Cuando las personas sufren por la acción de los ciberdelincuentes, de manera habitual no se analizan las causas del problema buscando en su comportamiento las acciones que propiciaron el hecho.
Para que se comprenda mejor la afirmación anterior es necesario mostrar algunos ejemplos de la actividad de las personas propician el ciberdelito.
De manera habitual, muchas personas comparten imágenes de sus tarjetas magnéticas sin tomar en consideración que estas pueden caer en manos de un delincuente.
La mencionada imagen pudo ser enviada por whatsapp a una persona conocida para que realice una transferencia, pero si el teléfono móvil donde se recibió la instantánea, carece de mecanismos básicos de seguridad y caen en manos inescrupulosos se han creado las condiciones para la ocurrencia de un delito, que puede ser concretado, con un mensaje de texto desde el propio teléfono, solicitando al propietario de la tarjeta el código que emite la entidad bancaria cuando se desarrolla un proceso de registro.
Si el propietario de la tarjeta envía ese código está todo listo para se produzca el delito.
Esto puede ocurrir también cuando se comparten datos en las redes sociales o con personas desconocidas, cuando se transfiere dinero a personas desconocidas o se realizan pagos a través de enlaces sin conocer el detalle o el destino del mismo.
Por estas razones es vital mantener como línea de acción no compartir:
Otro hecho frecuente es el compromiso de las cuentas de acceso a la red y al correo electrónico, que a pesar de las acciones técnico lógicas y educativas desarrolladas para frenar los mensajes destinados a suplantar la identidad de las personas.
El proceso comienza cuando el propietario de la cuenta se “registra” en un sitio o servicio con su cuenta de correo.
Si en estos sitios la seguridad de los datos personales es débil pueden ser robados, pero también puede ocurrir que que las páginas accedidas carezcan de confiabilidad y entonces los datos de las usuarios van a parar a manos de los ciberdelincuentes por diversos métodos.
A partir de este momento se comienzan a gestar las acciones para usurpar la identidad de las personas. Generalmente desde una cuenta obtenida de manera fraudulenta anteriormente, a la que se le cambian el nombre aprovechando vulnerabilidades de los servidores, se realiza el envío masivo de un mensaje que contiene un mensaje de “alerta” o amenaza de la pérdida de funcionalidad de sus mensajes almacenados en la cuenta de correo si no realiza la validación de sus datos.
Estos mensajes supuestamente los envía la administración de la red y facilitan un enlace que lleva a una página que generalmente es muy similar a la de la institución donde la persona debe introducir los datos.
Si el usuario cae en la trampa sus datos van a parar a manos del ciberdelincuente a través de una web creada al efecto y con la nueva cuenta comenzará nuevamente el proceso, que ocurre sin que el individuo sea consciente del problema ni de sus efectos.
De esta manera están creadas las condiciones para un ataque en gran escala.
Si una cuenta de correo envía de manera automática varios miles de mensajes de en un breve lapso de tiempo se produce una “embotellamiento” del tráfico, como consecuencia de la congestión del ancho de banda, que genera un comportamiento anormal en los servidores por la sobrecarga de solicitudes.
La finalidad del ciberdelincuente puede ser un ataque de denegación de servicios con el objetivo de realizar una penetración en el sistema con una cuenta legítima, porque las anomalías inducidas pudieran resquebrajar los mecanismos de seguridad.
Si bien en el ejemplo se han explicado a grandes rasgos la realidad del problema, se hace necesario atender determinados aspectos que son vitales para proteger los datos y el sistema informáticos.
Los dos ejemplos mostrados, son solo la punta del iceberg de los ciberdelitos que a cada momento amenazan a los usuarios de las TIC, por esta razón es vital que cada usuario conozca las buenas prácticas en el manejo seguro de estas tecnologías.
El problema más serio que se presenta hoy ante la seguridad informática, es la limitada preparación de los usuarios de las TIC en las mejores prácticas para el manejo seguro de las TIC, pues las estadísticas que aportan los sitios especializados en la educación de usuarios de ESET y Kaspersky muestran que el 80 % de los incidentes tienen sus causas en la actividad humana.
La Organización Internacional de Estandarización (ISO por su sigla en inglés) define mejor práctica como “el conjunto de acciones, metodologías, herramientas y técnicas que han sido aplicadas y probadas en un contexto determinado y han producido resultados considerados como buenos respecto a los objetivos establecidos”. (Academia ESET)
Esto hace que la ISO plantee los estándares propuestos con la categoría de indicativos, por lo que no son de obligatorio cumplimiento y puede seleccionarse de las normas los aspectos que se consideren aplicables a la entidad para su mejor desempeño y lograr la certificación de sus procesos, atendiendo a que el estándar es una especie de patrón o referencia que facilita requisitos o guías para llevar a feliz término los objetivos institucionales.
Conocer las normas ISO de la serie 27000, en especial la 27001, que marca los estándares para la medición de los riesgos en el ámbito de un sistema de gestión de seguridad de la información que parte desarrollar su enfoque a partir de un ciclo de mejoras continuas, conocido como Deming o Planificar – Hacer – Verificar – Actuar, cuestiones estas que sustentan el Plan de Seguridad de las TIC de la UO y que debe ser conocido por todos, ya que establece lo que está permitido en la red y los procedimientos para ejecutar cada acción de manera segura.
En el equipo de seguridad informática de la Universidad de Oriente en el Blog de Ciberseguridad ha publicado múltiples trabajos que analizan las buenas prácticas en TIC, cuya comprensión y manejo adecuado es vital para la seguridad de la información y el sistema informático.