1

#LoMejordelaSemana: Los 10 mayores riesgos en seguridad para 2015

Presentamos las diez predicciones entorno a lo que serán las acciones tecnológicas más rentabes contra situaciones de riesgo en seguridad para los sistemas de información. Las consideraciones son parte del informe Tendencias 2015 de Sophos y que esta semana fuera presentada en Chile.

El reporte destaca  10 áreas en las que habrá un mayor impacto en la seguridad en el 2015:

1. Técnicas de exploit mitigation reducen el número de vulnerabilidades útiles.

Los cibercriminales han hecho durante años un festín con Microsoft Windows. Afortunadamente, Microsoft ha invertido en exploit mitigation, lo que hace más difícil escribir código de ataque. A medida que la dificultad de estas técnicas aumenta, algunos atacantes  regresan a la ingeniería social y/o se centran en plataformas que no son Microsoft.

2. Ataques a Internet de las cosas se mueven a partir de una prueba de concepto para riesgos generales.

En 2014 hemos visto más evidencia de que los fabricantes de dispositivos de Internet de las Cosas (IoT)  no han aplicado las normas básicas de seguridad, por lo que es probable que los ataques a estos dispositivos tengan un  impacto desagradable en el mundo real. La industria de la seguridad tiene que evolucionar para hacer frente a estos dispositivos.

3. El cifrado o encriptación se convierte en estándar, pero no todo el mundo es feliz.

Con la creciente conciencia de las preocupaciones de seguridad y privacidad, debido a las revelaciones de la agencia de inteligencia de espionaje y violaciones de datos de interés periodístico, la encriptación se vuelve más importante que nunca, aunque no sin controversia. Ciertas organizaciones, como las agencias policiales y de inteligencia, no están contentas con la perspectiva de cifrado omnipresente bajo la creencia de que puede afectar negativamente.

4. Más BUGS importantes en el software de mayor uso que habían escapado de la notificación por la industria de la seguridad durante los últimos 15 años.

Desde Heartbleed a Shellshock, se hizo evidente que hay piezas significativas de código inseguro utilizado en un gran número de nuestros sistemas informáticos. Los acontecimientos de 2014 han aumentado el interés de los cibercriminales en software y sistemas típicamente menos considerados, por lo que las empresas deben estar preparando una estrategia de respuesta y actualización. Ojo con los sistemas legacy.

5. El panorama normativo obliga a una mayor divulgación y responsabilidad, sobre todo en Europa.

La ley se mueve lentamente en comparación con los campos de la tecnología y de seguridad, pero los cambios regulatorios masivos que han tardado mucho tiempo en llegar están casi aquí. Es probable que estos cambios gatillen  una normativa de protección de datos más progresista en otras jurisdicciones.

6. Los atacantes incrementan su enfoque en los sistemas de pago móviles, pero  aún se apegan más al fraude de pago tradicional.

Los sistemas de pagos móviles fueron la moda de 2014 después de que Apple irrumpió con Apple Pay. Los cibercriminales estarán buscando fallas en esos sistemas, pero los diseños actuales tienen varias características positivas de seguridad. Se espera que los cibercriminales continúen abusando de las tarjetas de crédito y débito tradicionales por un período significativo de tiempo, ya que son el blanco más fácil por ahora.

7. La brecha global de habilidades sigue aumentando,  donde la respuesta a incidentes y la educación son los elemento clave.

Como la tecnología se integra cada vez más  a la vida diaria y es un  pilar de apoyo vital de la economía global, la escasez de personal calificado en ciberseguridad se torna  más crítica, lo que es ampliamente reconocido por los gobiernos y la industria. Esta brecha está creciendo y algunos gobiernos pronostican que será  cada vez mayor de aquí al 2030, dada la actual escasez de profesionales de seguridad TI calificados.

8. Servicios de ataque y exploit kits surgen para plataformas móviles (y otros).

Los últimos años de la ciberdelincuencia han sido contrastados por la subida de productos y servicios para que la piratería y el hackeo sean tan fáciles como apuntar y hacer un  click. Con las plataformas móviles cada vez más populares se verán  de manera explícita más paquetes de criminalidad y herramientas centradas en esos dispositivos.

9. La brecha entre los sistemas de control industrial y la seguridad del mundo real sólo se hace más grande.

Los Sistemas de Control Industrial (ICS)  están unos 10 años detrás de la corriente principal en términos de seguridad, por lo que son un  área de riesgo significativo. Durante el próximo par de años las fallas más graves serán utilizadas por los atacantes como oportunidades.

10. En el interés por las capacidades de rootkit & bot pueden aparecer nuevos vectores de ataque.

La industria de la tecnología está en el proceso de cambio de las principales plataformas y protocolos en los que se ha confiado durante algún tiempo. Estos cambios de nivel inferior expondrán defectos interesantes que los cibercriminales pueden ser capaces de capitalizar. Esta masa de cambios importantes, lejos de los estándares de la tecnología antigua, podría reabrir viejas heridas y revelar importantes nuevas categorías de defectos de seguridad.

Adolfo Manaure

Entusiasta seguidor de la tecnología y las innovaciones que cambian el mundo. Director Editorial y COO en The HAP Group.