Tag empresa

Guía de buenos hábitos de seguridad y privacidad al usar IA en el trabajo

by morfil Noticias

Te presentamos en formato infográfico una pequeña guía sobre qué buenos hábitos son necesarios incorporar en el uso de la IA para mitigar riesgos de seguridad y privacidad.

La inteligencia artificial está cada vez más presente en el día a día, pero junto a los beneficios de su uso vienen algunos riesgos a los que hay que prestar especial atención.

Muchas organizaciones implementan modelos de inteligencia artificial para optimizar procesos, mejorar la experiencia de los clientes, analizar datos y obtener ventajas competitivas. Sin embargo, la digitalización masiva de la información y la adopción de estas tecnologías conllevan ciertos riesgos en términos de seguridad y privacidad de la información.

A continuación, te presentamos una infografía que servirá como guía para hacer un uso responsable de las tecnologías de inteligencia artificial y minimizar los riesgos a los que pueden exponernos:

Infografía | Guía de buenos hábitos de seguridad y privacidad al usar IA en el trabajo | ESET Latinoamérica

 

Fuente: www.welivesecurity.com

 

Con llave y candado: Cómo proteger los datos corporativos de las ciberamenazas en 2025

by morfil Noticias

Las violaciones de datos pueden causar una pérdida de ingresos y de valor de mercado como resultado de la disminución de la confianza de los clientes y de los daños a la reputación.

Según el Centro de Recursos contra el Robo de Identidad (ITRC, por sus siglas en inglés), en 2023 se produjeron más de 3.200 ataques de datos en Estados Unidos, con 353 millones de víctimas, incluidas las que se vieron afectadas varias veces. Cada una de esas personas podría ser un cliente que decide llevar su negocio a otra parte como resultado. O un empleado que reconsidera su puesto en su organización. Esto debería ser motivo suficiente para dar prioridad a la seguridad de los datos.

Sin embargo, a pesar de que las empresas de todo el mundo gastan decenas de miles de millones de dólares al año en ciberseguridad, las filtraciones de datos siguen proliferando. ¿Por qué resulta tan difícil mitigar estos riesgos cibernéticos? La escala y variedad de los ataques, los recursos de los actores de las amenazas y el tamaño de la superficie de ataque típica de las empresas son algunas de las respuestas.

Por qué los datos son un negocio

El volumen de datos creados en todo el mundo se ha disparado en los últimos años gracias a la transformación digital. Según una estimación, en 2024 se crearán, capturarán, copiarán y/o consumirán 147 zettabytes cada día. Estos datos contienen la clave para desbloquear información vital sobre los clientes, mejorar la eficiencia operativa y, en última instancia, tomar mejores decisiones empresariales. También contienen secretos comerciales, IP sensible e información personal/financiera sobre clientes y empleadores, que es altamente monetizable en el subsuelo de la ciberdelincuencia. Esto la pone en peligro tanto para los ciberdelincuentes con motivaciones financieras como para los actores alineados con el Estado.

Según el ITRC, en 2023 se produjeron en Estados Unidos más de 3.200 ataques contra datos. Estos pueden causar importantes daños financieros y de reputación, incluyendo:

  • Costosas demandas colectivas
  • Daños a la marca
  • Pérdida de clientes
  • Caída del precio de las acciones
  • Costes asociados al análisis forense y la recuperación informática
  • Multas reglamentarias
  • Costes de notificación de infracciones
  • Pérdida de productividad
  • Interrupciones operativas

¿Cuáles son las amenazas más graves para los datos?

No todas las violaciones son deliberadas. Más de dos tercios (68%) de las analizadas por Verizon el año pasado tuvieron su origen en «una acción humana no malintencionada», como que un empleado fuera víctima de un ataque de ingeniería social o enviara accidentalmente información confidencial por correo electrónico al destinatario equivocado. El error humano también puede incluir una mala configuración de sistemas informáticos críticos, como las cuentas en la nube. Puede ser algo tan simple como no añadir una contraseña fuerte y única.

Sin embargo, también hay que ser consciente de la amenaza de los intrusos malintencionados. Estos tienden a ser más difíciles de detectar, si la persona en cuestión oculta deliberadamente pruebas de sus malas acciones, mientras que al mismo tiempo es capaz de utilizar el conocimiento interno de los procesos de negocio y herramientas. Se afirma que el coste de este tipo de incidentes se está disparando.

Los actores envalentonados de los Estados nación también constituyen un adversario persistente y sofisticado. Puede que sólo representen alrededor del 7% de las violaciones (según Verizon), pero tienen muchas posibilidades de éxito si su organización tiene la mala suerte de ser un objetivo o se ve atrapada en el fuego cruzado.

¿Cuáles son los principales vectores de amenaza a los que se enfrenta su organización?

  • El phishing y otros métodos de ingeniería social siguen siendo una de las principales vías de ataque. ¿Por qué? Porque los seres humanos siguen siendo criaturas falibles que a menudo se tragan las historias que les cuentan los estafadores. Si estos esfuerzos se dirigen a individuos específicos en ataques de spear-phishing, tienen aún más posibilidades de éxito. Los ciberdelincuentes pueden extraer información de las redes sociales, especialmente de LinkedIn, para adaptar estos mensajes.
  • Las cadenas de suministro pueden secuestrarse de varias maneras. Los ciberdelincuentes pueden utilizar la nube o los proveedores de servicios gestionados (CSP/MSP) como trampolín para acceder a las organizaciones de varios clientes. O podrían implantar malware en componentes de código abierto y esperar a que se descarguen. En los ataques más sofisticados, podrían vulnerar a un desarrollador de software e instalar malware dentro de actualizaciones de software, según la campaña de SolarWinds.
  • La explotación de vulnerabilidades sigue siendo uno de los tres métodos principales para desencadenar ataques de ransomware. Según Verizon, el volumen de exploits de vulnerabilidades asociados a incidentes de violación de datos este año creció un 180% con respecto a 2023. El grupo de inteligencia Five Eyes ha advertido de que el número de vulnerabilidades de día cero también está creciendo, lo que debería ser motivo de preocupación aún mayor, ya que se trata de fallos para los que no existen parches de software.
  • Las credenciales comprometidas suelen ser el resultado de una mala seguridad o gestión de contraseñas, ataques de phishing con éxito, filtraciones de datos a gran escala o ataques de fuerza bruta contra contraseñas. Constituyen una de las formas más eficaces de eludir sus ciberdefensas, sin hacer saltar ninguna alarma. Verizon afirma que el uso de credenciales robadas ha aparecido en casi un tercio (31%) de todas las brechas de la última década.
  • El BYOD sigue ofreciendo oportunidades a los actores de amenazas, ya que los empleados de las empresas a menudo se olvidan de descargar antimalware en sus dispositivos personales. Si se ven comprometidos, los piratas informáticos pueden obtener inicios de sesión para cuentas corporativas en la nube, acceder a correos electrónicos de trabajo y mucho más.
  • Vivir de la tierra es un conjunto de técnicas de post-explotación comúnmente utilizadas para el movimiento lateral y la exfiltración, que permiten a un adversario permanecer oculto a plena vista. Utilizando herramientas legítimas como Cobalt Strike, PsExec y Mimikatz, pueden realizar una serie de funciones de forma difícil de detectar.

También debemos mencionar aquí el potencial de las herramientas basadas en IA para ayudar a los actores de amenazas. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) afirmó en enero de 2024 que la tecnología «aumentará casi con toda seguridad el volumen y agudizará el impacto de los ciberataques en los próximos dos años», especialmente en lo que respecta al reconocimiento y la ingeniería social.

Contraatacar

Afrontar el reto de las filtraciones de datos significa tomar medidas en todos los frentes, para reducir el riesgo en una superficie de ataque que sigue creciendo con cada inversión en transformación digital, punto final de trabajo remoto sin parchear y credencial robada. He aquí algunas ideas para empezar:

  • Comprender el alcance de su superficie de ataque mediante el mapeo continuo de todos sus activos de TI
  • Implementar programas de gestión de vulnerabilidades y parches basados en el riesgo, incluidas pruebas de penetración periódicas
  • Asegurarse de que todos los equipos y dispositivos corporativos están protegidos por un software de seguridad multicapa
  • Instalar herramientas de prevención de pérdida de datos
  • Utilizar la gestión de dispositivos móviles (MDM) para vigilar todos los dispositivos y asegurarse de que tienen instalado un antimalware de un proveedor de confianza
  • Aplcar políticas de contraseñas seguras y autenticación multifactor (MFA) en todas partes
  • Educar a las personas sobre cómo detectar mensajes de phishing y otras áreas críticas de concienciación sobre seguridad
  • Crear un plan de respuesta a incidentes y someterla a pruebas de estrés periódicamente
  • Cifrar los datos en tránsito y en reposo
  • Auditar a los proveedores y socios externos
  • Supervisar la red y los puntos finales para alertar con antelación de cualquier intrusión
  • Asegurarse de que los sistemas en la nube están correctamente configurados

Como recientemente se celebró el Día Internacional de la Protección de Datos, está claro que mantener nuestros datos más sensibles bajo llave requiere vigilancia tanto por parte de los individuos como de las empresas en las que confían para que cuiden de su información. Las consecuencias normativas de no hacerlo podrían ser graves, al igual que la pérdida de confianza de los clientes. Pero lo contrario también es cierto. Demuestre que su empresa es un custodio responsable de estos datos, y podría convertirse en un poderoso diferenciador competitivo.

 

Fuente: www.welivesecurity.com

Por eso no debes ocupar WhatsApp como herramienta de trabajo

by morfil Noticias

Una forma sencilla de dejar vulnerable información privada

La pandemia marcó un antes y un después en el mundo y con ello, también cambió la forma en que las personas se desenvuelven en el ámbito laboral, convirtiendo a WhatsApp en una herramienta de comunicación cotidiana para muchos trabajadores. Sin embargo, la comodidad y facilidad de uso de esta aplicación de mensajería tienen consigo riesgos para la seguridad de la información de las empresas.

La falta de control sobre la información compartida, la vulnerabilidad ante ataques cibernéticos y la dificultad para auditar las comunicaciones son algunos de los principales desafíos que plantea el empleo de esta plataforma en el entorno laboral.

Una de las principales preocupaciones es la ausencia de herramientas avanzadas de gestión de información dentro de WhatsApp. Los archivos, conversaciones y otros datos sensibles compartidos a través de esta aplicación quedan fuera del alcance de las políticas de seguridad de las empresas, lo que los expone a fugas o usos indebidos. Además, la práctica común de eliminar mensajes antiguos dificulta la trazabilidad de la información y puede generar problemas legales en caso de disputas o auditorías.

El uso de WhatsApp en dispositivos personales también aumenta la vulnerabilidad a ataques cibernéticos como el phishing y el malware. Los enlaces maliciosos pueden infectar tanto el dispositivo móvil como el ordenador si se accede a WhatsApp Web, comprometiendo la seguridad de la información corporativa.

Otro riesgo importante es la pérdida de datos en caso de robo o extravío del dispositivo móvil. A pesar del cifrado de extremo a extremo, la información almacenada en el dispositivo puede quedar expuesta si el dispositivo cae en manos equivocadas. Asimismo, las plataformas de colaboración empresarial ofrecen niveles de seguridad mucho más robustos y mecanismos de recuperación de datos más eficientes.

La dificultad para auditar y rastrear las comunicaciones laborales es otro punto a considerar. A diferencia de las herramientas de correo electrónico o mensajería interna, WhatsApp no proporciona un registro detallado de las conversaciones, lo que dificulta la investigación de incidentes de seguridad y el cumplimiento de normativas.

 

Fuente: www.fayerwayer.com

La ciberseguridad nunca debe estar fuera de oficina: Proteja su empresa en estas fiestas

by morfil Noticias

Mientras disfruta las fiestas de fin de año, los ciberdelincuentes podrían estar preparándose para su próximo gran ataque, por lo que es fundamental asegurar que las defensas de su empresa estén listas.

Las vacaciones festivas ya casi están aquí. Muy pronto, muchos de nosotros nos pegaremos el «fuera de la oficina» y nos instalaremos para disfrutar de unos días de merecido descanso. Pero no ocurre necesariamente lo mismo con los actores de amenazas. De hecho, pueden espiar una oportunidad perfecta para comprometer sus sistemas informáticos si es probable que el equipo de seguridad de la empresa también esté pasando tiempo con amigos y familiares. Ya ha ocurrido muchas veces, especialmente con los ataques de ransomware.

Por eso su organización necesita un plan coherente para gestionar la ciberseguridad 24 horas al día, 7 días a la semana, durante todo el año, incluido el periodo festivo. Es fundamental contar con las personas, los procesos y la tecnología adecuados para mitigar los riesgos cibernéticos.

Mientras dormías

Mientras que los grandes ataques siguen apareciendo en los titulares con regularidad, la macrotendencia es la disminución de las tasas de pago por ransomware. Los estudios revelan que alrededor de un tercio (36%) de las víctimas decidieron pagar en el segundo trimestre de 2024, frente al 80% de hace cinco años. Esto significa que, al menos en lo que respecta al ransomware, los actores de amenazas siempre están buscando nuevas formas de hacer sus ataques más eficaces. Y lanzar esos ataques durante los días festivos, por la noche y/o el fin de semana es la forma perfecta de hacerlo.

Un estudio afirma que los ataques de ransomware aumentan un 30% durante los días festivos y los fines de semana. Otro revela que el 89% de los profesionales de la seguridad están preocupados por esa eventualidad. Un tercero afirma que la mayoría de los ataques de ransomware se producen ahora entre la una y las cinco de la madrugada, hora local, ya que los ciberdelincuentes buscan el mismo objetivo final: pillar desprevenida y sin personal a la organización víctima.

Hay muchos ejemplos históricos de ataques de ransomware durante días festivos:

  • La filtración de Colonial Pipeline por parte del grupo de ransomware DarkSide se produjo en mayo de 2021 durante el fin de semana previo al Día de la Madre en Estados Unidos. Provocó una interrupción de las operaciones durante una semana y escasez de combustible en toda la costa este
  • El ataque masivo de ransomware contra el gigante de la alimentación JBS se produjo durante el fin de semana del Día de los Caídos, obligando a la empresa a pagar un rescate de 11 millones de dólares
  • El ataque del grupo de ransomware Sodinokibi/REvil contra el proveedor de software MSP Kaseya durante el fin de semana del 4 de julio afectó a 2.000 clientes en 17 países

Sin embargo, los responsables de seguridad no sólo deben pensar en la ciberdelincuencia durante las fiestas. También existe la posibilidad, aunque menos frecuente, de ataques patrocinados por el Estado. Hay que recordar que los países en los que se originan muchos ataques, desde China y Corea del Norte hasta Rusia e Irán, o bien no celebran la Navidad o lo hacen en fechas diferentes a las occidentales.

Por qué es importante

Para las empresas que suelen estar muy ocupadas durante el periodo festivo, como los minoristas, las empresas de hostelería y los operadores de almacenes, un ciberataque grave podría tener un impacto significativo en los resultados y la reputación corporativa. Pero lo cierto es que cualquier organización podría verse afectada.

En pocas palabras, cuanto más tiempo se tarde en responder a una amenaza de ransomware, más probable es que el adversario sea capaz de robar grandes cantidades de datos confidenciales, y posiblemente incluso desplegar una carga útil de ransomware. Los grupos de ransomware son cada vez más rápidos a la hora de pasar del acceso inicial al cifrado y la exfiltración de datos. Si a esto le añadimos el tiempo extra necesario para que los miembros del equipo de seguridad entren en la oficina y/o se conecten, tenemos una receta potencial para el desastre.

Incluso si los miembros clave del equipo llegan a la oficina rápidamente, es posible que no puedan ayudar mucho. Un estudio afirma que el 71% de los profesionales de la seguridad admiten haberse intoxicado al responder a un ataque de ransomware durante el fin de semana o las vacaciones. Una brecha grave fuera de horario podría:

  • Afectar a la productividad del personal (suponiendo que haya empleados trabajando en otras regiones durante ese periodo)
  • Interrumpir significativamente las operaciones de producción/empresariales
  • Poner fuera de línea los sitios web públicos, reduciendo los beneficios y dañando la marca
  • Invitar al escrutinio normativo y crear problemas de cumplimiento

El ransomware no es, ni de lejos, la única amenaza a la que se enfrenta su organización durante estas fiestas. Otros riesgos que puede necesitar mitigar incluyen:

  • Phishing y robo selectivo de datos
  • Correo electrónico comercial comprometido (BEC)
  • Ataques DDoS, especialmente importantes para los minoristas en esta época del año

Mitigar los riesgos cibernéticos de la temporada navideña

El 37% de las organizaciones, no dispone de planes de contingencia para responder a los ataques de ransomware durante los fines de semana y los periodos vacacionales, según un estudio. Y gracias al trabajo a distancia, las ciberamenazas podrían producirse teóricamente en cualquier momento, incluidas las horas de oficina no tradicionales, especialmente si su organización abarca diferentes zonas horarias.

Tenga en cuenta los siguientes consejos para mitigar el riesgo de una brecha de seguridad festiva:

  • Parcheado continuo y automatizado basado en el riesgo para reducir la superficie de ataque
  • Pruebas de penetración para detectar vulnerabilidades antes de las vacaciones
  • Exigir la autenticación multifactor (MFA) y contraseñas únicas y seguras (idealmente almacenadas en un gestor de contraseñas) para mitigar las amenazas de suplantación de identidad y de inicio de sesión
  • Cifrado de datos, para que incluso si los piratas informáticos llegan a sus joyas de la Corona, no puedan monetizar los datos robados
  • Establecimiento de procesos para mitigar el riesgo de BEC (como que al menos dos personas firmen las transferencias de dinero)
  • Asegúrese de que los proveedores son auditados y cumplen las mismas normas de seguridad que su organización
  • Disponga de un plan de respuesta a incidentes en caso de infracción durante las vacaciones, para que todo el mundo conozca sus funciones y responsabilidades
  • Software de seguridad multicapa que cubra el punto final, el correo electrónico, el servidor y la nube
  • Programas de formación y concienciación para garantizar que el personal detecta los intentos de suplantación de identidad y entiende las normas sobre el trabajo remoto seguro
  • Disponga de un plan para escalar los incidentes de seguridad al personal clave, incluso si está de vacaciones

Los ciberdelincuentes son un grupo decidido, sin tener en cuenta el calendario de vacaciones de su equipo de seguridad. Es mejor planificar hoy el peor escenario posible que arriesgarse y exponer potencialmente a su organización a unas vacaciones de Navidad infernales.

 

Fuente: www.welivesecurity.com

Cumplimiento de las normativas en ciberseguridad: Una inversión clave

by morfil Noticias

En una era de crecientes amenazas digitales, cumplir con las normativas y leyes de ciberseguridad es mucho más que marcar un check: es un escudo vital para proteger los activos, la reputación y, a fin de cuentas, la propia supervivencia de la empresa.

¿Cuál es el problema más común al que se enfrentan las empresas hoy en día? ¿Es la fragilidad de la cadena de suministro? ¿La competencia feroz? ¿La falta de liquidez? ¿O es la creciente e implacable oleada de ciberataques?

Las pruebas y los analistas sugieren que suele ser lo segundo. Como las ciberamenazas no muestran signos de desacelerarse, tanto las pequeñas como las grandes organizaciones reconocen cada vez más que la ciberseguridad ya no es opcional.

Es más, los gobiernos y las agencias reguladoras también se han dado cuenta de su importancia, especialmente cuando se trata de organizaciones que operan en sectores críticos para la infraestructura nacional de un país. ¿Cuál es el resultado? Un conjunto cada vez mayor de requisitos de cumplimiento que parecen desalentadores, pero que son esenciales para el buen funcionamiento y la seguridad pública de un país.

Formas de cumplimiento

Para empezar, tenemos que distinguir entre dos tipos de cumplimiento: obligatorio y voluntario, ya que cada uno conlleva su propio conjunto de requisitos.

El cumplimiento obligatorio abarca las normativas aplicadas por organismos estatales o adyacentes y dirigidas a empresas que operan en sectores de infraestructuras críticas, como la sanidad, el transporte y la energía. Por ejemplo, una empresa que trabaje con datos de pacientes en Estados Unidos debe cumplir la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA, sus siglas en inglés), una normativa federal, para mantener la privacidad de los datos de los pacientes más allá de las fronteras estatales.

Por otro lado, el cumplimiento voluntario significa que las empresas solicitan certificaciones y normas específicas que las identifican como expertas en un campo concreto o califican algunos de sus productos como conformes a una norma. Por ejemplo, una empresa que busque credibilidad medioambiental puede solicitar la certificación ISO 14001, que demuestra su compromiso con las prácticas respetuosas con el medio ambiente.

Sin embargo, todas las empresas deben reconocer que el cumplimiento de las normas no es un esfuerzo único. Cada norma, u otra «pizca de cumplimiento», requiere recursos adicionales, ya que estos procesos exigen un seguimiento constante y asignaciones presupuestarias (incluso las certificaciones ISO requieren una recertificación periódica).

Cumplimiento de la ciberseguridad: no sólo para los proveedores de seguridad

Una empresa que no se ajuste al cumplimiento obligatorio puede enfrentarse a cuantiosas multas. Incidentes como las filtraciones de datos o los ataques de ransomware pueden acarrear grandes costes, pero la evidencia de un incumplimiento de las medidas de seguridad obligatorias puede hacer que la factura final se dispare.

La normativa específica en materia de ciberseguridad que debe cumplir una organización depende del tipo de sector en el que opere la empresa y de la importancia que tenga la seguridad de sus datos internos para la privacidad, la seguridad de los datos o los actos sobre infraestructuras críticas. También hay que tener en cuenta que muchas normativas y certificaciones son específicas de cada región.

Además, dependiendo de qué clientes o socios quiera atraer una empresa, es aconsejable solicitar un certificado específico para poder optar a un contrato. Por ejemplo, si una empresa quiere trabajar con el gobierno federal estadounidense, necesita solicitar el certificado FedRAMP, que demuestra su competencia en la protección de datos federales.

En cualquier caso, el cumplimiento de la normativa debe formar parte de los cimientos de cualquier estrategia empresarial. Como los requisitos normativos seguirán aumentando en el futuro, a las empresas bien preparadas les resultará más fácil adaptarse a los cambios. El cumplimiento se mide continuamente, lo que puede ahorrar a las organizaciones importantes recursos y permitir su crecimiento a largo plazo.

Principales leyes y marcos de ciberseguridad

Hagamos ahora un rápido repaso de algunas de las leyes y marcos normativos más importantes en materia de ciberseguridad:

  • Ley de Portabilidad y Responsabilidad de los Seguros Sanitarios (HIPAA)

Esta ley regula el tratamiento de la información de los pacientes en hospitales y otros centros sanitarios. Representa un conjunto de normas diseñadas para proteger los datos sanitarios confidenciales de los pacientes frente a usos indebidos, exigiendo a las entidades administrativas que promulguen diversas salvaguardias para proteger dichos datos, tanto física como electrónicamente.

  • Marcos del Instituto Nacional de Normas y Tecnología (NIST)

El NIST, una agencia gubernamental estadounidense dependiente del Departamento de Comercio, elabora normas y directrices para diversos sectores, entre ellos el de la ciberseguridad. Al imponer un determinado conjunto de políticas que sirven de base a la seguridad de las organizaciones, permite a las empresas e industrias gestionar mejor su ciberseguridad. Por ejemplo, el Marco de Ciberseguridad 2.0 del NIST contiene orientaciones exhaustivas para organizaciones de todos los tamaños y postura de seguridad actual sobre cómo pueden gestionar y reducir sus riesgos de ciberseguridad.

  • Norma de seguridad de datos del sector de las tarjetas de pago (PCI DSS)

PCI DSS es otra norma de seguridad de la información diseñada para controlar el manejo de datos de tarjetas de crédito. Su objetivo es reducir los riesgos de fraude en los pagos reforzando la seguridad en torno a los datos de los titulares de tarjetas. Se aplica a todas las entidades que manejan datos de tarjetas, ya sea una tienda, un banco o un proveedor de servicios.

  • Directiva sobre seguridad de las redes y de la información (NIS2)

Esta directiva refuerza la ciberresiliencia de las entidades críticas de la Unión Europea al imponer requisitos de seguridad y prácticas de gestión de riesgos más estrictos a las entidades que operan en sectores como la energía, el transporte, la sanidad, los servicios digitales y los servicios de seguridad gestionados. NIS2 también introduce nuevas normas de notificación de incidentes y multas por incumplimiento.

  • Reglamento General de Protección de Datos (RGPD)

El GDPR es una de las normativas sobre privacidad y seguridad de datos más estrictas a nivel mundial. Se centra en los derechos de privacidad y protección de datos de las personas en la Unión Europea, dándoles el control sobre sus datos y ordenando el almacenamiento seguro y la notificación de infracciones para las empresas que gestionan los datos.

Existen marcos normativos tanto específicos del sector como amplios, y cada uno viene acompañado de requisitos únicos. Cumplir una no garantiza que no se infrinja otro conjunto de normas; por tanto, preste atención a qué reglamentos se aplican a su empresa y a sus operaciones.

Incumplimiento costoso

¿Qué ocurre con el incumplimiento? Como se ha mencionado anteriormente, algunas normativas establecen sanciones cuantiosas.

Por ejemplo, las infracciones del GDPR pueden dar lugar a multas de hasta 10 millones de euros, o el 2% de la facturación anual global, para cualquier empresa que no notifique una infracción a una autoridad supervisora o a los interesados. Las autoridades supervisoras también pueden imponer multas adicionales por medidas de seguridad inadecuadas, con los consiguientes costes adicionales.

En Estados Unidos, el incumplimiento de la FISMA, por ejemplo, puede suponer una reducción de la financiación federal, audiencias gubernamentales, censura, pérdida de futuros contratos y mucho más. Del mismo modo, las infracciones de la HIPAA también podrían tener consecuencias nefastas, ya sean multas por valor de 1,5 millones de dólares anuales e incluso penas de cárcel de 10 años. Está claro que hay más en juego que el bienestar financiero.

En definitiva, es mejor prevenir que curar, y también es prudente mantenerse al día de las normativas de ciberseguridad específicas de su sector. En lugar de verlo como un gasto adicional evitable, su empresa debería ver el cumplimiento como una inversión esencial y regular, doblemente en el caso de las normas obligatorias, que, si se descuidan, podrían poner rápidamente su negocio, si no su vida, patas arriba.

 

Fuente: www.welivesecurity.com

¿La inteligencia artificial en RRHH está cambiando para siempre la forma de contratar?

by morfil Noticias

Se ha hablado mucho de la inteligencia artificial como sustituta de los puestos de trabajo, pero ¿cómo han cambiado los procesos de contratación con el uso de la IA?

En la era de la transformación digital, la Inteligencia Artificial (IA) se ha convertido rápidamente en una piedra angular de las operaciones de una organización y el proceso de contratación no es una excepción.

El panorama de la captación de talento es un campo minado con una media de más de 250 candidatos para una vacante corporativa, lo que hace que los reclutadores pasen entre 6 y 8 segundos mirando cada CV. Cuando las personas adecuadas pueden marcar una diferencia tan grande en la cultura y el rendimiento de una empresa, un proceso de contratación ineficaz puede costar a las empresas tiempo y dinero para encontrar sustitutos para las malas contrataciones y deshacer cualquier daño que puedan haber causado en el ínterin.

Para los responsables de la selección de personal, la IA supone una alternativa interesante a la criba de innumerables currículos, la redacción de descripciones de puestos de trabajo y la gestión de un bucle interminable de tareas administrativas diarias.

Las herramientas y los algoritmos impulsados por la IA están cambiando, y en algunos casos sustituyendo, todo el proceso de selección de personal. Esto se traduce en contrataciones más rápidas y experiencias más eficientes tanto para los candidatos como para el responsable de la selección.

Aunque este cambio hacia la IA aporta numerosos beneficios, también plantea cuestiones críticas sobre la equidad, la parcialidad y la privacidad.

Ya hemos visto anteriormente cómo las empresas pueden evitar exponer sus datos cuando utilizan grandes modelos lingüísticos (LLM). En esta ocasión, vamos a considerar las implicaciones más amplias del uso de la IA para agilizar sus procesos de contratación.

La revolución de la IA en la contratación

Los profesionales de Recursos Humanos saben lo que se tarda en contratar a un nuevo candidato. En primer lugar, hay que redactar la descripción del puesto, lo que puede llevar tiempo hasta que las personas adecuadas identifiquen las tareas y responsabilidades clave del puesto. A continuación, hay que aprobarla internamente antes de publicarla en las plataformas de búsqueda de empleo pertinentes o compartirla con los candidatos potenciales. Una vez que se han presentado todas las candidaturas deseadas, el responsable de la contratación debe revisarlas y preseleccionarlas antes de iniciar las entrevistas.

Pero ahora llega la IA y un nuevo proceso de contratación más ágil. Alrededor del 85% de los reclutadores creen que la IA es una tecnología útil que sustituirá algunas partes del proceso de contratación. En muchos casos, ya se ha introducido. Ya en 2019, una portavoz de la empresa Unilever dijo que su herramienta de contratación de IA ahorró más de 100.000 horas y 1 millón de dólares en costes globales de contratación ese año. Usar la IA en todo su potencial puede crear beneficios significativos para los ocupados reclutadores que necesitan cubrir un puesto vacante.

1. Selección más rápida de candidatos

Los modelos de IA pueden automatizar tareas repetitivas como la selección de currículos y la búsqueda de candidatos. En lugar de leer cientos de solicitudes para una sola vacante, los responsables de selección pueden introducir la información en un modelo de IA que identifique determinadas palabras clave que coincidan con la descripción del puesto y con lo que se está buscando.

A continuación, el modelo puede preseleccionar automáticamente a los candidatos en función de su grado de adecuación a los criterios deseados. Como resultado, los responsables de contratación pueden centrarse en aspectos más estratégicos de la adquisición de talento, o simplemente dedicarse a todo lo demás de sus crecientes listas de tareas pendientes.

2. Mejora de la experiencia del candidato

¿Alguna vez has dudado en solicitar un puesto de trabajo porque el reclutador no respondía a sus preguntas sobre el puesto? Pues ya no: Los chatbots y asistentes virtuales basados en IA ofrecen respuestas inmediatas a las preguntas de los candidatos, garantizando una experiencia más fluida y atractiva durante todo el proceso de contratación.

Las interacciones personalizadas y las respuestas rápidas contribuyen a una marca de empleador positiva, lo que aumenta el número de personas que desean trabajar para la empresa y, por lo tanto, aumenta la reserva de talento de la que pueden seleccionar los reclutadores.

3. Toma de decisiones basada en datos

Las herramientas de IA pueden utilizar análisis predictivos para identificar a los mejores candidatos basándose en datos históricos y métricas de rendimiento. Mediante el análisis de patrones en contrataciones exitosas, las organizaciones pueden tomar decisiones más informadas basadas en el rendimiento de contrataciones anteriores.

4. Mejora de la diversidad y la inclusión

Algunas plataformas de IA afirman mitigar el sesgo inconsciente en la contratación mediante el anonimato de la información del candidato, centrándose únicamente en las cualificaciones y habilidades. Al eliminar información identificativa como el nombre, el sexo o el origen étnico, estas herramientas pueden promover la diversidad y la inclusión en la contratación.

Riesgos y retos de la IA

La aplicación de la IA en el proceso de contratación también abre un nuevo abanico de riesgos y retos de seguridad que las organizaciones deben abordar para utilizar esta nueva herramienta de forma eficiente y honorable.

1. Sesgo algorítmico

Si un modelo se entrena con un conjunto de datos históricos, los sesgos históricos pueden trasladarse al resultado del modelo. Por ejemplo, si una empresa utilizara la IA para buscar en los currículos candidatos para un puesto de médico, y si el conjunto de datos con el que se ha entrenado muestra que el 80% de los médicos que históricamente encajaban en el puesto eran hombres, es más probable que el modelo favorezca a los candidatos masculinos frente a los femeninos, a pesar de que tengan la misma idoneidad para el puesto.

Además de las implicaciones internas de no ver a todos los candidatos adecuados, esto puede tener importantes consecuencias financieras y para la reputación. Consideremos este caso de la vida real en el que una empresa de clases particulares tuvo que pagar 365.000 dólares de indemnización cuando la IA descalificó automáticamente a los solicitantes en función de la edad como resultado de los datos que se le proporcionaron.

Además, la IA puede sobrevalorar el uso de palabras clave y métricas al revisar los currículos enviados. A diferencia de un ser humano, un sistema de IA podría no captar las habilidades interpersonales y otras experiencias o rasgos de carácter que harían de alguien un candidato más deseable para el puesto.

El proceso automatizado que utilizan los modelos de IA puede incluso favorecer a los candidatos que han utilizado la IA para crear su cur rículum utilizando la descripción del puesto publicada. El resultado es una presentación que «sobre el papel» parece perfecta para el puesto, pero que no es una representación auténtica u honesta de la idoneidad del candidato.

2. Falta de transparencia

Muchos algoritmos de IA funcionan como cajas negras, lo que significa que el proceso de toma de decisiones es poco claro y difícil de entender. Esta falta de transparencia plantea dudas sobre la responsabilidad y la capacidad de cuestionar o corregir los resultados sesgados.

Si las empresas no saben que su IA está sesgada o «envenenada», ¿cómo pueden rectificarla? ¿Y cómo van a saber cómo hacerlo? Esta falta de transparencia también puede ser una oportunidad para que los candidatos furtivos encuentren posibles lagunas en el sistema que lleven sus currículos a los primeros puestos de la lista.

3. Privacidad y seguridad de los datos

Para el uso de la IA en la contratación, los modelos necesitarían alimentarse de grandes cantidades de datos personales proporcionados por los candidatos y la propia organización. Garantizar la confidencialidad y seguridad de estos datos con suficientes medidas de ciberseguridad es primordial para proteger los derechos de privacidad de la empresa y de las personas, así como para cumplir con normativas como el Reglamento General de Protección de Datos (GDPR).

4. Supervisión humana y rendición de cuentas

Si bien la IA puede mejorar la eficiencia, la supervisión humana sigue siendo esencial para evitar el mal uso o la mala interpretación de los conocimientos generados por la IA. Las organizaciones deben establecer marcos y mecanismos claros de rendición de cuentas para abordar los errores algorítmicos o las infracciones éticas.

5. Cumplimiento legal y normativo

El uso de la IA en la contratación está sujeto a diversos marcos legales y reglamentarios, incluidas las leyes contra la discriminación y las normas de protección de datos. El incumplimiento de estos requisitos puede acarrear repercusiones legales y daños a la reputación.

¿Cómo puede su organización aprovechar la IA para la contratación de manera segura y eficaz?

Para aprovechar los beneficios de la IA y, al mismo tiempo, mitigar los riesgos asociados, las organizaciones deben adoptar un enfoque holístico de la IA. Esto incluye

1. Diseño ético de la IA

Priorizar la equidad, la transparencia y la responsabilidad en el desarrollo y despliegue de la IA en todos los sistemas de TI. Esto se puede hacer mediante la aplicación de medidas tales como algoritmos de detección de sesgos y evaluaciones periódicas de imparcialidad para identificar y abordar patrones discriminatorios.

2. Supervisión y evaluación continuas

Evaluar periódicamente el rendimiento de los algoritmos de IA para identificar y mitigar sesgos o errores. Establezca mecanismos de retroalimentación para que los candidatos informen de sus preocupaciones o proporcionen información sobre sus experiencias con los procesos de contratación impulsados por IA. Esta supervisión y seguimiento constantes significan que si algo va mal con el sistema de IA, se puede identificar y rectificar antes de que se acumulen las consecuencias negativas.

3. Perspectivas de equipos con conocimientos mixtos

Fomentar la colaboración entre profesionales de RRHH, científicos de datos, especialistas en ética y expertos legales para garantizar un enfoque multidisciplinar del funcionamiento de la IA. Una serie de conocimientos y perspectivas con vistas al modelo y los programas de IA respaldan el desarrollo de políticas y prácticas de IA sólidas y exhaustivas.

4. Educación y formación

Proporcionar formación a los reclutadores y directores de contratación sobre el uso ético de la IA en la contratación, incluida la concienciación sobre las estrategias de mitigación de sesgos y la importancia de la privacidad y la seguridad de los datos. Cultivar una cultura de adopción responsable de la IA en toda la organización con transparencia y directrices sobre la mejor manera de utilizarla.

5. Cumplimiento normativo

Mantenerse a la vanguardia de la evolución de los requisitos legales y reglamentarios en torno a la IA en la contratación y adaptar las políticas y prácticas de la empresa para garantizar un cumplimiento completo y mantenerse informado sobre los riesgos inminentes y cualquier laguna en el sistema de IA que los ciberdelincuentes puedan aprovechar.

En conclusión…

La IA presenta inmensas oportunidades para transformar los procesos de contratación, permitiendo a las organizaciones identificar y atraer a los mejores talentos de manera más eficaz en menos tiempo. Sin embargo, la adopción generalizada de la IA en la contratación también crea riesgos en torno a la parcialidad, la privacidad y la responsabilidad. Mediante la aplicación de las mejores prácticas enumeradas anteriormente, las organizaciones pueden superar estos desafíos y aprovechar la IA de manera responsable para lograr sus objetivos de contratación, manteniendo los principios de equidad, inclusión y autenticidad.

 

Fuente: www.welivesecurity.com

«Tener un enfoque sostenible es esencial para la estrategia de negocio»

by morfil Noticias

Pedro Lerner, CEO de Grupo UNACEM, que abarca empresas de cemento, hormigón y energía con una destacada presencia en América Latina, destaca la apuesta acometida por el grupo para descarbonizar su actividad y contribuir así a la transición ecológica del sector.

Foto: Pedro Lerner, CEO de UNACEM. Créditos: Cortesía del entrevistado.

La industria cementera es una de las que más gases de efecto invernadero produce, responsable de hasta el 8% de las emisiones mundiales de CO₂. Por ello, la descarbonización de este sector es especialmente relevante para mitigar el cambio climático, pero también supone una gran inversión: la transición ecológica de la industria de producción de cemento podría tener un coste de hasta 60.000 millones de dólares (unos 55.594 millones de euros) al año, según estimaciones.

Dar respuesta a un mismo tiempo a las necesidades del negocio y del planeta es el reto al que se enfrenta Grupo UNACEM, cuyo porfolio incluye compañías de cemento, hormigón y energía; presente en Perú, Ecuador, Chile, Colombia y EE UU. En 2021, anunció su intención de alcanzar la neutralidad de carbono para 2050. Una tarea que, tal y como relata su CEO Pedro Lerner, ya está siendo acometida en varios frentes, desde el uso de renovables a la conservación de recursos hídricos.

¿Por qué es importante para el sector adoptar estrategias que reduzcan su impacto medioambiental?

Las emisiones totales y globales de CO₂eq (emisiones de CO₂ equivalentes) estimadas están en el orden de los 40.000 millones de toneladas anuales; de estas, aproximadamente 2.800 millones de toneladas provienen de la industria del cemento. Existe actualmente una gran presión en la industria global para ver cómo logra la disminución de sus emisiones, considerando que es un sector hard to abate [difícil de mitigar], y que tiene consumidores que deben conocer y aceptar productos ecoeficientes que tienen características diferentes. 

De acuerdo con lo establecido en nuestra Declaración de Sostenibilidad [establecida en 2021 y basada en los pilares de Gobierno Corporativo, Medio Ambiente y Biodiversidad, Gestión Social, Economía Circular y Acción Climática], hemos definido metas para la reducción de huellas de carbono al 2030 y lograr la neutralidad de nuestros procesos y operaciones al 2050. Actualmente, ya contamos con metas concretas de reducción al año 2030 para nuestras unidades de negocio cementeras, las cuales representan una reducción del 21% con relación a las cifras del 2014.

¿Qué hitos se ha marcado el grupo para alcanzar este objetivo?

Hemos establecido lineamientos en base a dos palancas claves: la primera, relacionada a la reducción del factor clínker [cantidad de clínker que se emplea para fabricar una tonelada de cemento con relación al resto de materiales], que es uno de los principales desafíos en la industria; y la segunda, relacionada a la reducción del uso de combustibles fósiles y el uso de energías alternativas. Desde el Grupo UNACEM venimos invirtiendo desde hace años en energía y combustibles limpios. Por ejemplo, contamos con dos hidroeléctricas en Perú (El Platanal y Marañón), y las hidroeléctricas Carpapata I, II y II, que surten de energía exclusivamente a la Planta Condorcocha de UNACEM Perú. Solo en 2023, hemos destinado un aproximado de 500 millones de soles peruanos a proyectos que priorizan la eficiencia y sostenibilidad de nuestras operaciones.

Consideramos importante, también, invertir en el uso de residuos sólidos y soluciones basadas en la naturaleza para aprovechar los recursos naturales y la restauración de ecosistemas, así como apuntar a una economía circular de reutilización. Muestra de ello es nuestra Área de Conservación Privada (ACP), constituida por UNACEM Perú, la primera en Lima Metropolitana reconocida por el Ministerio del Medio Ambiente (MINAM) y promovida por una empresa privada. Esta área tiene la finalidad de conservar 787 hectáreas de lomas, además de destinar un espacio para la promoción de la investigación, el deporte y la recreación, pero sobre todo promover la dinámica productiva local.

¿Qué estrategias e innovaciones tecnológicas ha adoptado UNACEM para lograr estos objetivos?

Todas las empresas del Grupo UNACEM están enfocadas en la reducción de nuestra huella medioambiental. Este desafío implica, entre otros esfuerzos, un gran compromiso por la innovación. Por ello, estamos transformado nuestros procesos y nuestra manera de trabajar.

Dentro de la línea productiva, generamos cementos adicionados de alta resistencia y con baja huella de carbono. Por ejemplo, en UNACEM Ecuador utilizamos materiales que permiten el reemplazo del contenido de clínker en la elaboración de cemento, manteniendo su calidad. Adicionalmente, estimamos que en Drake Cement [planta cementera ubicada en Arizona propiedad del Grupo] al 2030 se pueda alcanzar una reducción de emisiones del 10% con la inclusión de combustibles derivados de residuos (CDR) y biomasa proveniente de residuos forestales.

En UNICON Perú cerca del 25% de la flota de mixers para el transporte del concreto tiene motores de combustión a gas GNV (combustible alternativo ecológico); y utilizamos gas natural en nuestra planta cementera de Lima, lo que nos ha permitido reducir más del 25% las emisiones de gases de efecto invernadero por consumo de combustible.

Por último, en el sector de energía, nuestra propuesta de valor con Celepsa [empresa generadora y distribuidora de energía carbono neutral] ha trascendido de la venta de un commodity. Contamos con un área de Sostenibilidad dentro de la Gerencia de Negocios, para ofrecer a nuestros clientes soluciones de eficiencia energética, como la certificación Triple C (Compromiso Carbono Negativo Celepsa).

Grupo UNACEM también presta atención al reaprovechamiento y la reducción del consumo de agua. ¿Qué acciones han emprendido para contribuir a la conservación de los recursos hídricos?

En Grupo UNACEM impulsamos una gestión responsable del agua en todas nuestras operaciones extractivas, portuarias y energéticas. En 2022 logramos recircular el 38% del total de agua consumida, es decir, 514.670 m3 de agua reciclada en todas nuestras subsidiarias de los negocios de cemento y energía.

Este resultado es el reflejo de los esfuerzos realizados en nuestros negocios como UNACEM Perú, que desde el 2013 cuenta con la medición de la huella de agua de sus actividades en las plantas de Atocongo y Condorcocha; y desde el 2018 ha sido reconocida por la Autoridad Nacional del Agua (ANA) con la entrega del Certificado Azul. Además, hacemos uso de un sistema de enfriamiento de la planta industrial para colaborar con la recirculación del agua y, a su vez, aprovechar esta para el riego de las áreas verdes y sistemas contra incendios.

Por su parte, al cierre de 2022 UNACEM Ecuador logró reducir su consumo de agua en un 43,64%, gracias a su sistema de tratamiento y recirculación de agua de procesos. 

¿Cómo ha incluido UNACEM la descarbonización de sus operaciones en su planificación de negocio?

Tener un enfoque sostenible es esencial para la continuidad del negocio. Contamos con un comité encargado de asegurar que las iniciativas estratégicas de las empresas del grupo incorporen criterios ESG para garantizar la sostenibilidad de nuestro negocio, su crecimiento rentable, y la generación de valor para todos nuestros grupos de interés. 

A día de hoy, hemos avanzado en el planteamiento de nuestra estrategia para transitar hacia la carbono neutralidad. En ese sentido, la disminución del contenido de clínker por tonelada de cemento de nuestras unidades de negocio UNACEM Perú y UNACEM Ecuador en 2022 presentaron los avances más significativos, con un factor clínker/cemento del 85,0% y el 70%, respectivamente. 

En UNACEM Ecuador logramos también sustituir el uso de combustibles fósiles en un 11,8% por aceites usados y en un 6,16% por biomasa en el mismo año; y reducir el consumo de energía eléctrica un 3,14% en relación con la línea base de 2013, logrando la certificación ambiental Punto Verde del Instituto para la Certificación Ética y Ambiental (ICEA) de Ecuador. Mientras que en UNACEM Perú implementamos grandes avances tecnológicos en las plantas con el fin de lograr una mayor eficiencia energética, posicionando la sede de Atocongo dentro del 10% de las plantas más eficientes a nivel internacional.

Una de las estrategias con mayor impacto positivo en la reducción de emisiones a gran escala es la adopción de recursos energéticos renovables. Durante 2022, como Grupo UNACEM, utilizamos 799.327 MWh de energía de fuentes renovables en nuestras operaciones del rubro de cemento. 

¿Qué relevancia tienen las sinergias entre el sector público y privado para impulsar la descarbonización del sector?

El desarrollo sostenible es posible gracias al trabajo conjunto entre la empresa privada y autoridades o entidades públicas. Por ejemplo, en Perú, el registrar nuestras emisiones de GEI en la plataforma Huella de Carbono Perú, herramienta oficial del MINAM, permitió que UNACEM Perú se convierta en la primera cementera peruana en obtener el primer nivel de reconocimiento en dicha herramienta.

Mientras que, en Ecuador, participamos del proyecto de compensación del Programa Ecuador Carbono Cero, que cuantificará la huella de carbono por producto de los diferentes tipos de cemento que comercializa la empresa. 

Celepsa, por su lado, constituyó el Patronato de la Reserva Paisajística Nor Yauyos Cochas, para preservar los ecosistemas paisajísticos de la zona.  

Las start-ups dedicadas a la producción de cemento verde también ganan peso en el mundo de la inversión. ¿Qué oportunidades de colaboración existen con empresas emergentes? ¿Cómo pueden estas alianzas ayudar a acelerar e incorporar la innovación al sector?

Las start-ups de construcción en general están apostando por revolucionar el sector, introduciendo nuevas tecnologías, transformando los procesos de la industria y rompiendo esquemas tradicionales. Estas van desde generar automáticamente los planos en 3D de un edificio completo hasta tecnologías que capturan el CO₂ de cenizas volantes y escorias para transformarlas en material reactivo necesario para la fabricación de cemento que cumpla con los requisitos más estrictos de la industria.

Consideramos que las colaboraciones entre start-ups y empresas líderes deben afianzarse para seguir impulsando la adopción de nuevas tecnologías y prácticas sostenibles, lo que supone una contribución significativa a la descarbonización, posible reducción de costos económicos y sociales, así como la reducción del impacto ambiental del sector.

Fuente: www.technologyreview.es

 

Fortalecer el eslabón más débil: Concienciación sobre seguridad para empleados

by morfil Noticias

ESET, compañía de seguridad informática, advierte sobre aquellas señales de alerta para cuidar los datos personales y cuentas bancarias.

Ecuador – Se destaca que a medida que el trabajo remoto es cada vez más común, las líneas entre ser un usuario hogareño y uno corporativo se hacen difusas y los riesgos de compromiso nunca han sido tan agudos. Según Verizon, tres cuartas partes (74%) de todas las violaciones de acceso globales del año pasado incluyen el «elemento humano», que en muchos casos significa error, negligencia o usuarios que caen víctimas del phishing y la ingeniería social.

“El conocimiento es un arma poderosa que puede convertir a los colaboradores de una organización en la primera línea de defensa contra las amenazas. Para construir un entorno corporativo más ciberseguro, los equipos responsables de TI deberían incorporar a sus programas de concienciación sobre seguridad para asegurarse de que se está haciendo frente a las ciberamenazas de hoy y de mañana, no a los riesgos del pasado.”, comparte Camilo Gutiérrez Amaya, Jefe del laboratorio de Investigación de ESET Latinoamérica.

Los programas de formación y concienciación en materia de seguridad son una forma fundamental de mitigar estos riesgos. Desde ESET aseguran que no hay un camino rápido y fácil hacia el éxito, de hecho, lo que hay que buscar no es tanto la formación o la concienciación, ya que ambas pueden olvidarse con el tiempo, sino que se trata de cambiar los comportamientos de los usuarios a largo plazo.

“La recomendación es ejecutar programas de forma continua, para tener siempre presente lo aprendido y asegurarse de que nadie se quede al margen, lo que significa incluir a trabajadores y trabajadoras temporales, contratistas y el equipo de ejecutivo; cualquiera puede ser un objetivo, y basta un solo error para abrir la puerta de una organización a una amenaza. Es importante organizar sesiones de aprendizaje breves para que los mensajes calen mejor y, siempre que sea posible, incluir ejercicios de simulación o gamificación que sirvan de práctica ante una amenaza concreta.”, agregan desde ESET.

Las lecciones pueden personalizarse para funciones y sectores específicos, a fin de hacerlas más pertinentes para el individuo. Y las técnicas de gamificación pueden ser un complemento útil para hacer que la formación sea más sólida y atractiva.

Desde ESET aconsejan incluir en los programas los siguientes temas:

1) BEC y phishing: El fraude por correo electrónico comercial (BEC), que aprovecha los mensajes de phishing dirigidos, sigue siendo una de las categorías de ciberdelincuencia con mayores ganancias. En los casos notificados al FBI el año pasado, las víctimas perdieron más de 2.700 millones de dólares. Se trata de un delito basado fundamentalmente en la ingeniería social, normalmente engañando a la víctima para que apruebe una transferencia de fondos corporativos a una cuenta bajo el control del estafador. Existen varios métodos utilizados, como hacerse pasar por un directivo general o un proveedor, que pueden integrarse perfectamente en ejercicios de concienciación sobre el phishing. 

El phishing sigue siendo uno de los principales vectores de acceso inicial a las redes corporativas. Gracias a la distracción de los trabajadores remotos, los criminales tienen aún más posibilidades de lograr sus objetivos y sus tácticas están cambiando. Los ejercicios de concienciación sobre el phishing deben actualizarse en consecuencia y las simulaciones en vivo pueden ayudar realmente a cambiar los comportamientos de los usuarios.

Para 2024, desde ESET recomiendan considerar incluir contenidos que concienticen sobre phishing a través de aplicaciones de texto o mensajería (smishing), llamadas de voz (vishing) y nuevas técnicas como la omisión de la autenticación multifactor (MFA). Las tácticas específicas de ingeniería social cambian con mucha frecuencia, por lo que es una buena idea asociarse con un proveedor de cursos de formación que mantenga actualizado el contenido.

2) Seguridad en el trabajo remoto e híbrido: Los expertos llevan tiempo advirtiendo de que los empleados son más propensos a ignorar las directrices/políticas de seguridad, o simplemente a olvidarlas, cuando trabajan desde casa. Un estudio reveló que el 80% de los trabajadores admiten que trabajar desde casa los viernes en verano les hace estar más relajados y distraídos, por ejemplo. Esto puede exponer a un mayor riesgo de peligro, especialmente cuando las redes y dispositivos domésticos pueden estar peor protegidos que los equivalentes corporativos. Ahí es donde deben intervenir los programas de formación con consejos sobre actualizaciones de seguridad para portátiles, gestión de contraseñas y uso exclusivo de dispositivos aprobados por la empresa. Esto debería ir acompañado de formación sobre phishing.

Además, el trabajo híbrido se ha convertido en la norma para muchas empresas. Según un estudio, el 53% de ellas cuenta ya con una política al respecto, y esta cifra seguramente irá en aumento. Sin embargo, desplazarse a la oficina o trabajar desde un lugar público tiene sus riesgos. Uno de ellos son las amenazas de los puntos de acceso Wi-Fi públicos, que pueden exponer a los trabajadores móviles a ataques de intermediario (AitM), en los que los piratas informáticos acceden a una red y espían los datos que viajan entre los dispositivos conectados y el router. Otro de los riesgos son las amenazas de los «gemelos malvados», en los que los delincuentes crean un punto de acceso Wi-Fi duplicado que se hace pasar por uno legítimo en una ubicación específica. También existen riesgos menos “tecnológicos”. Las sesiones de formación pueden ser una buena oportunidad para recordar a los empleados los peligros de la navegación clandestina.

3) Protección de datos: Las multas del GDPR aumentaron un 168% anual hasta superar los 2.900 millones de euros (3.100 millones de dólares) en 2022, ya que los reguladores tomaron medidas enérgicas contra el incumplimiento. Esto supone un argumento de peso para que las organizaciones se aseguren de que su personal sigue correctamente las políticas de protección de datos.

Según ESET, la formación periódica es una de las mejores formas de tener presentes las buenas prácticas en el tratamiento de datos. Esto implica el uso de un cifrado seguro, una buena gestión de las contraseñas, el mantenimiento de la seguridad de los dispositivos y la notificación inmediata de cualquier incidente al contacto pertinente.

El personal también puede beneficiarse de una actualización en el uso de la copia oculta (CCO), un error común que conduce a fugas involuntarias de datos de correo electrónico, y otra formación técnica. Además, se debería considerar si lo que se publica en las redes sociales debe mantenerse confidencial.


“Los cursos de formación y concienciación son una parte fundamental de cualquier estrategia de seguridad. Pero no pueden funcionar de forma aislada. Las organizaciones también deben contar con políticas de seguridad herméticas aplicadas con controles y herramientas sólidas, como la gestión de dispositivos móviles. «Personas, procesos y tecnología» es el mantra que ayudará a construir una cultura corporativa más cibersegura.”, concluye Gutierrez Amaya, de ESET Latinoamérica.

Fuente: Departamento de Comunicación ESET Ecuador

Así estafan a los nuevos empleados

by morfil Noticias

Los estafadores están usando la ingeniería social para engañar a los empleados recién incorporados que buscan la rápida aprobación de sus supervisores.

Los primeros días en un nuevo trabajo suelen ser un sin parar de reuniones, formaciones, sesiones de onboarding, etc. Mucho lío, por lo que es normal que acabes perdido entre tanta actividad. A su vez, hay ciertos “rituales” por los que pasan muchas contrataciones hoy en día: una de ellas es la publicación en redes sociales (normalmente en LinkedIn, aunque también en otras) de las últimas incorporaciones. Así es cómo muchas empresas anuncian y reciben cálidamente a un nuevo miembro en el equipo, y ahí es cuando el empleado recién incorporado atrae la atención de los estafadores.

Como norma general, en estas publicaciones de redes sociales se comparte tanto el nombre del empleado y la compañía, como el cargo; información suficiente para identificar a su nuevo director, a través de la misma red social o el sitio web corporativo. Con los nombres, ya puedes encontrar o descubrir sus direcciones de correo electrónico. En primer lugar, hay muchas herramientas de búsqueda de correos para ayudarte con esta tarea y, en segundo lugar, muchas empresas suelen utilizar el nombre o el apellido del empleado como nombre de usuario de correo electrónico, por lo que ya solo haría falta comprobar qué sistema está en uso para poder calcular la dirección. Y una vez que el ciberdelincuente se ha hecho con tu correo electrónico, es el momento de la ingeniería social.

Primera tarea: transferir dinero a los estafadores

Durante los primeros días en un nuevo trabajo el empleado todavía no está a la altura de las circunstancias, aunque intenta aparentarlo frente a sus compañeros y superiores, algo que podría hacer disminuir su vigilancia: lleva a cabo cada tarea rápidamente sin pararse a pensar de dónde viene, si suena razonable o, incluso, si se trata realmente de su empresa. Alguien quiere el trabajo hecho, y eso hará. Esto pasa sobre todo cuando la orden viene de su superior directo o, incluso, de alguno de los fundadores de la empresa.

Los estafadores explotan esta faceta para engañar a los empleados. Envían un correo electrónico supuestamente de parte del jefe o de algún superior, pero usando una dirección de fuera de la compañía, en el que solicitan al empleado que haga una tarea “de inmediato”. Evidentemente, el novato está encantado de ayudar. Esta tarea puede consistir en la transferencia de fondos a un proveedor o la compra de vales de regalo de cierta cantidad. El mensaje deja claro que la “rapidez es esencial” y que se le “devolverá el dinero al final de la jornada”, ¿cómo no? Además, los estafadores resaltan la urgencia del asunto para que el empleado no tenga tiempo de pensarlo o comprobarlo con otra persona.

El jefe tiene cierto aire de autoridad y el empleado quiere ser de utilidad. Por ello, no se detienen a buscar lógica de la solicitud o a por qué le han podido elegir a él en concreto para esta tarea. La víctima transfiere el dinero a la cuenta en específico sin dudar y avisa a su “jefe” respondiendo a la misma dirección de correo electrónico, de nuevo sin detectar que el nombre de dominio parece sospechoso.

El estafador sigue jugando a ser el jefe: solicita la documentación que confirma la transición y, después de recibirla, elogia al empleado e informa de que reenviará estos documentos al solicitante, añadiendo una sensación de legitimidad. Para terminar de conceder a esta interacción una apariencia laboral normal y corriente, los atacantes también afirman que se pondrán en contacto de nuevo si necesitan algo más del (desdichado) empleado.

No es hasta después de cierto tiempo cuando el empleado comienza a preguntarse por qué le habrán asignado esta tarea, detecta que el e-mail no es corporativo o menciona el incidente en una conversación con el jefe real. Y ahí es cuando la triste verdad sale a la luz: todo ha sido una estafa.

Circunstancias agravantes

Como cualquier otra estafa corporativa, esta estrategia se ha beneficiado del movimiento masivo que sufrieron las empresas de la oficina al teletrabajo. Incluso las pequeñas empresas han comenzado a contratar empleados de todo el mundo, lo que implica que muchos empleados no solo no conozcan a su jefe, sino que ni siquiera sepan cómo es ni cómo se expresa. Por otro lado, aunque quisieran, tampoco pueden consultar con un compañero si la tarea es o no real.

Además, si el supervisor y la mayoría del resto de empleados trabajan en países diferentes, la solicitud de una transferencia monetaria a alguien de tu región podría parecer verosímil. Las transferencias bancarias nacionales siempre son más sencillas y rápidas que las internacionales, lo que puede aportar normalidad a la estafa.

Por último, las pequeñas empresas, que parecen ser objetivos comunes, suelen contar con procedimientos financieros menos formales, sin tener que completar formularios ni directores financieros: simplemente envíalo ahora de tu dinero, te lo devolveremos en seguida. Este es otro factor que imparte legitimidad a los correos electrónicos de estafa.

Cómo pueden los empleados evitar la trampa

Lo más importante para un nuevo empleado es no perder la cabeza a la hora de intentar mostrarse al servicio de la compañía.

  • Es importante comprobar minuciosamente las direcciones de los mensajes que recibes por correo electrónico o mensajero. Si no te resulta familiar, es el momento de estar alerta.
  • No dudes en preguntar a tus compañeros si este tipo de solicitud es normal. Si parece raro, es mejor preguntar que lamentarse luego.
  • Si recibes una solicitud inusual aparentemente desde dentro de la compañía, aclara los detalles con el remitente mediante un canal de comunicación diferente. ¿Te ha pedido tu jefe que compres vales de regalo en un correo electrónico? Compruébalo con él directamente desde un mensajero.

Cómo pueden proteger las empresas a sus empleados

Lo más importante por parte de la empresa es configurar correctamente el servidor de correo electrónico de la compañía, que puede adaptarse para que señale los correos que no procedan de direcciones corporativas. Por ejemplo, Google Workspace, herramienta popular entre las empresas, etiqueta estos mensajes como externos por defecto. Y, cuando intentas responderlos, te advierte claramente: “Cuidado con el intercambio de información sensible”. Estas notificaciones ayudan a los empleados a saber si están hablando con un compañero de la empresa o no. Además, te recomendamos:

  • Impartir formaciones en materia de seguridad de la información a los empleados desde el primer día. La sesión debería introducir el concepto del phishing, en caso de que sea algo nuevo para ellos, además de aportar una serie de instrucciones sobre qué prácticas están en uso en la empresa y cuáles no.
  • Crear una guía de la seguridad de la información para nuevos empleados con reglas básicas y precauciones contra las amenazas más importantes. Para ayudarte a crear, puedes echar un vistazo nuestra publicación en la que compartimos la información más revelante.
  • Impartir formaciones periódicas para concienciar a tus empleados en seguridad; puedes hacerlo, por ejemplo, con una plataforma online especializada.

Fuente: latam.kaspersky.com

El colapso de Silicon Valley Bank, el «banco de las startups», ha provocado un terremoto financiero: qué esperar ahora

by morfil Noticias

 

Terremoto financiero en la meca tecnológica. Y de una sismicidad tal que ya ha llevado a algunos analistas a remontarse a 2008, a la caída de Washington Mutual, para encontrar símiles. Silicon Valley Bank, uno de los mayores bancos de EEUU y más concretamente de Silicon Valley, ha colapsado. Su situación ha llegado a ser tan crítica que los reguladores han optado por cerrarlo y designar un organismo que se encargará de la administración y la devolución de fondos.

El alcance de la quiebra y la fuerza con la que se ha sentido entre las startups tecnológicas y los mercados globales empieza a concretarse poco a poco.

¿Qué es el Silicon Valley Bank (SVB)? Quizás su nombre no sea muy conocido entre el gran público, al menos a este lado del Atlántico, pero el SVB es (era) una pieza destacada en el esquema financiero estadounidense, especialmente entre las startups. Al cierre de 2022 sumaba cerca de 209.000 millones de dólares en activos totales y 175.400 millones en depósitos, datos que —detalla Reuters— lo convertían en el decimosexto prestamista más grande de EEUU.

El Silicon Valley Bank —subsidiaria del SVB Financial Group— jugaba un papel importante para las empresas de capital riesgo y la financiación de las startups, compañías emergentes que intentan abrirse camino en el sector tecnológico. Para entender su peso y, sobre todo, el arraigo en la industria llega con observar la tremenda «sismicidad» que ha generado su colapso en cuestión de horas.

¿Qué le ha pasado? Que, muy a su pesar, el viernes Silicon Valley Ban escribió uno de los capítulo más aciagos de la crónica financiera estadounidense reciente: protagonizó la mayor quiebra bancaria desde la crisis de 2008. Y como a grandes tamaños, grandes caídas, el episodio ha sacudido los mercados a escala global y varado miles de millones de dólares de empresas e inversores, con las posibles consecuencias que eso puede acarrear a su vez en el pago de nóminas.

En un escenario marcado por el aumento de las tasas de interés de la FED y el agotamiento de la financiación de capital riesgo, SVB se topó con que los depósitos caían más rápido de lo previsto. En un intento por recaudar capital y compensar la fuga, el miércoles la entidad vendió una cartera de bonos de 21.000 millones de dólares —sobre todo bonos del Tesoro— y anunció otra operación de unos 2.250 millones en acciones. El objetivo: llenar su agujero de financiación. El banco californiano acabó perdiendo sin embargo cerca de 1.800 millones.

Entre pérdidas de valor y reguladores. A algunos inversores el anuncio —confiesa un capitalista de riesgo a la CNBC— les recordó lo ocurrido con Lehman Brothers. «Por desgracia repitieron viejos errores y cualquiera que haya vivido ese episodio dijo: ‘Oye, quizás no estén bien; ya nos lo dijeron la última vez'». A pesar de los intentos del SVB por calmar los ánimos, la entidad afrontó una alarmante pérdida de valor: el jueves sus acciones se precipitaron alrededor de un 60% y, al temerse otra sangría similar, el Nasdaq suspendió su cotización el viernes.

El siguiente capítulo de la crónica del SVB lo escribió la Corporación Federal de Seguros de Depósito (FDIC), que ayer emitió un comunicado anunciando que el Departamento de Innovación y Protección Financiera de California había cerrado el banco. Su síndico será la propia FDIC, que ya ha movido ficha para proteger los depósitos asegurados. Quienes estén cubiertos podrán acceder a sus fondos a más tardar el 13 de marzo por la mañana. Los que no lo estén cobrarán un anticipo la próxima semana y recibirán un certificado oficial por la cantidad restante.

Y ahora… ¿Qué podemos esperar? Reuters asegura que el 89% de los 175.000 millones de dólares en depósitos del banco no estaban asegurados al cierre del año pasado y que la FDIC busca otra entidad dispuesta a fusionarse con el banco para salvaguardar los fondos. De momento —precisa la agencia de noticias— no hay ningún garantías de pacto. La matriz de la entidad estaría moviéndose además para encontrar compradores para otros activos, como el SVB Securities.

Donde ya se deja sentir el efecto de la quiebra es en la banca. Las bolsas se han teñido de rojo, lastradas por un miedo y nerviosismo que ha pesado en las acciones de grandes bancos y deja botando la pregunta de cómo evolucionará el escenario o si hay un riesgo sistémico. «Podría haber un baño de sangre la próxima semana ya que los vendedores en corto están ahí fuera y van a atacar a todos y cada uno de los bancos, sobre todo a los más pequeños», comentan a Reuters en Whalen G. A.

Algunos casos concretos. Pese a que hace unas horas del colapso y el movimiento de ficha del FDIC, el episodio del SVB deja ya unos cuantos casos interesantes y que, sobre todo, dan una idea del alcance del banco. Según Variety, la empresa de streaming Roku tendría en la entidad financiera casi 500 millones de dólares, lo que equivaldría a alrededor de una cuarta parte de su efectivo. La compañía no sabe cuánto podrá recuperar. En las últimas horas Garry Tan, dejaba otra pincelada en su perfil de Twitter: «El 30% de las empresas de YC expuestas a través de SVB no pueden hacer frente a las nóminas en los próximos 30 días».

No es un caso único. No. Bloomberg se hacía eco ayer de cómo hay ya fundadores de startups que empiezan a preocuparse por si podrán abonar sus nóminas tras la quiebra. En el peor de los escenarios, hay empresarios que temen que «decenas de miles de personas» no puedan recibir su pago la próxima semana.

Otra de las startup consultadas por el medio económico y que operaba con SVB optó por descartar sus planes de despido porque, sencillamente, ya no dispone de capital para hacer frente a las indemnizaciones. Las hay que valorarían despidos o suspensiones. El exsecretario del Tesoro, Larry Summers, ya ha advertido de «consecuencias sustanciales para Silicon Valley y la economía del sector».

 

Las aguas bajan agitadas. Muy agitadas. La de SVB no es la única mala noticia financiera del sector tecnológico que deja la semana. Hace días Silvergate anunciaba su cierre voluntario al no haber logrado superar el mazazo que supuso la caída de FTX. La entidad se había lanzado a finales de los años 80, centrada en los préstamos, pero hace una década empezó a experimentar un cambio radical gracias a las criptomonedas. En 2021 su valor de mercado llegó a rozar los 6.000 millones de dólares y sumaba 11.900 millones en activos digitales depositados.

Sus acciones se habían desplomado 97% desde que alcanzaron sus máximos niveles, hace dos años. Para cumplir con las retiradas de fondos en 2022 la entidad tuvo que asumir unas pérdidas de casi mil millones. «Como banco elegido para las criptomonedas, el fracaso de Silvergate Bank es decepcionante, pero predecible», reflexionaba hace poco la senadora Elizabeth Warren. Ayer el bitcoin se situaba bajo la barrera de los 20.000 dólares por primera vez en dos meses.

Fuente: www.xataka.com