Protección de los sistemas informáticos contra la divulgación, el robo o los daños de la información
Un ejemplo de medida de seguridad física: un candado de metal en la parte posterior de una computadora personal para evitar la manipulación del hardware.
La seguridad informática (también ciberseguridad , seguridad digital o seguridad de las tecnologías de la información (TI) ) es la protección del software , los sistemas y las redes informáticas contra amenazas que pueden provocar la divulgación no autorizada de información, el robo o daños al hardware , el software o los datos , así como la interrupción o el desvío de los servicios que prestan. [1] [2]
Una vulnerabilidad se refiere a un fallo en la estructura, ejecución, funcionamiento o supervisión interna de una computadora o sistema que compromete su seguridad. La mayoría de las vulnerabilidades que se han descubierto están documentadas en la base de datos de vulnerabilidades y exposiciones comunes (CVE). [6] Una vulnerabilidad explotable es aquella para la que existe al menos un ataque o exploit funcional . [7] Los actores que buscan vulnerabilidades de forma maliciosa se conocen como amenazas . Las vulnerabilidades se pueden investigar, aplicar ingeniería inversa, buscar o explotar utilizando herramientas automatizadas o scripts personalizados. [8] [9]
Distintas personas o grupos son vulnerables a los ataques cibernéticos; sin embargo, es probable que distintos grupos experimenten distintos tipos de ataques más que otros. [10]
En abril de 2023, el Departamento de Ciencia, Innovación y Tecnología del Reino Unido publicó un informe sobre los ciberataques de los últimos 12 meses. [11] Encuestaron a 2263 empresas del Reino Unido, 1174 organizaciones benéficas registradas en el Reino Unido y 554 instituciones educativas. La investigación descubrió que "el 32% de las empresas y el 24% de las organizaciones benéficas en general recuerdan alguna infracción o ataque de los últimos 12 meses". Estas cifras fueron mucho más altas para "las empresas medianas (59%), las grandes empresas (69%) y las organizaciones benéficas de altos ingresos con £500.000 o más en ingresos anuales (56%)". [11] Sin embargo, aunque las empresas medianas o grandes son las víctimas con mayor frecuencia, dado que las empresas más grandes generalmente han mejorado su seguridad durante la última década, las pequeñas y medianas empresas (PYME) también se han vuelto cada vez más vulnerables, ya que a menudo "no tienen herramientas avanzadas para defender el negocio". [10] Las PYMES tienen más probabilidades de verse afectadas por malware, ransomware, phishing, ataques de intermediario y ataques de denegación de servicio (DoS). [10]
Los usuarios normales de Internet son los más propensos a verse afectados por ciberataques no dirigidos. [12] En estos casos, los atacantes atacan indiscriminadamente tantos dispositivos, servicios o usuarios como sea posible. Para ello, utilizan técnicas que aprovechan la apertura de Internet. Estas estrategias incluyen principalmente phishing , ransomware , waterholing y escaneo. [12]
Para proteger un sistema informático, es importante comprender los ataques que pueden sufrir, y estas amenazas normalmente pueden clasificarse en una de las siguientes categorías:
Puerta trasera
Una puerta trasera en un sistema informático, un criptosistema o un algoritmo es cualquier método secreto para eludir los controles normales de autenticación o seguridad. Estas debilidades pueden existir por muchas razones, incluido el diseño original o una configuración deficiente. [13] Debido a la naturaleza de las puertas traseras, son de mayor preocupación para las empresas y las bases de datos que para los individuos.
Las puertas traseras pueden ser añadidas por una parte autorizada para permitir un acceso legítimo o por un atacante con fines maliciosos. Los delincuentes suelen utilizar malware para instalar puertas traseras, lo que les otorga acceso administrativo remoto a un sistema. [14] Una vez que tienen acceso, los ciberdelincuentes pueden "modificar archivos, robar información personal, instalar software no deseado e incluso tomar el control de todo el equipo". [14]
Las puertas traseras pueden ser muy difíciles de detectar y generalmente las descubre alguien que tiene acceso al código fuente de la aplicación o un conocimiento profundo del sistema operativo de la computadora.
Ataque de denegación de servicio
Los ataques de denegación de servicio (DoS) están diseñados para hacer que una máquina o un recurso de red no esté disponible para sus usuarios previstos. [15] Los atacantes pueden denegar el servicio a víctimas individuales, por ejemplo, introduciendo deliberadamente una contraseña incorrecta suficientes veces consecutivas para provocar el bloqueo de la cuenta de la víctima, o pueden sobrecargar las capacidades de una máquina o red y bloquear a todos los usuarios a la vez. Si bien un ataque de red desde una única dirección IP se puede bloquear añadiendo una nueva regla de cortafuegos, son posibles muchas formas de ataques de denegación de servicio distribuido (DDoS), en los que el ataque procede de una gran cantidad de puntos. En este caso, la defensa contra estos ataques es mucho más difícil. Dichos ataques pueden originarse en los ordenadores zombi de una botnet o en una serie de otras técnicas posibles, incluida la denegación de servicio distribuida y reflexiva (DRDoS), en la que se engaña a sistemas inocentes para que envíen tráfico a la víctima. [15] Con estos ataques, el factor de amplificación hace que el ataque sea más fácil para el atacante porque tiene que utilizar poco ancho de banda. Para comprender por qué los atacantes pueden llevar a cabo estos ataques, consulte la sección "Motivación del atacante".
Ataques de acceso directo
Un ataque de acceso directo es cuando un usuario no autorizado (un atacante) obtiene acceso físico a una computadora, muy probablemente para copiar datos directamente de ella o robar información. [16] Los atacantes también pueden comprometer la seguridad al realizar modificaciones del sistema operativo, instalar gusanos de software , registradores de pulsaciones de teclas , dispositivos de escucha encubiertos o usar micrófonos inalámbricos. Incluso cuando el sistema está protegido por medidas de seguridad estándar, estas pueden eludirse iniciando otro sistema operativo o herramienta desde un CD-ROM u otro medio de arranque. El cifrado de disco y el estándar Trusted Platform Module están diseñados para prevenir estos ataques.
Los atacantes de servicio directo están relacionados conceptualmente con los ataques de memoria directa , que permiten a un atacante obtener acceso directo a la memoria de una computadora. [17] Los ataques "aprovechan una característica de las computadoras modernas que permite que ciertos dispositivos, como discos duros externos, tarjetas gráficas o tarjetas de red, accedan directamente a la memoria de la computadora". [17]
Escuchas clandestinas
La escucha clandestina es el acto de escuchar subrepticiamente una conversación (comunicación) privada de una computadora, generalmente entre hosts en una red. Generalmente ocurre cuando un usuario se conecta a una red donde el tráfico no está protegido ni encriptado y envía datos comerciales confidenciales a un colega, que, al ser escuchados por un atacante, podrían ser explotados. [18] Los datos transmitidos a través de una "red abierta" permiten a un atacante explotar una vulnerabilidad e interceptarlos a través de varios métodos.
A diferencia del malware , los ataques de acceso directo u otras formas de ataques cibernéticos, es poco probable que los ataques de espionaje afecten negativamente el rendimiento de las redes o los dispositivos, lo que hace que sea difícil detectarlos. [18] De hecho, "el atacante no necesita tener ninguna conexión continua con el software. El atacante puede insertar el software en un dispositivo comprometido, tal vez mediante inserción directa o tal vez mediante un virus u otro malware, y luego regresar algún tiempo después para recuperar los datos que encuentre o hacer que el software envíe los datos en un momento determinado". [19]
El uso de una red privada virtual (VPN), que cifra los datos entre dos puntos, es una de las formas más comunes de protección contra las escuchas clandestinas. La mejor práctica es utilizar la mejor forma de cifrado posible para las redes inalámbricas, así como utilizar HTTPS en lugar de un HTTP sin cifrar . [20]
El FBI y la NSA han utilizado programas como Carnivore y NarusInSight para espiar los sistemas de los proveedores de servicios de Internet . Incluso las máquinas que funcionan como un sistema cerrado (es decir, sin contacto con el mundo exterior) pueden ser espiadas mediante el monitoreo de las débiles transmisiones electromagnéticas generadas por el hardware. TEMPEST es una especificación de la NSA que hace referencia a estos ataques.
Software malicioso
El software malicioso ( malware ) es cualquier código de software o programa informático "escrito intencionalmente para dañar un sistema informático o sus usuarios". [21] Una vez presente en una computadora, puede filtrar detalles confidenciales como información personal, información comercial y contraseñas, puede dar el control del sistema al atacante y puede corromper o eliminar datos de forma permanente. [22] Otro tipo de malware es el ransomware , que es cuando "el malware se instala en la máquina de una víctima, encripta sus archivos y luego se da vuelta y exige un rescate (generalmente en Bitcoin ) para devolver esos datos al usuario". [23]
Los tipos de malware incluyen algunos de los siguientes:
Los virus son un tipo específico de malware y normalmente son códigos maliciosos que secuestran software con la intención de "causar daño y difundir copias de sí mismos". Las copias se realizan con el objetivo de propagarse a otros programas en un ordenador. [21]
Los gusanos son similares a los virus, pero estos solo pueden funcionar cuando un usuario ejecuta (abre) un programa infectado. Los gusanos son malware autorreplicante que se propaga entre programas, aplicaciones y dispositivos sin necesidad de interacción humana. [21]
Los troyanos son programas que simulan ser útiles o se esconden dentro de software deseado o legítimo para "engañar a los usuarios para que los instalen". Una vez instalados, un RAT (troyano de acceso remoto) puede crear una puerta trasera secreta en el dispositivo afectado para causar daños. [21]
El spyware es un tipo de malware que recopila información secreta de un equipo infectado y transmite la información confidencial al atacante. Una de las formas más comunes de spyware son los keyloggers , que registran todas las entradas y pulsaciones de teclas del usuario para "permitir a los piratas informáticos recopilar nombres de usuario, contraseñas, números de cuentas bancarias y de tarjetas de crédito". [21]
Scareware , como su nombre lo indica, es una forma de malware que utiliza ingeniería social (manipulación) para asustar, causar conmoción , provocar ansiedad o sugerir la percepción de una amenaza con el fin de manipular a los usuarios para que compren o instalen software no deseado . Estos ataques suelen comenzar con una "ventana emergente repentina con un mensaje urgente, que generalmente advierte al usuario de que ha infringido la ley o que su dispositivo tiene un virus". [21]
Ataques de intermediarios
Los ataques de intermediario (MITM) implican que un atacante malintencionado intente interceptar, vigilar o modificar las comunicaciones entre dos partes falsificando la identidad de una o ambas partes e inyectándose en el medio. [24] Los tipos de ataques MITM incluyen:
La suplantación de direcciones IP es cuando el atacante secuestra protocolos de enrutamiento para redirigir el tráfico de destino a un nodo de red vulnerable para interceptar o inyectar tráfico.
La suplantación de mensajes (a través de correo electrónico, SMS o mensajería OTT) consiste en que el atacante suplanta la identidad o el servicio del operador mientras el objetivo utiliza protocolos de mensajería como correo electrónico, SMS o aplicaciones de mensajería OTT (basadas en IP). El atacante puede entonces monitorear conversaciones, lanzar ataques sociales o activar vulnerabilidades de día cero para permitir más ataques.
La suplantación de SSID de WiFi consiste en que el atacante simula el SSID de una estación base de WiFi para capturar y modificar el tráfico y las transacciones de Internet. El atacante también puede utilizar el direccionamiento de red local y las defensas de red reducidas para penetrar el cortafuegos del objetivo mediante la violación de vulnerabilidades conocidas. A veces se lo conoce como ataque Pineapple gracias a un dispositivo popular. Véase también Asociación maliciosa .
La suplantación de DNS es cuando los atacantes secuestran las asignaciones de nombres de dominio para redirigir el tráfico a sistemas bajo el control de los atacantes, con el fin de vigilar el tráfico o lanzar otros ataques.
El secuestro de SSL, normalmente acompañado de otro ataque MITM a nivel de medios, consiste en que el atacante suplanta el protocolo de autenticación y cifrado SSL mediante la inyección de una autoridad de certificación para descifrar, vigilar y modificar el tráfico. Véase también Interceptación de TLS [24]
Ataques polimórficos multivectoriales
En 2017 surgió una nueva clase de ciberamenazas multivectoriales [25] polimórficas [26] que combinan varios tipos de ataques y cambian de forma para evitar los controles de ciberseguridad a medida que se propagan.
Los ataques polimórficos multivectoriales, como su nombre lo describe, son a la vez multivectoriales y polimórficos. [27] En primer lugar, son un ataque singular que implica múltiples métodos de ataque. En este sentido, son “multivectoriales (es decir, el ataque puede utilizar múltiples medios de propagación, como la Web, el correo electrónico y las aplicaciones”). Sin embargo, también son multietapa, lo que significa que “pueden infiltrarse en las redes y moverse lateralmente dentro de ellas”. [27] Los ataques pueden ser polimórficos, lo que significa que los ciberataques utilizados, como virus, gusanos o troyanos, “cambian constantemente (“se transforman”), lo que hace casi imposible detectarlos utilizando defensas basadas en firmas”. [27]
Suplantación de identidad (phishing)
Ejemplo de un correo electrónico de phishing, camuflado como correo electrónico oficial de un banco (ficticio). El remitente intenta engañar al destinatario para que revele información confidencial confirmándola en el sitio web del estafador. Observe la falta de ortografía de las palabras received y discrepancy como rec ie ved y discrep e ncy, respectivamente. Aunque la URL de la página web del banco parece ser legítima, el hipervínculo apunta a la página web del estafador.
El phishing es el intento de adquirir información confidencial, como nombres de usuario, contraseñas y detalles de tarjetas de crédito, directamente de los usuarios mediante engaños. [28] El phishing generalmente se lleva a cabo mediante suplantación de correo electrónico , mensajería instantánea , mensajes de texto o una llamada telefónica . A menudo, indican a los usuarios que ingresen detalles en un sitio web falso cuya apariencia es casi idéntica a la del legítimo. [29] El sitio web falso a menudo solicita información personal, como detalles de inicio de sesión y contraseñas. Esta información luego se puede utilizar para obtener acceso a la cuenta real del individuo en el sitio web real.
El phishing, que se aprovecha de la confianza de la víctima, puede clasificarse como una forma de ingeniería social . Los atacantes pueden utilizar formas creativas de obtener acceso a cuentas reales. Una estafa común es que los atacantes envíen facturas electrónicas falsas [30] a personas que muestran que recientemente compraron música, aplicaciones u otros productos, y les piden que hagan clic en un enlace si las compras no fueron autorizadas. Un tipo de phishing más estratégico es el spear-phishing, que aprovecha los datos personales o específicos de la organización para hacer que el atacante parezca una fuente confiable. Los ataques de spear-phishing se dirigen a personas específicas, en lugar de a la amplia red que abarcan los intentos de phishing. [31]
Escalada de privilegios
La escalada de privilegios describe una situación en la que un atacante con cierto nivel de acceso restringido puede, sin autorización, elevar sus privilegios o nivel de acceso. [32] Por ejemplo, un usuario de computadora estándar puede explotar una vulnerabilidad en el sistema para obtener acceso a datos restringidos; o incluso convertirse en root y tener acceso total sin restricciones a un sistema. La gravedad de los ataques puede variar desde ataques que simplemente envían un correo electrónico no solicitado hasta un ataque de ransomware a grandes cantidades de datos. La escalada de privilegios generalmente comienza con técnicas de ingeniería social , a menudo phishing . [32]
La escalada de privilegios se puede dividir en dos estrategias: escalada de privilegios horizontal y vertical:
La escalada horizontal (o apropiación de cuenta) es cuando un atacante obtiene acceso a una cuenta de usuario normal que tiene privilegios de nivel relativamente bajo. Esto puede hacerse robando el nombre de usuario y la contraseña del usuario. Una vez que tiene acceso, ha ganado un “punto de apoyo” y, al utilizarlo, el atacante puede moverse por la red de usuarios en este mismo nivel inferior, obteniendo acceso a información de este privilegio similar. [32]
Sin embargo, la escalada vertical se dirige a personas de mayor rango en la empresa y, a menudo, con más poder administrativo, como un empleado de TI con un mayor privilegio. El uso de esta cuenta privilegiada permitirá al atacante invadir otras cuentas. [32]
Ataque de canal lateral
Cualquier sistema computacional afecta a su entorno de alguna forma. Este efecto puede ir desde la radiación electromagnética hasta el efecto residual en las celdas de RAM que, como consecuencia, hacen posible un ataque de arranque en frío , pasando por fallos en la implementación del hardware que permiten el acceso o la adivinación de otros valores que normalmente deberían ser inaccesibles. En los escenarios de ataque de canal lateral, el atacante recopilaría dicha información sobre un sistema o red para adivinar su estado interno y, como resultado, acceder a la información que la víctima supone que es segura.
Ingeniería social
La ingeniería social , en el contexto de la seguridad informática, tiene como objetivo convencer a un usuario para que revele secretos como contraseñas, números de tarjetas, etc. o conceda acceso físico, por ejemplo, haciéndose pasar por un alto ejecutivo, un banco, un contratista o un cliente. [33] Esto generalmente implica explotar la confianza de las personas y confiar en sus sesgos cognitivos . Una estafa común implica correos electrónicos enviados al personal del departamento de contabilidad y finanzas, haciéndose pasar por su director ejecutivo y solicitando urgentemente alguna acción. Una de las principales técnicas de ingeniería social son los ataques de phishing .
A principios de 2016, el FBI informó que este tipo de estafas de compromiso de correo electrónico empresarial (BEC) habían costado a las empresas estadounidenses más de 2 mil millones de dólares en aproximadamente dos años. [34]
En mayo de 2016, el equipo de la NBA Milwaukee Bucks fue víctima de este tipo de estafa cibernética con un perpetrador que se hizo pasar por el presidente del equipo, Peter Feigin, lo que resultó en la entrega de los formularios de impuestos W-2 de 2015 de todos los empleados del equipo . [35]
Suplantación de identidad
La suplantación de identidad es un acto de hacerse pasar por una entidad válida mediante la falsificación de datos (como una dirección IP o un nombre de usuario), con el fin de obtener acceso a información o recursos que de otro modo no se podría obtener. La suplantación de identidad está estrechamente relacionada con el phishing . [36] [37] Existen varios tipos de suplantación de identidad, entre ellos:
Suplantación de dirección IP , donde un atacante altera la dirección IP de origen en un paquete de red para ocultar su identidad o hacerse pasar por otro sistema informático.
En 2018, la empresa de ciberseguridad Trellix publicó una investigación sobre el riesgo potencialmente mortal que supone la suplantación de identidad en el sector sanitario. [39]
Manipulación
La manipulación describe una modificación o alteración maliciosa de datos. Es un acto intencional pero no autorizado que da como resultado la modificación de un sistema, de sus componentes, de su comportamiento previsto o de los datos. Los ataques denominados Evil Maid y los servicios de seguridad que implantan capacidades de vigilancia en los enrutadores son ejemplos de ello. [40]
Contrabando de HTML
El contrabando de HTML permite a un atacante "contrabandear" un código malicioso dentro de un HTML o una página web en particular. [41] Los archivos HTML pueden llevar cargas útiles ocultas como datos inertes benignos para poder burlar los filtros de contenido . Estas cargas útiles se pueden reconstruir en el otro lado del filtro. [42]
Cuando un usuario objetivo abre el HTML, se activa el código malicioso; luego, el navegador web "decodifica" el script, que luego libera el malware en el dispositivo objetivo. [41]
Prácticas de seguridad de la información
El comportamiento de los empleados puede tener un gran impacto en la seguridad de la información en las organizaciones. Los conceptos culturales pueden ayudar a que los distintos segmentos de la organización trabajen de manera eficaz o en contra de la eficacia en materia de seguridad de la información dentro de una organización. La cultura de seguridad de la información es la "...totalidad de patrones de comportamiento en una organización que contribuyen a la protección de la información de todo tipo". [43]
Andersson y Reimers (2014) descubrieron que los empleados a menudo no se consideran parte del esfuerzo de seguridad de la información de su organización y, a menudo, toman medidas que impiden los cambios organizacionales. [44] De hecho, el Informe de investigaciones de violaciones de datos de Verizon de 2020, que examinó 3950 violaciones de seguridad, descubrió que el 30% de los incidentes de ciberseguridad involucraban a actores internos dentro de una empresa. [45] Las investigaciones muestran que la cultura de seguridad de la información debe mejorarse continuamente. En "Information Security Culture from Analysis to Change", los autores comentaron: "Es un proceso interminable, un ciclo de evaluación y cambio o mantenimiento". Para gestionar la cultura de seguridad de la información, se deben seguir cinco pasos: preevaluación, planificación estratégica, planificación operativa, implementación y postevaluación. [46]
Pre-evaluación: Identificar el nivel de conciencia sobre seguridad de la información en los empleados y analizar las políticas de seguridad actuales.
Planificación estratégica: Para elaborar un mejor programa de concienciación, es necesario fijar objetivos claros. Para lograrlo, es útil formar un equipo de profesionales capacitados.
Planificación operativa: Se puede establecer una buena cultura de seguridad basándose en la comunicación interna, la aceptación de la dirección, la concienciación sobre la seguridad y un programa de formación. [46]
Implementación: Para implementar la cultura de seguridad de la información se deben seguir cuatro etapas, que son:
Compromiso de la dirección
Comunicación con los miembros de la organización
Cursos para todos los miembros de la organización
Compromiso de los trabajadores [46]
Evaluación posterior: para evaluar el éxito de la planificación y la implementación, e identificar áreas de preocupación no resueltas.
Protección informática (contramedidas)
En seguridad informática, una contramedida es una acción, dispositivo, procedimiento o técnica que reduce una amenaza, una vulnerabilidad o un ataque eliminándolos o previniéndolos, minimizando el daño que pueden causar o descubriéndolos y reportándolos para que se puedan tomar acciones correctivas. [47] [48] [49]
En las siguientes secciones se enumeran algunas contramedidas comunes:
Seguridad por diseño
La seguridad por diseño, o alternativamente, seguro por diseño, significa que el software ha sido diseñado desde cero para ser seguro. En este caso, la seguridad se considera una característica principal.
El Centro Nacional de Seguridad Cibernética del gobierno del Reino Unido divide los principios de diseño cibernético seguro en cinco secciones: [50]
Antes de crear o actualizar un sistema seguro, las empresas deben asegurarse de comprender los fundamentos y el contexto del sistema que están intentando crear e identificar cualquier debilidad en el sistema.
Las empresas deberían diseñar y centrar su seguridad en torno a técnicas y defensas que hagan que atacar sus datos o sistemas sea inherentemente más difícil para los atacantes.
Las empresas deben asegurarse de que sus servicios principales que dependen de la tecnología estén protegidos para que los sistemas prácticamente nunca dejen de funcionar.
Aunque se pueden crear sistemas que sean seguros frente a una multitud de ataques, eso no significa que no se vayan a intentar. A pesar de la seguridad de cada uno, los sistemas de todas las empresas deberían aspirar a poder detectar y localizar los ataques tan pronto como se produzcan para garantizar la respuesta más eficaz a los mismos.
Las empresas deberían crear sistemas seguros diseñados para que cualquier ataque "exitoso" tenga una gravedad mínima.
Estos principios de diseño de seguridad por diseño pueden incluir algunas de las siguientes técnicas:
El principio del mínimo privilegio , según el cual cada parte del sistema tiene solo los privilegios necesarios para su funcionamiento. De esa manera, incluso si un atacante logra acceder a esa parte, solo tiene acceso limitado a todo el sistema.
Teorema automatizado que demuestra la corrección de subsistemas de software cruciales.
Revisiones de código y pruebas unitarias , enfoques para hacer que los módulos sean más seguros donde no son posibles las pruebas formales de corrección.
Defensa en profundidad , donde el diseño es tal que es necesario violar más de un subsistema para comprometer la integridad del sistema y la información que contiene.
Configuraciones seguras predeterminadas y diseño para que no se produzcan fallos de seguridad (consulte "fail-safe" para conocer el equivalente en ingeniería de seguridad ). Lo ideal sería que un sistema seguro requiera una decisión deliberada, consciente, informada y libre por parte de las autoridades legítimas para hacerlo inseguro.
Los registros de auditoría rastrean la actividad del sistema de modo que, cuando se produce una violación de seguridad, se puede determinar el mecanismo y el alcance de la violación. El almacenamiento remoto de los registros de auditoría, donde solo se pueden adjuntar, puede evitar que los intrusos oculten sus rastros.
Divulgación completa de todas las vulnerabilidades, para garantizar que la ventana de vulnerabilidad se mantenga lo más breve posible cuando se descubran errores.
Arquitectura de seguridad
La arquitectura de seguridad puede definirse como la "práctica de diseñar sistemas informáticos para alcanzar objetivos de seguridad". [51] Estos objetivos se superponen con los principios de "seguridad por diseño" explorados anteriormente, incluyendo "hacer que el compromiso inicial del sistema sea difícil" y "limitar el impacto de cualquier compromiso". [51] En la práctica, el papel de un arquitecto de seguridad sería asegurar que la estructura de un sistema refuerce la seguridad del sistema y que los nuevos cambios sean seguros y cumplan con los requisitos de seguridad de la organización. [52] [53]
De manera similar, Techopedia define la arquitectura de seguridad como "un diseño de seguridad unificado que aborda las necesidades y los riesgos potenciales involucrados en un determinado escenario o entorno. También especifica cuándo y dónde aplicar controles de seguridad. El proceso de diseño es generalmente reproducible". Los atributos clave de la arquitectura de seguridad son: [54]
La relación de los diferentes componentes y cómo dependen unos de otros.
determinación de controles basados en evaluación de riesgos, buenas prácticas, finanzas y asuntos legales.
La estandarización de los controles.
La práctica de la arquitectura de seguridad proporciona la base adecuada para abordar sistemáticamente las preocupaciones comerciales, de TI y de seguridad en una organización.
Medidas de seguridad
Un estado de seguridad informática es el ideal conceptual que se logra mediante el uso de tres procesos: prevención, detección y respuesta ante amenazas. Estos procesos se basan en diversas políticas y componentes del sistema, entre los que se incluyen los siguientes:
Los firewalls son, con diferencia, los sistemas de prevención más habituales desde el punto de vista de la seguridad de la red, ya que pueden (si se configuran correctamente) proteger el acceso a los servicios de red internos y bloquear determinados tipos de ataques mediante el filtrado de paquetes. Los firewalls pueden estar basados tanto en hardware como en software. Los firewalls supervisan y controlan el tráfico entrante y saliente de una red informática y establecen una barrera entre una red fiable y una red que no lo es. [55]
La respuesta se define necesariamente en función de los requisitos de seguridad evaluados de un sistema individual y puede abarcar desde una simple actualización de las protecciones hasta la notificación a las autoridades legales , contraataques y similares. En algunos casos especiales, se favorece la destrucción completa del sistema comprometido, ya que puede suceder que no se detecten todos los recursos comprometidos.
Capacitación en concientización sobre seguridad cibernética para hacer frente a amenazas y ataques cibernéticos. [56]
Las soluciones de proxy web de reenvío pueden evitar que el cliente visite páginas web maliciosas e inspeccionar el contenido antes de descargarlo a las máquinas cliente.
Hoy en día, la seguridad informática consiste principalmente en medidas preventivas, como cortafuegos o un procedimiento de salida . Un cortafuegos puede definirse como una forma de filtrar datos de red entre un host o una red y otra red, como Internet . Pueden implementarse como software que se ejecuta en la máquina, conectándose a la pila de red (o, en el caso de la mayoría de los sistemas operativos basados en UNIX como Linux , integrado en el núcleo del sistema operativo ) para proporcionar filtrado y bloqueo en tiempo real. [55] Otra implementación es el llamado cortafuegos físico , que consiste en una máquina separada que filtra el tráfico de red. Los cortafuegos son comunes entre las máquinas que están conectadas permanentemente a Internet.
Para garantizar una seguridad adecuada, se debe proteger la confidencialidad, integridad y disponibilidad de una red, mejor conocida como la tríada CIA, que se considera la base de la seguridad de la información. [58] Para lograr esos objetivos, se deben emplear medidas de seguridad administrativas, físicas y técnicas. El grado de seguridad que se le otorga a un activo solo se puede determinar cuando se conoce su valor. [59]
Gestión de vulnerabilidades
La gestión de vulnerabilidades es el ciclo de identificación, reparación o mitigación de vulnerabilidades , [60] especialmente en software y firmware . La gestión de vulnerabilidades es parte integral de la seguridad informática y de la seguridad de la red .
Las vulnerabilidades se pueden descubrir con un escáner de vulnerabilidades , que analiza un sistema informático en busca de vulnerabilidades conocidas, [61] como puertos abiertos , configuración de software insegura y susceptibilidad al malware . Para que estas herramientas sean efectivas, deben mantenerse actualizadas con cada nueva actualización que lance el proveedor. Por lo general, estas actualizaciones buscarán las nuevas vulnerabilidades que se introdujeron recientemente.
Además de analizar las vulnerabilidades, muchas organizaciones contratan auditores de seguridad externos para que realicen pruebas de penetración periódicas en sus sistemas a fin de identificar vulnerabilidades. En algunos sectores, esto es un requisito contractual. [62]
Reducción de vulnerabilidades
El acto de evaluar y reducir las vulnerabilidades a los ataques cibernéticos se conoce comúnmente como evaluaciones de seguridad de la tecnología de la información . Su objetivo es evaluar los sistemas en busca de riesgos y predecir y probar sus vulnerabilidades. Si bien es posible la verificación formal de la corrección de los sistemas informáticos, [63] [64] aún no es común. Los sistemas operativos verificados formalmente incluyen seL4 , [65] y PikeOS de SYSGO [66] [67] , pero estos representan un porcentaje muy pequeño del mercado.
Es posible reducir las posibilidades de un atacante manteniendo los sistemas actualizados con parches y actualizaciones de seguridad y contratando a personas con experiencia en seguridad. Las grandes empresas con amenazas significativas pueden contratar analistas del Centro de Operaciones de Seguridad (SOC). Estos son especialistas en defensas cibernéticas, y su función va desde "realizar análisis de amenazas hasta investigar informes de nuevos problemas y preparar y probar planes de recuperación ante desastres". [68]
Si bien no hay medidas que puedan garantizar por completo la prevención de un ataque, estas medidas pueden ayudar a mitigar el daño de posibles ataques. Los efectos de la pérdida o el daño de los datos también se pueden reducir mediante la realización de copias de seguridad y un seguro .
Además de las evaluaciones formales, existen varios métodos para reducir las vulnerabilidades. La autenticación de dos factores es un método para mitigar el acceso no autorizado a un sistema o a información confidencial. [69] Requiere algo que usted sabe: una contraseña o PIN, y algo que usted tiene : una tarjeta, un dispositivo de seguridad, un teléfono celular u otro dispositivo de hardware. Esto aumenta la seguridad ya que una persona no autorizada necesita ambos para obtener acceso.
La protección contra la ingeniería social y los ataques de acceso directo a computadoras (físicos) solo se puede lograr por medios no informáticos, que pueden ser difíciles de implementar, en relación con la confidencialidad de la información. A menudo se requiere capacitación para ayudar a mitigar este riesgo mejorando el conocimiento de las personas sobre cómo protegerse y aumentando la conciencia de las amenazas. [70] Sin embargo, incluso en entornos altamente disciplinados (por ejemplo, organizaciones militares), los ataques de ingeniería social aún pueden ser difíciles de prever y prevenir.
La inoculación, derivada de la teoría de la inoculación , busca prevenir la ingeniería social y otros trucos y trampas fraudulentas inculcando una resistencia a los intentos de persuasión a través de la exposición a intentos similares o relacionados. [71]
Mecanismos de protección de hardware
La seguridad informática basada en hardware o asistida también ofrece una alternativa a la seguridad informática basada únicamente en software. El uso de dispositivos y métodos como dongles , módulos de plataforma confiables , carcasas que detectan intrusiones, bloqueos de unidades, desactivación de puertos USB y acceso habilitado para dispositivos móviles puede considerarse más seguro debido al acceso físico (o acceso sofisticado por puerta trasera) necesario para verse comprometido. Cada uno de estos se explica con más detalle a continuación.
Los dispositivos USB se utilizan normalmente en esquemas de licencias de software para desbloquear capacidades de software, [72] pero también pueden verse como una forma de evitar el acceso no autorizado al software de un ordenador o de otro dispositivo. El dispositivo, o llave, crea esencialmente un túnel cifrado seguro entre la aplicación de software y la llave. El principio es que un esquema de cifrado en el dispositivo, como el Estándar de cifrado avanzado (AES), proporciona una medida de seguridad más sólida, ya que es más difícil piratear y replicar el dispositivo que simplemente copiar el software nativo a otra máquina y usarlo. Otra aplicación de seguridad para los dispositivos es utilizarlos para acceder a contenido basado en la web, como software en la nube o redes privadas virtuales (VPN). [73] Además, un dispositivo USB se puede configurar para bloquear o desbloquear un ordenador. [74]
Los módulos de plataforma confiable (TPM) protegen los dispositivos mediante la integración de capacidades criptográficas en los dispositivos de acceso, mediante el uso de microprocesadores, o las llamadas computadoras en un chip. Los TPM utilizados junto con el software del lado del servidor ofrecen una manera de detectar y autenticar dispositivos de hardware, lo que evita el acceso no autorizado a la red y a los datos. [75]
La detección de intrusiones en la carcasa de una computadora se refiere a un dispositivo, generalmente un interruptor pulsador, que detecta cuando se abre la carcasa de una computadora. El firmware o BIOS está programado para mostrar una alerta al operador cuando se enciende la computadora la próxima vez.
Los bloqueos de unidades son esencialmente herramientas de software para cifrar discos duros, haciéndolos inaccesibles para los ladrones. [76] También existen herramientas específicas para cifrar unidades externas. [77]
Deshabilitar los puertos USB es una opción de seguridad para evitar el acceso no autorizado y malintencionado a un equipo que, de otro modo, sería seguro. La revista Network World considera que los dispositivos USB infectados que se conectan a una red desde un equipo que se encuentra dentro del firewall son la amenaza de hardware más común a la que se enfrentan las redes informáticas.
Desconectar o deshabilitar dispositivos periféricos (como cámara, GPS, almacenamiento extraíble, etc.) que no estén en uso. [78]
Los dispositivos de acceso habilitados para dispositivos móviles están ganando popularidad debido a la naturaleza ubicua de los teléfonos celulares. [79] Las capacidades integradas como Bluetooth , el nuevo Bluetooth de baja energía (LE), la comunicación de campo cercano (NFC) en dispositivos que no son iOS y la validación biométrica como los lectores de huellas dactilares, así como el software de lectura de códigos QR diseñado para dispositivos móviles, ofrecen formas nuevas y seguras para que los teléfonos móviles se conecten a los sistemas de control de acceso. Estos sistemas de control brindan seguridad informática y también se pueden usar para controlar el acceso a edificios seguros. [80]
Las funciones físicas no clonables (PUF) se pueden utilizar como una huella digital o un identificador único para circuitos integrados y hardware, lo que proporciona a los usuarios la capacidad de proteger las cadenas de suministro de hardware que ingresan a sus sistemas. [83] [84]
Sistemas operativos seguros
Un uso del término seguridad informática se refiere a la tecnología que se utiliza para implementar sistemas operativos seguros . El uso de sistemas operativos seguros es una buena forma de garantizar la seguridad informática. Se trata de sistemas que han obtenido la certificación de una organización externa de auditoría de seguridad; las evaluaciones más populares son Common Criteria (CC). [85]
Codificación segura
En ingeniería de software, la codificación segura tiene como objetivo proteger contra la introducción accidental de vulnerabilidades de seguridad. También es posible crear software diseñado desde cero para ser seguro. Dichos sistemas son seguros por diseño . Más allá de esto, la verificación formal tiene como objetivo demostrar la exactitud de los algoritmos subyacentes a un sistema; [86]
importante para los protocolos criptográficos , por ejemplo.
Una lista de control de acceso (ACL), en relación con un sistema de archivos informático, es una lista de permisos asociados a un objeto. Una ACL especifica qué usuarios o procesos del sistema tienen acceso a los objetos, así como qué operaciones están permitidas en determinados objetos.
El control de acceso basado en roles es un enfoque para restringir el acceso al sistema a usuarios autorizados, [87] [88] [89] utilizado por la mayoría de las empresas con más de 500 empleados, [90] y puede implementar control de acceso obligatorio (MAC) o control de acceso discrecional (DAC).
Otro enfoque, la seguridad basada en capacidades , se ha restringido en su mayor parte a los sistemas operativos de investigación. Sin embargo , las capacidades también se pueden implementar a nivel de lenguaje, lo que conduce a un estilo de programación que es esencialmente un refinamiento del diseño orientado a objetos estándar. Un proyecto de código abierto en este área es el lenguaje E.
Capacitación en seguridad para usuarios
El usuario final es ampliamente reconocido como el eslabón más débil en la cadena de seguridad [91] y se estima que más del 90% de los incidentes y violaciones de seguridad involucran algún tipo de error humano. [92] [93] Entre las formas de errores y errores de juicio más comúnmente registradas están la mala gestión de contraseñas, el envío de correos electrónicos que contienen datos confidenciales y archivos adjuntos al destinatario equivocado, la incapacidad de reconocer URL engañosas y de identificar sitios web falsos y archivos adjuntos peligrosos en correos electrónicos. Un error común que cometen los usuarios es guardar su identificación de usuario/contraseña en sus navegadores para facilitar el inicio de sesión en sitios bancarios. Esto es un regalo para los atacantes que han obtenido acceso a una máquina por algún medio. El riesgo puede mitigarse mediante el uso de autenticación de dos factores. [94]
Como el componente humano del riesgo cibernético es particularmente relevante para determinar el riesgo cibernético global [95] que enfrenta una organización, la capacitación en concientización sobre seguridad, en todos los niveles, no solo proporciona un cumplimiento formal con los mandatos regulatorios y de la industria, sino que se considera esencial [96] para reducir el riesgo cibernético y proteger a las personas y las empresas de la gran mayoría de las amenazas cibernéticas.
El enfoque en el usuario final representa un cambio cultural profundo para muchos profesionales de seguridad, que tradicionalmente han abordado la ciberseguridad exclusivamente desde una perspectiva técnica, y avanza en la línea sugerida por los principales centros de seguridad [97] para desarrollar una cultura de conciencia cibernética dentro de la organización, reconociendo que un usuario consciente de la seguridad proporciona una importante línea de defensa contra los ataques cibernéticos.
Higiene digital
En relación con la formación de los usuarios finales, la higiene digital o ciberhigiene es un principio fundamental relacionado con la seguridad de la información y, como demuestra la analogía con la higiene personal , es el equivalente a establecer medidas rutinarias sencillas para minimizar los riesgos de las amenazas cibernéticas. Se supone que las buenas prácticas de ciberhigiene pueden dar a los usuarios de la red otra capa de protección, reduciendo el riesgo de que un nodo vulnerable se utilice para lanzar ataques o comprometer otro nodo o red, especialmente en el caso de ciberataques comunes. [98] La ciberhigiene tampoco debe confundirse con la ciberdefensa proactiva , un término militar. [99]
Las medidas más habituales de higiene digital pueden incluir la actualización de la protección contra malware, las copias de seguridad en la nube, las contraseñas y la garantía de derechos de administrador restringidos y cortafuegos de red. [100] A diferencia de una defensa contra amenazas basada puramente en la tecnología, la higiene cibernética se refiere principalmente a medidas rutinarias que son técnicamente sencillas de implementar y que dependen en gran medida de la disciplina [101] o la educación. [102] Se puede considerar como una lista abstracta de consejos o medidas que han demostrado tener un efecto positivo en la seguridad digital personal o colectiva. Como tal, estas medidas pueden ser realizadas por personas no especializadas, no solo por expertos en seguridad.
La higiene cibernética se relaciona con la higiene personal de la misma manera que los virus informáticos se relacionan con los virus biológicos (o patógenos). Sin embargo, mientras que el término virus informático se acuñó casi simultáneamente con la creación de los primeros virus informáticos funcionales, [103] el término higiene cibernética es una invención mucho más tardía, tal vez de 2000 [104] por el pionero de Internet Vint Cerf . Desde entonces ha sido adoptado por el Congreso [105] y el Senado de los Estados Unidos, [106] el FBI, [107] instituciones de la UE [98] y jefes de estado. [99]
Dificultad para responder a las infracciones
Responder a los intentos de violación de seguridad suele ser muy difícil por diversos motivos, entre ellos:
Identificar a los atacantes es difícil, ya que pueden operar a través de servidores proxy, cuentas de acceso telefónico anónimas temporales, conexiones inalámbricas y otros procedimientos de anonimización que dificultan el rastreo, y a menudo se encuentran en otra jurisdicción . Si logran violar la seguridad, también suelen haber obtenido suficiente acceso administrativo para poder eliminar registros y así cubrir sus huellas.
La gran cantidad de intentos de ataques, a menudo por parte de escáneres de vulnerabilidad automatizados y gusanos informáticos, es tan grande que las organizaciones no pueden dedicar tiempo a investigar cada uno de ellos.
Los agentes de seguridad a menudo carecen de las habilidades, el interés o el presupuesto necesarios para perseguir a los atacantes. Además, para identificar a los atacantes en una red puede ser necesario recopilar registros de varias ubicaciones dentro de la red y de varios países, un proceso que puede ser difícil y llevar mucho tiempo.
El crecimiento del número de sistemas informáticos y la creciente dependencia de ellos por parte de individuos, empresas, industrias y gobiernos significa que hay un número cada vez mayor de sistemas en riesgo.
Sistemas financieros
Los sistemas informáticos de los reguladores financieros y las instituciones financieras como la Comisión de Bolsa y Valores de Estados Unidos , SWIFT, los bancos de inversión y los bancos comerciales son objetivos destacados de piratería para los ciberdelincuentes interesados en manipular los mercados y obtener ganancias ilícitas. [108] Los sitios web y las aplicaciones que aceptan o almacenan números de tarjetas de crédito , cuentas de corretaje e información de cuentas bancarias también son objetivos destacados de piratería, debido al potencial de ganancia financiera inmediata al transferir dinero, realizar compras o vender la información en el mercado negro . [109] Los sistemas de pago en tiendas y los cajeros automáticos también han sido manipulados para recopilar datos de cuentas de clientes y PIN .
El informe de Internet de la UCLA : Surveying the Digital Future (2000) concluyó que la privacidad de los datos personales creaba barreras para las ventas en línea y que más de nueve de cada diez usuarios de Internet estaban algo o muy preocupados por la seguridad de las tarjetas de crédito . [110]
Las tecnologías web más comunes para mejorar la seguridad entre navegadores y sitios web se denominan SSL (Secure Sockets Layer), y su sucesor TLS ( Transport Layer Security ), los servicios de gestión de identidad y autenticación y los servicios de nombres de dominio permiten a las empresas y consumidores participar en comunicaciones y comercio seguros. Varias versiones de SSL y TLS se utilizan comúnmente hoy en día en aplicaciones como la navegación web, el correo electrónico, el fax por Internet, la mensajería instantánea y VoIP (voz sobre IP). Existen varias implementaciones interoperables de estas tecnologías, incluida al menos una implementación que es de código abierto . El código abierto permite que cualquiera vea el código fuente de la aplicación y busque e informe vulnerabilidades.
Las compañías de tarjetas de crédito Visa y MasterCard colaboraron para desarrollar el chip EMV seguro que se incorpora a las tarjetas de crédito. Otros avances incluyen el Programa de Autenticación con Chip , en el que los bancos proporcionan a los clientes lectores de tarjetas portátiles para realizar transacciones seguras en línea. Otros avances en este ámbito incluyen el desarrollo de tecnologías como la emisión instantánea, que ha permitido que los quioscos de los centros comerciales que actúan en nombre de los bancos emitan tarjetas de crédito en el acto a los clientes interesados.
Servicios públicos y equipos industriales
Las computadoras controlan funciones en muchos servicios públicos, incluida la coordinación de las telecomunicaciones , la red eléctrica , las plantas de energía nuclear y la apertura y cierre de válvulas en las redes de agua y gas. Internet es un vector de ataque potencial para tales máquinas si está conectada, pero el gusano Stuxnet demostró que incluso el equipo controlado por computadoras no conectadas a Internet puede ser vulnerable. En 2014, el Equipo de preparación para emergencias informáticas , una división del Departamento de Seguridad Nacional , investigó 79 incidentes de piratería en empresas de energía. [111]
Aviación
La industria de la aviación depende en gran medida de una serie de sistemas complejos que podrían ser atacados. [112] Un simple corte de energía en un aeropuerto puede causar repercusiones en todo el mundo, [113] gran parte del sistema depende de transmisiones de radio que podrían verse interrumpidas, [114] y controlar aeronaves sobre océanos es especialmente peligroso porque la vigilancia por radar solo se extiende de 175 a 225 millas de la costa. [115] También existe la posibilidad de un ataque desde el interior de una aeronave. [116]
La implementación de correcciones en los sistemas aeroespaciales plantea un desafío singular, ya que el transporte aéreo eficiente se ve muy afectado por el peso y el volumen. Mejorar la seguridad mediante la incorporación de dispositivos físicos a los aviones podría aumentar su peso sin carga y, potencialmente, reducir la capacidad de carga o de pasajeros. [117]
Muchos pasaportes modernos son ahora pasaportes biométricos , que contienen un microchip incorporado que almacena una fotografía digitalizada e información personal como nombre, género y fecha de nacimiento. Además, más países [ ¿cuáles? ] están introduciendo tecnología de reconocimiento facial para reducir el fraude relacionado con la identidad . La introducción del pasaporte electrónico ha ayudado a los funcionarios fronterizos a verificar la identidad del titular del pasaporte, lo que permite un procesamiento rápido de los pasajeros. [121] Hay planes en marcha en los EE. UU., el Reino Unido y Australia para introducir quioscos SmartGate con tecnología de reconocimiento de retina y huellas dactilares . [122] La industria de las aerolíneas está pasando del uso de billetes de papel tradicionales al uso de billetes electrónicos (e-tickets). Esto ha sido posible gracias a los avances en las transacciones en línea con tarjetas de crédito en asociación con las aerolíneas. Las compañías de autobuses de larga distancia [ ¿cuáles? ] también están cambiando a las transacciones de billetes electrónicos en la actualidad.
Las consecuencias de un ataque exitoso varían desde la pérdida de confidencialidad hasta la pérdida de integridad del sistema, interrupciones del control del tráfico aéreo , pérdida de aeronaves e incluso pérdida de vidas.
Dispositivos de consumo
Las computadoras de escritorio y portátiles son comúnmente el objetivo de recopilar contraseñas o información de cuentas financieras o para construir una botnet para atacar a otro objetivo. Los teléfonos inteligentes , las tabletas , los relojes inteligentes y otros dispositivos móviles como los dispositivos de autocuantificación como los rastreadores de actividad tienen sensores como cámaras, micrófonos, receptores GPS, brújulas y acelerómetros que podrían ser explotados y pueden recopilar información personal, incluida información de salud confidencial. Las redes WiFi, Bluetooth y de teléfonos celulares en cualquiera de estos dispositivos podrían usarse como vectores de ataque, y los sensores podrían activarse de forma remota después de una violación exitosa. [123]
Hoy en día, muchos proveedores de atención médica y compañías de seguros de salud utilizan Internet para ofrecer productos y servicios mejorados, por ejemplo, mediante el uso de telesalud para ofrecer potencialmente una mejor calidad y acceso a la atención médica, o rastreadores de actividad física para reducir las primas de seguro.
La empresa de atención médica Humana se asocia con WebMD , Oracle Corporation , EDS y Microsoft para permitir a sus miembros acceder a sus registros de atención médica, así como para proporcionar una descripción general de los planes de atención médica. [124] Los registros de pacientes se colocan cada vez más en redes internas seguras, aliviando la necesidad de espacio de almacenamiento adicional. [125]
Grandes corporaciones
Las grandes corporaciones son objetivos habituales. En muchos casos, los ataques tienen como objetivo obtener beneficios económicos a través del robo de identidad e implican violaciones de datos . Entre los ejemplos se incluyen la pérdida de datos financieros y de tarjetas de crédito de millones de clientes por parte de Home Depot , [126] Staples , [127] Target Corporation , [128] y Equifax . [129]
Los registros médicos han sido blanco de robos de identidad en general, fraudes de seguros de salud y suplantación de identidad de pacientes para obtener medicamentos recetados con fines recreativos o para revenderlos. [130] Aunque las amenazas cibernéticas siguen aumentando, el 62% de todas las organizaciones no aumentaron la capacitación en seguridad para sus negocios en 2015. [131]
Sin embargo, no todos los ataques tienen motivaciones económicas: la empresa de seguridad HBGary Federal sufrió una serie de ataques graves en 2011 por parte del grupo hacktivista Anonymous en represalia porque el director ejecutivo de la empresa afirmó haberse infiltrado en su grupo, [132] [133] y Sony Pictures fue hackeada en 2014 con el aparente doble motivo de avergonzar a la empresa a través de filtraciones de datos y paralizarla borrando estaciones de trabajo y servidores. [134] [135]
Automóviles
Los vehículos están cada vez más informatizados, con sincronización del motor, control de crucero , frenos antibloqueo , tensores de cinturones de seguridad, cerraduras de puertas, airbags y sistemas avanzados de asistencia al conductor en muchos modelos. Además, los coches conectados pueden utilizar WiFi y Bluetooth para comunicarse con los dispositivos de consumo a bordo y la red de telefonía móvil. [136] Se espera que los coches autónomos sean aún más complejos. Todos estos sistemas conllevan algunos riesgos de seguridad, y estas cuestiones han ganado una amplia atención. [137] [138] [139]
Algunos ejemplos de riesgo son el uso de un CD malicioso como vector de ataque [140] y el uso de los micrófonos de a bordo del vehículo para espiar. Sin embargo, si se accede a la red de área de control interna de un vehículo , el peligro es mucho mayor [136] ; y en una prueba de 2015 ampliamente publicitada, los piratas informáticos secuestraron un vehículo a distancia desde 16 kilómetros de distancia y lo condujeron hasta una zanja [141] [142] .
Los fabricantes están reaccionando de diversas maneras. En 2016, Tesla lanzó algunas correcciones de seguridad por aire en los sistemas informáticos de sus automóviles. [143] En el área de vehículos autónomos, en septiembre de 2016, el Departamento de Transporte de los Estados Unidos anunció algunas normas de seguridad iniciales y pidió a los estados que elaboraran políticas uniformes. [144] [145] [146]
Además, se están desarrollando licencias de conducir electrónicas utilizando la misma tecnología. Por ejemplo, la autoridad de licencias de México (ICV) ha utilizado una plataforma de tarjeta inteligente para emitir las primeras licencias de conducir electrónicas en la ciudad de Monterrey , en el estado de Nuevo León . [147]
Envío
Las compañías navieras [148] han adoptado la tecnología RFID (identificación por radiofrecuencia) como un dispositivo de seguimiento eficiente y digitalmente seguro . A diferencia de un código de barras , la RFID se puede leer a una distancia de hasta 20 pies. La RFID es utilizada por FedEx [149] y UPS [150] .
Gobierno
Los sistemas informáticos gubernamentales y militares son comúnmente atacados por activistas [151] [152] [153] y potencias extranjeras. [154] [155] [156] [157] Infraestructura de los gobiernos locales y regionales, como controles de semáforos , comunicaciones de la policía y agencias de inteligencia, registros de personal , así como registros de estudiantes. [158]
El FBI , la CIA y el Pentágono utilizan tecnología de acceso controlado seguro para cualquiera de sus edificios. Sin embargo, el uso de esta forma de tecnología se está extendiendo al mundo empresarial. Cada vez más empresas están aprovechando el desarrollo de la tecnología de acceso controlado seguro digitalmente. ACUVision de GE, por ejemplo, ofrece una plataforma de panel único para control de acceso, monitoreo de alarmas y grabación digital. [159]
Internet de las cosas y vulnerabilidades físicas
La Internet de las cosas (IoT) es la red de objetos físicos, como dispositivos, vehículos y edificios, que incorporan componentes electrónicos , software , sensores y conectividad de red que les permite recopilar e intercambiar datos. [160] Se han planteado inquietudes respecto de que esto se está desarrollando sin tener en cuenta adecuadamente los desafíos de seguridad que implica. [161] [162]
Si bien la IoT crea oportunidades para una integración más directa del mundo físico en los sistemas informáticos, [163] [164]
también ofrece oportunidades para el uso indebido. En particular, a medida que la Internet de las cosas se expande ampliamente, es probable que los ciberataques se conviertan en una amenaza cada vez más física (en lugar de simplemente virtual). [165] Si la cerradura de una puerta de entrada está conectada a Internet y se puede bloquear o desbloquear desde un teléfono, entonces un delincuente podría ingresar a la casa con solo presionar un botón desde un teléfono robado o pirateado. Las personas podrían perder mucho más que sus números de tarjeta de crédito en un mundo controlado por dispositivos habilitados para IoT. Los ladrones también han utilizado medios electrónicos para burlar las cerraduras de las puertas de los hoteles que no están conectadas a Internet. [166]
Un ataque dirigido a la infraestructura física o a la vida humana suele denominarse ataque cibercinético. A medida que los dispositivos y aparatos de IoT se generalizan, la prevalencia y el daño potencial de los ataques cibercinéticos pueden aumentar sustancialmente.
Sistemas médicos
Los dispositivos médicos han sido atacados con éxito o se han demostrado vulnerabilidades potencialmente mortales, incluidos tanto equipos de diagnóstico intrahospitalarios [167] como dispositivos implantados, incluidos marcapasos [168] y bombas de insulina . [169] Hay muchos informes de hospitales y organizaciones hospitalarias que han sido pirateados, incluidos ataques de ransomware , [170] [171] [172] [173] exploits de Windows XP , [174] [175] virus, [176] [177] y violaciones de datos confidenciales almacenados en servidores hospitalarios. [178] [171] [179] [180] El 28 de diciembre de 2016, la Administración de Alimentos y Medicamentos de los EE. UU. publicó sus recomendaciones sobre cómo los fabricantes de dispositivos médicos deberían mantener la seguridad de los dispositivos conectados a Internet, pero no hay una estructura para su aplicación. [181] [182]
Sector energético
En los sistemas de generación distribuida, el riesgo de un ciberataque es real, según Daily Energy Insider . Un ataque podría causar una pérdida de energía en una gran área durante un largo período de tiempo, y un ataque de este tipo podría tener consecuencias tan graves como un desastre natural. El Distrito de Columbia está considerando la creación de una Autoridad de Recursos Energéticos Distribuidos (DER) dentro de la ciudad, con el objetivo de que los clientes tengan más conocimiento de su propio uso de energía y dar a la empresa eléctrica local, Pepco , la oportunidad de estimar mejor la demanda de energía. La propuesta del DC, sin embargo, "permitiría a los proveedores externos crear numerosos puntos de distribución de energía, lo que potencialmente podría crear más oportunidades para que los atacantes cibernéticos amenacen la red eléctrica". [183]
Telecomunicaciones
Tal vez el dispositivo de telecomunicaciones digitalmente seguro más conocido sea la tarjeta SIM (módulo de identidad del abonado), un dispositivo que se incorpora a la mayoría de los dispositivos celulares del mundo antes de que se pueda obtener cualquier servicio. La tarjeta SIM es sólo el comienzo de este entorno digitalmente seguro.
El borrador de la norma de servidores web de tarjetas inteligentes (SCWS) define las interfaces con un servidor HTTP en una tarjeta inteligente . [184] Se están realizando pruebas para proteger la información de pago y de tarjetas de crédito vía OTA ("over-the-air") desde y hacia un teléfono móvil. Se están desarrollando dispositivos combinados SIM/DVD mediante la tecnología de tarjetas de vídeo inteligentes que incorpora un disco óptico compatible con DVD en el cuerpo de la tarjeta de una tarjeta SIM normal.
Las violaciones de seguridad han causado graves daños financieros , pero como no existe un modelo estándar para calcular el coste de un incidente, los únicos datos disponibles son los que publican las organizaciones implicadas. "Varias empresas de consultoría en seguridad informática elaboran estimaciones de las pérdidas mundiales totales atribuibles a los ataques de virus y gusanos y a los actos digitales hostiles en general. Las estimaciones de pérdidas de 2003 realizadas por estas empresas oscilan entre 13.000 millones de dólares (sólo gusanos y virus) y 226.000 millones de dólares (para todas las formas de ataques encubiertos). La fiabilidad de estas estimaciones se pone a menudo en tela de juicio; la metodología subyacente es básicamente anecdótica". [185]
Sin embargo, las estimaciones razonables del costo financiero de las violaciones de seguridad pueden ayudar a las organizaciones a tomar decisiones de inversión racionales. Según el modelo clásico de Gordon-Loeb que analiza el nivel óptimo de inversión en seguridad de la información, se puede concluir que la cantidad que una empresa gasta para proteger la información debería ser, en general, solo una pequeña fracción de la pérdida esperada (es decir, el valor esperado de la pérdida resultante de una violación de la seguridad cibernética o de la información ). [186]
Motivación del atacante
Al igual que con la seguridad física , las motivaciones para las violaciones de la seguridad informática varían según los atacantes. Algunos son buscadores de emociones o vándalos , algunos son activistas, otros son delincuentes que buscan ganancias económicas. Los atacantes patrocinados por el Estado son ahora comunes y cuentan con buenos recursos, pero comenzaron con aficionados como Markus Hess, que pirateaba para la KGB , como relata Clifford Stoll en The Cuckoo's Egg .
Las motivaciones de los atacantes pueden variar para todo tipo de ataques, desde el placer hasta los objetivos políticos. [15] Por ejemplo, los "hacktivistas" pueden atacar a una empresa u organización que realiza actividades con las que no están de acuerdo. Esto sería para crear mala publicidad para la empresa haciendo que su sitio web se caiga.
Los piratas informáticos de gran capacidad, a menudo con un mayor respaldo o patrocinio estatal, pueden atacar en función de las demandas de sus patrocinadores financieros. Es más probable que estos ataques intenten un ataque más serio. Un ejemplo de un ataque más serio fue el hackeo de la red eléctrica de Ucrania en 2015 , que supuestamente utilizó el spear-phishing, la destrucción de archivos y los ataques de denegación de servicio para llevar a cabo el ataque completo. [187] [188]
Además, las motivaciones recientes de los atacantes se pueden remontar a organizaciones extremistas que buscan obtener ventajas políticas o perturbar agendas sociales. [189] El crecimiento de Internet, las tecnologías móviles y los dispositivos informáticos económicos han llevado a un aumento de las capacidades, pero también del riesgo para los entornos que se consideran vitales para las operaciones. Todos los entornos críticos objetivo son susceptibles de ser comprometidos y esto ha llevado a una serie de estudios proactivos sobre cómo migrar el riesgo teniendo en cuenta las motivaciones de este tipo de actores. Existen varias diferencias marcadas entre la motivación de los hackers y la de los actores de los estados nacionales que buscan atacar basándose en una preferencia ideológica. [190]
Un aspecto clave del modelado de amenazas para cualquier sistema es identificar las motivaciones detrás de los ataques potenciales y los individuos o grupos que probablemente los lleven a cabo. El nivel y el detalle de las medidas de seguridad variarán según el sistema específico que se esté protegiendo. Por ejemplo, una computadora personal doméstica, un banco y una red militar clasificada enfrentan amenazas distintas, a pesar de utilizar tecnologías subyacentes similares. [191]
Gestión de incidentes de seguridad informática
La gestión de incidentes de seguridad informática es un enfoque organizado para abordar y gestionar las consecuencias de un incidente o compromiso de seguridad informática con el objetivo de prevenir una violación o frustrar un ciberataque. Un incidente que no se identifica y gestiona en el momento de la intrusión normalmente se intensifica hasta convertirse en un evento más dañino, como una violación de datos o una falla del sistema. El resultado previsto de un plan de respuesta a incidentes de seguridad informática es contener el incidente, limitar el daño y ayudar a la recuperación de la actividad normal. Responder a los compromisos rápidamente puede mitigar las vulnerabilidades explotadas, restaurar servicios y procesos y minimizar las pérdidas. [192]
La planificación de la respuesta a incidentes permite a una organización establecer una serie de mejores prácticas para detener una intrusión antes de que cause daños. Los planes de respuesta a incidentes típicos contienen un conjunto de instrucciones escritas que describen la respuesta de la organización a un ciberataque. Sin un plan documentado, una organización puede no detectar con éxito una intrusión o compromiso y las partes interesadas pueden no comprender sus funciones, procesos y procedimientos durante una escalada, lo que ralentiza la respuesta y la resolución de la organización.
Hay cuatro componentes clave de un plan de respuesta a incidentes de seguridad informática:
Preparación: preparar a las partes interesadas en los procedimientos para manejar incidentes o vulnerabilidades de seguridad informática
Detección y análisis: Identificar e investigar actividades sospechosas para confirmar un incidente de seguridad, priorizar la respuesta en función del impacto y coordinar la notificación del incidente.
Contención, erradicación y recuperación: aislar los sistemas afectados para evitar la escalada y limitar el impacto, identificar el origen del incidente, eliminar el malware, los sistemas afectados y los actores maliciosos del entorno y restaurar los sistemas y los datos cuando ya no existe una amenaza
Actividad posterior al incidente: Análisis post mortem del incidente, su causa raíz y la respuesta de la organización con la intención de mejorar el plan de respuesta al incidente y los esfuerzos de respuesta futuros. [193]
Ataques y violaciones notables
A continuación se ofrecen algunos ejemplos ilustrativos de diferentes tipos de violaciones de seguridad informática.
Robert Morris y el primer gusano informático
En 1988, 60.000 ordenadores estaban conectados a Internet, y la mayoría eran mainframes, miniordenadores y estaciones de trabajo profesionales. El 2 de noviembre de 1988, muchos empezaron a funcionar más despacio, porque estaban ejecutando un código malicioso que exigía tiempo de procesador y que se propagaba a otros ordenadores: el primer gusano informático de Internet . [194] El origen del software se remonta a Robert Tappan Morris, un estudiante de posgrado de la Universidad de Cornell de 23 años, que dijo "quería contar cuántas máquinas estaban conectadas a Internet". [194]
Laboratorio de Roma
En 1994, piratas informáticos no identificados realizaron más de cien intrusiones en el Laboratorio Rome , el principal centro de mando e investigación de la Fuerza Aérea de Estados Unidos. Utilizando troyanos , los piratas informáticos pudieron obtener acceso sin restricciones a los sistemas de redes de Rome y eliminar rastros de sus actividades. Los intrusos pudieron obtener archivos clasificados, como datos de sistemas de órdenes de tareas aéreas, y además pudieron penetrar en las redes conectadas del Centro de Vuelo Espacial Goddard de la Administración Nacional de Aeronáutica y del Espacio , la Base Aérea Wright-Patterson, algunos contratistas de Defensa y otras organizaciones del sector privado, haciéndose pasar por un usuario confiable del centro Rome. [195]
En 2010, el gusano informático conocido como Stuxnet arruinó, según se informa, casi una quinta parte de las centrifugadoras nucleares de Irán . [198] Lo hizo al interrumpir los controladores lógicos programables (PLC) industriales en un ataque dirigido. Se cree que este ataque fue lanzado por Israel y los Estados Unidos para interrumpir el programa nuclear de Irán [199] [200] [201] [202] , aunque ninguno de los dos lo ha admitido públicamente.
Divulgaciones sobre vigilancia global
A principios de 2013, el Washington Post y el Guardian publicaron documentos proporcionados por Edward Snowden [203] [204] que exponían la escala masiva de la vigilancia global de la NSA . También hubo indicios de que la NSA podría haber insertado una puerta trasera en un estándar del NIST para el cifrado. [205] Este estándar fue retirado más tarde debido a las críticas generalizadas. [206] Además, se reveló que la NSA había intervenido los vínculos entre los centros de datos de Google . [207]
Infracciones de seguridad en Target y Home Depot
Un hacker ucraniano conocido como Rescator irrumpió en los ordenadores de Target Corporation en 2013, robando aproximadamente 40 millones de tarjetas de crédito [208] , y luego en los ordenadores de Home Depot en 2014, robando entre 53 y 56 millones de números de tarjetas de crédito [209] . Se enviaron advertencias a ambas corporaciones, pero fueron ignoradas; se cree que las brechas de seguridad física mediante el uso de máquinas de autopago han jugado un papel importante. "El malware utilizado es absolutamente poco sofisticado y poco interesante", dice Jim Walter, director de operaciones de inteligencia de amenazas en la empresa de tecnología de seguridad McAfee, lo que significa que los robos podrían haberse detenido fácilmente con el software antivirus existente si los administradores hubieran respondido a las advertencias. La magnitud de los robos ha provocado una gran atención de las autoridades estatales y federales de los Estados Unidos y la investigación está en curso.
Violación de datos de la Oficina de Gestión de Personal
En abril de 2015, la Oficina de Gestión de Personal descubrió que había sido hackeada más de un año antes en una violación de datos, lo que resultó en el robo de aproximadamente 21,5 millones de registros de personal manejados por la oficina. [210] El hackeo de la Oficina de Gestión de Personal ha sido descrito por funcionarios federales como una de las mayores violaciones de datos gubernamentales en la historia de los Estados Unidos. [211] Los datos objetivo de la violación incluían información de identificación personal como números de Seguro Social , nombres, fechas y lugares de nacimiento, direcciones y huellas dactilares de empleados gubernamentales actuales y anteriores, así como de cualquier persona que se hubiera sometido a una verificación de antecedentes del gobierno. [212] [213] Se cree que el hackeo fue perpetrado por piratas informáticos chinos. [214]
Violación de Ashley Madison
En julio de 2015, un grupo de hackers conocido como The Impact Team vulneró con éxito el sitio web de relaciones extramatrimoniales Ashley Madison, creado por Avid Life Media. El grupo afirmó que no solo habían tomado datos de la empresa, sino también datos de los usuarios. Después de la vulneración, The Impact Team filtró correos electrónicos del director ejecutivo de la empresa, para demostrar su punto, y amenazó con filtrar los datos de los clientes a menos que el sitio web se cerrara de forma permanente. [215] Cuando Avid Life Media no sacó el sitio de línea, el grupo publicó dos archivos comprimidos más, uno de 9,7 GB y el segundo de 20 GB. Después del segundo volcado de datos, el director ejecutivo de Avid Life Media, Noel Biderman, renunció; pero el sitio web siguió funcionando.
Ataque de ransomware a Colonial Pipeline
En junio de 2021, un ciberataque derribó el oleoducto de combustible más grande de Estados Unidos y provocó escasez en toda la costa este. [216]
Cuestiones jurídicas y regulación global
Las cuestiones jurídicas internacionales de los ciberataques son de naturaleza complicada. No existe una base global de reglas comunes para juzgar, y eventualmente castigar, los delitos cibernéticos y a los cibercriminales, y cuando las empresas o agencias de seguridad localizan al cibercriminal detrás de la creación de una pieza particular de malware o forma de ciberataque , a menudo las autoridades locales no pueden tomar medidas debido a la falta de leyes bajo las cuales procesarlo. [217] [218] Probar la atribución de delitos y ciberataques cibernéticos también es un problema importante para todas las agencias de aplicación de la ley. " Los virus informáticos cambian de un país a otro, de una jurisdicción a otra, moviéndose por el mundo, aprovechando el hecho de que no tenemos la capacidad de vigilar globalmente operaciones como esta. De modo que Internet es como si alguien [hubiera] dado boletos de avión gratis a todos los criminales en línea del mundo". [217] El uso de técnicas como DNS dinámico , fast flux y servidores a prueba de balas se suma a la dificultad de la investigación y la aplicación de la ley.
El papel del gobierno
El papel del gobierno es crear regulaciones para obligar a las empresas y organizaciones a proteger sus sistemas, infraestructura e información de cualquier ciberataque, pero también proteger su propia infraestructura nacional, como la red eléctrica nacional . [219]
El papel regulador del gobierno en el ciberespacio es complicado. Para algunos, el ciberespacio era visto como un espacio virtual que debía permanecer libre de la intervención gubernamental, como se puede ver en muchos de los debates libertarios actuales sobre la cadena de bloques y el bitcoin . [220]
Muchos funcionarios gubernamentales y expertos piensan que el gobierno debería hacer más y que existe una necesidad crucial de mejorar la regulación, principalmente debido al fracaso del sector privado para resolver de manera eficiente el problema de la ciberseguridad. R. Clarke dijo durante un panel de discusión en la Conferencia de Seguridad RSA en San Francisco que cree que "la industria solo responde cuando se amenaza con la regulación. Si la industria no responde (a la amenaza), hay que seguir adelante". [221] Por otro lado, los ejecutivos del sector privado están de acuerdo en que son necesarias mejoras, pero piensan que la intervención del gobierno afectaría su capacidad para innovar de manera eficiente. Daniel R. McCarthy analizó esta asociación público-privada en materia de ciberseguridad y reflexionó sobre el papel de la ciberseguridad en la constitución más amplia del orden político. [222]
El 22 de mayo de 2020, el Consejo de Seguridad de las Naciones Unidas celebró su segunda reunión informal sobre ciberseguridad para centrarse en los desafíos cibernéticos a la paz internacional . Según el Secretario General de las Naciones Unidas, António Guterres , las nuevas tecnologías se utilizan con demasiada frecuencia para violar derechos. [223]
Acciones internacionales
Existen muchos equipos y organizaciones diferentes, entre ellos:
El Foro de Equipos de Respuesta a Incidentes y Seguridad (FIRST) es la asociación global de CSIRT. [224] El US-CERT , AT&T , Apple , Cisco , McAfee y Microsoft son todos miembros de este equipo internacional. [225]
El Consejo de Europa ayuda a proteger a las sociedades de todo el mundo de la amenaza de la ciberdelincuencia a través del Convenio sobre la Ciberdelincuencia. [226]
El objetivo del Grupo de Trabajo Anti-Abuso de Mensajería (MAAWG) es reunir a la industria de la mensajería para trabajar en colaboración y abordar con éxito las diversas formas de abuso de la mensajería, como el spam, los virus, los ataques de denegación de servicio y otras explotaciones de la mensajería. [227] France Telecom , Facebook , AT&T , Apple , Cisco y Sprint son algunos de los miembros del MAAWG. [228]
El 14 de abril de 2016, el Parlamento Europeo y el Consejo de la Unión Europea adoptaron el Reglamento General de Protección de Datos (RGPD). El RGPD, que entró en vigor el 25 de mayo de 2018, otorga a las personas físicas dentro de la Unión Europea (UE) y el Espacio Económico Europeo (EEE) el derecho a la protección de los datos personales . El reglamento exige que cualquier entidad que procese datos personales incorpore la protección de datos desde el diseño y por defecto. También exige que determinadas organizaciones designen un Responsable de Protección de Datos (OPD).
Acciones nacionales
Equipos de respuesta a emergencias informáticas
La mayoría de los países tienen su propio equipo de respuesta a emergencias informáticas para proteger la seguridad de la red.
Canadá
Desde 2010, Canadá cuenta con una estrategia de ciberseguridad. [229] [230] Esta funciona como un documento equivalente a la Estrategia Nacional y Plan de Acción para Infraestructura Crítica. [231] La estrategia tiene tres pilares principales: proteger los sistemas gubernamentales, proteger los sistemas cibernéticos privados vitales y ayudar a los canadienses a estar seguros en línea. [230] [231] También existe un Marco de Gestión de Incidentes Cibernéticos para proporcionar una respuesta coordinada en caso de un incidente cibernético. [232] [233]
El Centro Canadiense de Respuesta a Incidentes Cibernéticos (CCIRC) es responsable de mitigar y responder a las amenazas a la infraestructura crítica y los sistemas cibernéticos de Canadá. Proporciona apoyo para mitigar las amenazas cibernéticas, apoyo técnico para responder y recuperarse de ataques cibernéticos dirigidos y proporciona herramientas en línea para los miembros de los sectores de infraestructura crítica de Canadá. [234] Publica boletines periódicos sobre ciberseguridad [235] y opera una herramienta de informes en línea donde las personas y las organizaciones pueden informar sobre un incidente cibernético. [236]
Para informar al público en general sobre cómo protegerse en línea, Seguridad Pública Canadá se ha asociado con STOP.THINK.CONNECT, una coalición de organizaciones sin fines de lucro, del sector privado y gubernamentales, [237] y lanzó el Programa de Cooperación en Seguridad Cibernética. [238] [239] También administran el portal GetCyberSafe para ciudadanos canadienses y el Mes de Concientización sobre Seguridad Cibernética durante octubre. [240]
Seguridad Pública de Canadá se propone iniciar una evaluación de la estrategia de ciberseguridad de Canadá a principios de 2015. [231]
Australia
El gobierno federal australiano anunció una inversión de 18,2 millones de dólares para fortalecer la resiliencia en materia de ciberseguridad de las pequeñas y medianas empresas (PYME) y mejorar sus capacidades para responder a las amenazas cibernéticas. Este respaldo financiero es un componente integral de la Estrategia de Ciberseguridad Australiana 2023-2030, que se dará a conocer próximamente y que se publicará esta semana. Se ha destinado una importante partida de 7,2 millones de dólares para el establecimiento de un programa voluntario de comprobación de la salud cibernética, que facilite a las empresas la realización de una autoevaluación integral y personalizada de sus habilidades en materia de ciberseguridad.
Esta vanguardista evaluación sanitaria sirve como herramienta de diagnóstico que permite a las empresas determinar la solidez de las normas de ciberseguridad de Australia. Además, les ofrece acceso a un repositorio de materiales y recursos educativos que fomentan la adquisición de las habilidades necesarias para una postura de ciberseguridad superior. Esta innovadora iniciativa fue presentada conjuntamente por la Ministra de Ciberseguridad Clare O'Neil y la Ministra de Pequeñas Empresas Julie Collins . [241]
India
Algunas disposiciones sobre ciberseguridad se han incorporado a las normas elaboradas en virtud de la Ley de Tecnología de la Información de 2000. [242]
La Política Nacional de Seguridad Cibernética de 2013 es un marco de políticas del Ministerio de Electrónica y Tecnología de la Información (MeitY) que tiene como objetivo proteger la infraestructura pública y privada de los ciberataques y salvaguardar "la información, como la información personal (de los usuarios de Internet), la información financiera y bancaria y los datos soberanos". CERT-In es la agencia nodal que monitorea las amenazas cibernéticas en el país. También se ha creado el puesto de Coordinador Nacional de Seguridad Cibernética en la Oficina del Primer Ministro (PMO) .
La Ley de Sociedades de la India de 2013 también ha introducido obligaciones en materia de ciberseguridad y ciberlegislación por parte de los directores indios. Algunas disposiciones en materia de ciberseguridad se han incorporado a las normas elaboradas en virtud de la Ley de Tecnología de la Información de 2000, actualizada en 2013. [243]
Corea del Sur
Tras los ciberataques de la primera mitad de 2013, cuando se vieron comprometidos el gobierno, los medios de comunicación, las estaciones de televisión y los sitios web de los bancos, el gobierno nacional se comprometió a formar a 5.000 nuevos expertos en ciberseguridad para 2017. El gobierno de Corea del Sur culpó a su homólogo del norte por estos ataques, así como por los incidentes ocurridos en 2009, 2011 [244] y 2012, pero Pyongyang niega las acusaciones. [245]
Estados Unidos
Plan cibernético
Estados Unidos tiene su primer plan cibernético completamente formado en 15 años, como resultado de la publicación de este plan cibernético nacional. [246] En esta política, Estados Unidos dice que: protegerá al país manteniendo seguras las redes, los sistemas, las funciones y los datos; promoverá la riqueza estadounidense construyendo una economía digital fuerte y alentando una fuerte innovación interna; se debe mantener la paz y la seguridad facilitando que Estados Unidos impida que las personas usen herramientas informáticas para cosas malas, trabajando con amigos y socios para hacer esto; y aumentará el impacto de Estados Unidos en todo el mundo para apoyar las ideas principales detrás de una Internet abierta, segura, confiable y compatible. [247]
La nueva estrategia cibernética de Estados Unidos [248] busca disipar algunas de esas preocupaciones promoviendo un comportamiento responsable en el ciberespacio , instando a las naciones a adherirse a un conjunto de normas, tanto a través del derecho internacional como de estándares voluntarios. También exige medidas específicas para fortalecer las redes del gobierno estadounidense frente a ataques, como la intrusión en junio de 2015 en la Oficina de Gestión de Personal (OPM) de Estados Unidos, que comprometió los registros de unos 4,2 millones de empleados gubernamentales actuales y anteriores. Y la estrategia exige que Estados Unidos continúe identificando y avergonzando a los malos actores cibernéticos, denunciándolos públicamente por los ataques cuando sea posible, junto con el uso de sanciones económicas y presión diplomática. [249]
Legislación
La Ley de Fraude y Abuso Informático de 1986, 18 USC § 1030, es la legislación clave. Prohíbe el acceso no autorizado o el daño a computadoras protegidas , tal como se define en 18 USC § 1030(e)(2) . Aunque se han propuesto varias otras medidas [250] [251] , ninguna ha tenido éxito.
En respuesta al ataque de ransomware Colonial Pipeline [252], el presidente Joe Biden firmó la Orden Ejecutiva 14028 [253] el 12 de mayo de 2021, para aumentar los estándares de seguridad del software para las ventas al gobierno, reforzar la detección y la seguridad en los sistemas existentes, mejorar el intercambio de información y la capacitación, establecer una Junta de Revisión de Seguridad Cibernética y mejorar la respuesta a incidentes.
Servicios de pruebas estandarizadas del gobierno
La Administración de Servicios Generales (GSA) ha estandarizado [ ¿cuándo? ] el servicio de pruebas de penetración como un servicio de soporte previamente examinado, para abordar rápidamente las vulnerabilidades potenciales y detener a los adversarios antes de que afecten a los gobiernos federales, estatales y locales de los EE. UU. Estos servicios se conocen comúnmente como Servicios de Ciberseguridad Altamente Adaptativos (HACS).
Agencias
El Departamento de Seguridad Nacional tiene una división dedicada responsable del sistema de respuesta, el programa de gestión de riesgos y los requisitos de ciberseguridad en los Estados Unidos llamada División Nacional de Ciberseguridad . [254] [255] La división es el hogar de las operaciones del US-CERT y del Sistema Nacional de Alerta Cibernética. [255] El Centro Nacional de Integración de Comunicaciones y Ciberseguridad reúne a las organizaciones gubernamentales responsables de proteger las redes informáticas y la infraestructura en red. [256]
El Comando Cibernético de los Estados Unidos , también conocido como USCYBERCOM, "tiene la misión de dirigir, sincronizar y coordinar la planificación y las operaciones en el ciberespacio para defender y promover los intereses nacionales en colaboración con socios nacionales e internacionales". [263] No tiene ningún papel en la protección de las redes civiles. [264] [265]
El papel de la Comisión Federal de Comunicaciones de los Estados Unidos en materia de ciberseguridad es fortalecer la protección de la infraestructura de comunicaciones crítica, ayudar a mantener la confiabilidad de las redes durante los desastres, ayudar a una recuperación rápida después de ellos y garantizar que los equipos de primera respuesta tengan acceso a servicios de comunicaciones eficaces. [266]
En 2004, el Departamento de Defensa de los Estados Unidos (DoD) emitió la Directiva DoD 8570, complementada por la Directiva DoD 8140, que exige que todos los empleados del DoD y todo el personal contratado del DoD que participe en funciones y actividades de garantía de la información obtengan y mantengan diversas certificaciones de tecnología de la información (TI) en un esfuerzo por garantizar que todo el personal del DoD involucrado en la defensa de la infraestructura de la red tenga niveles mínimos de conocimientos, habilidades y capacidades (KSA) reconocidos por la industria de TI. Andersson y Reimers (2019) informan que estas certificaciones van desde A+ y Security+ de CompTIA hasta CISSP de ICS2.org, etc. [272]
Equipo de preparación para emergencias informáticas
El equipo de respuesta ante emergencias informáticas es el nombre que se da a los grupos de expertos que se encargan de los incidentes de seguridad informática. En Estados Unidos existen dos organizaciones distintas, aunque trabajan en estrecha colaboración.
Existe una creciente preocupación por la posibilidad de que el ciberespacio se convierta en el próximo escenario de guerra. Como escribió Mark Clayton, de The Christian Science Monitor, en un artículo de 2015 titulado "La nueva carrera armamentista cibernética":
En el futuro, las guerras no sólo serán libradas por soldados con armas o con aviones que lanzan bombas. También se librarán con un clic de ratón a medio mundo de distancia que activará programas informáticos cuidadosamente armados que perturbarán o destruirán sectores críticos como los de servicios públicos, transporte, comunicaciones y energía. Estos ataques también podrían inutilizar las redes militares que controlan el movimiento de tropas, la trayectoria de los aviones de combate y el mando y control de los buques de guerra. [277]
Hay algunas voces críticas que cuestionan si la ciberseguridad es una amenaza tan importante como se la presenta. [279] [280] [281]
Carreras
La ciberseguridad es un campo de TI en rápido crecimiento que se ocupa de reducir el riesgo de que las organizaciones sufran ataques informáticos o violaciones de datos. [282] Según una investigación del Enterprise Strategy Group, el 46% de las organizaciones afirman que tienen una "escasez problemática" de habilidades en ciberseguridad en 2016, frente al 28% en 2015. [283] Las organizaciones comerciales, gubernamentales y no gubernamentales emplean profesionales en ciberseguridad. Los aumentos más rápidos en la demanda de trabajadores en ciberseguridad se dan en industrias que gestionan volúmenes cada vez mayores de datos de consumidores, como las finanzas, la atención médica y el comercio minorista. [284] Sin embargo, el uso del término ciberseguridad es más frecuente en las descripciones de puestos de trabajo gubernamentales. [285]
Los títulos y descripciones de puestos de trabajo típicos en materia de ciberseguridad incluyen: [286]
Analista de seguridad
Analiza y evalúa las vulnerabilidades de la infraestructura (software, hardware, redes), investiga utilizando las herramientas y contramedidas disponibles para remediar las vulnerabilidades detectadas y recomienda soluciones y mejores prácticas. Analiza y evalúa los daños a los datos/infraestructura como resultado de incidentes de seguridad, examina las herramientas y procesos de recuperación disponibles y recomienda soluciones. Prueba el cumplimiento de las políticas y procedimientos de seguridad. Puede ayudar en la creación, implementación o gestión de soluciones de seguridad.
Ingeniero de seguridad
Realiza monitoreo de seguridad, análisis de seguridad y de datos/registros, y análisis forense para detectar incidentes de seguridad y preparar la respuesta a incidentes. Investiga y utiliza nuevas tecnologías y procesos para mejorar las capacidades de seguridad e implementar mejoras. También puede revisar códigos o aplicar otras metodologías de ingeniería de seguridad .
Arquitecto de seguridad
Diseña un sistema de seguridad o los componentes principales de un sistema de seguridad y puede dirigir un equipo de diseño de seguridad que construya un nuevo sistema de seguridad. [287]
Director de Seguridad de la Información (CISO)
Puesto de gestión de alto nivel responsable de toda la división/personal de seguridad de la información. El puesto puede incluir trabajo técnico práctico. [288]
Director de Seguridad (CSO)
Un puesto de gestión de alto nivel responsable de toda la división de seguridad y del personal. Ahora se considera necesario un nuevo puesto a medida que aumentan los riesgos de seguridad.
Responsable de Protección de Datos (OPD)
Un DPO tiene la tarea de supervisar el cumplimiento de las leyes de protección de datos (como el RGPD ), las políticas de protección de datos, la concientización, la capacitación y las auditorías. [289]
Consultor de seguridad/Especialista/Inteligencia
Títulos amplios que abarcan uno o todos los demás roles o títulos encargados de proteger computadoras, redes, software, datos o sistemas de información contra virus, gusanos, spyware, malware, detección de intrusiones, acceso no autorizado, ataques de denegación de servicio y una lista cada vez mayor de ataques de piratas informáticos que actúan como individuos o como parte del crimen organizado o gobiernos extranjeros.
También hay programas para estudiantes disponibles para personas interesadas en comenzar una carrera en ciberseguridad. [290] [291] Mientras tanto, una opción flexible y eficaz para que los profesionales de la seguridad de la información de todos los niveles de experiencia sigan estudiando es la capacitación en seguridad en línea, que incluye transmisiones web. [292] [293] También hay disponible una amplia gama de cursos certificados. [294]
En Singapur, la Agencia de Seguridad Cibernética ha publicado un Marco de Competencia en Ciberseguridad de Tecnología Operativa (OT) de Singapur (OTCCF). El marco define los roles emergentes en materia de ciberseguridad en la Tecnología Operativa. El OTCCF fue aprobado por la Autoridad de Desarrollo de Medios de Infocomunicación (IMDA). Describe los diferentes puestos de trabajo en ciberseguridad de OT, así como las habilidades técnicas y competencias básicas necesarias. También describe las muchas trayectorias profesionales disponibles, incluidas las oportunidades de avance vertical y lateral. [297]
Terminología
A continuación se explican los siguientes términos utilizados en relación con la seguridad informática:
Las aplicaciones son código ejecutable , por lo que la práctica corporativa general es restringir o bloquear a los usuarios el poder de instalarlas; instalarlas solo cuando haya una necesidad demostrada (por ejemplo, software necesario para realizar tareas); instalar solo aquellas que se sabe que son confiables (preferiblemente con acceso al código de computadora utilizado para crear la aplicación) y reducir la superficie de ataque instalando la menor cantidad posible. Por lo general, se ejecutan con el mínimo privilegio , con un proceso sólido para identificar, probar e instalar cualquier parche de seguridad o actualización publicado para ellas.
Por ejemplo, los programas se pueden instalar en la cuenta de un usuario individual, lo que limita el acceso potencial del programa, además de ser un medio para controlar qué usuarios tienen excepciones específicas a la política. En Linux , FreeBSD , OpenBSD y otros sistemas operativos similares a Unix , existe una opción para restringir aún más una aplicación mediante chroot u otros medios para restringir la aplicación a su propio "sandbox" . Por ejemplo, Linux proporciona espacios de nombres y Cgroups para restringir aún más el acceso de una aplicación a los recursos del sistema.
Los marcos de seguridad generalizados como SELinux o AppArmor ayudan a los administradores a controlar el acceso.
Java y otros lenguajes que se compilan en código de bytes Java y se ejecutan en la máquina virtual Java pueden tener acceso a otras aplicaciones controladas a nivel de la máquina virtual.
Algunos programas pueden ejecutarse en contenedores de software que incluso pueden proporcionar su propio conjunto de bibliotecas de sistema, lo que limita el acceso del software, o de cualquiera que lo controle, a las versiones de las bibliotecas del servidor.
Las copias de seguridad son una o más copias que se guardan de archivos informáticos importantes. Normalmente, se guardan varias copias en diferentes ubicaciones para que, si una copia se roba o se daña, sigan existiendo otras copias.
Las técnicas de listas de control de acceso y de capacidades se pueden utilizar para garantizar la separación de privilegios y el control de acceso obligatorio. En Capacidades frente a listas de control de acceso se analiza su uso.
La ciberguerra es un conflicto basado en Internet que implica ataques con motivaciones políticas a la información y a los sistemas de información. Estos ataques pueden, por ejemplo, inutilizar sitios web y redes oficiales, interrumpir o desactivar servicios esenciales, robar o alterar datos clasificados y paralizar sistemas financieros.
La integridad de los datos es la precisión y consistencia de los datos almacenados, indicada por la ausencia de cualquier alteración en los datos entre dos actualizaciones de un registro de datos. [299]
Las técnicas criptográficas implican transformar la información, descifrándola para que no pueda leerse durante la transmisión. El destinatario puede descifrar el mensaje; lo ideal sería que los espías no pudieran hacerlo.
El software de seguridad de puntos finales ayuda a las redes a prevenir infecciones de malware y robo de datos en puntos de entrada de la red que se vuelven vulnerables por la prevalencia de dispositivos potencialmente infectados, como computadoras portátiles, dispositivos móviles y unidades USB. [300]
Los firewalls funcionan como un sistema de control entre redes, permitiendo solo el tráfico que cumple con las reglas definidas. A menudo incluyen un registro detallado y pueden incluir funciones de detección y prevención de intrusiones . Son casi universales entre las redes de área local de la empresa e Internet, pero también se pueden usar internamente para imponer reglas de tráfico entre redes si se configura la segmentación de la red .
Un hacker es alguien que busca violar las defensas y explotar las debilidades de un sistema informático o red.
Los honeypots son equipos que se dejan deliberadamente vulnerables a los ataques de los piratas informáticos. Se pueden utilizar para atrapar a los piratas informáticos e identificar sus técnicas.
Los sistemas de detección de intrusiones son dispositivos o aplicaciones de software que monitorean redes o sistemas para detectar actividades maliciosas o violaciones de políticas.
Un microkernel es un enfoque de diseño de sistemas operativos que solo ejecuta una cantidad casi mínima de código en el nivel más privilegiado, y ejecuta otros elementos del sistema operativo, como controladores de dispositivos, pilas de protocolos y sistemas de archivos, en el espacio de usuario más seguro y menos privilegiado .
Hacer ping . La aplicación estándar de ping se puede utilizar para comprobar si una dirección IP está en uso. Si es así, los atacantes pueden intentar realizar un escaneo de puertos para detectar qué servicios están expuestos.
Un escaneo de puertos se utiliza para sondear una dirección IP en busca de puertos abiertos para identificar aplicaciones y servicios de red accesibles.
Un key logger es un software espía que captura y almacena silenciosamente cada pulsación de tecla que un usuario escribe en el teclado de la computadora.
La ingeniería social es el uso del engaño para manipular a las personas con el fin de violar la seguridad.
Las bombas lógicas son un tipo de malware que se agrega a un programa legítimo y permanece inactivo hasta que se activa debido a un evento específico.
Un unikernel es un programa informático que se ejecuta en un sistema operativo minimalista en el que se permite la ejecución de una única aplicación (a diferencia de un sistema operativo de propósito general en el que pueden ejecutarse muchas aplicaciones al mismo tiempo). Este enfoque para minimizar la superficie de ataque se adopta principalmente en entornos de nube en los que el software se implementa en máquinas virtuales .
La seguridad de confianza cero significa que, de manera predeterminada, no se confía en nadie, ni dentro ni fuera de la red, y se requiere verificación de todos los que intentan obtener acceso a los recursos de la red.
Historia
Desde la llegada de Internet y con la transformación digital iniciada en los últimos años, la noción de ciberseguridad se ha convertido en un tema familiar tanto en nuestra vida profesional como personal. La ciberseguridad y las ciberamenazas han estado presentes de manera constante durante los últimos 60 años de cambio tecnológico. En las décadas de 1970 y 1980, la seguridad informática se limitaba principalmente al ámbito académico hasta la concepción de Internet, donde, con el aumento de la conectividad, los virus informáticos y las intrusiones en la red comenzaron a despegar. Después de la propagación de los virus en la década de 1990, la década de 2000 marcó la institucionalización de los ataques organizados como la denegación distribuida de servicio . [301] Esto condujo a la formalización de la ciberseguridad como una disciplina profesional. [302]
La sesión de abril de 1967 organizada por Willis Ware en la Conferencia Conjunta de Computación de Primavera , y la posterior publicación del Informe Ware , fueron momentos fundamentales en la historia del campo de la seguridad informática. [303] El trabajo de Ware se extendió a lo largo de la intersección de preocupaciones materiales, culturales, políticas y sociales. [303]
Una publicación del NIST de 1977 [304] introdujo la tríada de la CIA de confidencialidad, integridad y disponibilidad como una forma clara y sencilla de describir los objetivos de seguridad clave. [305] Si bien sigue siendo relevante, desde entonces se han propuesto muchos marcos más elaborados. [306] [307]
Sin embargo, en los años 1970 y 1980 no existían amenazas informáticas graves porque las computadoras e Internet todavía estaban en desarrollo y las amenazas a la seguridad eran fácilmente identificables. Más a menudo, las amenazas provenían de personas malintencionadas que obtenían acceso no autorizado a documentos y archivos confidenciales. Aunque el malware y las brechas de red existían durante los primeros años, no se utilizaban para obtener ganancias económicas. En la segunda mitad de los años 1970, empresas informáticas establecidas como IBM comenzaron a ofrecer sistemas comerciales de control de acceso y productos de software de seguridad informática. [308]
Uno de los primeros ejemplos de un ataque a una red informática fue el gusano Creeper, escrito por Bob Thomas en BBN , que se propagó a través de ARPANET en 1971. [309] El programa era puramente experimental y no contenía ninguna carga maliciosa. Un programa posterior, Reaper , fue creado por Ray Tomlinson en 1972 y utilizado para destruir Creeper. [ cita requerida ]
Entre septiembre de 1986 y junio de 1987, un grupo de piratas informáticos alemanes llevó a cabo el primer caso documentado de espionaje cibernético. [310] El grupo pirateó redes de contratistas de defensa, universidades y bases militares estadounidenses y vendió la información recopilada a la KGB soviética. El grupo estaba dirigido por Markus Hess , quien fue arrestado el 29 de junio de 1987. Fue condenado por espionaje (junto con dos co-conspiradores) el 15 de febrero de 1990.
En 1988, uno de los primeros gusanos informáticos, llamado gusano Morris , se distribuyó a través de Internet y obtuvo una importante atención de los medios de comunicación. [311]
En 1993, Netscape comenzó a desarrollar el protocolo SSL , poco después de que el Centro Nacional para Aplicaciones de Supercomputación (NCSA) lanzara Mosaic 1.0, el primer navegador web, en 1993. [ cita requerida ] [312] Netscape tenía lista la versión 1.0 de SSL en 1994, pero nunca se lanzó al público debido a muchas vulnerabilidades de seguridad graves. Estas debilidades incluían ataques de repetición y una vulnerabilidad que permitía a los piratas informáticos alterar las comunicaciones no cifradas enviadas por los usuarios. Sin embargo, en febrero de 1995, Netscape lanzó la versión 2.0. [313]
La Agencia de Seguridad Nacional (NSA) es responsable de la protección de los sistemas de información de Estados Unidos y también de recopilar inteligencia extranjera. [314] La agencia analiza el software y las configuraciones de sistemas comúnmente utilizados para encontrar fallas de seguridad, que puede utilizar con fines ofensivos contra competidores de los Estados Unidos. [315]
Los contratistas de la NSA crearon y vendieron herramientas de ataque de clic y disparo a agencias estadounidenses y aliados cercanos, pero eventualmente, las herramientas llegaron a adversarios extranjeros. [316] En 2016, las propias herramientas de piratería de la NSA fueron pirateadas y han sido utilizadas por Rusia y Corea del Norte. [ cita requerida ] Los empleados y contratistas de la NSA han sido reclutados con salarios altos por adversarios, ansiosos por competir en la guerra cibernética . [ cita requerida ] En 2007, Estados Unidos e Israel comenzaron a explotar fallas de seguridad en el sistema operativo Microsoft Windows para atacar y dañar equipos utilizados en Irán para refinar materiales nucleares. Irán respondió invirtiendo fuertemente en su propia capacidad de guerra cibernética, que comenzó a usar contra Estados Unidos. [ 315 ]
Política de seguridad de contenido : estándar de seguridad informática para evitar ataques de secuencias de comandos entre sitios y otros ataques relacionados
Interacción hombre-computadora (seguridad) – Disciplina académica que estudia la relación entre los sistemas informáticos y sus usuarios.Pages displaying short descriptions of redirect targets
Gestión de identidad : sistemas técnicos y de políticas para brindar a los usuarios el acceso adecuado
Concientización sobre la seguridad de la información : parte de la seguridad de la información que se centra en aumentar la conciencia sobre los riesgos potenciales de las formas de información en rápida evolución y las amenazas que las acompañan.Pages displaying wikidata descriptions as a fallback
Privacidad en Internet – Derecho o mandato de privacidad personal en relación con Internet
Seguridad en Internet : ser consciente de los riesgos de seguridad y protección en Internet
Perímetro definido por software : enfoque de la seguridad informática desde la Agencia de Sistemas de Información de Defensa de Estados Unidos
Referencias
^ Schatz, Daniel; Bashroush, Rabih; Wall, Julie (2017). "Hacia una definición más representativa de la ciberseguridad". Revista de informática forense, seguridad y derecho . 12 (2). ISSN 1558-7215.
^ Tate, Nick (7 de mayo de 2013). "La dependencia significa el fin del camino para los aficionados a las TIC" . The Australian .
^ Kianpour, Mazaher; Kowalski, Stewart; Øverby, Harald (2021). "Comprensión sistemática de la economía de la ciberseguridad: una encuesta". Sustainability . 13 (24): 13677. doi : 10.3390/su132413677 . hdl : 11250/2978306 . ISSN 2071-1050.
^ Stevens, Tim (11 de junio de 2018). «Ciberseguridad global: nuevas direcciones en teoría y métodos» (PDF) . Politics and Governance . 6 (2): 1–4. doi : 10.17645/pag.v6i2.1569 . Archivado (PDF) desde el original el 4 de septiembre de 2019.
^ "Acerca del programa CVE". www.cve.org . Consultado el 12 de abril de 2023 .
^ Zlatanov, Nikola (3 de diciembre de 2015). Desafíos de la seguridad informática y de la seguridad móvil. Conferencia sobre seguridad tecnológica en: San Francisco, CA.
^ "Ghidra". nsa.gov . 1 de agosto de 2018. Archivado desde el original el 15 de agosto de 2020 . Consultado el 17 de agosto de 2020 .
^ Larabel, Michael (28 de diciembre de 2017). "Syzbot: Google continuamente está fuzzeando el kernel de Linux". www.phoronix.com/ . Consultado el 25 de marzo de 2021 .
^ abc "Ataques cibernéticos a pymes: estadísticas actuales y cómo prevenirlos". crowdstrike.com . Consultado el 30 de noviembre de 2023 .
^ ab "Encuesta sobre brechas de seguridad cibernética 2023". GOV.UK . Consultado el 30 de noviembre de 2023 .
^ ab "Cómo funcionan los ciberataques". www.ncsc.gov.uk . Consultado el 30 de noviembre de 2023 .
^ "¿Qué es un ataque de puerta trasera? Definición y prevención | NordVPN". nordvpn.com . 30 de noviembre de 2023 . Consultado el 3 de enero de 2024 .
^ ab "¿Qué es un ataque de puerta trasera?". McAfee . 4 de diciembre de 2023 . Consultado el 4 de diciembre de 2023 .
^ abc "Orientación sobre denegación de servicio (DoS)". www.ncsc.gov.uk. Consultado el 4 de diciembre de 2023 .
^ "Seguridad informática". www.interelectronix.com . Consultado el 30 de noviembre de 2023 .
^ ab "¿Qué es un ataque DMA? Análisis y mitigación". Kroll . Consultado el 4 de diciembre de 2023 .
^ ab "¿Qué son los ataques de espionaje?". Fortinet . Consultado el 5 de diciembre de 2023 .
^ York, Dan (1 de enero de 2010), York, Dan (ed.), "Capítulo 3: escuchas clandestinas y modificación", Los siete ataques más letales a las comunicaciones unificadas , Boston: Syngress, págs. 41-69, ISBN978-1-59749-547-9, consultado el 5 de diciembre de 2023
^ "¿Qué son los ataques de espionaje y cómo prevenirlos?". Verizon Enterprise . Consultado el 5 de diciembre de 2023 .
^ abcdef "¿Qué es el malware? | IBM". www.ibm.com . 14 de abril de 2022 . Consultado el 6 de diciembre de 2023 .
^ Bendovschi, Andreea (2015). "Ciberataques: tendencias, patrones y contramedidas de seguridad". Procedia Economics and Finance . 28 : 24–31. doi : 10.1016/S2212-5671(15)01077-1 .
^ "¿Qué es el malware?". McAfee . Consultado el 30 de noviembre de 2023 .
^ ab "¿Qué es un ataque man-in-the-middle y cómo puedo proteger mi organización?". verizon.com .
^ "Los ataques multivectoriales exigen protección multivectorial". Alerta MSSP . 24 de julio de 2017.
^ Millman, Renee (15 de diciembre de 2017). "Nuevo malware polimórfico evade tres cuartas partes de los escáneres de antivirus". Revista SC UK .
^ abc Tounsi, Wiem (15 de mayo de 2019), Tounsi, Wiem (ed.), "¿Qué es la inteligencia sobre amenazas cibernéticas y cómo está evolucionando?" , Cyber-Vigilance and Digital Trust (1.ª ed.), Wiley, págs. 1–49, doi :10.1002/9781119618393.ch1, ISBN978-1-78630-448-3, S2CID 187294508 , consultado el 6 de diciembre de 2023
^ "Identificación de intentos de phishing". Caso. Archivado desde el original el 13 de septiembre de 2015 . Consultado el 4 de julio de 2016 .
^ "Protéjase del phishing – Soporte técnico de Microsoft". support.microsoft.com . Consultado el 6 de diciembre de 2023 .
^ Lazarus, Ari (23 de febrero de 2018). «Los estafadores envían facturas falsas». Información al consumidor . Consultado el 17 de febrero de 2020 .
^ "Seguridad del correo electrónico". Trellix . 17 de mayo de 2022. Archivado desde el original el 22 de mayo de 2022 . Consultado el 24 de octubre de 2022 .
^ abcd "¿Qué es la escalada de privilegios? – CrowdStrike". crowdstrike.com . Consultado el 7 de diciembre de 2023 .
^ Arcos Sergio. «Ingeniería social» (PDF) . upc.edu . Archivado (PDF) del original el 3 de diciembre de 2013. Consultado el 16 de abril de 2019 .
^ Scannell, Kara (24 de febrero de 2016). «CEO email scam costs companies $2bn» (Estafas de correo electrónico de directores ejecutivos le cuestan a las empresas 2.000 millones de dólares). Financial Times . N.º 25 de febrero de 2016. Archivado desde el original el 23 de junio de 2016. Consultado el 7 de mayo de 2016 .
^ "Los Bucks filtran información fiscal de jugadores y empleados como resultado de una estafa por correo electrónico". Associated Press. 20 de mayo de 2016. Archivado desde el original el 20 de mayo de 2016 . Consultado el 20 de mayo de 2016 .
^ "¿Qué es el Spoofing? – Definición de Techopedia". techopedia.com . Archivado desde el original el 30 de junio de 2016 . Consultado el 16 de enero de 2022 .
^ Butterfield, Andrew; Ngondi, Gerard Ekembe, eds. (21 de enero de 2016). "spoofing". Diccionario de informática . Oxford University Press. doi :10.1093/acref/9780199688975.001.0001. ISBN978-0199688975. Recuperado el 8 de octubre de 2017 .
^ Marcel, Sébastien; Nixon, Mark; Li, Stan, eds. (2014). Manual de anti-suplantación biométrica: biometría confiable ante ataques de suplantación . Avances en visión artificial y reconocimiento de patrones. Londres: Springer. doi :10.1007/978-1-4471-6524-8. ISBN .978-1447165248. ISSN 2191-6594. LCCN 2014942635. S2CID 27594864.
^ "80 a 0 en menos de 5 segundos: falsificación de los signos vitales de un paciente médico". www.trellix.com . Consultado el 9 de febrero de 2023 .
^ Gallagher, Sean (14 de mayo de 2014). "Fotos de una fábrica de "actualizaciones" de la NSA muestran la implantación de un enrutador Cisco". Ars Technica . Archivado desde el original el 4 de agosto de 2014 . Consultado el 3 de agosto de 2014 .
^ ab Intelligence, Microsoft Threat (11 de noviembre de 2021). «Aumento del contrabando de HTML: técnica de carga altamente evasiva cada vez más utilizada en malware bancario y ataques dirigidos». Blog de seguridad de Microsoft . Consultado el 7 de diciembre de 2023 .
^ "Archivos o información ofuscados: contrabando de HTML, subtécnica T1027.006 – Enterprise | MITRE ATT&CK®". attack.mitre.org . Consultado el 22 de febrero de 2023 .
^ Lim, Joo S.; Chang, Shanton; Maynard, Sean; Ahmad, Atif (2009). "Explorando la relación entre la cultura organizacional y la cultura de seguridad de la información". Actas de la 7.ª Conferencia australiana sobre gestión de la seguridad de la información . Perth. Security Research Institute (SRI), Universidad Edith Cowan: del 1 al 3 de diciembre de 2009. doi :10.4225/75/57B4065130DEF.
^ Reimers, Karl; Andersson, David (2017). Seguridad de la red de educación postsecundaria: el desafío del usuario final y las amenazas en evolución. Actas de ICERI2017. Vol. 1. IATED. págs. 1787–1796. doi :10.21125/iceri.2017.0554. ISBN978-84-697-6957-7. ISSN 2340-1095.
^ Informe de investigaciones sobre violaciones de datos de Verizon 2020 (PDF) . verizon.com (Informe). Archivado (PDF) del original el 19 de mayo de 2020 . Consultado el 17 de septiembre de 2021 .
^ abc Schlienger, Thomas; Teufel, Stephanie (2003). "Cultura de seguridad de la información: del análisis al cambio". Revista informática sudafricana . 31 : 46–52. hdl :10520/EJC27949.
^ Glosario de seguridad en Internet. doi : 10.17487/RFC2828 . RFC 2828.
^ "Instrucción CNSS Nº 4009" (PDF) . 26 de abril de 2010. Archivado desde el original (PDF) el 27 de febrero de 2012.
^ "Glosario de InfosecToday" (PDF) . Archivado (PDF) del original el 20 de noviembre de 2014.
^ "Principios de diseño de seguridad cibernética". www.ncsc.gov.uk . Consultado el 11 de diciembre de 2023 .
^ ab "Cómo piensa el NCSC sobre la arquitectura de seguridad". www.ncsc.gov.uk . Consultado el 18 de diciembre de 2023 .
^ "Arquitectura y diseño de sistemas seguros". Consejo de ciberseguridad del Reino Unido . 2024. Consultado el 4 de enero de 2024 .
^ "Arquitectura de seguridad – Glosario | CSRC". csrc.nist.gov . Consultado el 18 de diciembre de 2023 .
^ Jannsen, Cory. «Arquitectura de seguridad». Techopedia . Janalta Interactive Inc. Archivado desde el original el 3 de octubre de 2014. Consultado el 9 de octubre de 2014 .
^ ab Oppliger, Rolf (1 de mayo de 1997). "Seguridad en Internet: cortafuegos y más allá". Comunicaciones de la ACM . 40 (5): 92–102. doi : 10.1145/253769.253802 . ISSN 0001-0782.
^ "Cómo aumentar la concienciación sobre la ciberseguridad". ISACA . Consultado el 25 de febrero de 2023 .
^ Woodie, Alex (9 de mayo de 2016). «Por qué ONI puede ser nuestra mejor esperanza para la ciberseguridad en la actualidad». Archivado desde el original el 20 de agosto de 2016. Consultado el 13 de julio de 2016 .
^ Walkowski, Debbie (9 de julio de 2019). "¿Qué es la tríada de la CIA?". F5 Labs . Consultado el 25 de febrero de 2020 .
^ "Conocer el valor de los activos de datos es crucial para la gestión de riesgos de ciberseguridad | SecurityWeek.Com". www.securityweek.com . 3 de diciembre de 2018 . Consultado el 25 de febrero de 2020 .
^ Foreman, Park (2009). Gestión de vulnerabilidades . Boca Raton, Fla.: Auerbach Publications. p. 1. ISBN978-1-4398-0150-5.
^ Johnson, A. (2018). Guía complementaria de operaciones de ciberseguridad CCNA. Cisco Press. ISBN978-0135166246.
^ Calder, Alan; Williams, Geraint (2014). PCI DSS: una guía de bolsillo (3.ª edición). IT Governance Limited. ISBN978-1849285544. análisis de vulnerabilidad de la red al menos trimestralmente y después de cualquier cambio significativo en la red
^ Harrison, J. (2003). Verificación formal en Intel . 18.° Simposio anual IEEE sobre lógica en informática, 2003. Actas. págs. 45–54. doi :10.1109/LICS.2003.1210044. ISBN.978-0769518848.S2CID 44585546 .
^ Umrigar, Zerksis D.; Pitchumani, Vijay (1983). Verificación formal de un diseño de hardware en tiempo real. Actas de la 20.ª Conferencia de Automatización del Diseño DAC '83. IEEE Press. págs. 221–227. ISBN978-0818600265.
^ "Especificación formal abstracta de la API seL4/ARMv6" (PDF) . Archivado desde el original (PDF) el 21 de mayo de 2015 . Consultado el 19 de mayo de 2015 .
^ Baumann, Christoph; Beckert, Bernhard; Blasum, Holger; Bormer, Thorsten. ¿Ingredientes de la corrección del sistema operativo? Lecciones aprendidas en la verificación formal de PikeOS (PDF) . Conferencia Mundial Integrada, Núremberg, Alemania. Archivado desde el original (PDF) el 19 de julio de 2011.
^ Ganssle, Jack. "Cómo hacerlo bien". Archivado desde el original el 4 de mayo de 2013.
^ "Todo lo que necesitas para una carrera como analista de SOC". www.cybersecurityjobsite.com . Consultado el 19 de diciembre de 2023 .
^ "Activar la verificación en dos pasos (2SV)" www.ncsc.gov.uk . Consultado el 19 de diciembre de 2023 .
^ "La capacitación en ciberseguridad del NCSC para el personal ya está disponible". www.ncsc.gov.uk . Consultado el 19 de diciembre de 2023 .
^ Treglia, J.; Delia, M. (2017). Inoculación en materia de ciberseguridad . Conferencia sobre ciberseguridad del estado de Nueva York, Empire State Plaza Convention Center, Albany, NY, 3 y 4 de junio.
^ "¿Qué es un dongle de licencia?". www.revenera.com . Consultado el 12 de junio de 2024 .
^ "Autenticación basada en tokens". SafeNet.com. Archivado desde el original el 20 de marzo de 2014. Consultado el 20 de marzo de 2014 .
^ "Bloquee y proteja su PC con Windows". TheWindowsClub.com. 10 de febrero de 2010. Archivado desde el original el 20 de marzo de 2014. Consultado el 20 de marzo de 2014 .
^ James Greene (2012). «Intel Trusted Execution Technology: White Paper» (PDF) . Intel Corporation. Archivado (PDF) del original el 11 de junio de 2014. Consultado el 18 de diciembre de 2013 .
^ "SafeNet ProtectDrive 8.4". SCMagazine.com. 4 de octubre de 2008. Archivado desde el original el 20 de marzo de 2014. Consultado el 20 de marzo de 2014 .
^ "Discos duros seguros: bloquee sus datos". PCMag.com. 11 de mayo de 2009. Archivado desde el original el 21 de junio de 2017.
^ Souppaya, Murugiah P.; Scarfone, Karen (2013). "Directrices para la gestión de la seguridad de dispositivos móviles en la empresa". Instituto Nacional de Normas y Tecnología . Publicación especial (NIST SP). Gaithersburg, MD. doi : 10.6028/NIST.SP.800-124r1 .
^ "Estadísticas de control de acceso: tendencias y perspectivas". 23 de febrero de 2024. Consultado el 26 de abril de 2024 .
^ "Olvídate de los documentos de identidad, usa tu teléfono como credencial". Fox Business Network . 4 de noviembre de 2013. Archivado desde el original el 20 de marzo de 2014. Consultado el 20 de marzo de 2014 .
^ "Protecciones de acceso directo a memoria para computadoras Mac". Apple . Consultado el 16 de noviembre de 2022 .
^ "Uso de IOMMU para protección DMA en firmware UEFI" (PDF) . Intel Corporation. Archivado (PDF) del original el 9 de diciembre de 2021 . Consultado el 16 de noviembre de 2022 .
^ Babaei, Armin; Schiele, Gregor; Zohner, Michael (26 de julio de 2022). "Arquitectura de seguridad reconfigurable (RESA) basada en PUF para dispositivos IoT basados en FPGA". Sensores . 22 (15): 5577. Bibcode :2022Senso..22.5577B. doi : 10.3390/s22155577 . ISSN 1424-8220. PMC 9331300 . PMID 35898079.
^ Hassija, Vikas; Chamola, Vinay; Gupta, Vatsal; Jain, Sarthak; Guizani, Nadra (15 de abril de 2021). "Una encuesta sobre seguridad de la cadena de suministro: áreas de aplicación, amenazas de seguridad y arquitecturas de soluciones". Revista IEEE Internet of Things . 8 (8): 6222–6246. doi :10.1109/JIOT.2020.3025775. ISSN 2327-4662. S2CID 226767829.
^ "El sistema operativo más seguro: ¿cuál es el sistema operativo más seguro disponible?". Tech.co. Consultado el 19 de diciembre de 2023 .
^ Sanghavi, Alok (21 de mayo de 2010). "¿Qué es la verificación formal?". EE Times_Asia .
^ Ferraiolo, DF y Kuhn, DR (octubre de 1992). "Control de acceso basado en roles" (PDF) . 15.ª Conferencia Nacional de Seguridad Informática : 554–563.
^ Sandhu, R; Coyne, EJ; Feinstein, HL; Youman, CE (agosto de 1996). "Modelos de control de acceso basados en roles" (PDF) . IEEE Computer . 29 (2): 38–47. CiteSeerX 10.1.1.50.7649 . doi :10.1109/2.485845. S2CID 1958270.
^ Abreu, Vilmar; Santin, Altair O.; Viegas, Eduardo K.; Stihler, Maicon (2017). Un modelo de activación de roles multidominio (PDF) . 2017 IEEE International Conference on Communications (ICC). IEEE Press. págs. 1–6. doi :10.1109/ICC.2017.7997247. ISBN978-1467389990.S2CID6185138 .
^ AC O'Connor y RJ Loomis (2002). Análisis económico del control de acceso basado en roles (PDF) . Research Triangle Institute. pág. 145.
^ "Los estudios demuestran una vez más que los usuarios son el eslabón más débil de la cadena de seguridad". CSO Online . 22 de enero de 2014 . Consultado el 8 de octubre de 2018 .
^ "El papel del error humano en los ataques de seguridad exitosos". IBM Security Intelligence . 2 de septiembre de 2014 . Consultado el 8 de octubre de 2018 .
^ "El 90% de los incidentes de seguridad se deben a errores de PEBKAC e ID10T". Computerworld . 15 de abril de 2015 . Consultado el 8 de octubre de 2018 .
^ "Proteja su banca en línea con 2FA". Asociación de Banqueros de Nueva Zelanda . 7 de octubre de 2018. Consultado el 7 de septiembre de 2019 .
^ "Índice de inteligencia de ciberseguridad de IBM Security Services 2014" (PDF) . PcSite . 2014 . Consultado el 9 de octubre de 2020 .
^ Caldwell, Tracey (12 de febrero de 2013). «Negocios riesgosos: por qué la concienciación sobre seguridad es crucial para los empleados». The Guardian . Consultado el 8 de octubre de 2018 .
^ "Desarrollo de una cultura de seguridad". CPNI – Centro para la Protección de la Infraestructura Nacional . Archivado desde el original el 9 de octubre de 2018. Consultado el 8 de octubre de 2018 .
^ ab "Cyber Hygiene – ENISA" . Consultado el 27 de septiembre de 2018 .
^ ab Kaljulaid, Kersti (16 de octubre de 2017). «El presidente de la República en la conferencia tecnológica de Aftenposten» . Consultado el 27 de septiembre de 2018 .
^ "Encuesta sobre brechas de seguridad cibernética 2023". GOV.UK . Consultado el 27 de diciembre de 2023 .
^ Kuchler, Hannah (27 de abril de 2015). «Los ejecutivos de seguridad piden a las empresas que mejoren la 'higiene cibernética'». Financial Times . Archivado desde el original el 10 de diciembre de 2022. Consultado el 27 de septiembre de 2018 .
^ "De la IA a Rusia: así es como el presidente de Estonia planea el futuro". Wired . Consultado el 28 de septiembre de 2018 .
^ "El profesor Len Adleman explica cómo acuñó el término "virus informático"". WeLiveSecurity . 1 de noviembre de 2017 . Consultado el 28 de septiembre de 2018 .
^ "Declaración del Dr. Vinton G. Cerf". www.jec.senate.gov . Consultado el 28 de septiembre de 2018 .
^ Ley de Promoción de la Buena Higiene Cibernética de 2017 en Congress.gov
^ "Análisis | Ciberseguridad 2020: Las agencias luchan con la ciberseguridad básica a pesar de la promesa de Trump de priorizarla". The Washington Post . Consultado el 28 de septiembre de 2018 .
^ "Voces protegidas". Oficina Federal de Investigaciones . Consultado el 28 de septiembre de 2018 .
^ Lin, Tom CW (3 de julio de 2017). "La nueva manipulación del mercado". Emory Law Journal . 66 : 1253. SSRN 2996896.
^ Lin, Tom CW (2016). "Armas financieras de guerra". Minnesota Law Review . SSRN 2765010.
^ Cole, Jeffrey I.; Suman, Michael; Schramm, Phoebe; van Bel, Daniel; Lunn, B.; Maguire, Phyllisane; Hanson, Koran; Singh, Rajesh; Aquino, Jedrix-Sean; Lebo, Harlan (2000). El informe de Internet de la UCLA: un estudio del futuro digital (PDF) . ccp.ucla.edu (Informe). Archivado desde el original (PDF) el 23 de abril de 2003 . Consultado el 15 de septiembre de 2023 .
^ Pagliery, Jose (18 de noviembre de 2014). «Hackers atacaron la red eléctrica estadounidense 79 veces este año». CNN Money . Cable News Network. Archivado desde el original el 18 de febrero de 2015 . Consultado el 16 de abril de 2015 .
^ Neumann, PG (1997). Seguridad informática en la aviación: vulnerabilidades, amenazas y riesgos. Conferencia internacional sobre seguridad y protección de la aviación en el siglo XXI, Comisión de Seguridad y Protección de la Casa Blanca.
^ Dillingham, Gerald L. (20 de septiembre de 2001). Seguridad de la aviación: los actos terroristas demuestran la urgente necesidad de mejorar la seguridad en los aeropuertos del país (informe). Estados Unidos. Oficina General de Contabilidad.
^ "Las vulnerabilidades de los sistemas de control del tráfico aéreo podrían generar cielos hostiles [Black Hat] – SecurityWeek.Com". 27 de julio de 2012. Archivado desde el original el 8 de febrero de 2015.
^ "Hacker dice que puede entrar en los sistemas de los aviones usando Wi-Fi durante el vuelo". NPR . 4 de agosto de 2014. Archivado desde el original el 8 de febrero de 2015 . Consultado el 19 de marzo de 2020 .
^ Jim Finkle (4 de agosto de 2014). «Hacker dice que hay que mostrar aviones de pasajeros en riesgo de ciberataque». Reuters . Archivado desde el original el 13 de octubre de 2015. Consultado el 21 de noviembre de 2021 .
^ Cesar, Alan (15 de diciembre de 2023). «Curso en línea refuerza la ciberseguridad en la aviación». Aerograma . Facultad de Aeronáutica y Astronáutica de la Universidad de Purdue . Consultado el 9 de enero de 2024 .
^ «Pan-European Network Services (PENS) – Eurocontrol.int». Archivado desde el original el 12 de diciembre de 2016.
^ "Servicios centralizados: NewPENS avanza – Eurocontrol.int". 17 de enero de 2016. Archivado desde el original el 19 de marzo de 2017.
^ "NextGen Data Communication". FAA. Archivado desde el original el 13 de marzo de 2015. Consultado el 15 de junio de 2017 .
^ "Pasaportes electrónicos | Seguridad Nacional". www.dhs.gov . Consultado el 3 de febrero de 2023 .
^ "El pasaporte electrónico australiano. Sitio web del Departamento de Asuntos Exteriores y Comercio del Gobierno de Australia". Archivado desde el original el 9 de enero de 2015. Consultado el 1 de mayo de 2023 .
^ ab "¿Su reloj o termostato es un espía? Las empresas de ciberseguridad están trabajando en ello". NPR . 6 de agosto de 2014. Archivado desde el original el 11 de febrero de 2015.
^ Humana Inc. (15 de noviembre de 2000). "El sitio web de Humana fue nombrado el mejor sitio interactivo por eHealthcare Strategy & Trends; re LOUISVILLE, Ky., 15 de noviembre PRNewswire". prnewswire.com .
^ Kruse, CB; Smith, B; Vanderlinden, H; Nealand, A (21 de julio de 2017). "Técnicas de seguridad para los registros médicos electrónicos". Revista de sistemas médicos . 41 (8): 127. doi :10.1007/s10916-017-0778-4. PMC 5522514 . PMID 28733949.
^ Melvin Backman (18 de septiembre de 2014). "Home Depot: 56 millones de tarjetas expuestas en una infracción". CNNMoney . Archivado desde el original el 18 de diciembre de 2014.
^ "Staples: La filtración de datos puede haber afectado a las tarjetas de 1,16 millones de clientes". Fortune.com . 19 de diciembre de 2014. Archivado desde el original el 21 de diciembre de 2014 . Consultado el 21 de diciembre de 2014 .
^ "Objetivo: 40 millones de tarjetas de crédito comprometidas". CNN . 19 de diciembre de 2013. Archivado desde el original el 1 de diciembre de 2017 . Consultado el 29 de noviembre de 2017 .
^ Cowley, Stacy (2 de octubre de 2017). «2,5 millones más de personas potencialmente expuestas en la filtración de datos de Equifax». The New York Times . Archivado desde el original el 1 de diciembre de 2017. Consultado el 29 de noviembre de 2017 .
^ Jim Finkle (23 de abril de 2014). «Exclusiva: el FBI advierte que el sector sanitario es vulnerable a los ciberataques». Reuters . Archivado desde el original el 4 de junio de 2016. Consultado el 23 de mayo de 2016 .
^ Seals, Tara (6 de noviembre de 2015). "La falta de capacitación en seguridad de los empleados afecta a las empresas estadounidenses". Infosecurity Magazine . Archivado desde el original el 9 de noviembre de 2017. Consultado el 8 de noviembre de 2017 .
^ Bright, Peter (15 de febrero de 2011). "Anonymous habla: la historia interna del hackeo de HBGary". Arstechnica.com. Archivado desde el original el 27 de marzo de 2011. Consultado el 29 de marzo de 2011 .
^ Anderson, Nate (9 de febrero de 2011). «Cómo un hombre rastreó a Anonymous y pagó un alto precio». Arstechnica.com. Archivado desde el original el 29 de marzo de 2011. Consultado el 29 de marzo de 2011 .
^ Palilery, Jose (24 de diciembre de 2014). "What caused Sony hack: What we know now". CNN Money . Archivado desde el original el 4 de enero de 2015. Consultado el 4 de enero de 2015 .
^ James Cook (16 de diciembre de 2014). «Los piratas informáticos de Sony tienen más de 100 terabytes de documentos. Hasta ahora solo han publicado 200 gigabytes». Business Insider . Archivado desde el original el 17 de diciembre de 2014. Consultado el 18 de diciembre de 2014 .
^ de Timothy B. Lee (18 de enero de 2015). «La próxima frontera del hackeo: tu coche». Vox . Archivado desde el original el 17 de marzo de 2017.
^ Seguimiento y piratería: las brechas de seguridad y privacidad ponen en riesgo a los conductores estadounidenses (PDF) (Informe). 6 de febrero de 2015. Archivado (PDF) del original el 9 de noviembre de 2016 . Consultado el 4 de noviembre de 2016 .
^ "Experto en ciberseguridad: Será necesario que se produzca un 'acontecimiento de gran envergadura' para que las empresas se tomen en serio este asunto". AOL.com . 5 de enero de 2017. Archivado desde el original el 20 de enero de 2017 . Consultado el 22 de enero de 2017 .
^ "El problema de los coches autónomos: ¿quién controla el código?". The Guardian . 23 de diciembre de 2015. Archivado desde el original el 16 de marzo de 2017. Consultado el 22 de enero de 2017 .
^ Stephen Checkoway; Damon McCoy; Brian Kantor ; Danny Anderson; Hovav Shacham; Stefan Savage ; Karl Koscher; Alexei Czeskis; Franziska Roesner; Tadayoshi Kohno (2011). Análisis experimentales exhaustivos de superficies de ataque automotrices (PDF) . Actas de la 20.ª conferencia USENIX sobre seguridad, SEC'11. Berkeley, California, EE. UU.: Asociación USENIX. pág. 6. Archivado (PDF) desde el original el 21 de febrero de 2015.
^ Greenberg, Andy (21 de julio de 2015). «Hackers matan a un Jeep en la autopista de forma remota, conmigo en él». Wired . Archivado desde el original el 19 de enero de 2017. Consultado el 22 de enero de 2017 .
^ "Los piratas informáticos toman el control de un coche y lo conducen hasta una zanja". The Independent . 22 de julio de 2015. Archivado desde el original el 2 de febrero de 2017 . Consultado el 22 de enero de 2017 .
^ "Tesla corrige un error de software que permitía a hackers chinos controlar un coche de forma remota". The Telegraph . 21 de septiembre de 2016. Archivado desde el original el 2 de febrero de 2017 . Consultado el 22 de enero de 2017 .
^ Kang, Cecilia (19 de septiembre de 2016). «Los coches autónomos tienen un poderoso aliado: el gobierno». The New York Times . Archivado desde el original el 14 de febrero de 2017. Consultado el 22 de enero de 2017 .
^ "Política federal de vehículos automatizados" (PDF) . Archivado (PDF) del original el 21 de enero de 2017 . Consultado el 22 de enero de 2017 .
^ "Ciberseguridad vehicular". nhtsa.gov . Consultado el 25 de noviembre de 2022 .
^ "Thales entrega licencia de conducir inteligente a 4 estados de México". Grupo Thales .
^ "4 empresas que utilizan RFID para la gestión de la cadena de suministro". atlasRFIDstore . Consultado el 3 de febrero de 2023 .
^ "La vanguardia de la tecnología RFID y sus aplicaciones para la fabricación y la distribución". Mercado de la cadena de suministro .
^ Rahman, Mohammad Anwar; Khadem, Mohammad Miftaur; Sarder, MD. Aplicación de RFID en el sistema de la cadena de suministro . Actas de la Conferencia internacional de 2010 sobre ingeniería industrial y gestión de operaciones, Dhaka, Bangladesh, 9 y 10 de enero de 2010. CiteSeerX 10.1.1.397.7831 .
^ "Perfil de Gary McKinnon: un 'hacker' autista que empezó a escribir programas informáticos a los 14 años". The Daily Telegraph . Londres. 23 de enero de 2009. Archivado desde el original el 2 de junio de 2010.
^ "La sentencia de extradición de Gary McKinnon se conocerá antes del 16 de octubre". BBC News . 6 de septiembre de 2012. Archivado desde el original el 6 de septiembre de 2012 . Consultado el 25 de septiembre de 2012 .
^ Mckinnon V Gobierno de los Estados Unidos de América y otro (Cámara de los Lores, 16 de junio de 2008) ("15. ... supuestamente por un total de más de 700.000 dólares"), Texto.
^ "Nueva filtración sobre espionaje estadounidense: la NSA accedió al correo electrónico del presidente mexicano". SPIEGEL ONLINE . 20 de octubre de 2013. Archivado desde el original el 6 de noviembre de 2015.
^ Sanders, Sam (4 de junio de 2015). "Una filtración masiva de datos pone en riesgo los registros de 4 millones de empleados federales". NPR . Archivado desde el original el 5 de junio de 2015 . Consultado el 5 de junio de 2015 .
^ Liptak, Kevin (4 de junio de 2015). "El gobierno de Estados Unidos fue atacado; los federales creen que China es el culpable". CNN . Archivado desde el original el 6 de junio de 2015. Consultado el 5 de junio de 2015 .
^ Sean Gallagher. "El cifrado "no habría ayudado" en la OPM, dice un funcionario del DHS". Archivado desde el original el 24 de junio de 2017.
^ Davis, Michelle R. (19 de octubre de 2015). "Las escuelas aprenden lecciones de las violaciones de seguridad". Education Week . Archivado desde el original el 10 de junio de 2016. Consultado el 23 de mayo de 2016 .
^ "GE presenta ACUVision como una solución de panel único". www.securityinfowatch.com . Security Info Watch. 11 de agosto de 2005 . Consultado el 24 de septiembre de 2019 .
^ "Iniciativa de normalización global de la Internet de las cosas". UIT . Archivado desde el original el 26 de junio de 2015 . Consultado el 26 de junio de 2015 .
^ Singh, Jatinder; Pasquier, Thomas; Bacon, Jean; Ko, Hajoon; Eyers, David (2015). "Veinte consideraciones de seguridad en la nube para respaldar la Internet de las cosas" (PDF) . Revista IEEE sobre Internet de las cosas . 3 (3): 269–284. doi :10.1109/JIOT.2015.2460333. S2CID 4732406.
^ Chris Clearfield. "Por qué la FTC no puede regular la Internet de las cosas". Forbes . Archivado desde el original el 27 de junio de 2015. Consultado el 26 de junio de 2015 .
^ "Internet de las cosas: ¿ciencia ficción o realidad empresarial?" (PDF) . Harvard Business Review . Archivado (PDF) del original el 17 de marzo de 2015 . Consultado el 4 de noviembre de 2016 .
^ Ovidiu Vermesan; Peter Friess. «Internet de las cosas: tecnologías convergentes para entornos inteligentes y ecosistemas integrados» (PDF) . River Publishers. Archivado (PDF) del original el 12 de octubre de 2016. Consultado el 4 de noviembre de 2016 .
^ Clearfield, Chris (20 de junio de 2013). "Replanteando la seguridad para la Internet de las cosas". Harvard Business Review . Archivado desde el original el 20 de septiembre de 2013.
^ "Los ladrones de habitaciones de hotel aprovechan un fallo crítico en las cerraduras electrónicas de las puertas". Ars Technica . 26 de noviembre de 2012. Archivado desde el original el 14 de mayo de 2016 . Consultado el 23 de mayo de 2016 .
^ "Dispositivos médicos hospitalarios utilizados como armas en ciberataques". Dark Reading . 6 de agosto de 2015. Archivado desde el original el 29 de mayo de 2016 . Consultado el 23 de mayo de 2016 .
^ Jeremy Kirk (17 de octubre de 2012). «El hackeo de un marcapasos puede generar una descarga mortal de 830 voltios». Computerworld . Archivado desde el original el 4 de junio de 2016. Consultado el 23 de mayo de 2016 .
^ "Cómo hackearán su marcapasos". The Daily Beast . Kaiser Health News. 17 de noviembre de 2014. Archivado desde el original el 20 de mayo de 2016. Consultado el 23 de mayo de 2016 .
^ Leetaru, Kalev. "Hackeo de hospitales y toma de rehenes: ciberseguridad en 2016". Forbes . Archivado desde el original el 29 de diciembre de 2016. Consultado el 29 de diciembre de 2016 .
^ ab "Cyber-Angriffe: Krankenhäuser rücken ins Visier der Hacker". Wirtschafts Woche. 7 de diciembre de 2016. Archivado desde el original el 29 de diciembre de 2016 . Consultado el 29 de diciembre de 2016 .
^ "Los hospitales siguen siendo atacados por ransomware. He aquí el motivo". Business Insider . Archivado desde el original el 29 de diciembre de 2016. Consultado el 29 de diciembre de 2016 .
^ "Los hospitales de MedStar se recuperan tras el ataque con 'ransomware'". NBC News . 31 de marzo de 2016. Archivado desde el original el 29 de diciembre de 2016 . Consultado el 29 de diciembre de 2016 .
^ Pauli, Darren. «Los hospitales estadounidenses han sido atacados con exploits antiguos». The Register . Archivado desde el original el 16 de noviembre de 2016. Consultado el 29 de diciembre de 2016 .
^ Pauli, Darren. «Zombie OS avanza a trompicones por el Royal Melbourne Hospital propagando el virus». The Register . Archivado desde el original el 29 de diciembre de 2016. Consultado el 29 de diciembre de 2016 .
^ "Los sistemas informáticos del hospital de Lincolnshire pirateados vuelven a funcionar". BBC News . 2 de noviembre de 2016. Archivado desde el original el 29 de diciembre de 2016 . Consultado el 29 de diciembre de 2016 .
^ "Operaciones en Lincolnshire canceladas tras ataque a la red". BBC News . 31 de octubre de 2016. Archivado desde el original el 29 de diciembre de 2016 . Consultado el 29 de diciembre de 2016 .
^ "Ciberataque de Legion: el próximo archivo descargado es sansad.nic.in, dicen los hackers". The Indian Express . 12 de diciembre de 2016. Archivado desde el original el 29 de diciembre de 2016 . Consultado el 29 de diciembre de 2016 .
^ "Ex paciente del Hospital Psiquiátrico de New Hampshire acusado de violación de datos". CBS Boston. 27 de diciembre de 2016. Archivado desde el original el 29 de septiembre de 2017. Consultado el 29 de diciembre de 2016 .
^ "Un ataque informático a un hospital de Texas afecta a casi 30.000 registros de pacientes". Healthcare IT News. 4 de noviembre de 2016. Archivado desde el original el 29 de diciembre de 2016. Consultado el 29 de diciembre de 2016 .
^ Becker, Rachel (27 de diciembre de 2016). «Las nuevas directrices de ciberseguridad para dispositivos médicos abordan las amenazas en evolución». The Verge . Archivado desde el original el 28 de diciembre de 2016. Consultado el 29 de diciembre de 2016 .
^ "Postmarket Management of Cybersecurity in Medical Devices" (PDF) . Administración de Alimentos y Medicamentos . 28 de diciembre de 2016. Archivado (PDF) del original el 29 de diciembre de 2016 . Consultado el 29 de diciembre de 2016 .
^ Brandt, Jaclyn (18 de junio de 2018). "La propuesta de energía distribuida en CC genera inquietudes sobre el aumento de los riesgos de ciberseguridad". Daily Energy Insider . Consultado el 4 de julio de 2018 .
^ "Lanzamientos actuales - The Open Mobile Alliance". openmobilealliance.org .
^ Cashell, B.; Jackson, WD; Jickling, M.; Webel, B. (2004). El impacto económico de los ciberataques (PDF) (Informe). Washington DC: Servicio de Investigación del Congreso, División de Gobierno y Finanzas. RL32331.
^ Gordon, Lawrence; Loeb, Martin (noviembre de 2002). "La economía de la inversión en seguridad de la información". ACM Transactions on Information and System Security . 5 (4): 438–457. doi :10.1145/581271.581274. S2CID 1500788.
^ Sanger, David E.; Barnes, Julian E. (20 de diciembre de 2021). «Estados Unidos y Gran Bretaña ayudan a Ucrania a prepararse para un posible ciberataque ruso». The New York Times . ISSN 0362-4331 . Consultado el 4 de diciembre de 2023 .
^ "Ataque cibernético contra infraestructura crítica ucraniana | CISA". www.cisa.gov . 20 de julio de 2021 . Consultado el 4 de diciembre de 2023 .
^ Han, Chen; Dongre, Rituja (2014). "Preguntas y respuestas. ¿Qué motiva a los ciberatacantes?". Technology Innovation Management Review . 4 (10): 40–42. doi : 10.22215/timreview/838 . ISSN 1927-0321.
^ Chermick, Steven; Freilich, Joshua; Holt, Thomas (abril de 2017). "Explorando la subcultura de los ciberatacantes motivados ideológicamente". Revista de justicia penal contemporánea . 33 (3): 212–233. doi :10.1177/1043986217699100. S2CID 152277480.
^ Anderson, Ross (2020). Ingeniería de seguridad: una guía para construir sistemas distribuidos confiables (3.ª ed.). Indianápolis, IN: John Wiley & Sons. ISBN978-1119642817.OCLC 1224516855 .
^ "El software líder de contratación en la nube". iCIMS . Consultado el 13 de marzo de 2021 .
^ Wilcox, S. y Brown, B. (2005) 'Respuesta a incidentes de seguridad: tarde o temprano, sus sistemas se verán comprometidos', Journal of Health Care Compliance , 7(2), págs. 41-48
^ de Jonathan Zittrain, 'El futuro de Internet', Penguin Books, 2008
^ Seguridad de la información Archivado el 6 de marzo de 2016 en Wayback Machine . Departamento de Defensa de los Estados Unidos, 1986
^ "The TJX Companies, Inc., víctima de una intrusión en su sistema informático; proporciona información para ayudar a proteger a sus clientes" (Comunicado de prensa). The TJX Companies, Inc. 17 de enero de 2007. Archivado desde el original el 27 de septiembre de 2012. Consultado el 12 de diciembre de 2009 .
^ La mayor filtración de información de clientes crece Archivado el 28 de septiembre de 2007 en Wayback Machine . MyFox Twin Cities, 29 de marzo de 2007.
^ "El ataque de Stuxnet a la planta nuclear de Irán fue 'mucho más peligroso' de lo que se creía". Business Insider . 20 de noviembre de 2013. Archivado desde el original el 9 de mayo de 2014.
^ Reals, Tucker (24 de septiembre de 2010). "¿El gusano Stuxnet es un ciberataque estadounidense contra las armas nucleares de Irán?". CBS News . Archivado desde el original el 16 de octubre de 2013.
^ Kim Zetter (17 de febrero de 2011). "Las cuestiones de la ciberguerra probablemente se abordarán solo después de una catástrofe". Wired . Archivado desde el original el 18 de febrero de 2011. Consultado el 18 de febrero de 2011 .
^ Chris Carroll (18 de octubre de 2011). «Un cono de silencio rodea la ciberguerra estadounidense». Stars and Stripes. Archivado desde el original el 7 de marzo de 2012. Consultado el 30 de octubre de 2011 .
^ John Bumgarner (27 de abril de 2010). «Computers as Weapons of War» (PDF) . IO Journal. Archivado desde el original (PDF) el 19 de diciembre de 2011. Consultado el 30 de octubre de 2011 .
^ Greenwald, Glenn (6 de junio de 2013). "NSA recogiendo registros telefónicos de millones de clientes de Verizon diariamente". The Guardian . Archivado desde el original el 16 de agosto de 2013. Consultado el 16 de agosto de 2013. Exclusiva: La orden judicial de alto secreto que exige a Verizon entregar todos los datos de llamadas muestra la escala de la vigilancia doméstica bajo Obama
^ Seipel, Hubert. «Transcripción: entrevista de ARD con Edward Snowden». La Fundación Coraje . Archivado desde el original el 14 de julio de 2014. Consultado el 11 de junio de 2014 .
^ Newman, Lily Hay (9 de octubre de 2013). "¿Se puede confiar en el NIST?". IEEE Spectrum . Archivado desde el original el 1 de febrero de 2016.
^ "NIST elimina algoritmo de criptografía de recomendaciones de generadores de números aleatorios". Instituto Nacional de Estándares y Tecnología . 21 de abril de 2014.
^ "Nueva filtración de Snowden: la NSA intervino en los centros de datos de Google y Yahoo" Archivado el 9 de julio de 2014 en Wayback Machine , 31 de octubre de 2013, Lorenzo Franceschi-Bicchierai, mashable.com
^ Michael Riley; Ben Elgin; Dune Lawrence; Carol Matlack (17 de marzo de 2014). "Target no detectó las advertencias en el hackeo épico de los datos de tarjetas de crédito". Businessweek . Archivado desde el original el 27 de enero de 2015.
^ Rosenblatt, Seth (6 de noviembre de 2014). "Home Depot dice que le robaron 53 millones de correos electrónicos". CNET . CBS Interactive. Archivado desde el original el 9 de diciembre de 2014.
^ "Millones más de estadounidenses afectados por el hackeo de datos del personal del gobierno". Reuters . 9 de julio de 2017. Archivado desde el original el 28 de febrero de 2017 . Consultado el 25 de febrero de 2017 .
^ Barrett, Devlin (4 de junio de 2015). "Estados Unidos sospecha que piratas informáticos en China violaron los registros de aproximadamente cuatro (4) millones de personas, según las autoridades". The Wall Street Journal . Archivado desde el original el 4 de junio de 2015.
^ Risen, Tom (5 de junio de 2015). "China es sospechosa de robar registros de empleados federales". US News & World Report . Archivado desde el original el 6 de junio de 2015.
^ Zengerle, Patricia (19 de julio de 2015). "Se dispara la estimación de estadounidenses afectados por el hackeo de datos del personal del gobierno". Reuters . Archivado desde el original el 10 de julio de 2015.
^ Sanger, David (5 de junio de 2015). "Hacking vinculado a China expone a millones de trabajadores estadounidenses". The New York Times . Archivado desde el original el 5 de junio de 2015.
^ Mansfield-Devine, Steve (1 de septiembre de 2015). "El caso Ashley Madison". Seguridad en redes . 2015 (9): 8–16. doi :10.1016/S1353-4858(15)30080-5.
^ Turton, W.; Mehrotra, K. (4 de junio de 2021). "Hackers vulneraron el oleoducto Colonial utilizando una contraseña comprometida". Bloomberg LP . Consultado el 3 de diciembre de 2023 .
^ ab "Mikko Hypponen: Combatiendo los virus, defendiendo la red". TED. Archivado desde el original el 16 de enero de 2013.
^ "Mikko Hypponen – Behind Enemy Lines". Conferencia de seguridad Hack in the Box. 9 de diciembre de 2012. Archivado desde el original el 25 de noviembre de 2016.
^ "Garantizar la seguridad de los sistemas de información federales y la infraestructura crítica cibernética y proteger la privacidad de la información personal identificable". Oficina de Responsabilidad Gubernamental. Archivado desde el original el 19 de noviembre de 2015. Consultado el 3 de noviembre de 2015 .
^ King, Georgia (23 de mayo de 2018). "El diagrama de Venn entre libertarios y cripto-amigos es tan parecido que es básicamente un círculo". Quartz .
^ Kirby, Carrie (24 de junio de 2011). "Ex asistente de la Casa Blanca respalda cierta regulación de la red / Clarke dice que el gobierno y la industria merecen una 'F' en seguridad cibernética". The San Francisco Chronicle .
^ McCarthy, Daniel (11 de junio de 2018). "Privatización de la autoridad política: ciberseguridad, asociaciones público-privadas y reproducción del orden político liberal". Política y gobernanza . 6 (2): 5–12. doi : 10.17645/pag.v6i2.1335 .
^ "Es hora de tratar la ciberseguridad como una cuestión de derechos humanos". Human Rights Watch . 26 de mayo de 2020 . Consultado el 26 de mayo de 2020 .
^ "Misión PRIMERA". PRIMERA . Consultado el 6 de julio de 2018 .
^ "Miembros de FIRST". FIRST . Consultado el 6 de julio de 2018 .
^ "Consejo Europeo". Archivado desde el original el 3 de diciembre de 2014.
^ "MAAWG". Archivado desde el original el 23 de septiembre de 2014.
^ "MAAWG". Archivado desde el original el 17 de octubre de 2014.
^ "Gobierno de Canadá lanza estrategia de seguridad cibernética de Canadá". Market Wired . 3 de octubre de 2010. Archivado desde el original el 2 de noviembre de 2014. Consultado el 1 de noviembre de 2014 .
^ ab "Estrategia de seguridad cibernética de Canadá". Seguridad Pública de Canadá . Gobierno de Canadá. Archivado desde el original el 2 de noviembre de 2014. Consultado el 1 de noviembre de 2014 .
^ abc «Plan de acción 2010-2015 para la estrategia de seguridad cibernética de Canadá». Seguridad Pública de Canadá . Gobierno de Canadá. Archivado desde el original el 2 de noviembre de 2014. Consultado el 3 de noviembre de 2014 .
^ "Marco de gestión de incidentes cibernéticos para Canadá". Seguridad Pública de Canadá . Gobierno de Canadá. Archivado desde el original el 2 de noviembre de 2014. Consultado el 3 de noviembre de 2014 .
^ "Plan de acción 2010-2015 para la estrategia de seguridad cibernética de Canadá". Seguridad Pública Canadá . Gobierno de Canadá. Archivado desde el original el 2 de noviembre de 2014 . Consultado el 1 de noviembre de 2014 .
^ "Centro Canadiense de Respuesta a Incidentes Cibernéticos". Seguridad Pública de Canadá . Archivado desde el original el 8 de octubre de 2014. Consultado el 1 de noviembre de 2014 .
^ "Boletines de seguridad cibernética". Public Safety Canada . Archivado desde el original el 8 de octubre de 2014. Consultado el 1 de noviembre de 2014 .
^ "Reportar un incidente de seguridad cibernética". Seguridad Pública Canadá . Gobierno de Canadá. Archivado desde el original el 11 de noviembre de 2014. Consultado el 3 de noviembre de 2014 .
^ "Gobierno de Canadá lanza Mes de Concientización sobre Seguridad Cibernética con Nueva Alianza de Concientización Pública". Market Wired . Gobierno de Canadá. 27 de septiembre de 2012. Archivado desde el original el 3 de noviembre de 2014 . Consultado el 3 de noviembre de 2014 .
^ "Programa de cooperación en materia de seguridad cibernética". Public Safety Canada . Archivado desde el original el 2 de noviembre de 2014. Consultado el 1 de noviembre de 2014 .
^ "Programa de cooperación en materia de seguridad cibernética". Seguridad Pública Canadá . 16 de diciembre de 2015. Archivado desde el original el 2 de noviembre de 2014.
^ "GetCyberSafe". Get Cyber Safe . Gobierno de Canadá. Archivado desde el original el 11 de noviembre de 2014 . Consultado el 3 de noviembre de 2014 .
^ "El gobierno federal australiano anuncia apoyo en materia de ciberseguridad para las pymes", "Estrategia de ciberseguridad australiana 2023-2030" . Consultado el 22 de noviembre de 2023 .
^ "Necesidad de una estructura adecuada de las asociaciones público-privadas para abordar los riesgos específicos del ciberespacio". Archivado desde el original el 13 de noviembre de 2017.
^ "Estándares nacionales de seguridad cibernética (NCSSS) - Página de inicio". www.ncdrc.res.in . Archivado desde el original el 19 de febrero de 2018 . Consultado el 19 de febrero de 2018 .
^ "Corea del Sur busca apoyo global en investigación de ciberataque". BBC Monitoring Asia Pacific . 7 de marzo de 2011.
^ Kwanwoo Jun (23 de septiembre de 2013). «Seúl pone precio a la ciberdefensa». The Wall Street Journal . Dow Jones & Company, Inc. Archivado desde el original el 25 de septiembre de 2013. Consultado el 24 de septiembre de 2013 .
^ Casa Blanca (marzo de 2023). "Estrategia de seguridad nacional" (PDF) . N.º de marzo de 2032. Casa Blanca. Gobierno de EE. UU.
^ Adil, Sajid (16 de octubre de 2023). "¿Conoce las mayores amenazas de ciberseguridad en 2023?". Cybernexguard . Adil Sajid . Consultado el 18 de diciembre de 2023 .
^ Adil, Sajid (septiembre de 2018). «National Cyber Strategy of the United States of America». Bibliotecas universitarias Biblioteca digital UNT . Consultado el 18 de diciembre de 2023 .
^ Adil, Sajid (septiembre de 2018). "¿Conoce las mayores amenazas a la ciberseguridad en 2023?". Bibliotecas universitarias Biblioteca digital UNT . Consultado el 18 de diciembre de 2023 .
^ Ley de cooperación y denuncia de delitos cibernéticos internacionales en Congress.gov
^ "Inicio | Comité de Seguridad Nacional y Asuntos Gubernamentales". www.hsgac.senate.gov . Archivado desde el original el 20 de enero de 2012.
^ "Asesor de Biden sobre las amenazas cibernéticas y la nueva orden ejecutiva para combatirlas". NPR .
^ Orden ejecutiva para mejorar la ciberseguridad del país (texto completo)
^ "División Nacional de Seguridad Cibernética". Departamento de Seguridad Nacional de Estados Unidos. Archivado desde el original el 11 de junio de 2008. Consultado el 14 de junio de 2008 .
^ ab "Preguntas frecuentes: Centro de investigación y desarrollo de ciberseguridad". Dirección de ciencia y tecnología del Departamento de Seguridad Nacional de los Estados Unidos. Archivado desde el original el 6 de octubre de 2008. Consultado el 14 de junio de 2008 .
^ AFP-JiJi, "EE.UU. refuerza centro de ciberseguridad", 31 de octubre de 2009.
^ "Oficina Federal de Investigaciones – Prioridades". Oficina Federal de Investigaciones. Archivado desde el original el 11 de julio de 2016.
^ "Centro de denuncia de delitos en Internet (IC3) – Página de inicio". Archivado desde el original el 20 de noviembre de 2011.
^ "Infragard, Sitio Oficial". Infragard . Archivado desde el original el 9 de septiembre de 2010 . Consultado el 10 de septiembre de 2010 .
^ "Robert S. Mueller, III – Entrevista de InfraGard en la Conferencia InfraGard 2005". Infragard (Sitio oficial) – "Sala de prensa" . Archivado desde el original el 17 de junio de 2011. Consultado el 9 de diciembre de 2009 .
^ "CCIPS". 25 de marzo de 2015. Archivado desde el original el 23 de agosto de 2006.
^ "Un marco para un programa de divulgación de vulnerabilidades para sistemas en línea". Unidad de Ciberseguridad, Sección de Delitos Informáticos y Propiedad Intelectual, División Penal, Departamento de Justicia de los Estados Unidos. Julio de 2017. Consultado el 9 de julio de 2018 .
^ "Misión y visión". www.cybercom.mil . Consultado el 20 de junio de 2020 .
^ William J. Lynn, III (12 de noviembre de 2009). Comentarios en la Cumbre de Adquisición de Tecnología de Información de Defensa (discurso). Washington DC Archivado desde el original el 15 de abril de 2010 . Consultado el 10 de julio de 2010 .
^ Shachtman, Noah (23 de septiembre de 2010). "El comandante cibernético militar jura: "No tiene ningún papel" en las redes civiles". brookings.edu . Archivado desde el original el 6 de noviembre de 2010.
^ "Ciberseguridad de la FCC". FCC. Archivado desde el original el 27 de mayo de 2010. Consultado el 3 de diciembre de 2014 .
^ "Ciberseguridad para dispositivos médicos y redes hospitalarias: comunicación de seguridad de la FDA". Administración de Alimentos y Medicamentos . Archivado desde el original el 28 de mayo de 2016. Consultado el 23 de mayo de 2016 .
^ "Ciberseguridad automotriz – Administración Nacional de Seguridad del Tráfico en Carreteras (NHTSA)". Archivado desde el original el 25 de mayo de 2016 . Consultado el 23 de mayo de 2016 .
^ Control de tráfico aéreo: la FAA necesita un enfoque más integral para abordar la ciberseguridad en la transición de la agencia hacia NextGen (informe). Oficina de Responsabilidad Gubernamental de los Estados Unidos. 14 de abril de 2015. Archivado desde el original el 13 de junio de 2016 . Consultado el 23 de mayo de 2016 .
^ Aliya Sternstein (4 de marzo de 2016). "FAA Working on New Guidelines for Hack-Proof Planes" (La FAA trabaja en nuevas directrices para aviones a prueba de hackers). Nextgov . Archivado desde el original el 19 de mayo de 2016. Consultado el 23 de mayo de 2016 .
^ Bart Elias (18 de junio de 2015). «Protección de la aviación civil frente a los ciberataques» (PDF) . Archivado (PDF) del original el 17 de octubre de 2016. Consultado el 4 de noviembre de 2016 .
^ Anderson, David; Reimers, Karl (2019). POLÍTICA LABORAL DE SEGURIDAD CIBERNÉTICA Y DEMANDA EN EL LUGAR DE TRABAJO EN EL GOBIERNO DE ESTADOS UNIDOS . Actas de EDULEARN19. Vol. 1. IATED. págs. 7858–7866. doi :10.21125/edulearn.2019.1914. ISBN978-84-09-12031-4. ISSN 2340-1117.
^ Verton, Dan (28 de enero de 2004). "DHS lanza un sistema nacional de alerta cibernética". Computerworld . IDG. Archivado desde el original el 31 de agosto de 2005 . Consultado el 15 de junio de 2008 .
^ Se pueden encontrar detalles en 10 CFR 73.54, Protección de sistemas y redes de computadoras y comunicaciones digitales.
^ Plan de ciberseguridad para reactores nucleares - Instituto de Energía Nuclear
^ Consulte NEI 08-09 para obtener más detalles.
^ Clayton, Mark (7 de marzo de 2011). «La nueva carrera armamentista cibernética». The Christian Science Monitor . Archivado desde el original el 16 de abril de 2015. Consultado el 16 de abril de 2015 .
^ Nakashima, Ellen (13 de septiembre de 2016). "Obama será instado a separar el mando de la ciberguerra de la NSA". The Washington Post . Archivado desde el original el 12 de octubre de 2016. Consultado el 15 de junio de 2017 .
^ Overland, Indra (1 de marzo de 2019). «La geopolítica de las energías renovables: desmitificando cuatro mitos emergentes». Investigación energética y ciencias sociales . 49 : 36–40. Bibcode :2019ERSS...49...36O. doi : 10.1016/j.erss.2018.10.018 . hdl : 11250/2579292 . ISSN 2214-6296.
^ Maness, Ryan C.; Valeriano, Brandon (11 de junio de 2018). "Cómo dejamos de preocuparnos por el desastre cibernético y comenzamos a recopilar datos". Política y gobernanza . 6 (2): 49–60. doi : 10.17645/pag.v6i2.1368 . hdl : 10945/60589 . ISSN 2183-2463.
^ Maness, Ryan C.; Valeriano, Brandon (25 de marzo de 2015). "El impacto del ciberconflicto en las interacciones internacionales". Fuerzas Armadas y Sociedad . 42 (2): 301–323. doi :10.1177/0095327x15572997. ISSN 0095-327X. S2CID 146145942.
^ Bullard, Brittany (2016). Estilo y estadísticas: el arte del análisis minorista. Wiley. doi :10.1002/9781119271260.ch8. ISBN978-1119270317.
^ Oltsik, Jon (18 de marzo de 2016). "El impacto de la escasez de habilidades en materia de ciberseguridad en la computación en la nube". Network World . Archivado desde el original el 23 de marzo de 2016. Consultado el 23 de marzo de 2016 .
^ Robinson, Terry (30 de mayo de 2018). "¿Por qué una licenciatura en ciberseguridad es una de las mejores?". DegreeQuery.com . Archivado desde el original el 10 de octubre de 2021. Consultado el 10 de octubre de 2021 .
^ de Silva, Richard (11 de octubre de 2011). "Gobierno vs. Comercio: La industria de la ciberseguridad y usted (primera parte)". Defence IQ. Archivado desde el original el 24 de abril de 2014. Consultado el 24 de abril de 2014 .
^ "Departamento de Ciencias de la Computación". Archivado desde el original el 3 de junio de 2013 . Consultado el 30 de abril de 2013 .
^ "Acerca del arquitecto de seguridad cibernética". cisa.gov . 1 de agosto de 2021 . Consultado el 1 de enero de 2022 .
^ "¿Cómo convertirse en director de seguridad de la información (CISO)?". cybersecuritycareer.org . 1 de agosto de 2021 . Consultado el 4 de enero de 2022 .
^ "Delegados de protección de datos". ico.org.uk . Enero de 2021.
^ "Recursos de ciberseguridad para estudiantes". NICCS (Iniciativa Nacional de Estados Unidos para Carreras y Estudios Cibernéticos). Archivado desde el original el 5 de noviembre de 2020.
^ "Oportunidades laborales actuales en el DHS". Departamento de Seguridad Nacional de Estados Unidos. Archivado desde el original el 2 de mayo de 2013. Consultado el 5 de mayo de 2013 .
^ "Cybersecurity Training & Exercises". Departamento de Seguridad Nacional de Estados Unidos. 12 de mayo de 2010. Archivado desde el original el 7 de enero de 2015. Consultado el 9 de enero de 2015 .
^ "Capacitación y webcasts gratuitos sobre concienciación sobre seguridad cibernética". MS-ISAC (Centro de análisis e intercambio de información multiestatal). Archivado desde el original el 6 de enero de 2015. Consultado el 9 de enero de 2015 .
^ "DoD Approved 8570 Baseline Certifications" (Certificaciones de referencia 8570 aprobadas por el Departamento de Defensa). iase.disa.mil . Archivado desde el original el 21 de octubre de 2016. Consultado el 19 de junio de 2017 .
^ "La estrategia de ciberseguridad del Reino Unido: informe sobre los avances y los planes futuros, diciembre de 2014" (PDF) . Oficina del Gabinete del Reino Unido. Archivado (PDF) del original el 18 de abril de 2018. Consultado el 20 de agosto de 2021 .
^ "Competencias cibernéticas para un Reino Unido dinámico y seguro". GOV.UK .
^ "Marco de competencias en ciberseguridad de la tecnología operativa (OT) de Singapur". Agencia de ciberseguridad (nota de prensa). 8 de octubre de 2021. Archivado desde el original el 16 de octubre de 2021 . Consultado el 23 de octubre de 2021 .
^ "Confidencialidad" . Consultado el 31 de octubre de 2011 .
^ "Integridad de los datos". Archivado desde el original el 6 de noviembre de 2011. Consultado el 31 de octubre de 2011 .
^ "Endpoint Security". 10 de noviembre de 2010. Archivado desde el original el 16 de marzo de 2014. Consultado el 15 de marzo de 2014 .
^ "Una breve historia de la profesión de ciberseguridad". ISACA . Consultado el 13 de octubre de 2023 .
^ "Un paso adelante en seguridad informática". RIT . Consultado el 13 de octubre de 2023 .
^ ab Misa, Thomas J. (2016). "Discurso sobre seguridad informática en RAND, SDC y NSA (1958-1970)" . IEEE Annals of the History of Computing . 38 (4): 12–25. doi :10.1109/MAHC.2016.48. S2CID 17609542.
^ AJ Neumann, N. Statland y RD Webb (1977). "Herramientas y técnicas de auditoría de posprocesamiento" (PDF) . nist.gov . Departamento de Comercio de los EE. UU., Oficina Nacional de Normas. págs. 11–3–11–4. Archivado (PDF) desde el original el 10 de octubre de 2016 . Consultado el 19 de junio de 2020 .
^ Irwin, Luke (5 de abril de 2018). «Cómo el NIST puede proteger la tríada de la CIA, incluida la a menudo ignorada «I»: la integridad». www.itgovernanceusa.com . Consultado el 16 de enero de 2021 .
^ Perrin, Chad (30 de junio de 2008). "The CIA Triad". techrepublic.com . Consultado el 31 de mayo de 2012 .
^ Stoneburner, G.; Hayden, C.; Feringa, A. (2004). Principios de ingeniería para la seguridad de la tecnología de la información (PDF) (Informe). csrc.nist.gov. doi :10.6028/NIST.SP.800-27rA. Archivado (PDF) desde el original el 12 de octubre de 2004.Nota: este documento ha sido reemplazado por versiones posteriores.
^ Yost, Jeffrey R. (abril de 2015). "El origen y la historia temprana de la industria de productos de software de seguridad informática". IEEE Annals of the History of Computing . 37 (2): 46–58. doi :10.1109/MAHC.2015.21. ISSN 1934-1547. S2CID 18929482.
^ "Una breve historia de los virus informáticos y lo que nos depara el futuro". www.kaspersky.com . 19 de abril de 2023 . Consultado el 12 de junio de 2024 .
^ "Primer incidente de ciberespionaje". Libro Guinness de los récords . Consultado el 23 de enero de 2024 .
^ FBI News (2 de noviembre de 2018). «El gusano Morris: 30 años desde el primer gran ataque a Internet». fbi.gov . Consultado el 23 de enero de 2024 .
^ "1993: Se lanza Mosaic y la Web se libera". Historia del desarrollo web . 8 de diciembre de 2021.
^ "Web Design Museum - Netscape Navigator 2.0". 10 de marzo de 2023. Consultado el 4 de diciembre de 2023 .
^ Nakashima, Ellen (26 de enero de 2008). "La orden de Bush amplía el monitoreo de la red: las agencias de inteligencia rastrearán las intrusiones". The Washington Post . Consultado el 8 de febrero de 2021 .
^ por Nicole Perlroth (7 de febrero de 2021). «Cómo Estados Unidos perdió ante los piratas informáticos». The New York Times . Archivado desde el original el 28 de diciembre de 2021. Consultado el 9 de febrero de 2021 .
^ Perlroth, Nicole; Sanger, David; Shane, Scott (6 de mayo de 2019). "Cómo los espías chinos consiguieron las herramientas de piratería de la NSA y las utilizaron para sus ataques". The New York Times . Consultado el 18 de octubre de 2024 .
Branch, Jordan (24 de septiembre de 2020). "¿Qué hay en un nombre? Metáforas y ciberseguridad". Organización Internacional . 75 (1). Cambridge University Press (CUP): 39–70. doi :10.1017/s002081832000051x. ISSN 0020-8183. S2CID 224886794.
Costigan, Sean; Hennessy, Michael (2016). Ciberseguridad: un currículo de referencia genérico (PDF) . OTAN. ISBN 978-9284501960. Archivado (PDF) del original el 10 de marzo de 2017.
Fuller, Christopher J (11 de junio de 2018). "Las raíces de la (in)seguridad cibernética de los Estados Unidos" (DOC) . Diplomatic History . 43 (1). Oxford University Press (OUP): 157–185. doi :10.1093/dh/dhy038. ISSN 0145-2096.
Bob, Yonah Jeremy (21 de agosto de 2021). "Ex funcionario de inteligencia cibernética de las FDI revela secretos detrás de un ciberataque". The Jerusalem Post .
Lee, Newton (2015). Contraterrorismo y ciberseguridad: conciencia total sobre la información (2.ª ed.). Springer. ISBN 978-3319172439.
Montagnani, Maria Lillà; Cavallo, Mirta Antonella (2018). "Ciberseguridad y responsabilidad en un mundo de big data". Revista de Derecho de Mercado y Competencia . 2 (2). Elsevier BV: 71–98. doi :10.2139/ssrn.3220475. ISSN 1556-5068. S2CID 216704215. SSRN 3220475.
Shariati, Marzieh; Bahmani, Faezeh; Shams, Fereidoon (2011). "Seguridad de la información empresarial, una revisión de arquitecturas y marcos desde la perspectiva de la interoperabilidad". Procedia Computer Science . 3 . Elsevier BV: 537–543. doi : 10.1016/j.procs.2010.12.089 . ISSN 1877-0509.
Singer, PW; Friedman, Allan (2014). Ciberseguridad y ciberguerra: lo que todo el mundo necesita saber . Oxford University Press. ISBN 978-0199918119.
Wu, Chwan-Hwa (John); Irwin, J. David (2013). Introducción a las redes informáticas y la ciberseguridad . Boca Raton: CRC Press. ISBN 978-1466572133.
Mejores prácticas de ciberseguridad | Agencia de Seguridad de Infraestructura y Ciberseguridad CISA. (sin fecha). Recuperado el 24 de abril de 2024 de https://www.cisa.gov/topics/cybersecurity-best-practices
Sztyber-Betley, A., Syfert, M., Kościelny, JM y Górecka, Z. (2023). Controlador de detección y aislamiento de ciberataques †: sensores (14248220). Sensores (14248220), 23(5), 2778. doi :10.3390/s23052778
Wikimedia Commons tiene medios relacionados con Seguridad informática .
