Emprendimiento Tecnológico y Ciberseguridad

En Noviembre estuve presente en el Evento de Innovación del Instituto Continental como ponente del tema "Emprendimiento Tecnológico y Ciberseguridad" donde se describo las claves para iniciar una startup tecnológica y las herramientas que podemos utilizar en el proceso de generación de una empresa de impacto global. 

Emprendimiento tecnológico y ciberseguridad from Raúl Díaz

Presentación de Ciberseguridad en dispositivos móviles

Les dejo mi expo sobre "Ciberseguridad en dispositivos móviles" que realice a inicios del 2015 en Huancayo - Perú. Esta exposición consiste en  identificar los riesgos en dispositivos móviles en un entorno corporativo y mencionar las herramientas de hacking más utilizadas por ciberdelicuentes con el fin de utilizarlas para hacer simulaciones en nuestra organización y detectar vulnerabilidades en los procesos, personas y tecnología para remediarlas en un plazo razonable.

Ecosistema de Emprendimiento e Innovación en Israel

Nadie puede negar hoy en día que los Startups generan nuevas economías en el mundo. Por ello mi interés en comprender y conocer uno de los Unicorns más notables en el mundo, Israel. Del 6 al 12 de Setiembre 2015 estuve en Tel Aviv en una Misión Tecnológica a través de mi compañía Strategos Consulting Services con el apoyo de Innovate Perú y la gestión de Itatec. Los objetivos que busco Strategos en esta misión tecnológica fueron:

1. Conocer el ecosistema de emprendimiento e innovación en Israel.
2. Identificar tecnologías disruptivas que puedan ser distribuidas en Latinoamérica, especialmente de ciberseguridad.
3. Benchmarking del proceso de innovación para la generación de modelos de negocio disruptivos. 

A continuación detallo lo observado en mi visita:

Flisol 2015: Ciberseguridad en dispositivos móviles usando software libre

El mes pasado en FLISOL 2015 Huancayo tuve a cargo el tema "Ciberseguridad en dispositivos móviles usando software libre". El uso de celulares es mayor que el de smartphones, si hacemos un análisis en el Perú esta afirmación se real. Esta realidad, ha hecho que los ciberdelincuentes dirigen sus esfuerzos a vulnerar los dispositivos móviles, especialmente, los smartphones con sistema operativo Android, iOS (Apple) o Windows Mobile. Las técnicas utilizadas son similares a las de cualquier otro computador. Algunas de estas categorías son:

• Wireless Hacking
• DOS
• Hijacking
• Man-in-the-middle
• Troyanos
• Password Cracking
• App Hacking

Por esta razón la seguridad ofensiva se hace vital cuando se analiza el nivel de seguridad de las organizaciones o personas particulares que pueden exponer su información o la información de la empresa.

Les comparto la presentación que realice en FLISOL 2015 en Huancayo con la gente Linuxera. Un gran abrazo a toda la gente de Huancayo por la acogida.

Ciberseguridad en dispositivos móviles usando software libre from Raúl Díaz

Detección del Fraude Informático mediante técnicas de informática forense

Colegas les adjunto la presentación que realice junto a BS Grupo sobre "la detección del fraude informático mediante técnicas de informática forense". Hoy en día el detección de fraude como proceso de control una vez ocurrido el incidente es una actividad necesaria en toda industria. Sin embargo, en algunas industrias es más demandante por las regulaciones, perdidas económicas y confianza del cliente. Las actividades de control fueron evolucionando a lo largo del tiempo decadas atrás la auditoria tuvo su gran ola y una gran cantidad de adeptos y aun los sigue teniendo, en la actualidad la seguridad o ciberseguridad es un tema muy comentado en los últimos años desde la gestión de la seguridad y la seguridad TI o ciberseguridad en todos los ámbitos. En los últimos años el ACFE (Association of Certified Fraud Examiners) www.acfe.com ha compilado una serie de conocimientos donde una de las aristas de la detección del fraude es el computo forense como soporte a la detección del fraude informático. Considero que los auditores y especialistas de seguridad tienen la opción de aumentar sus conocimientos y entrar al mundo de la prevención y detección del fraude como consecuencia natural de la evolución de su carrera profesional.

Deteccion del fraude informático mediante tecnicas de computo forense from Raul Diaz

Echelon la red de espionaje y ciberespionaje más grande del mundo.

La red Echelon está conformada por un conjunto de sistemas informáticos especializados instalados en todo el mundo, el cual incluye satélites y estaciones receptoras de información para la colecta de información como: correos electrónicos, llamadas por teléfono, mensajería instantánea, imágenes, videos entre otros. Es la red de espionaje más grande del mundo con bases en Australia, Nueva Zelanda, Reino Unido y USA.

Según Duncan Campbell, periodista especializado asegura que la red de espionaje inicia sus operaciones desde el lanzamiento de satélites para las comunicaciones en 1964 desde la guerra fría, en 1967 se construye la primera estación de interceptación en Morwenstow, Cornwall en Inglaterra. En 1980 se expande la red Echelon en diferentes partes del mundo y toma el nombre de Echelon II. En Marzo de 1999, Australia forma una alianza con el Reino Unido y Estados Unidos para compartir la información de inteligencia del sistema Echelon. En el año 2000, el ex director de la CIA James Woolsey, confirma que Estados Unidos utiliza sistemas de interceptación mediante el uso de palabras clave de interés nacional. Finalmente, un informe del parlamente Holandes afirma que Echelon existe y es controlado por la NSA “National Security Agency”

Edward Snowden, ex analista de la CIA, confirma a través del medio informático Wikileaks “que el gobierno norteamericano cuanta con redes de espionaje en todo el mundo, pero no necesariamente, para la seguridad nacional de USA”. Una investigación de Telegeography Research, describe por primera vez, el funcionamiento de PRISM, sistema informático que forma parte de la red Echelon de colecta de información de las principales compañías de Internet como Google, Yahoo, Amazon, Paypal, Skype, Microsoft, Youtube y Apple.

La Norma de Seguridad de la Industria de Tarjetas de Pago - PCI DSS y Reglamento de Tarjetas de Débito y Crédito

Introducción

El sector financiero es uno de los más regulados de la industria, por ello, los requisitos de seguridad de la información a nivel de gestión, operativo o técnicos constantemente son evaluados con la finalidad de proteger la información de todos sus clientes.

Dentro de las normas de seguridad más conocidas tenemos el ISO/IEC 27001:2013, el cual contiene los requisitos para implantar un Sistema de Gestión de Seguridad de la Información y controles listados en el Anexo A, también tenemos la ISO/IEC 27002, el cual contiene como podemos implementar los controles del Anexo A. En el sector financiero peruano, la entidad reguladora normativa es la Superintendencia de Banca y Seguros (SBS), el cual publico el año 2009 la circular SBS G-140:2009 el cual se basa en la ISO/IEC 27001:2005. Existen otras normas o estandares más exigentes que los anteriormente citados como la Norma de Seguridad de Datos de la Industria de Medios de Pago (PCI DSS) creada por la PCI Security Standars Council (PCI SSC).

Fundación de PCI Security Standars Council

El PCI Security Standards Council, fue fundada en Delaware, USA el año 2006, conformado por American Express, Discover Financial Services, JCB International, MasterCard y Visa Inc. debido a la gran cantidad de fraudes que sucedían en esos años. Las cinco marcas de pago, actualmente, comparten de manera equitativa el control del consejo y tienen igual participación en el PCI Security Standards Council. 

PCI Security Standards Council, es un foro mundial abierto, que se encarga de la formulación, gestión, educación y conocimiento de las Normas de seguridad de la industria de tarjetas de pago (PCI DSS), la Norma de seguridad de datos para las aplicaciones de pago (PA-DSS) y los requisitos de Seguridad de transacciones con PIN (PTS).

Aplicabilidad de las PCI DSS

Las PCI DSS se aplican a todas las entidades que participan en el procesamiento de tarjetas de pago como comerciantes, procesadores, instituciones financieras y proveedores de servicios.  La clave para saber si debes aplicar PCI DSS es si almacenas, procesas o transmites datos de cuenta (datos del titular de la tarjeta y datos de autenticación confidenciales)

Los datos del titular de la tarjeta y los datos de autenticación confidenciales se detallan en la siguiente imagen:

El número de cuenta principal es el "dato principal" de los datos del titular de la tarjeta, que define si debemos asegurar nuestro entorno de datos del titular de tarjeta (CDE) según las PCI DSS.

Alcance

Los requisitos de seguridad de las PCI DSS se aplican a todos los componentes del sistema incluidos en el entorno de datos del titular de la tarjeta. El entorno de datos del titular de la tarjeta (CDE) consta de personas, procesos y tecnologías que almacenan, procesan o transmiten datos de titulares de tarjetas o datos confidenciales de autenticación. El término “componentes del sistema” incluye dispositivos de red, servidores, dispositivos informáticos y aplicaciones. 

Requisitos

Las Normas de seguridad de datos de la industria de tarjetas de pago (PCI DSS) constan con 6 áreas de protección y 12 requisitos generales:

Desarrolle y mantenga redes y sistemas seguro

1. Instalar y mantener una configuración de firewall para proteger los datos del titular de la tarjeta

2. No utilizar contraseñas de sistema y otros parametros de seguridad provistos por los proveedores

Proteger los datos del titular de la tarjeta

3. Proteja los datos del titular de la tarjeta que fueron almacenado.

4. Cifrar la transmisión de los datos del titular de la tarjeta en las redes publicas abiertas.

Mantener un programa de administración de vulnerabilidades

5. Utilizar y actualizar con regularidad los programas o software antivirus.

6. Desarrolle y mantenga sistemas y aplicaciones seguras.

Implementar medidas solidas de control de acceso

7. Restrinja el acceso a los datos del titular de la tarjeta según la necesidad de saber que tenga la empresa.

8. Identifique y autentique el acceso a los componentes del sistema.

9. Restringir el acceso físico a los datos del titular de la tarjeta.

Supervisar y evaluar las redes con regularidad

10. Rastree y supervise todos los accesos a los recursos de red y a los datos de los titulares de las tarjeta.

11. Pruebe con regularidad los sistemas y procesos de seguridad.

Mantener una política de seguridad de la información

12. Mantenga una política que aborde la seguridad de la información para todo el personal.

Implantación de las PCI DSS

El clave para implantar las PCI DSS dentro de la organización es determinar el entorno de datos de tarjeta (CDE) que estará compuesta por procesos, personas, documentos y "componentes de sistema" como servidores, dispositivos de red, controles de seguridad, aplicaciones, etc.

Una vez que ya se tiene definido el CDE, tenemos que identificar la desviación contra todos los requisitos de las PCI DSS y generar un plan de acción para cerrar las desviaciones.

Una empresa que quiera certificarse en PCI DSS deberá contratar una firma auditora autorizada por PCI SSC para que el auditor QSA realice la evaluación de cumplimiento.

Beneficios de Cumplir con las PCI DSS

Algunos de los beneficios de las PCI DSS son las siguientes:

• Mejorar el nivel de seguridad de los pagos realizados mediante tarjetas.
• Garantizar la protección de información de los titulares de tarjeta.
• Minimizar el riesgo de actividades no autorizadas.
• Incrementar confianza de sus cliente.
• Prevención del Fraude.

Para mayor información sobre PCI DSS, puedes descargar la versión 3.0 aquí

Regulación Peruana

En Octubre 2013, la SuperIntendencia de Banca y Seguros (SBS) promulgo la Resolución SBS 6523-2013 "Reglamento de Tarjetas de Crédito y Débito", el cual tiene un apartado de medidas de seguridad sobre las tarjetas de crédito y débito, esencialmente en los artículos:

Artículo 15°.- Medidas de seguridad incorporadas en las tarjetas
Artículo 16°.- Medidas de seguridad respecto a los usuarios
Artículo 17°.- Medidas de seguridad respecto al monitoreo y realización de las operaciones
Artículo 18°.- Medidas en materia de seguridad de la información (PCI DSS)
Artículo 19°.- Medidas de seguridad en los negocios afiliados
Artículo 20°.- Requerimientos de seguridad en caso de subcontratación

El reglamento completo lo puedes descargar aquí

El cumplimiento de los artículos del reglamento tienen plazos de adecuación máximos diferentes como se aprecia a continuación:

1. A partir del 31 de diciembre de 2014, todas las nuevas tarjetas de débito y crédito deberán ser emitidas con chip, conforme a lo establecido en el artículo 15° del Reglamento. Asimismo, a partir de esa fecha, las empresas deberán dar la posibilidad a los usuarios de cambiar sus tarjetas con 

banda magnética por tarjetas con chip.

2. Para implementar lo requerido en los artículos 7°, 10°, 13°, el numeral 4 del artículo 16°, así como lo señalado en el artículo 17°, las empresas tendrán un plazo de adecuación hasta el 31 de diciembre de 2014.

3. A partir del 31 de diciembre de 2015, las empresas deberán asegurar que las redes de cajeros automáticos, que brindan a sus clientes para sus operaciones (ya sean redes propias o redes contratadas con terceros en el territorio nacional), puedan autenticar las tarjetas emitidas, a través del uso del chip o circuito integrado, incorporado en la tarjeta para realizar las operaciones 

solicitadas por los clientes.

4. A partir del 31 de diciembre de 2015, las empresas que permitan la 

realización de operaciones, sin utilizar el circuito integrado o chip incorporado en las tarjetas, deberán asumir los riesgos y, por lo tanto, los costos de dichas operaciones, en caso no sean 

reconocidas por los usuarios.

5. Para implementar lo requerido en el artículo 18°, las empresas tendrán un plazo de adecuación hasta el 31 de diciembre de 2015

Finalmente, todas las empresas del sector financiero que almacenen, procesen o transmitan datos del titular de la tarjeta deberán adecuarse a este reglamento como fecha límite el 31 de diciembre del 2015. ¿Tendremos mucho por trabajar y mejorar para llegar a ser PCI Compliance en mi organización?

Fuente:
https://es.pcisecuritystandards.org
http://www.sbs.gob.pe/