este caso, sobre el riesgo?
Vayamos ahora a un caso concreto. Por poner un ejemplo cercano, el mismo incidente del que hablaba en el último post. Supongamos que Microsoft ha seguido a nivel contractual todos los consejos indicados. ¿Tiene Microsoft algún tipo de responsabilidad por el incidente? En principio, podríamos pensar que no, aunque... por otro lado, ha sido la propia Microsoft quien ha decidido confiar en la empresa que ha sufrido el incidente... Es ese motivo suficiente para considerarla responsable?
Si la organización que teóricamente ha transferido un riesgo sufre un daño (económico, en imagen, etc.) por una inapropiada gestión de dicho riesgo por la parte contratada, debe ser considerada responsable? Cuál de las dos premisas iniciales ponemos encima de la otra?
Todos sabemos que una de las estrategias de gestión de riesgos puede ser (junto con reducir, eliminar y asumir) la de transferir los riesgos a un tercero. Por otro lado, también es muy conocida y aceptada la máxima de que la responsabilidad no se puede delegar. ¿Qué ocurre si juntamos ambas afirmaciones?
La duda me surge en el concepto de transferencia del riesgo. ¿Si estamos transfiriendo un riesgo, también transferimos la responsabilidad asociada? ¿Si es así, no estamos yendo contra la segunda afirmación? Y si no es así, qué significa exactamente eso de transferir? Según el diccionario, es "ceder a otro el derecho, dominio o atribución que se tiene sobre algo". ¿No es ceder a otro la responsabilidad, en este caso, sobre el riesgo?
Vayamos ahora a un caso concreto. Por poner un ejemplo cercano, el mismo incidente del que hablaba en el último post. Supongamos que Microsoft ha seguido a nivel contractual todos los consejos indicados. ¿Tiene Microsoft algún tipo de responsabilidad por el incidente? En principio, podríamos pensar que no, aunque... por otro lado, ha sido la propia Microsoft quien ha decidido confiar en la empresa que ha sufrido el incidente... Es ese motivo suficiente para considerarla responsable?
Si la organización que teóricamente ha transferido un riesgo sufre un daño (económico, en imagen, etc.) por una inapropiada gestión de dicho riesgo por la parte contratada, debe ser considerada responsable? Cuál de las dos premisas iniciales ponemos encima de la otra?
Suscribirse a:
Entradas (Atom)
