El secuestro de la información en la web se ha catalogado como una amenaza para los usuarios de la web ¿Recuerda los casos de personas que han perdido el acceso a la información de su equipo?, a esto se le conoce como ransomware.
En palabras más simples: el ransomware es un programa de software malicioso que infecta tu computadora y muestra mensajes que exigen el pago de dinero para restablecer el funcionamiento del sistema.
Este puede afectar la integridad, disponibilidad y confidencialidad de la información y de los datos. Ante un escenario como este es fundamental poder unificar una metodología complementaria que permita prevenir, identificar y gestionar el riesgo.
El ransomware tiene la capacidad de bloquear la pantalla de una computadora o cifrar archivos importantes predeterminados con una contraseña.
La metodología debe abordar una estrategia fuerte, revisar la operación y recursos TI que posea las organizaciones, por ende esto nos invita a poder fortalecer esta dinámica constante del Cibercrimen y estar enfocada en poder anticipar este tipo de amenazas.
Riesgo de Seguridad en la información o cibernético: Es todo riesgo potencial que puede afectar la información y los datos de un sistema informático, la disponibilidad, integridad y confidencialidad.
Se considera al ransomware como un tipo de malware. Se caracteriza por ser un sistema criminal para ganar dinero que se puede instalar a través de enlaces engañosos incluidos en un mensaje de correo electrónico, mensaje instantáneo o sitio web.
Para poder abordar las acciones y procedimientos a seguir frente a un eventual incidente de seguridad, es necesario contextualizar a la organización bajo una metodología que permita medir, cuantificar y cualificar los aspectos técnicos, buenas prácticas y políticas que realiza dentro de su gobierno en el proceso TI, organizacional y de Ciberseguridad.
Es necesario evaluar además una metodología de gestión que defina el tipo de amenaza, que representa el ransomware para una compañía y poder evaluar el nivel de estado crítico, impacto y gestión ante este tipo de riesgo cibernético.
Existen varios marcos de trabajo, metodologías y estándares mediante los cuales se pueden evaluar riesgos y amenazas, algunos como:
- Operationally Critical Threat, Asset and Vulnerability Evaluation (OCTAVE): esta construye requisitos de seguridad para toda la organización y gobierno, identifica amenazas y vulnerabilidades, determina la gestión de riesgos de seguridad.
- Committee of Sponsoring Organizations of the Treadway (COSO): es una iniciativa conjunta para combatir el fraude corporativo. Fue establecido en los Estados Unidos por cinco organizaciones del sector privado, dedicadas a guiar a la administración ejecutiva y las entidades gubernamentales en aspectos relevantes del gobierno organizacional, la ética empresarial, el control interno, la gestión del riesgo empresarial, el fraude y los informes financieros.
COSO ha establecido un modelo de control interno común contra el cual las empresas y organizaciones pueden evaluar sus sistemas de control. COSO cuenta con el apoyo de cinco organizaciones de apoyo: el Instituto de Contadores Administrativos (IMA), la Asociación Americana de Contabilidad (AAA), el Instituto Americano de Contadores Públicos Certificados (AICPA), el Instituto de Auditores Internos (IIA) y Financial Executives International ( FEI).
- COBIT: se encarga del gobierno y la gestión de las tecnologías de información (TI) de una organización
- Information Technology Infraestructure Library (ITIL): es una metodología que se basa en la calidad de servicio y el desarrollo eficaz y eficiente de los procesos que cubren las actividades más importantes de las organizaciones en sus Sistemas de Información y Tecnologías de Información.
- Metodología de Análisis y Gestión de Riesgos de los Sistemas de Información (MAGERIT) está elaborada por el Consejo Superior de Administración Electrónica del Gobierno de España para minimizar los riesgos de la implantación y uso de las Tecnologías de la Información, enfocada a las Administraciones Públicas.
Otras metodologías que podría estudiar son:
- The National Institute of Standards and Technology's (NIST (Cybersecurity, 2018)) Risk Management Framework (RMF)
- Threat Agent Risk Assessment (TARA):
- ISO/IEC 27005 (Evaluación del Riesgo TI)– ISO 31000 (Apreciación y Evaluación del riesgo)
- CCTA Risk Analysis Management & Methodology (CRAMM)
Fuente: https://www.redciber.org/
0 Comentarios