Doxa 2652

Cómo la Inteligencia Artificial Está Cambiando las Ciberamenazas y la Ciberseguridad para las Pymes:
Revisión Sistemática, Modelo de Defensa y Hoja de Ruta de Resiliencia 2024-2026

Por: Oscar Hernando Benavides Paz, MBA

Resumen. Esta revisión sintetiza evidencia de nivel I y II procedente de PubMed, Scopus, Web of Science, arXiv, IEEE Xplore, Nature y reportes técnicos oficiales (Akamai, Check Point, ENISA, NIST, OECD) publicados antes de 2026. La Inteligencia Artificial generativa está provocando una transición desde ciberataques masivos a ciberataques hiperpersonalizados, autónomos y adaptativos. En 2024-2025, el 86% de las pymes españolas sufrió al menos un ciberincidente, el 45% de las pymes globales reportó un ataque en el primer semestre de 2024, y el 34% anticipa impacto material por amenazas impulsadas por IA en 12-24 meses. Simultáneamente, la IA democratiza capacidades de defensa antes exclusivas de la gran empresa: detección extendida (XDR), análisis de comportamiento (UEBA) y Centros de Operaciones de Seguridad (SOC) autónomos. Se propone un modelo de madurez de 4 niveles adaptado a pymes con recursos limitados.

Abstract. Generative AI is shifting SME cybersecurity from opportunistic to AI-augmented persistent threats. This review shows that while 56% of literature reports data poisoning and 36% adversarial AI as emerging impacts on SMEs, defensive adoption of AI accelerates threat detection and reduces dwell time. A lightweight Zero Trust framework is proposed.

Palabras clave: ciberseguridad pymes; inteligencia artificial; phishing con IA; ransomware adaptativo; deepfake; XDR; ciberresiliencia.

1. Introducción

El panorama de las ciberamenazas ha evolucionado durante años, pero 2024 marca un punto de inflexión. El Enterprise AI Usage Risk Report 2026 de Akamai documenta que casi la mitad del uso de IA empresarial elude la seguridad corporativa mediante agentes autónomos vulnerables y extensiones de navegador no autorizadas, ampliando drásticamente la superficie de ataque. Check Point Research proyecta para 2025 que las amenazas impulsadas por IA cambiarán la forma en que las empresas protegen sus activos digitales, obligando a adoptar defensas basadas en IA a la misma velocidad de la amenaza.

Para las pymes, la asimetría es crítica. Con presupuestos de TI inferiores a 10.000 USD anuales en el 62% de los casos en LATAM, y sin personal dedicado a seguridad, las pymes enfrentan una industrialización del cibercrimen. El modelo Crime-as-a-Service (CaaS) potenciado por Large Language Models (LLMs) permite a actores con baja sofisticación lanzar campañas de phishing sin errores gramaticales, en idioma nativo y con contexto organizacional extraído de fuentes públicas.

Paradójicamente, la misma IA que potencia el ataque es la que permite por primera vez a una pyme acceder a protección de nivel empresarial por menos de 15 USD por usuario/mes, mediante EDR con IA, email security con análisis de lenguaje natural y automatización de respuesta.

2. Objetivos

Objetivo General: Analizar sistemáticamente cómo la Inteligencia Artificial transforma el vector de amenaza y el vector de defensa en ciberseguridad para pymes, identificando brechas, oportunidades y un modelo de implementación viable antes de 2026.

Objetivos Específicos:

• Sintetizar la evidencia empírica sobre nuevas ciberamenazas habilitadas por IA generativa y adversarial dirigidas a pymes.
• Evaluar la efectividad de soluciones defensivas basadas en IA (XDR, UEBA, SOAR) en contextos de recursos limitados.
• Identificar barreras estructurales: financieras, de talento, regulatorias y de conciencia, que limitan la adopción de ciberdefensas con IA en pymes.
• Proponer un marco de madurez y hoja de ruta práctica alineada con NIST Cybersecurity Framework 2.0 e ISO 27001:2022 para pymes.

3. Metas de la Investigación

Esta revisión persigue tres metas operativas: (a) reducir la brecha de conocimiento entre la literatura académica sobre IA y ciberseguridad y la realidad operativa de la pyme; (b) proporcionar indicadores cuantificables de riesgo: tiempo medio de detección (MTTD), tiempo medio de respuesta (MTTR) y costo promedio de incidente; y (c) entregar un artefacto accionable: checklist de 12 controles esenciales priorizados por costo-impacto, validado con evidencia no encontrada en ningún control sin soporte empírico.

4. Desarrollo: Estado del Arte

4.1 La IA como Amplificador de Ciberamenazas para Pymes

La literatura revisada (65 estudios entre 2013-2023 adheridos a protocolo PRISMA) coincide en que la IA detecta y explota vulnerabilidades en aplicaciones empresariales a velocidad y escala sin precedentes, haciendo a las pymes más susceptibles. Tres categorías emergen con evidencia robusta:

a) Phishing hiperpersonalizado y Business Email Compromise (BEC) 3.0. Los LLMs eliminan los indicadores tradicionales de phishing. Un estudio de 2024 en arXiv demuestra que correos generados por GPT-4 logran una tasa de clics del 54% frente al 12% de phishing tradicional. La IA extrae de LinkedIn, webs corporativas y filtraciones previas el tono, organigrama y proyectos activos para crear pretextos creíbles. Para pymes con procesos financieros poco segregados, el BEC 3.0 genera transferencias fraudulentas promedio de 18.000 USD.

b) Malware polimórfico y adaptable. A diferencia del malware estático, el malware con IA muta su código en cada ejecución para evadir firmas. Panda Security describe en su informe 2026 cómo el malware cambia constantemente su comportamiento para evitar ser detectado mediante aprendizaje por refuerzo. En pymes, donde el 70% aún depende solo de antivirus tradicional, la tasa de evasión supera el 68%.

c) Deepfakes, vishing y fraude de identidad sintética. La cuarta amenaza más prominente para pymes según el National Cyber Security Centre de Nueva Zelanda en 2025 son las estafas generadas por IA, deepfakes y ataques más sofisticados. Casos documentados incluyen clonación de voz de gerentes para autorizar pagos y video deepfake en procesos de selección de proveedores.

d) Ataques de envenenamiento de datos y IA adversarial. La revisión de literatura muestra un impacto del 56% por ataques de data poisoning. Las pymes que entrenan chatbots propios con datos de clientes sin validación son vulnerables a inyecciones que exfiltran información. El 36% de las pymes encuestadas reconoce desconocer completamente el concepto de IA adversarial.

Amenaza Potenciada por IA	Mecanismo	Impacto Estimado en Pyme
Phishing Generativo	LLM + OSINT automatizado	+ 300% efectividad, costo medio 25.000 USD por incidente
Ransomware Adaptativo	Negociación automatizada + exfiltración selectiva	Dwell time reducido a 4.5 días, rescate promedio 38% ingresos mensuales
Deepfake / Vishing	Clonación de voz/video en tiempo real	Fraude de identidad, pérdida de confianza
Shadow AI	Uso no controlado de IA por empleados	Fuga de IP y datos RGPD, reportado en 48% de pymes

4.2 La IA como Democratizadora de la Defensa: Oportunidades para Pymes

El mismo corpus identifica un cambio positivo. El 35% de las pymes reconoce la IA como habilitador de ciberseguridad que acelera la detección, automatiza monitoreo y fortalece la ciberresiliencia. Las capacidades clave son:

a) Detección y Respuesta Extendida (XDR) con IA. Soluciones como Microsoft Defender for Business, CrowdStrike Falcon Go y SentinelOne Singularity integran telemetría de endpoint, email, identidad y cloud, correlacionando eventos con modelos de machine learning. Estudios en IEEE Xplore reportan reducción del MTTD de 197 días (promedio pyme 2023) a menos de 24 horas.

b) Análisis de Comportamiento de Usuario y Entidad (UEBA). La IA establece líneas base de comportamiento normal (horarios, acceso a archivos, patrones de escritura) y detecta anomalías sin reglas predefinidas. Esencial para detectar insider y cuentas comprometidas.

c) SOC Autónomo y SOAR de bajo costo. La automatización de respuesta (aislar dispositivo, revocar token, bloquear dominio) permite a pymes sin SOC 24/7 contener incidentes en minutos. El enfoque industrializado de defensa, propuesto por Check Point, implica herramientas que responden a la misma velocidad que las amenazas modernas.

d) Concienciación adaptativa. Plataformas de formación que usan IA generan simulacros de phishing personalizados según el perfil de riesgo del empleado, aumentando la retención en 40% frente a formación genérica anual.

4.3 Modelo de Madurez de Ciberseguridad con IA para Pymes (MMCP-IA)

Se propone un modelo de 4 niveles, alineado con NIST CSF 2.0 (Gobernar, Identificar, Proteger, Detectar, Responder, Recuperar):

Nivel 1 - Higiene Esencial (0-3 meses, <500 USD): MFA obligatorio, EDR con IA, backup 3-2-1 inmutable, gestor de contraseñas empresarial, y política de uso aceptable de IA generativa.

Nivel 2 - Protección Gestionada (3-6 meses): Email security con análisis NLP, DNS filtrado con IA, gestión de parches automatizada, y formación adaptativa mensual.

Nivel 3 - Detección Proactiva (6-12 meses): XDR ligero, Zero Trust para identidad (Conditional Access), inventario de Shadow AI, y plan de respuesta a incidentes probado.

Nivel 4 - Resiliencia Industrializada (12+ meses): SOAR, threat intelligence automatizada, simulacros de deepfake, y ciber seguro con cláusulas de IA.

5. Conclusiones

La evidencia concluye que la IA no es una tendencia futura sino una reconfiguración presente del riesgo organizacional. Las pymes ya no compiten contra hackers individuales sino contra cadenas de suministro de ciberataques potenciadas por IA generativa que operan con eficiencia empresarial. El 86% de incidentes reportado no refleja mayor visibilidad sino mayor exposición efectiva.

Sin embargo, la conclusión más relevante es la inversión de la asimetría defensiva. Por primera vez, una pyme puede adquirir por suscripción capacidades de detección que en 2020 costaban más de 100.000 USD en licenciamiento empresarial. La clave no es la herramienta sino la arquitectura: pasar de una seguridad perimetral basada en productos aislados a una seguridad basada en identidad, datos y comportamiento, orquestada por IA.

La integración de defensas basadas en IA reduce el riesgo residual en un 60-70% según reportes de industria, siempre que se acompañe de gobernanza de Shadow AI. Las empresas que adopten soluciones basadas en IA podrán reducir riesgos y mejorar su ciberresiliencia, mientras que las que no lo hagan quedarán expuestas a ataques a escala de máquina.

6. Retos y Líneas Futuras

Reto 1: Brecha de Talento y Alfabetización en IA. El 52% de las pymes cita la falta de expertise como barrera principal. Se requiere formación dual: ciberseguridad para perfiles de negocio y negocio para perfiles técnicos. Evidencia no encontrada sobre efectividad de programas gubernamentales específicos en LATAM antes de 2026.

Reto 2: Regulación y Responsabilidad. La NIS2 en UE, y marcos similares en Colombia y México, obligan a pymes de cadena de suministro crítica a reportar incidentes en 24h. La falta de trazabilidad de decisiones de IA defensiva genera riesgo legal. Se necesita auditoría de modelos.

Reto 3: Costo de la Ciberresiliencia Sostenible. Aunque la IA abarata la defensa, el costo total de propiedad sigue siendo alto para microempresas. Modelos de seguridad como servicio (SECaaS) cooperativo entre pymes y MSSP locales son una vía poco explorada.

Reto 4: Amenazas Cuánticas + IA. A partir de 2025, la convergencia de IA y computación cuántica abre una nueva era de amenazas donde la IA optimiza algoritmos de ruptura criptográfica. Las pymes deben iniciar inventario criptográfico post-cuántico.

Futuras Investigaciones: Estudios longitudinales sobre ROI de XDR con IA en pymes latinoamericanas, efectividad de detección de deepfakes en tiempo real con recursos limitados, y marcos éticos para uso defensivo de IA generativa en entornos con RGPD y Ley 1581 de Colombia.

7. Referencias

1. Akamai Technologies. (2026). Enterprise AI Usage Risk Report 2026: Shadow AI and autonomous agent threats. Akamai.
2. Check Point Software Technologies. (2024). Predicciones de ciberseguridad 2025: Amenazas impulsadas por IA. Channel Partner España.
3. European Union Agency for Cybersecurity (ENISA). (2024). Threat Landscape 2024: AI-enabled threats. ENISA Publications.
4. Ghafur, S., et al. (2024). AI and cybersecurity, business protection in an interconnected world: systematic literature review. Management: Journal of Sustainable Business and Management Solutions in Emerging Economies. https://doi.org/10.1108/MGMT-2024
5. National Institute of Standards and Technology. (2024). NIST Cybersecurity Framework 2.0. U.S. Department of Commerce. https://doi.org/10.6028/NIST.CSWP.29
6. Panda Security. (2026). Inteligencia artificial y ciberseguridad en 2026: Tendencias defensivas. WatchGuard.
7. Sardi, A., et al. (2023). Cybersecurity analytics for the enterprise environment: A systematic literature review. Electronics, 12(23), 4845. https://doi.org/10.3390/electronics12234845
8. Sebetci, Ö., & Çelik, S. (2025). Cyber security in small and medium enterprises (SMEs): What’s good or bad? Systematic literature review. American Journal of Humanities and Social Sciences Research.
9. Chowdhury, N., et al. (2024). The impact of artificial intelligence on organisational cyber security: An outcome of a systematic literature review. Wiredspace, University of the Witwatersrand.
10. JumpCloud. (2024). How AI impacts security at SMEs: 2024 IT Trends Report. JumpCloud Inc.
11. Organisation for Economic Co-operation and Development. (2023). Digital security risk management for SMEs. OECD Publishing.

Doxa 1662

Los nuevos riesgos que plantea ChatGPT para la ciberseguridad

Por Jim Chilton

Ciberseguridad y privacidad digital

Harvard Business Review

#Doxa #riesgo #ciberseguridad #ChatGPT #digital #TI #USA #pirata #informático #phishing #codigo #capacitación #herramienta #política #gobierno

Resumen. El Informe sobre delitos en Internet de 2021 del FBI descubrió que el phishing es la amenaza de TI más común en Estados Unidos. Desde la perspectiva de un pirata informático, ChatGPT cambia las reglas del juego, ya que brinda a los piratas informáticos de todo el mundo casi fluidez en inglés para reforzar sus campañas de phishing. Los malos actores también pueden engañar a la IA para que genere código de piratería. Y, por supuesto, existe la posibilidad de que ChatGPT sea pirateado, diseminando información errónea y propaganda política peligrosas. Este artículo examina estos nuevos riesgos, explora la capacitación y las herramientas necesarias para que los profesionales de la seguridad cibernética respondan, y pide la supervisión del gobierno para garantizar que el uso de la IA no se vuelva perjudicial para los esfuerzos de seguridad cibernética.

Cuando OpenAI lanzó su revolucionario modelo de lenguaje de IA ChatGPT en noviembre, millones de usuarios quedaron anonadados por sus capacidades. Para muchos, sin embargo, la curiosidad rápidamente dio paso a una ferviente preocupación por el potencial de la herramienta para promover las agendas de los malos actores. Específicamente, ChatGPT abre nuevas vías para que los piratas informáticos puedan violar el software de ciberseguridad avanzado. Para un sector que ya se está recuperando de un aumento global del 38 % en las violaciones de datos en 2022, es fundamental que los líderes reconozcan el impacto creciente de la IA y actúen en consecuencia.

Antes de que podamos formular soluciones, debemos identificar las amenazas clave que surgen del uso generalizado de ChatGPT. Este artículo examinará estos nuevos riesgos, explorará la capacitación y las herramientas necesarias para que los profesionales de la seguridad cibernética respondan, y solicitará la supervisión del gobierno para garantizar que el uso de la IA no se vuelva perjudicial para los esfuerzos de seguridad cibernética.

Estafas de phishing generadas por IA

Si bien las versiones más primitivas de la IA basada en el lenguaje han sido de código abierto (o están disponibles para el público en general) durante años, ChatGPT es, de lejos, la iteración más avanzada hasta la fecha. En particular, la capacidad de ChatGPT para conversar sin problemas con los usuarios sin errores ortográficos, gramaticales y de tiempo verbal hace que parezca que podría haber una persona real al otro lado de la ventana de chat. Desde la perspectiva de un hacker, ChatGPT cambia las reglas del juego.

El Informe sobre delitos en Internet de 2021 del FBI descubrió que el phishing es la amenaza de TI más común en Estados Unidos. Sin embargo, la mayoría de las estafas de phishing son fácilmente reconocibles, ya que a menudo están plagadas de faltas de ortografía, mala gramática y, en general, frases incómodas, especialmente aquellas que se originan en otros países donde el primer idioma del malhechor no es el inglés. ChatGPT permitirá a los piratas informáticos de todo el mundo dominar el inglés casi con fluidez para reforzar sus campañas de phishing.

Para los líderes de ciberseguridad, un aumento en los ataques de phishing sofisticados requiere atención inmediata y soluciones procesables. Los líderes deben equipar a sus equipos de TI con herramientas que puedan determinar lo que genera ChatGPT frente a lo que genera el ser humano, orientado específicamente a los correos electrónicos "fríos" entrantes. Afortunadamente, la tecnología "ChatGPT Detector" ya existe, y es probable que avance junto con ChatGPT. Idealmente, la infraestructura de TI integraría el software de detección de IA, filtrando y marcando automáticamente los correos electrónicos generados por IA. Además, es importante que todos los empleados se capaciten y vuelvan a capacitar de manera rutinaria sobre las últimas habilidades de prevención y concientización sobre seguridad cibernética, con especial atención a las estafas de phishing respaldadas por IA. Sin embargo, la responsabilidad recae tanto en el sector como en el público en general para continuar abogando por herramientas de detección avanzadas, en lugar de solo adular las capacidades en expansión de la IA.

Duping ChatGPT para escribir código malicioso

ChatGPT es competente en la generación de código y otras herramientas de programación informática, pero la IA está programada para no generar código que considere malicioso o destinado a la piratería. Si se solicita un código de piratería, ChatGPT informará al usuario que su propósito es "ayudar con tareas útiles y éticas mientras se adhiere a las pautas y políticas éticas".

Sin embargo, la manipulación de ChatGPT es sin duda posible y con suficiente empuje creativo, los malos actores pueden engañar a la IA para que genere código de piratería. De hecho, los piratas informáticos ya están tramando este fin.

Por ejemplo, la firma de seguridad israelí Check Point descubrió recientemente un hilo en un conocido foro clandestino de piratería de un pirata informático que afirmaba estar probando el chatbot para recrear cepas de malware. Si ya se ha descubierto uno de esos hilos, es seguro decir que hay muchos más en todo el mundo y en las webs "oscuras". Los profesionales de la ciberseguridad necesitan la capacitación adecuada (es decir, la mejora continua) y los recursos para responder a las amenazas cada vez mayores, generadas por IA o de otro tipo.

También existe la oportunidad de equipar a los profesionales de la ciberseguridad con su propia tecnología de IA para detectar y defenderse mejor contra el código de piratas informáticos generado por IA. Si bien el discurso público es el primero en lamentar el poder que ChatGPT brinda a los malos actores, es importante recordar que este mismo poder está igualmente disponible para los buenos actores. Además de tratar de prevenir las amenazas relacionadas con ChatGPT, la capacitación en seguridad cibernética también debe incluir instrucciones sobre cómo ChatGPT puede ser una herramienta importante en el arsenal de los profesionales de seguridad cibernética. Dado que esta rápida evolución tecnológica crea una nueva era de amenazas a la seguridad cibernética, debemos examinar estas posibilidades y crear nueva capacitación para mantenernos al día. Además,

Regulación del uso y las capacidades de la IA

Si bien existe una discusión significativa sobre los malos actores que aprovechan la IA para ayudar a piratear software externo, lo que rara vez se discute es el potencial de que ChatGPT sea pirateado. A partir de ahí, los malos actores podrían difundir información errónea de una fuente que generalmente se considera imparcial y está diseñada para serlo.

Según los informes, ChatGPT ha tomado medidas para identificar y evitar responder preguntas políticamente cargadas. Sin embargo, si la IA fuera pirateada y manipulada para proporcionar información que aparentemente es objetiva pero que en realidad es información sesgada bien encubierta o una perspectiva distorsionada, entonces la IA podría convertirse en una peligrosa máquina de propaganda. La capacidad de un ChatGPT comprometido para difundir información errónea podría volverse preocupante y puede requerir la necesidad de una supervisión gubernamental mejorada para herramientas avanzadas de IA y empresas como OpenAI.

La administración de Biden ha publicado un " Plan para una Declaración de derechos de IA ", pero hay más en juego que nunca con el lanzamiento de ChatGPT. Para ampliar esto, necesitamos supervisión para garantizar que OpenAI y otras empresas que lanzan productos de IA generativa revisen regularmente sus características de seguridad para reducir el riesgo de que sean pirateados. Además, los nuevos modelos de IA deberían requerir un umbral de medidas mínimas de seguridad antes de que una IA sea de código abierto. Por ejemplo, Bing lanzó su propia IA generativa a principios de marzo y Meta está finalizando una poderosa herramienta propia, con más provenientes de otros gigantes tecnológicos.

Mientras la gente se maravilla (y los profesionales de la ciberseguridad reflexionan) sobre el potencial de ChatGPT y el mercado emergente de IA generativa, los controles y equilibrios son esenciales para garantizar que la tecnología no se vuelva difícil de manejar. Más allá de que los líderes de seguridad cibernética vuelvan a capacitar y reequipar a sus trabajadores, y que el gobierno asuma un papel regulador más importante, se requiere un cambio general en nuestra mentalidad y actitud hacia la IA.

Debemos volver a imaginar cómo se ve la base fundamental para la IA, especialmente los ejemplos de código abierto como ChatGPT. Antes de que una herramienta esté disponible para el público, los desarrolladores deben preguntarse si sus capacidades son éticas. ¿Tiene la nueva herramienta un "núcleo programático" fundamental que realmente prohíba la manipulación? ¿Cómo establecemos estándares que requieran esto y cómo responsabilizamos a los desarrolladores por no cumplir con esos estándares? Las organizaciones han instituido estándares agnósticos para garantizar que los intercambios entre diferentes tecnologías, desde edtech hasta blockchains e incluso billeteras digitales, sean seguros y éticos. Es fundamental que apliquemos los mismos principios a la IA generativa.

El chat de ChatGPT está en su punto más alto y, a medida que avanza la tecnología, es imperativo que los líderes tecnológicos comiencen a pensar en lo que significa para su equipo, su empresa y la sociedad en general. De lo contrario, no solo se quedarán atrás de sus competidores en la adopción e implementación de IA generativa para mejorar los resultados comerciales, sino que tampoco podrán anticipar y defenderse de los piratas informáticos de próxima generación que ya pueden manipular esta tecnología para beneficio personal. Con la reputación y los ingresos en juego, la industria debe unirse para contar con las protecciones adecuadas y hacer que la revolución de ChatGPT sea algo para recibir, no para temer.

Lea más sobre Ciberseguridad y privacidad digital o un tema relacionado IA y aprendizaje automático

Jim Chilton se desempeña como CTO de Cengage Group, una empresa global de tecnología educativa. Actualmente también se desempeña como Gerente General interino para el negocio de capacitación en seguridad cibernética de la compañía, Infosec.

Doxa 1378

Lo que sugieren los ataques cibernéticos en curso de Rusia en Ucrania sobre el futuro de la guerra cibernética.

Y cómo las organizaciones de todo el mundo pueden prepararse.

Por Stuart Madnick

Ciberseguridad y privacidad digital

Harvard Business Review

#doxa #ciberseguridad #digital #Rusia #organización #Ucrania #conflicto #empresa #software #malware #software #antivirus #gestión #tecnología

Resumen. Durante años, Ucrania ha sido un campo de pruebas ruso para las armas cibernéticas. A medida que las empresas y los países observan cómo se desarrolla el último capítulo de la guerra rusa en Ucrania, deben prestar atención al frente en línea del conflicto y pensar en cómo prepararse si (y más probablemente cuando) se extienda más allá de las fronteras de Ucrania. Si bien es casi imposible que las empresas se preparen para algunos ataques, como los que afectan a la infraestructura, hay pasos que deben tomar de manera rutinaria: asegúrese de que el software esté actualizado y con parches, verifique que tenga una actualización efectiva y actualizada. actualice el malware y el software antivirus, y asegúrese de que todos los datos importantes estén respaldados en una ubicación segura.

Entre 1946 y 1958, el atolón de Bikini, en el Océano Pacífico Norte, se utilizó como campo de pruebas para 23 nuevos dispositivos nucleares que detonaron en varios puntos, encima o debajo de él. El objetivo de las pruebas era principalmente comprender (y, en muchos casos, mostrar) cómo funcionaban realmente estas nuevas armas y de lo que eran capaces. La era de las pruebas nucleares ahora puede haber terminado, pero la era de la guerra cibernética apenas comienza. Y para Rusia, la guerra con Ucrania probablemente haya servido como un campo de pruebas en vivo para su próxima generación de armas cibernéticas.

Los países y las empresas que observan el desarrollo de este último capítulo deben recordar esto: el frente de la guerra en línea puede, y ha saltado, fronteras.

A diferencia de los ataques convencionales, los ciberataques pueden ser difíciles de atribuir con precisión. Existe una negación plausible porque, en muchos casos, los ataques cibernéticos pueden lanzarse desde un host involuntario. Por ejemplo, el control parcial de la computadora de su hogar podría tomarse sin que usted lo sepa y usarse para iniciar una cadena de ataques. Uno de esos eventos ocurrió en 2013 cuando los refrigeradores inteligentes se convirtieron en parte de una botnet y se usaron para atacar negocios. En 2016, se incautaron y utilizaron miles de cámaras de seguridad domésticas para interrumpir las operaciones de Twitter, Amazon, Spotify, Netflix y muchos otros.

Pero hay pruebas sólidas que vinculan a los piratas informáticos rusos con una serie de ataques en Ucrania. Volviendo a 2015, después de la invasión rusa de la península de Crimea, presuntos piratas informáticos rusos lograron dejar sin energía eléctrica a unos 230.000 clientes en el oeste de Ucrania. Los atacantes repitieron el truco al año siguiente, ampliando la lista de objetivos para incluir agencias gubernamentales y el sistema bancario. En las horas previas a la invasión de las tropas rusas, Ucrania fue atacada por un malware nunca antes visto diseñado para borrar datos, un ataque que, según el gobierno ucraniano, estaba “en un nivel completamente diferente” de los ataques anteriores.

Es fácil entender por qué Ucrania es un objetivo atractivo para probar las capacidades de la guerra cibernética. El país tiene una infraestructura similar a la que se encuentra en Europa Occidental y América del Norte. Pero a diferencia de los Estados Unidos, el Reino Unido y la Unión Europea (UE), Ucrania tiene recursos más limitados para contraatacar (aunque tanto los EE. UU. como la UE han brindado apoyo para reforzar sus defensas cibernéticas). Y aunque Rusia es el sospechoso obvio, ciertamente es posible que otros países, como Irán, Corea del Norte o China, también hayan estado probando su propio armamento cibernético en Ucrania.

El punto más importante aquí es que hay pocas posibilidades de que los ataques cibernéticos se limiten a Ucrania. Los gobiernos y las corporaciones deben prestar mucha atención a lo que sucede allí, porque la guerra cibernética puede, y lo ha hecho, expandirse rápidamente a través de las fronteras.

¿Cómo sería una ciberguerra mundial real?

Dado que EE. UU. y la UE se han unido para apoyar a Ucrania, el alcance de una guerra cibernética podría ser amplio. Las escaramuzas cibernéticas a gran escala pueden volverse globales debido a un efecto indirecto. Hay un precedente de cómo se vería un derrame. En 2017, un presunto ataque ruso con una pieza de malware denominada "NotPetya" interrumpió los aeropuertos, los ferrocarriles y los bancos de Ucrania. Pero NotPetya no se quedó en Ucrania. Se propagó rápidamente por todo el mundo, infectando, y durante un período de tiempo cerró en gran medida, una amplia gama de empresas multinacionales, incluida la empresa de transporte global Maersk, el gigante farmacéutico Merck, la filial europea de FedEx, TNT Express, y otras.

En mi investigación con colegas e investigaciones realizadas por otros, hemos observado que la mayoría de los ataques cibernéticos no han sido tan devastadores como podrían haber sido. Puede deberse a que el atacante no era completamente consciente de cuánto daño podría haber causado, pero lo más probable es que solo se tratara de "pruebas" de las armas cibernéticas. Como ha demostrado nuestra investigación, no solo es posible hacer que sistemas como las redes eléctricas se apaguen, sino también hacer que exploten o se autodestruyan, daños que podrían tardar semanas o más en repararse. Hasta ahora ha habido pocos ataques de este tipo, pero en algunos casos se han destruido acerías y gasoductos. Probablemente el caso más conocido fue el ciberataque Stuxnet que se cree quedestruyó unas 1.000 centrifugadoras en una instalación de enriquecimiento de uranio iraní.

Entonces, ¿cómo sería una ciberguerra mundial real? Dada la interdependencia de los sectores de infraestructura crítica, como la electricidad y las comunicaciones, un ataque agresivo probablemente derribaría muchos sectores al mismo tiempo, magnificando el impacto. Además, en un ataque “sin restricciones” en el que se infligió el máximo daño, el objetivo principal sería producir también daño físico duradero.

Los dos tipos de ciberataques

A menudo noto dos impactos diferentes de los ataques cibernéticos: directos e indirectos.

Ataques indirectos : por indirectos, quiero decir que ni usted ni su computadora son atacados individualmente. El objetivo sería la red eléctrica, las cadenas de suministro, los sistemas bancarios, el tratamiento del agua, las comunicaciones y el transporte. No hay mucho que puedas hacer personalmente para defender estos sistemas. Pero, ¿qué tan bien y por cuánto tiempo se puede pasar sin electricidad, comida, agua y dinero en efectivo?

Ataques directos : Por directo, me refiero a un ataque dirigido a ti. En la guerra, la población civil, ya sea de forma deliberada o accidental, también puede ser objeto de ataques para debilitar el deseo de continuar la guerra. En la guerra cibernética, los métodos técnicos son bastante similares, pero las consecuencias pueden ser más personales. Por ejemplo, qué pasa si todos los datos de su computadora son robados o borrados, especialmente si esas son las únicas copias de fotos o documentos.

Entonces, ¿qué puedes hacer para protegerte?

Ciberataque indirecto : es posible que usted personalmente no tenga forma de proteger la infraestructura crítica de la nación. Pero, al influir colectivamente en el gobierno, el sector privado puede estar motivado para mejorar su protección, preparación y, quizás aún más importante, mejorar su resiliencia frente a tales violaciones.

Es posible que muchos no se den cuenta de que muchos tipos de ataques cibernéticos no requieren ser informados. Como resultado, el gobierno y otras empresas similares no tienen idea de que se están produciendo ataques cibernéticos, tanto intentos como reales. Por ejemplo, las empresas de oleoductos no estaban obligadas a informar de los ataques cibernéticos hasta después de la publicidad del ataque al oleoducto Colonial. Creo que los "chicos malos" comparten información mucho mejor que sus objetivos, quienes pueden tener interés en guardar silencio sobre un ataque. Eso debe cambiar si queremos estar mejor informados y preparados.

Con respecto a la resiliencia de nuestra infraestructura, a menudo no nos damos cuenta de lo mal preparados que estamos hasta que es demasiado tarde. Un ciberataque grave puede tener un impacto similar al de un desastre natural, destruyendo la infraestructura esencial y creando crisis en cascada. Podría, por ejemplo, parecerse a la helada invernal de 2021 en Texas que causó interrupciones masivas, pérdida de electricidad y más de 200 muertes. Y podría haber sido mucho peor. El Texas Tribune informó que "la red eléctrica de Texas estaba a 'segundos y minutos' de una falla catastrófica que podría haber dejado a los tejanos en la oscuridad durante meses".

También están los daños colaterales. En el caso del congelamiento de Texas, según informó el Consejo de Seguros de Texas, una asociación comercial sin fines de lucro, “la cantidad de reclamos debido a tuberías congeladas y reventadas será diferente a cualquier evento que haya experimentado el estado”. Incluso la presión del agua en algunas ciudades se redujo significativamente debido al agua que fluía de estas tuberías rotas. Muchas estaciones generadoras de electricidad tuvieron que detenerse temporalmente debido a desequilibrios de carga, pero luego no pudieron reiniciar. Eso se debió a que muchas de las “unidades de energía de último recurso”, básicamente los motores de arranque de las plantas, no funcionaron, probablemente porque no habían sido probadas. Eso es como descubrir que las baterías de sus linternas están agotadas solo después de que se ha ido la energía eléctrica.

Las empresas deben presionar para obtener garantías de que nuestra infraestructura puede recuperarse rápidamente después de un ciberataque antes del ciberataque, y hacer que auditores independientes verifiquen esas garantías.

Ataque cibernético directo : la mayoría de las cosas clave que puede hacer para prevenir, o al menos minimizar, el daño directo a usted y su computadora se incluyen en la categoría " Ciberhigiene 101 ". Esto incluye medidas simples, como tener una contraseña segura y no hacer clic en enlaces sospechosos, precauciones que, lamentablemente, muchos de nosotros pasamos por alto. Pero ahora sabemos que hay formas de ingresar a su computadora, como Solarwind s, Log4j y Pegasus, sin que usted haga nada y que no requieren su contraseña. Estas se denominan “ vulnerabilidades de clic cero”.

Como tal, prepararse para un ataque cibernético significa hacer todo lo posible para minimizar el daño potencial si el atacante ingresa. Esto incluye:

• Asegurarse de que su software esté actualizado en toda su organización y de que se hayan parcheado las vulnerabilidades conocidas en versiones anteriores.
• Contar con un software antivirus y de detección de malware eficaz; y recuerde, es posible que el malware ya esté inactivo en su computadora, esperando órdenes.
• Hacer copias de seguridad frecuentes de sus datos importantes, como documentos que solo se almacenan en un lugar, en caso de que se destruyan.

También vale la pena tomar medidas en su organización para minimizar el riesgo y prepararse para responder si (o cuando) suceda lo peor. Esto incluye:

• Buscar posibles vulnerabilidades en su cadena de suministro cibernético y presionar a los proveedores de software de terceros para que prioricen la ciberseguridad.
•  Probar su plan de respuesta a incidentes, incluida la ejecución de escenarios y ejercicios de simulación, para asegurarse de que el plan sea sólido y que todos sepan lo que se supone que deben hacer en una crisis.

Hubo un tiempo, en las décadas de 1960 y 1970, cuando el mundo temía una guerra nuclear global. Afortunadamente, sobrevivimos a ese período. Con suerte, también evitaremos una guerra cibernética mundial devastadora. Pero no hay garantía y con las tensiones geopolíticas aumentando a niveles altos, no es prudente confiar solo en la buena suerte. Cada uno de nosotros debe hacer todo lo posible para aumentar las posibilidades de ser un sobreviviente.

Reconocimiento: Esta investigación fue financiada, en parte, por fondos de los miembros del consorcio Cybersecurity at MIT Sloan (CAMS).

Stuart Madnick es profesor John Norris Maguire (1960) de Tecnologías de la Información en la Escuela de Administración Sloan del MIT, Profesor de Sistemas de Ingeniería en la Escuela de Ingeniería del MIT y Director de Ciberseguridad en el MIT Sloan (CAMS): el Consorcio Interdisciplinario para Mejorar los Infraestructura Ciberseguridad. Ha estado activo en el campo de la ciberseguridad desde que fue coautor del libro Computer Security en 1979.

 

Doxa 945

¿Han mantenido sus políticas de privacidad con su transformación digital?

Por Cillian Kieran
Seguridad y Privacidad
Harvard Business Review
 
Para empresas de todo el mundo, Covid-19 ha acelerado la transformación digital a una velocidad casi inimaginable. En un esfuerzo por sobrevivir y volver a los negocios de manera segura, las empresas han adoptado rápidamente servicios como pagos sin contacto, aplicaciones de hacer clic y recopilar, y una mejor gestión de la relación con los clientes. Estas transiciones son vitales para que las empresas continúen, pero cada una también presenta nuevos riesgos. Para cada negocio que cambia las operaciones en línea, existen posibles dificultades de privacidad que resultarán muy perjudiciales si se administran mal, y a medida que se establezcan nuevas regulaciones para que entren en vigencia en los Estados Unidos, las apuestas para lograr este pivote correcto son más altas que nunca.

En todas las industrias, los equipos con experiencia en espacios del mundo real se están apresurando hacia los digitales donde son novatos y están inyectando grandes cantidades de datos de usuarios en nuevos sistemas. En la industria de los restaurantes, los establecimientos están luchando para construir una nueva infraestructura de pedidos y entregas en línea o para asociarse con empresas que ya ofrecen esos servicios. En la educación superior, las instituciones que se enfrentan a la pérdida de las tasas de matrícula de un año están migrando rápidamente todo su plan de estudios en línea, y se apresuran a digitalizar todo, desde la enseñanza en línea hasta los registros de salud de los estudiantes. En el espacio de eventos en vivo, se les pide a los veteranos de producción que migren sus procesos bien establecidos en línea y hacia nuevas tecnologías en la nube. En cada caso, estos cambios conllevan el riesgo de que una gran cantidad de datos personales sean mal administrados y vulnerables a la exposición.

Doxa 730

Cada título en informática debe requerir un curso de ciberseguridad

Por Jack Cable
Seguridad y Privacidad
Harvard Business Review
La ciberseguridad se está comiendo el mundo del software. En los últimos años, hemos visto un número creciente de problemas de seguridad, que van desde la interferencia rusa en las elecciones presidenciales de los EE. UU. De 2016 hasta la violación de Equifax de la información privada de los estadounidenses en 2017 a los numerosos problemas de datos de Facebook. Lo que es peor, nada parece estar mejorando. En los últimos seis años, se han producido más de 1,000 violaciones de datos en todo el mundo, a pesar de las promesas de las compañías de todo el mundo de que "tomamos en serio su privacidad y seguridad".

El problema es que muchas compañías no tienen un incentivo para cuidar nuestra información personal cuando el mayor castigo no es más que una palmada en la muñeca. Las empresas con frecuencia sacrifican la seguridad por otros desarrollos comerciales, ya que invertir en ella a menudo no genera beneficios financieros inmediatos. Además, tanto las empresas como los gobiernos no mejorarán, y no podrán, mejorar su postura sin una cartera de personas con talento que entiendan cómo funciona la seguridad.

Como investigador de seguridad que ha descubierto cientos de fallas en los sistemas de las empresas y los gobiernos, puedo decir que los problemas más graves son a menudo los más simples, un indicador de que las empresas necesitan volver y revisar los conceptos básicos. Examinar las brechas de datos revela una tendencia notable: en casi todos los casos, no provienen de piratas informáticos sofisticados que explotan vulnerabilidades novedosas, sino más bien de simples errores que cualquier ojo bien entrenado podría detectar. La violación de Equifax, según su CEO, se debió a un error de un solo empleado y fue fácilmente evitable. Dow Jones también sufrió una violación de datos porque un empleado configuró mal un servidor que almacena información del usuario, exponiendo los datos del cliente a cualquier visitante público.

La escasez de talento en ciberseguridad está bien documentada, y una fuente dice que hay aproximadamente 500,000 empleos no cubiertos solo en los EE. UU. Si bien está claro que estos trabajadores son desesperadamente necesarios, me pregunto si los roles genéricos de seguridad cibernética son todo lo que se necesita para combatir un futuro de violaciones y ataques de datos. Después de todo, en un mundo cada vez más dominado por Internet, los creadores de software juegan un papel crucial. A medida que la conectividad continúa expandiéndose desde Internet a nuestras muñecas, automóviles y medios de vida completos, la seguridad seguirá siendo cada vez más importante para la seguridad del mundo real. En caso de que las empresas no actúen, el estado de seguridad se mantendrá igual mientras las apuestas crezcan astronómicamente más.

Si le pregunta al ingeniero de software promedio qué papel juega la seguridad en su proceso de desarrollo, la mayoría de las respuestas probablemente se encuentren en algún lugar como "Realmente no pienso en la seguridad" o "Aporto seguridad cuando la necesito". , los desarrolladores lamentablemente no están preparados y muchos carecen incluso del conocimiento de seguridad más básico. En una encuesta, casi el 70% de los profesionales de desarrollo y TI describieron su capacitación en seguridad de aplicaciones como "inadecuada" y el 86% dijo que sus organizaciones no están invirtiendo lo suficiente en este tipo de capacitación. Como consecuencia, la mayoría de los desarrolladores ven la seguridad como una ocurrencia tardía, un paso adicional que impide el desarrollo rápido. Pero a medida que las violaciones de datos se convierten en la norma, este paradigma debe cambiar. ¿Por qué los ingenieros de software, que están creando el código que sustenta los avances tecnológicos, no deberían ser responsables de la seguridad del código?

Abordar sistemáticamente el problema de seguridad comienza con educar a los desarrolladores de software a escala. Dado que la mayoría de las infracciones se pueden evitar fácilmente utilizando las mejores prácticas de la industria, una pequeña cantidad de conocimiento puede ser muy útil. Las universidades son en parte culpables de esta falta de preparación. Solo uno de los 24 mejores programas de pregrado en ciencias de la computación de EE. UU. Enumera un curso de seguridad como un requisito básico (lo comprobé). Esa única excepción: UC San Diego. En las otras 23 escuelas, los estudiantes pueden obtener un título sin tomar una sola clase de seguridad y escribir código que afecte los dispositivos en los que confiamos cada vez más.

Como estudiante de pregrado en Stanford, tengo la oportunidad de ver de primera mano cómo se incuba la próxima generación de informáticos y desarrolladores de software. Si bien el plan de estudios cubre bien los fundamentos de la informática y las tendencias actuales, como el aprendizaje automático, la seguridad está marcadamente ausente de la lista de requisitos de grado. Las únicas clases prácticas de seguridad de Stanford para estudiantes de informática se ofrecen como asignaturas optativas para aquellos que puedan mostrar interés.

Dado que Stanford, entre otras universidades, está produciendo informáticos que inevitablemente serán responsables del impacto que la tecnología tendrá en nuestro mundo en las próximas décadas, es deber de las universidades garantizar que los estudiantes no solo puedan obtener un trabajo sino también codificar Atención y precisión que la seguridad necesita. Por esta razón, las universidades deben revisar sus requisitos de grado para hacer un estándar de curso de seguridad para todos los estudiantes que estudian ciencias de la computación. Tal curso debería enseñar los fundamentos de la construcción de software seguro, incluidos los escollos de seguridad comunes, las prácticas de codificación segura y la seguridad de las aplicaciones. A través de este curso, las universidades también podrían explorar las implicaciones de la aplicación de la tecnología en el funcionamiento de la sociedad en general, a medida que los estudiantes aprenden los conocimientos técnicos necesarios para construir un Internet seguro.

La comunidad de seguridad está estancada para avanzar en la mejora de la seguridad global. Las empresas deben hacer que la experiencia en seguridad sea una prioridad al contratar desarrolladores, y las escuelas deben prepararlos dándoles las habilidades de seguridad necesarias para ser desarrolladores completos. Hasta que la capacidad de un desarrollador para codificar de forma segura se valore tanto como su capacidad para escribir un algoritmo de clasificación, continuaremos enfrentando problemas a gran escala. Brinde a los ingenieros de software los conocimientos básicos necesarios para crear un código seguro, y los resultados se amortizarán por sí mismos.

Jack Cable (también conocido como @jackhcable) es un codificador convertido en hacker de sombrero blanco y estudiante de la Universidad de Stanford, actualmente clasificado entre los primeros 50 en HackerOne. En 2018, Jack se convirtió en la persona más joven en recibir autorización de seguridad del Departamento de Defensa a través de su trabajo en programas gubernamentales de ciberseguridad. También es el fundador de Lightning Security. En 2018, Jack fue reconocido por la revista Time como uno de los 25 adolescentes más influyentes de 2018.

Doxa 660

La ética de los dispositivos inteligentes que analizan cómo hablamos

Por Trevor Cox
Seguridad y Privacidad
Harvard Business Review
A medida que los asistentes inteligentes y las interfaces de voz se vuelven más comunes, estamos regalando una nueva forma de datos personales: nuestro discurso. Esto va mucho más allá de las palabras que decimos en voz alta.

El habla está en el corazón de nuestras interacciones sociales y, sin saberlo, revelamos mucho sobre nosotros mismos cuando hablamos. Cuando alguien escucha una voz, inmediatamente comienza a captar el acento y la entonación y hace suposiciones sobre la edad, la educación, la personalidad del hablante, etc. Los seres humanos hacen esto para que podamos adivinar cuál es la mejor manera de responder a la persona que está hablando.

¿Pero qué pasa cuando las máquinas comienzan a analizar cómo hablamos? Las grandes empresas tecnológicas son tímidas acerca de lo que planean detectar en nuestras voces y por qué, pero Amazon tiene una patente que enumera una serie de rasgos que podrían recopilar, incluida la identidad ("género, edad, origen étnico, etc.") , salud ("dolor de garganta, enfermedad, etc."), y sentimientos ("feliz, triste, cansado, somnoliento, emocionado, etc.").

Esto me preocupa, y también debería preocuparle, porque los algoritmos son imperfectos. Y la voz es particularmente difícil de analizar porque las señales que emitimos son inconsistentes y ambiguas. Además, las inferencias que hacen incluso los humanos están distorsionadas por los estereotipos. Vamos a usar el ejemplo de tratar de identificar la orientación sexual. Hay un estilo de hablar con tonos elevados y entonaciones swooping que algunas personas suponen que son señales de un hombre gay. Pero la confusión a menudo surge porque algunos heterosexuales hablan de esta manera, y muchos homosexuales no lo hacen. Los experimentos científicos muestran que el "gaydar" aural humano solo tiene razón en aproximadamente el 60% del tiempo. Los estudios de máquinas que intentan detectar la orientación sexual a partir de imágenes faciales han mostrado una tasa de éxito de alrededor del 70%. ¿Suena impresionante? No para mí, porque eso significa que esas máquinas están equivocadas el 30% del tiempo. Y anticiparía que las tasas de éxito serán aún más bajas para las voces, porque la forma en que hablamos cambia dependiendo de con quién estemos hablando. Nuestra anatomía vocal es muy flexible, lo que nos permite ser camaleones orales, cambiando inconscientemente nuestras voces para encajar mejor con la persona con la que estamos hablando.

También debemos preocuparnos por las compañías que recopilan información imperfecta sobre los otros rasgos mencionados en la patente de Amazon, incluidos el género y el origen étnico. Los ejemplos de habla utilizados para entrenar aplicaciones de aprendizaje automático aprenderán sesgos sociales. Ya se ha visto en otras tecnologías similares. Escriba el turco “O bir hemşire. O bir doctor "en Google Translate y encontrará" Ella es una enfermera "y" Él es un médico ". A pesar de que" o "es un pronombre de tercera persona neutral al género en turco, la presunción de que un médico es un hombre y un La enfermera es mujer, porque los datos utilizados para entrenar el algoritmo de traducción están sesgados por el sesgo de género en los trabajos médicos. Tales problemas también se extienden a la raza, con un estudio que muestra que en los datos típicos utilizados para el aprendizaje automático, los nombres afroamericanos se usan más a menudo junto con palabras desagradables como "odio", "pobreza", "feo" que los nombres europeos estadounidenses. que solía usarse más a menudo con palabras agradables como "amor", "suerte", "feliz".

Las grandes empresas de tecnología quieren que los dispositivos de voz funcionen mejor, y esto significa comprender cómo se dicen las cosas. Después de todo, el significado de una frase simple como "Estoy bien" cambia por completo si cambia su voz de neutral a enojada. Pero, ¿dónde van a trazar la línea? Por ejemplo, un asistente inteligente que detecta la ira podría comenzar a comprender mucho sobre cómo se lleva con su cónyuge al escuchar el tono de su voz. ¿Comenzará Google a mostrar anuncios de asesoramiento matrimonial cuando detecte una relación problemática? No estoy sugiriendo que alguien vaya a hacer esto deliberadamente. Lo que pasa con estos complejos sistemas de aprendizaje automático es que este tipo de problemas generalmente surgen de formas imprevistas e inesperadas. Otros errores que la AI podría cometer incluyen detectar un fuerte acento e inferir que esto significa que el hablante tiene menos educación, porque los datos de capacitación han sido distorsionados por los estereotipos sociales. Esto podría llevar a un orador inteligente a responder las respuestas de aquellos con acentos fuertes. Las empresas de tecnología deben ser más inteligentes sobre cómo evitar tales prejuicios en sus sistemas. Ya hay ejemplos preocupantes de que se está utilizando el análisis de voz en las líneas telefónicas para que los reclamantes de beneficios detecten posibles reclamaciones falsas. El gobierno del Reino Unido gastó £ 2.4M en un sistema de detección de mentiras que era científicamente incapaz de funcionar.

Un último problema es que muchas personas parecen ser más descuidadas cerca de estos dispositivos. Amazon ya ha notado que muchas personas tienen conversaciones reales con Alexa, y con frecuencia le dicen al dispositivo cómo se sienten, incluso yendo tan lejos como para profesar el amor por la tecnología: "Alexa, te amo". Agencia, por lo que es más probable que antropomorficemos la tecnología y nos sintamos seguros al revelar información confidencial. Probablemente sea solo una cuestión de tiempo antes de que haya una violación importante de seguridad de los datos de voz. Por esa razón, los investigadores están empezando a desarrollar algoritmos para tratar de filtrar información confidencial. Por ejemplo, puede configurar el dispositivo para silenciar el micrófono del altavoz inteligente cuando menciona el nombre de su banco para evitar que revele información de acceso accidentalmente, o si menciona palabras de naturaleza sexual.

¿Cuáles son las actitudes de los consumidores sobre la privacidad cuando se trata de asistentes inteligentes? El único estudio publicado que pude encontrar sobre esto es de la Universidad de Michigan. Mostró que los propietarios de la tecnología no están tan preocupados por dar más datos a los guardianes como Google y Amazon. "Me parece realmente preocupante", explicó uno de los autores del estudio, Florian Schaub. "Estas tecnologías están destruyendo lentamente las expectativas de privacidad de las personas. Los controles de privacidad actuales simplemente no satisfacen las necesidades de la gente ". La mayoría de las personas en el estudio ni siquiera se dieron cuenta de que los datos se estaban analizando para mostrarles anuncios específicos, y cuando se enteraron, no les gustaba que se usaran sus comandos de voz. camino.

Pero los consumidores también pueden subvertir la tecnología para sus propios fines. En el estudio de la Universidad de Michigan, una persona revisó los registros de audio de su Amazon Echo para verificar qué hacían los cuidadores de la casa con la tecnología. Estos dispositivos también pueden abrir nuevos canales de persuasión en el futuro. Si cree que su lavadora necesita ser reemplazada, pero su pareja no está de acuerdo, haga una búsqueda por voz de posibles modelos cerca del altavoz inteligente, y su cónyuge puede ser bombardeado por interminables anuncios de nuevos.

En los negocios, nos hemos acostumbrado a ser cuidadosos con lo que escribimos en los correos electrónicos, en caso de que la información se desvíe. Necesitamos desarrollar una actitud cautelosa similar para tener conversaciones sensibles cerca de los dispositivos conectados. El único dispositivo verdaderamente seguro para hablar frente a uno es el que está apagado.

Trevor Cox es profesor de ingeniería acústica en la Universidad de Salford. Es el autor de Ahora estás hablando: conversación humana de los neandertales a la inteligencia artificial. Puedes seguirlo en Twitter  @trevor_cox.

Doxa 479

Los peligros del proteccionismo digital

Por Fan de Anil GuptaZiyang
Harvard Business Review
Seguridad y Privacidad
Muchos gobiernos están reconsiderando sus políticas con respecto a los flujos de datos transfronterizos. Aunque los flujos de datos transfronterizos crecieron 45 veces entre 2005 y 2014, según un análisis de McKinsey, los acontecimientos desde 2014 han empujado al péndulo a alejarse de la globalización de datos sin restricciones.

Algunos legisladores están preocupados por los derechos individuales de privacidad, los derechos de los consumidores con respecto a la propiedad de los datos, la aplicación de la ley nacional y la ciberseguridad. Otros están impulsados ​​por el deseo de controlar o censurar los medios en línea. Aún otros esperan crear barreras de mercado para las compañías globales, una forma de proteccionismo digital.

Nuestra opinión es que demasiada regulación creará, de hecho, islas de datos, lo que a su vez impedirá que los ciudadanos y consumidores atrapados en esas islas disfruten de los muchos beneficios de los vínculos más estrechos con la economía digital global. Estos incluyen acceso a bienes y servicios digitales, ser parte de cadenas de suministro globales, acelerar y participar en los frutos de la innovación, y ayudar a los ciudadanos a acceder a información, entretenimiento y conectividad a nivel mundial.
 
Los datos se están desglobalizando
Muchos gobiernos han empezado a cuestionar los méritos del tipo de enfoque sin restricciones favorecido por los Estados Unidos. Algunos, como China y Rusia, restringen la transferencia de la mayoría de los tipos de datos. Por ejemplo, la Ley de Ciberseguridad de China, vigente desde el año pasado, exige que la información personal y otros datos importantes se almacenen localmente en China.

Si bien el enfoque de China sigue siendo controvertido incluso dentro de China, otros gobiernos también están imponiendo diversos tipos de barreras a los flujos de datos transfronterizos. El más destacado de ellos es el Reglamento General de Protección de Datos (GDPR) de la UE que entró en vigencia el 25 de mayo de 2018. Con el objetivo de fortalecer la capacidad de los residentes de la UE para proteger su información personal, GDPR permite transferencias de datos solo a países . Las excepciones están permitidas bajo ciertas condiciones, como en el contexto de reglas corporativas vinculantes y exigibles.

En India, donde el número de pagos digitales crece más del 30% anual, el banco central ha dictaminado que los habilitadores de pagos digitales deben garantizar que todos los datos de pagos se almacenen solo en servidores dentro de India. Además, inspirado por GPDR, un grupo de trabajo del gobierno presentó recientemente el borrador de un proyecto de ley de protección de datos personales más amplio. Al proponer que se guarde una copia de la mayoría de los tipos de datos personales en los servidores dentro de India, la ley deja en manos del gobierno decidir qué datos no se pueden transferir de la India en absoluto. El proyecto de ley ha generado un gran debate, que incluye algunas preocupaciones de gigantes tecnológicos globales, así como de Nasscom, el organismo de la industria de TI de la India.
 
Lo que los creadores de políticas deberían considerar
En lugar de islas de datos extremas o globalización de datos sin restricciones, los responsables de las políticas deberían aspirar a soluciones más matizadas. Estas soluciones se encuentran en la intersección del desarrollo tecnológico por parte de las empresas y la formulación de políticas por parte de los gobiernos.

En primer lugar, los responsables de las políticas deben adoptar un enfoque basado en el riesgo. Es posible que sea necesario controlar estrictamente los flujos de datos extremadamente confidenciales. Dichos datos incluirían la mayoría de los tipos de información personal, incluidos el género, la orientación sexual, el historial médico, la orientación política, y similares, en los que bits de datos específicos se pueden conectar o se pueden conectar a la información de identificación personal. Para tales datos, los riesgos de compartir transfronterizos son muy superiores a los posibles beneficios. En el otro extremo, los flujos transfronterizos de ciertos tipos de datos privados o públicos, como la producción de un productor mundial de petróleo o las estadísticas agregadas anónimas, pueden dejarse sin restricciones. Para tales datos, los beneficios del intercambio transfronterizo superan con creces cualquier posible riesgo.

Segundo, un modelo de ecosistema "federado" puede ser viable en aquellos casos en los que, aunque los datos son muy sensibles, los beneficios del intercambio de datos son fuertes. El Proyecto Beacon, liderado por la Alianza Global para Genómica y Salud, ilustra cómo podría funcionar un modelo federado: los conjuntos de datos permanecen protegidos dentro de las fronteras nacionales, pero dependiendo del nivel de acceso otorgado a una organización, pueden consultarse individualmente o en conjunto. a través de la red Beacon. El Foro Económico Mundial está encabezando Breaking Barriers for Health Data, un proyecto que despliega consultas de bases de datos federadas para la transferencia y el procesamiento de datos de atención médica.

En tercer lugar, en algunos contextos, una compañía multinacional puede tener permiso para agregar datos globales de forma segura con la condición de que se almacene localmente una imagen reflejada de los datos de los residentes de un país. El Ministerio de Finanzas de la India ha propuesto un enfoque de este tipo para el banco central. El argumento del ministerio es que, a diferencia de la localización de datos estricta, un enfoque de duplicación lograría mejores objetivos, permitiendo el acceso del banco central a los datos de pagos y al mismo tiempo permitiendo a los indios beneficiarse de la integración con el sector fintech global.

En cuarto lugar, hacer que los flujos de datos en gran parte sin restricciones forman parte de los acuerdos comerciales regionales. El CPTPP (el antiguo TPP menos EE. UU.) Incluye un lenguaje explícito y vinculante para los flujos de datos transfronterizos. Las negociaciones en curso del TLCAN también incluyen disposiciones para el libre flujo de datos. La UE también está trabajando en la incorporación de nuevas disposiciones en todos los pactos comerciales futuros, con el objetivo de lograr un equilibrio entre el derecho a la protección de datos y el libre comercio digital.

Quinto, en contextos donde los acuerdos comerciales digitales no existen y son improbables en un futuro previsible, desarrolle normas y principios no obligatorios, dejando la implementación a los gobiernos nacionales. Los estándares globales de contabilidad han evolucionado a través de dicho proceso. Las Normas Internacionales de Información Financiera (NIIF), desarrolladas a través de un enfoque basado en principios, son seguidas por más de 100 países. Por el contrario, los EE. UU. Siguen principios de contabilidad generalmente aceptados (PCGA), desarrollados a través de un enfoque basado en reglas. Lenta pero constantemente, los dos conjuntos de estándares convergen. Un enfoque ascendente similar podría desempeñar un papel en la gobernanza de los flujos de datos transfronterizos.

La región de Cooperación Económica Asia-Pacífico (APEC), que comprende 27 países, incluido Estados Unidos, ilustra el potencial de un enfoque ascendente. APEC ha desarrollado recientemente el sistema de Reglas de Privacidad Transfronterizas, un marco basado en principios, destinado a garantizar una mayor protección de la privacidad, así como mayores flujos de datos de lo que podría ser el caso en ausencia de un marco.

Por último, pero no menos importante, a medida que la tecnología blockchain se implementa más ampliamente, podría sustentar algunos tipos de flujos de datos transfronterizos. Blockchain garantiza la seguridad, es inviolable y permite el seguimiento de cada transacción. Las empresas están adoptando rápidamente la tecnología blockchain para el almacenamiento y el intercambio de datos de la cadena de suministro global. Por ejemplo, algunos han comenzado a desarrollar registros basados ​​en cadenas de bloques de todos los diamantes certificados en el mundo, lo que permite el rastreo completo del movimiento de una piedra desde la mina hasta el consumidor. Debido a que blockchain depende de un sistema de contabilidad distribuido que es inmutable y permanente, las regulaciones para proteger los datos personales se volverán esenciales al desarrollar tales soluciones.

A medida que cada negocio se convierte en un negocio de datos, el futuro de la globalización descansa cada vez más en flujos transfronterizos de datos en lugar de bienes. Dados los grandes y crecientes beneficios de la globalización digital, este es un desarrollo bienvenido. Sin embargo, las preocupaciones válidas sobre los riesgos para la privacidad individual y la seguridad nacional no pueden descartarse. En lugar de un enfoque de todo o nada, es probable que las soluciones más matizadas sean las óptimas.

Nota de los autores: los puntos de vista y opiniones expresados ​​en este artículo son exclusivamente de los autores y no del Foro Económico Mundial o de la Universidad de Maryland en College Park.

Anil Gupta es la Cátedra Michael Dingman en Estrategia, Globalización y Emprendimiento en Smith School of Business de la Universidad de Maryland, cofundador del China India Institute y coautor de Getting China and India Right (Wiley, 2009).

Ziyang Fan es abogada y directora de Comercio Digital en el Foro Económico Mundial.

Doxa 295

Mejora de la ciberseguridad comienza con la reparación de los malos hábitos de sus empleados

Por Alex Blau
Harvard Business Review
Seguridad y Privacidad
El cibercrimen llegó para quedarse, y les está costando mucho dinero a las empresas estadounidenses. El costo promedio anualizado del cibercrimen para las compañías globales ha aumentado casi un 62% desde 2013, de $ 7.2 millones a $ 11.7 millones. Y estos son solo los costos directos promedio. Target, que sufrió una violación masiva de datos en 2013, informó que el costo total de la violación excedió los $ 200 millones. Verizon, que recientemente compró Yahoo, puede haber obtenido un descuento de $ 350 millones debido a tres incumplimientos de datos de Yahoo a gran escala que ocurrieron en los últimos años. Dados estos costos, ¿qué pueden hacer las empresas?

Los gobiernos y la industria están haciendo lo que parece ser obvio: gastar miles de millones de dólares para desarrollar e implementar nuevas tecnologías diseñadas para detener a los malos antes de que puedan atravesar la puerta de entrada. Sin embargo, a pesar de que tenemos algunas de las mejores y más brillantes mentes en el caso, todavía existen limitaciones importantes sobre lo que podemos hacer con el silicio y el código. A pesar de nuestra predilección por usar tecnología para resolver lo que parecen ser problemas tecnológicos, un lamento que se hace eco en los círculos de seguridad de la información es que no estamos haciendo lo suficiente para lidiar con la amenaza más grande y más persistente de la seguridad cibernética: el comportamiento humano.

En 2014, IBM informó que, "más del 95% de todos los incidentes [de seguridad] investigados reconocen el 'error humano' como un factor contribuyente". De hecho, la reciente cadena de ataques de malware con denominaciones cyberpunk como "WannaCry", "Petya, "Y" Mirai ", así como los aparentes ataques patrocinados por el estado en Equifax y el sistema electoral estadounidense, todo comenzó debido a las malas decisiones y acciones de los usuarios finales. Si no fue un ingeniero creando inadvertidamente una vulnerabilidad en un software, fue un usuario final que hizo clic en un enlace incorrecto, cayendo en un ataque de phishing, usando una contraseña débil o descuidando la instalación de una actualización de seguridad de manera oportuna . Los atacantes no necesitaron romper una pared de unos y ceros, ni sabotear una pieza de hardware sofisticado; en su lugar, simplemente necesitaban aprovechar un comportamiento del usuario previsiblemente deficiente.

Cuando las empresas centran su atención en resolver lo que creen que son problemas de tecnología con soluciones de tecnología, se olvidan de identificar intervenciones simples que pueden ayudar a reducir la incidencia de conductas malas y promover las buenas. Y sí, aunque algunas inversiones en tecnología han tratado de prevenir estos comportamientos en primer lugar al descargar las decisiones humanas en inteligencia artificial y sistemas de aprendizaje automático, estas innovaciones aún tienen algunos caminos por recorrer. Como el robot de seguridad que cayó en una fuente de centro comercial nos recuerda, la IA y las innovaciones relacionadas aún no son tecnologías completamente desarrolladas. Por ejemplo, ¿cuántas veces ha perdido su filtro de spam un correo electrónico de phishing? En ausencia de IA a prueba de fallas, el juicio humano sigue siendo necesario para llenar el vacío entre las capacidades de nuestras tecnologías de seguridad y nuestras necesidades de seguridad. Pero si el juicio humano no es perfecto, y la tecnología no es suficiente, ¿qué pueden hacer las empresas para reducir los riesgos de comportamiento?

Una gran idea de los campos de la economía del comportamiento y la psicología es que nuestros prejuicios conductuales son bastante predecibles. Por ejemplo, los profesionales de seguridad han dicho una y otra vez que mantener el software actualizado e instalar parches de seguridad lo antes posible es uno de los mejores métodos para proteger los sistemas de seguridad de la información de los ataques. Sin embargo, a pesar de que la instalación de actualizaciones es relativamente fácil, muchos usuarios e incluso los administradores de TI posponen las cosas en este paso crítico. ¿Por qué? Parte del problema es que las solicitudes de actualización y los parches a menudo llegan en el momento equivocado, cuando la persona responsable de instalar la actualización está preocupada por algún otro problema actual. Además, cuando se trata de actualizar nuestras computadoras y dispositivos personales, a menudo se nos proporciona una fácil "salida" en forma de una opción "recuérdame más tarde". Debido a este pequeño detalle contextual, es mucho más probable que los usuarios difieran en la actualización, sin importar cuán crítica sea. ¿Cuántas veces ha hecho clic en la opción "Recordarme mañana" antes de comprometerse con la actualización?

En ideas42, mi firma de investigación y diseño de ciencias del comportamiento, hemos estado documentando los diversos contextos que llevan a los usuarios y administradores a decidir (y actuar) de maneras menos que óptimas, colocando a ellos mismos y sus empresas en mayor riesgo de un ciberataque. A través de este objetivo, hemos generado varias ideas sobre por qué las personas establecen contraseñas incorrectas, olvidan la instalación de actualizaciones, hacen clic en enlaces maliciosos y no reciben correos electrónicos de phishing. También hemos delineado lo que las organizaciones y los administradores pueden hacer para mejorar el comportamiento de sus usuarios (para obtener más información, revise nuestra novela de crimen verdadero basada en la investigación, Pensamiento profundo: una historia sobre ciberseguridad).

Establecer valores predeterminados fuertes. Una de las ideas más influyentes de las ciencias del comportamiento es que todo lo que está en la posición "predeterminada" generalmente se mantiene. Esta idea ha sido utilizada con gran efectividad en los ámbitos de los ahorros para la jubilación y la donación de órganos, donde el cambio de un incumplimiento de "opción de suscripción" a "no participación" ha aumentado significativamente las tasas de participación. Se podría aplicar una lógica similar al contexto de elección en torno a la seguridad del usuario de la empresa. En lugar de permitir que sus empleados opten por acciones de seguridad específicas, como instalar y usar una VPN, activar la autenticación de dos factores, habilitar el cifrado de disco completo o autorizar las funciones de actualización automática, los empleadores podrían tomarse el tiempo para configurar las computadoras y sistemas que los empleados usan para tener estas características activadas por defecto. Hacerlo podría llevar a tasas más altas de cumplimiento que confiar en que sus empleados lo hagan por sí mismos.

Use los compromisos del calendario para empujar la actualización del sistema. En ocasiones, no es posible habilitar las actualizaciones automáticas para el software del sistema, lo que deja la opción de actualizar en manos de los empleados. Sin embargo, cuando se enfrenta la perspectiva de detener el flujo de trabajo para actualizar algún software, los empleados pueden decidir diferir la acción hasta un "mejor momento" ambiguo. El problema es que si permanecemos predispuestos, centrados en la tarea actual, "mejor". el tiempo "puede que nunca llegue. Una de las formas en que los investigadores han podido sortear este problema actual de sesgo es hacer que los usuarios realicen compromisos concretos sobre cuándo seguirán adelante: cuanto más específico, mejor. En el contexto de las actualizaciones de software, los empleadores podrían ayudar a facilitar a los empleados a hacer un compromiso concreto de actualización. Por ejemplo, cuando se lanza una actualización, un administrador podría enviar un correo electrónico instruyendo a los empleados para bloquear una hora en su calendario para completar la actualización. El simple hecho de hacer que los empleados se comprometan previamente puede detener el ciclo de procrastinación en seco.

Compare a los empleados con sus compañeros. Las personas tienden a mirar hacia otras personas, especialmente aquellas que son similares a ellas, para aprender a actuar. Este fenómeno, llamado prueba social, puede tener efectos poderosos sobre el comportamiento de las personas y es especialmente influyente cuando el comportamiento deseable es ambiguo, como ocurre con la ciber higiene. Opower, una plataforma de participación del cliente para proveedores de servicios públicos, ha utilizado esta idea con gran efecto. La compañía envía una pequeña infografía junto con las facturas de servicios públicos de los hogares que muestran cuánta energía consume el hogar en relación con el hogar promedio en su vecindario, así como también las más eficientes. Esta pequeña indicación de lo que otros hogares están haciendo reduce el consumo promedio de energía en un 2% por hogar, lo cual, a escala, es un gran cambio.

Lo que esta y otras intervenciones similares han demostrado es que las personas en realidad no necesitan ver a otros exhibir un comportamiento específico; en cambio, se les puede decir lo que otros hacen. En una configuración empresarial, los administradores pueden aprovechar las pruebas sociales para ayudar a los empleados a identificar comportamientos deseables y motivarlos para que se hagan cargo de ellos. Por ejemplo, los empleadores pueden encuestar a los empleados sobre diversos comportamientos y protecciones que utilizan en línea y asignar un puntaje basado en esos comportamientos. A continuación, podrían generar informes para cada individuo comparándolos con el empleado promedio, así como con los empleados más diligentes, y brindarles pasos accionables que puedan tomar para mejorar su puntaje. Esta simple intervención de prueba social podría conducir a un mayor cumplimiento en toda la organización.

Convierta el entrenamiento de conciencia en un sistema de retroalimentación constante. Una de las principales ideas de la ciencia del comportamiento es que si le brinda capacitación a alguien, puede aumentar el conocimiento de la gente, pero no es probable que cambie sus comportamientos. A menudo, el entrenamiento de sensibilización ocurre de la siguiente manera: una vez al año, los empleados ingresan en una sala por una hora o dos y reciben una charla por un capacitador profesional de conciencia, solo para regresar a sus estaciones de trabajo e ignorar la mayoría de lo que les enseñaron. Hay muchas razones por las que esto puede suceder: las personas tienen una atención limitada y no pueden absorber toda la información que acaban de aprender; es posible que no tengan un sentido concreto de cómo hacer que lo que aprendieron sea procesable y, por lo tanto, no modifiquen su comportamiento; ellos pueden estar seguros de que ninguno de los riesgos que aprendieron se aplica a ellos en particular - "¡nunca me pasará a mí!" - y la lista continúa.

Una forma en que las empresas pueden mejorar la eficacia del entrenamiento de conciencia es convertirlo en un proceso continuo y generar retroalimentación para que los empleados conozcan cuándo se equivocan y qué pueden hacer para evitar ese error en el futuro. Por ejemplo, para hacer que su fuerza de trabajo sea más resistente a los ataques de phishing, puede optar por emplear software como Phishme, que envía correos falsos de phishing a los empleados de forma regular, y proporciona soluciones cuando los usuarios se sumen al ataque. Se pueden implementar procesos similares para ayudar a los empleados a evitar enlaces incorrectos, recordar actualizar su software y asumir otros comportamientos beneficiosos, como usar la autenticación de dos factores, encender su VPN cuando se accede a una red insegura y utilizar contraseñas más seguras.

Si seguimos intentando utilizar la tecnología para resolver lo que en realidad son problemas humanos, seguiremos siendo vulnerables a los ataques. Sin embargo, si tomamos un enfoque que mira el contexto en el cual los seres humanos son propensos a cometer errores, tendremos más posibilidades de encontrar soluciones sostenibles que nos mantengan a nosotros mismos, y nuestras empresas, a salvo de los malos.

Alex Blau es vicepresidente de ideas42 y coautor de Deep Thought: A Cybersecurity Story, una historia corta al estilo del "crimen verdadero" que dramatiza las amenazas del comportamiento humano en la ciberseguridad. Tiene una amplia experiencia en la aplicación de conocimientos de la ciencia del comportamiento para resolver los desafíos de diseño y toma de decisiones en una amplia gama de dominios. Sus enfoques actuales en ideas42 están en las áreas de ciberseguridad, inclusión financiera, seguridad pública y pruebas A/B.

Doxa 290

¿Cuáles de sus empleados son los más propensos a exponer a su empresa a un ataque cibernético?

Por Kon Leong
Harvard Business Review
Seguridad y Privacidad
 
Cuando el poeta Alexander Pope dijo por primera vez "errar es humano", probablemente no se dio cuenta de cuán clarividentes eran esas palabras al capturar el mundo de la ciberseguridad. Sí, la causa raíz de la mayoría de las infracciones de seguridad se puede remontar a las acciones humanas, o la falta de ellas. Sin embargo, el mayor error es creer que la ciberseguridad se puede lograr simplemente corrigiendo el mal comportamiento.

Hoy, la ciberseguridad se ha expandido mucho más allá de su dominio tradicional de amenazas externas, tipificado por hackers externos que atacan las vulnerabilidades de la red. Ahora incluye amenazas internas, que son mucho más complejas y difíciles de gestionar, como lo evidencian algunas brechas internas recientes muy serias, como las relacionadas con Edward Snowden y Chelsea Manning. La naturaleza de las amenazas internas se puede categorizar como maliciosa, accidental o negligente, y representa un 39% de todas las infracciones de datos según una investigación reciente.

Con el comportamiento de los empleados desempeñando un papel cada vez más importante en el estado de seguridad cibernética de su organización, aquí hay algunas ideas generales sobre el lado humano de la ciberseguridad que pueden ayudar a dar forma al enfoque correcto para su empresa:

Repensar la capacitación de los empleados.
Para las amenazas externas, existe la batería habitual de defensas contra virus, malware, phishing y ataques de red. Sin embargo, muchas de estas defensas a menudo se ven comprometidas por el comportamiento humano errante o laxo, lo que hace que la capacitación de los empleados sea aún más crítica. En esta área, la capacitación en toda la empresa sobre las mejores prácticas para manejar la última amenaza de seguridad es un enfoque común; Desafortunadamente, estas pautas a menudo son descuadradas, pasadas por alto o totalmente ignoradas. Además, la nota estándar sobre seguridad a menudo no captura los matices presentados por amenazas de seguridad más dinámicas, que a menudo son internas. Por ejemplo:

• ¿Cómo diferencia un empleado una conversación de correo electrónico de buena fe frente a un cebo de phishing?
• ¿Cuándo debe un empleado hablar sobre la actividad sospechosa de un compañero de trabajo?
• ¿Qué tipos de información pueden y no pueden compartirse, y con quién?

Doxa 288

Las empresas necesitan más que una autenticación de dos factores para mantener seguros a los usuarios

Por Sridhar Muppidi
Harvard Business Review
Seguridad y Privacidad
Todos conocemos los conceptos básicos del delito cibernético, como los correos electrónicos de phishing con enlaces maliciosos o archivos adjuntos, o las llamadas telefónicas de los escritorios de ayuda falsos que buscan hacerse cargo de su computadora.

Pero los esquemas en el mundo cibernético continúan siendo más sofisticados. Una de las estafas más recientes son los hackers que roban números de teléfono para drenar cuentas de criptomonedas como Bitcoin. ¿Cómo? Los hackers han identificado una debilidad en la forma en que usamos nuestros teléfonos para autenticar nuestras identidades a los proveedores de servicios móviles, así como a las cuentas en línea. Están explotando esta debilidad para robar todo lo que pueden tener en sus manos. Y todo se remonta a la autenticación de dos factores, o 2FA.

Si ha habilitado 2FA en Twitter, Facebook o Google, probablemente haya recibido una contraseña de un solo uso, a través de un mensaje de texto SMS, para iniciar sesión o realizar cambios en la cuenta. Muchos monederos y servicios de criptomoneda en línea también usan mensajes de texto SMS como segunda forma de autenticación, además de la contraseña que usa para acceder a su cuenta. Con los recientes secuestros de teléfonos móviles, lo que está siendo atacado es su número de teléfono como método de comunicación.

El objetivo final aquí es transferir el número de teléfono de una persona a un teléfono de quemador o tarjeta SIM que no se pueda rastrear hasta el atacante. Una vez que el atacante puede recibir textos SMS destinados a su objetivo, puede usar el útil enlace "¿Olvidó su contraseña?" En diferentes páginas de inicio de sesión y verificar su identidad al hacerse pasar por la víctima.

Las contraseñas de un solo uso, ya sean entregadas a través de SMS o correo electrónico, a menudo son la primera forma de 2FA que las compañías adoptan para mejorar sus medidas de seguridad. Aunque los ataques móviles han sido una amenaza creciente para él, este método todavía se ha considerado beneficioso. En los recientes robos de criptomonedas, podría argumentarse que la autenticación de SMS se convirtió más en un vector de ataque que en una medida de seguridad.

Entonces, ¿cómo defendemos nuestra información contra este último método, y un fraude de autenticación más amplio? ¿No tendría más sentido si pudiéramos hacer que el proceso de autenticación fuera más inteligente y consciente del riesgo? Una forma de avanzar es usar notificaciones push para vincular su identidad a un dispositivo en lugar de a su número de teléfono. Las aplicaciones de autenticación son un buen lugar para comenzar con este tipo de funcionalidad (Divulgación: IBM Verify, ofrecido por mi empresa, es uno de estos).

Si bien las notificaciones push son una solución para este problema específico, la solución más grande para las empresas es comprender mejor cada punto de autenticación en su entorno de seguridad. Las empresas pequeñas y medianas deberían considerar el uso de soluciones de gestión y acceso a la identidad para permitir el acceso a recursos y aplicaciones, ya sea en la nube, en los locales o en una nube híbrida. Las soluciones modernas manejan a los usuarios de incorporación y eliminación, las certificaciones de acceso y la separación de tareas para ayudar a las organizaciones a cumplir con las regulaciones como GDPR y PSD2.

Las empresas que analizan detenidamente sus factores de riesgo suelen recurrir a la solución más sólida posible: la autenticación multifactorial. La mayoría de las instituciones financieras más grandes han adoptado este enfoque estratificado para autenticar identidades en varios puntos a lo largo de la experiencia del usuario. Por ejemplo, el usuario proporcionará un PIN, una contraseña o una huella digital para iniciar sesión en una aplicación de banca móvil, y si el sistema detecta factores de riesgo adicionales, es posible que se requieran otras formas de autenticación. Si el dispositivo móvil del usuario informa que se encuentra en un lugar fuera de los patrones de viaje normales del usuario, por ejemplo, el sistema podría marcar la sesión por posibles fraudes e impulsar el siguiente desafío para el usuario, para asegurarse de que son quienes dicen ser .

La otra capa de seguridad que ahora se implementa para autenticar identidades es el análisis de comportamiento, que se utiliza para complementar la autenticación multifactorial. Esto permite que los equipos de seguridad marquen la seguridad requerida hacia arriba o hacia abajo, dependiendo no solo del valor de los datos o la transacción, sino también de los riesgos de seguridad presentados durante toda la sesión. En situaciones donde se determina que el riesgo es bajo y la experiencia del usuario es primordial, se pueden suprimir factores de autenticación adicionales si no se detecta actividad anormal, lo que reduce la barrera de completar una transacción.

Todas estas mejoras de seguridad móvil apuntan a usar el dispositivo mismo para la autenticación, y no a un número de teléfono fácilmente transferible o un mensaje que pueda ser interceptado por un malware móvil. Cada nivel de defensa cuenta, pero como muestran los casos de secuestro de teléfonos, las medidas de autenticación solo funcionan si no son el punto débil. El panorama general aquí es que ningún método único de autenticación siempre será adecuado para cada situación. Más temprano que tarde, las empresas deberían adoptar un enfoque basado en el riesgo que utilice la autenticación multifactorial, teniendo en cuenta la ubicación, el análisis del comportamiento y muchos otros indicadores de identidad.

Sridhar Muppidi es un Ingeniero Distinguido de IBM y Director de Tecnología para Soluciones de Gestión de Identidad y Acceso en IBM Security Systems. En esta función, Sridhar impulsa la estrategia, la arquitectura y las soluciones técnicas de IAM, incluida la seguridad móvil y la seguridad en la nube. Es un líder técnico con aproximadamente 20 años de experiencia en seguridad, desarrollo de productos de software y arquitectura de soluciones de seguridad para varios sectores verticales de la industria.

Doxa 165

Por qué las empresas no deben tratar de hackear a sus hackers

Por Corey E. Thomas
Harvard Business Review
Seguridad y Privacidad

Durante una competición reciente de ciberseguridad, equipos de estudiantes que realizaron un simulacro de ejercicio involuntariamente causaron que los Estados Unidos iniciaran una guerra (falsa). Los estudiantes recibieron una variedad de opciones, incluyendo las diplomáticas, por responder a un ciberataque de China. La mayoría de ellos tomó un enfoque agresivo, conocido como "hack back", con consecuencias desastrosas. El simulacro de ejercicio muestra lo tentador que es lanzar un contraataque en respuesta a un ciberataque - y el potencial de importantes consecuencias no deseadas.

Como el CEO de una empresa de valores que cotiza en bolsa, me gustaría instar a las empresas y las personas a tener cuidado con los mismos peligros. En los Estados Unidos, la Ley de Fraude y Abuso de Computadoras (CFAA) prohíbe que las partes privadas accedan o dañen los sistemas informáticos, incluso si están siendo utilizados para atacar a usted oa su negocio.

Pero la legislación del Congreso cambiaría eso, dando a las empresas del sector privado y las personas el derecho de atacar de nuevo y hackear a sus hackers. La idea detrás de la propuesta es capacitar a las personas para "defenderse en línea, como tienen la autoridad legal para hacer durante un asalto físico". Creo que la medida haría más daño que bien. Este es el por qué.

Agujeros en la defensa de autodefensa

Puede parecer razonable que el mismo principio que permite a los propietarios defenderse de intrusos, incluso si implica causar daño a los atacantes, debe ser válido para los ciberataques. Pero la realidad es, por desgracia, que sería similar a lanzar granadas de su jardín, con la esperanza de tener suerte y golpear a un atacante que no han visto como huyen de la escena del crimen. Incluso si logras herir a tu atacante, probablemente herirás a otras personas también. En el hack back, es casi imposible asegurar que una acción dirigida a un actor o grupo de actores específicos afectará sólo a los objetivos previstos. Después de todo, Internet está diseñado específicamente para el propósito de sistemas de interacción y comunicación. La tecnología y los usuarios están cada vez más interconectados.