Diagnóstico de Análisis de Riesgo Informático Elemental

Información básica

1-1 Fecha del cuestionario*

1-2 Nombre de la empresa (escriba el nombre)*

1-3 Seleccione su sector*

1-4 Puesto de quien contesta el cuestionario*

1-5 Nombre de quien contesta el cuestionario*

1-6 Cuenta de email*

1-7 País*

1-8 Número de teléfono de contacto (numero de celular)*

1-9 Estado*

1-10 ¿Cuántos equipos de cómputo tiene?*

1-11 ¿Cuántos servidores tiene?*

1-12 ¿Qué porcentaje de colaboradores trabajan en Home Office?*

1-13 ¿Qué porcentaje de los equipos que utilizan los colaboradores en homeoffice son del personal y no de la empresa? *

1-14 ¿Ha realizado un análisis de riesgo informático antes?*

El alcance de su evaluación

2-1 ¿Cubriría esta evaluación a toda su organización?*

¿Puede incluir a toda su organización en el alcance de la evaluación? Si esto no es posible, ¿puede implementar controles solo en una parte de su organización que la mantengan segura y separada del resto de la organización? Es posible que necesite asesoramiento profesional sobre cómo lograr esto.

¿Necesita más información u orientación sobre el alcance? Obtenga más información sobre el alcance de la evaluación en nuestra información de orientación?

2-2 ¿Es posible aplicar controles a un área de su organización?*

¿Puede incluir a toda su organización en el alcance de la evaluación? Si esto no es posible, ¿puede implementar controles solo en una parte de su organización que la mantengan segura y separada del resto de la organización? Es posible que necesite asesoramiento profesional sobre cómo lograr esto?

¿Necesita más información u orientación sobre el alcance? Obtenga más información sobre el alcance de la evaluación en nuestra información de orientación?

Hardware o dispositivos utilizados por su organización

3-1 ¿Tiene una lista de todos los dispositivos de hardware que utiliza?. Por ejemplo, tipos de laptops, teléfonos inteligentes, tablets, firewalls, ruteadores*

Sería una gran idea crear una lista de todos los dispositivos que se encuentran en su organización. Esto podría significar hablar con el personal, verificar las solicitudes de compra y los recibos y trabajar en cada oficina de manera detallada. Es importante conocer todos los dispositivos que contiene información que no desea que se pierda.

3-2 ¿Tiene una lista de todo el software / firmware utilizado en dispositivos dentro de su organización?*

Busque crear una lista de todo el software / firmware utilizado dentro de su organización. Esto puede ser firmware que se encuentra en su ruteador o firewall, puede ser las versiones del sistema operativo, plataformas del navegador o puede ser su conjunto de herramientas de oficina.

3-3 ¿Está todo el software / firmware en la lista actualmente en soporte y recibiendo actualizaciones?*

Piense en revisar todo el software / firmware utilizado dentro de su organización y asegurarse de que todo esté en soporte.

Si el hardware son los componentes físicos de la computadora, el software es el conjunto de instrucciones o programas que se "ejecutan" en una computadora.

3-4 ¿Tiene mecanismos para revisar qué software debe actualizarse y actualizarlo? De lo contrario, ¿el software está configurado en actualizaciones automáticas?*

Asegúrese de que el software utilizado en su dispositivo se mantenga actualizado de alguna manera y que el firmware de su equipo también sea compatible.

Si el hardware son los componentes físicos de la computadora, el software es el conjunto de instrucciones o programas que se "ejecutan" en una computadora.

Dispositivos de seguridad

4-1 ¿Tiene un firewall (o ruteador con un firewall) en la red de su empresa e Internet?*

Averigüe si tiene un ruteador o firewall entre usted e Internet. Si no tiene ninguna protección entre su red e Internet, podría valer la pena investigar esto más a fondo. Ninguna protección es el equivalente a dejar permanentemente la puerta de entrada abierta.

Un firewall, es más un filtro que un bloquea para verificar, luego aceptar o denegar los datos que se mueven a través de una red.

4-2 En sus firewalls y puertas de enlace de Internet, ¿ha cambiado todas las contraseñas de las contraseñas predeterminadas y son difíciles de adivinar y tienen más de 8 caracteres?*

Mira cómo cambiar tu contraseña a algo único y complejo. Hay muchos consejos en el sitio web del tu proveedor sobre cómo seleccionar una buena contraseña que sea fácil de recordar.

Las contraseñas son importantes Solo piense por un minuto en la llave de su puerta principal. ¿Cuántas puertas diferentes abre esta llave?

4-3 Si pensabas que las contraseñas eran conocidas (alguien se fue y sabía que la contraseña o algo sucedió como si se descubriera la misma contraseña utilizada en otro lugar) ¿sabrías cuándo y cómo cambiarla?*

Busque tener un proceso simple para cambiar las contraseñas cuando son conocidas por personas que no deberían. Esto podría no ser un atacante, también podría ser alguien que ha dejado la empresa y ya no tiene necesidad de acceso.

Las contraseñas son importantes Solo piense por un minuto en la llave de su puerta principal. ¿Cuántas puertas diferentes abre esta llave?

Servicios accesibles desde Internet

5-1 ¿Tiene servicios habilitados que son accesibles externamente?*

Siempre revise qué servicios dentro de su red expone al mundo exterior y cuántas personas está permitiendo que usen ese servicio. Un 'bot' es una aplicación de software que ejecuta tareas automatizadas a través de Internet. Los delincuentes utilizan esta herramienta para escanear Internet en busca de puertos abiertos y servicios que están disponibles para su uso y podrían ser explotados. Si hubiera una vulnerabilidad o una configuración incorrecta, lo sabrían antes que usted. Siempre revise si tiene un requisito para un puerto abierto y, si lo hace, ¿puede configurarlo para la menor cantidad de personas posible? Asegúrese de que puede actualizar continuamente los servicios expuestos al mundo exterior. Si no está seguro de esto, busque la orientación de un profesional que pueda realizar un análisis de seguridad en su red.

Un firewall, es más un filtro que un bloquea para verificar, luego aceptar o denegar los datos que se mueven a través de una red.

5-2 ¿Puede configurar sus ruteadores de Internet o firewalls de hardware a través de Internet? Esto podría estar en su lugar si tiene una empresa de TI de terceros que administra esos dispositivos en su nombre.*

Asegúrese de que la configuración de la puerta de enlace o del firewall esté establecida para garantizar que solo se expongan los servicios con una necesidad empresarial válida. Cualquier servicio que no esté obligado a estar expuesto a Internet debe ser bloqueado. Es posible que deba buscar ayuda para verificar esto.

Un firewall, es más un filtro que un bloquea para verificar, luego aceptar o denegar los datos que se mueven a través de una red.

5-3 ¿Ha configurado sus ruteadores de Internet o sus firewalls de hardware para bloquear todos los demás servicios que se anuncian en Internet?*

Haga que alguien revise la configuración de su puerta de enlace o firewall para asegurarse de que solo los servicios con una necesidad empresarial válida estén expuestos.

Un firewall, es más un filtro que un bloquea para verificar, luego aceptar o denegar los datos que se mueven a través de una red.

Configuración Segura

6-1 ¿Ha revisado que los dispositivos que tiene, se ha deshabilitado el software que no usa?*

Revise sus dispositivos con el fin de eliminar servicios, software o aplicaciones que no son necesarios. Esto puede incluir un servidor que ejecute un servidor web predeterminado que no use o cualquier software adicional que no use.

Hay varias razones por las que el software puede necesitar ser actualizado. Cuando los fabricantes crean y lanzan software, más tarde pueden descubrir errores en las miles de líneas de código que componen el software. Estas se conocen como vulnerabilidades.

6-2 ¿Se ha asegurado de que todas las cuentas de sus dispositivos sean sólo aquellas que se utilizan como parte del día a día?*

Busque revisar cada una de las cuentas de usuario en sus dispositivos.

Hay varias razones por las que el software puede necesitar ser actualizado. Cuando los fabricantes crean y lanzan software, más tarde pueden descubrir errores en las miles de líneas de código que componen el software. Estas se conocen como vulnerabilidades.

6-3 ¿Está deshabilitado "AutoRun" o "AutoPlay" en todos sus sistemas?*

Auto-Run o Auto-Play es una configuración que ejecuta automáticamente el software en un DVD o memory stick. Es importante desactivar auto-run o auto-play para evitar la instalación automática de software no autorizado.

Hay varias razones por las que el software puede necesitar ser actualizado. Cuando los fabricantes crean y lanzan software, más tarde pueden descubrir errores en las miles de líneas de código que componen el software. Estas se conocen como vulnerabilidades.

Uso de contraseñas

7-1 ¿Se asegura de que se cambien todas las contraseñas predeterminadas en todos los dispositivos?*

Los atacantes tienen muchos problemas para encontrar combinaciones predeterminadas de nombre de usuario y contraseña. Esto les permitirá identificar uno de sus dispositivos e inmediatamente intentar conectarse a él, aunque esté dentro de su red interna. Simplemente cambiando la contraseña predeterminada (y el nombre de usuario si es posible) inmediatamente ha hecho que el trabajo de un hacker sea mucho más difícil.

Las contraseñas son importantes Solo piense por un minuto en la llave de su puerta principal. ¿Cuántas puertas diferentes abre esta llave? ¿Sería feliz usando una llave universal para entrar en su casa?

7-2 ¿Se asegura de que cada usuario requiera su propio nombre de usuario y contraseña y no haya nombre de usuario / contraseñas compartidos?*

Compartir nombres de usuario y contraseñas no es una buena idea. Si uno de los usuarios hiciera algo que no estaba permitido, no sería posible determinar quién era o incluso si era un usuario autorizado.

Acerca de la creación de contraseñas Las contraseñas son importantes Solo piense por un minuto en la llave de su puerta principal. ¿Cuántas puertas diferentes abre esta llave? ¿Sería feliz usando una llave universal para entrar en su casa?

Protección contra malware

8-1 ¿Están todas sus computadoras, sus computadoras portátiles y sus teléfonos móviles protegidos contra el malware mediante el uso de una de estas opciones? (Seleccione el que se aplique).*

Eche un vistazo a las opciones de su software antivirus (AV) e intente, siempre que sea posible, configurarlo para que se actualice (descargue firmas para AV) al menos una vez al día. Además, intente utilizar el análisis de archivos bajo demanda, de modo que todos los archivos se analicen antes de que las aplicaciones o el sistema operativo los carguen.

Malware es la abreviatura de software malicioso, que es un software que está diseñado para causar daño al interrumpir, dañar u obtener acceso a una computadora, sin el conocimiento del propietario. El malware generalmente consiste en código desarrollado por atacantes cibernéticos, diseñado para causar daños extensos a datos y sistemas, u obtener acceso no autorizado.

8-2 Cuando se utiliza una tienda de aplicaciones, se impide a los usuarios instalar aplicaciones sin firmar*

Considere la posibilidad de permitir que los usuarios solo instalen aplicaciones que hayan sido verificadas por ustedes mismos y también donde hayan sido firmadas. La firma de código (en muchas de las tiendas de juegos) significa que se ha realizado un elemento de verificación antes de que se lancen las aplicaciones.

Malware es la abreviatura de software malicioso, que es un software que está diseñado para causar daño al interrumpir, dañar u obtener acceso a una computadora, sin el conocimiento del propietario. El malware generalmente consiste en código desarrollado por atacantes cibernéticos, diseñado para causar daños extensos a datos y sistemas, u obtener acceso no autorizado.

8-3 Cuando se utiliza el sandboxing de aplicaciones, ¿se ha tenido en cuenta el acceso dado al sandbox?*

Cuando utilice la tecnología de sandboxing, tenga en cuenta a qué recursos compartidos y recursos puede acceder el espacio aislado, busque bloquear el acceso (o no compartir) aquellos recursos que no son necesarios para cumplir con su función.

Malware es la abreviatura de software malicioso, que es un software que está diseñado para causar daño al interrumpir, dañar u obtener acceso a una computadora, sin el conocimiento del propietario. El malware generalmente consiste en código desarrollado por atacantes cibernéticos, diseñado para causar daños extensos a datos y sistemas, u obtener acceso no autorizado.

Cuentas de usuario

9-1 ¿Hay algún proceso que siga para crear una nueva cuenta de usuario?*

Considere si un proceso de creación de cuentas de usuario ayudaría a su organización. Puede ser que solo una vez que alguien haya firmado su documentación y haya recibido la autorización (si corresponde) se le emita una cuenta de usuario de computadora.

Es posible que las personas que trabajan en oficinas o que comparten sus computadoras ya estén familiarizadas con cuentas de usuario separadas en sus computadoras. Las cuentas separadas garantizan una autenticación y responsabilidad precisas. ¿De qué otra manera puede rastrear y controlar quién accede a los archivos o puede cambiar algo en su sistema?

9-2 ¿Tiene un proceso para rastrear las cuentas de usuario de las personas que se unen o se van?*

Considere desarrollar un proceso. Cuando alguien se une a tu organización, los permisos de su cuenta se registran y aprueban. Cuando se van, su cuenta se deshabilita (o se elimina).

Es posible que las personas que trabajan en oficinas o que comparten sus computadoras ya estén familiarizadas con cuentas de usuario separadas en sus computadoras. Las cuentas separadas garantizan una autenticación y responsabilidad precisas. ¿De qué otra manera puede rastrear y controlar quién accede a los archivos o puede cambiar algo en su sistema?

9-3 ¿Hay algún proceso que se siga antes de que un miembro del personal recibe una cuenta de administrador?*

Considere si un proceso de creación de cuentas de usuario ayudaría a su organización. Puede ser que solo una vez que alguien haya firmado su documentación y haya recibido la autorización (si corresponde) se le emita una cuenta de usuario de computadora. Considere si podría crear un conjunto de reglas en torno a las cuentas de administrador. Deberá aclarar quién tiene las cuentas de administrador y asegurarse de que estas cuentas no se usaron para correos electrónicos y navegación web. La actividad regular de la cuenta es arriesga en una cuenta de administrador, ya que cualquier compromiso puede ocurrir con un conjunto más alto de permisos, lo que significa que existe la posibilidad de un mayor daño a su sistema.

Es posible que las personas que trabajan en oficinas o que comparten sus computadoras ya estén familiarizadas con cuentas de usuario separadas en sus computadoras. Las cuentas separadas garantizan una autenticación y responsabilidad precisas. ¿De qué otra manera puede rastrear y controlar quién accede a los archivos o puede cambiar algo en su sistema?

Aspectos Legales

10-1 ¿Cuentan con Políticas para el tratamiento y para la seguridad de la información?*

El debido tratamiento de datos personales, se ha vuelto un tema relevante. Factores como el uso indebido o la vulneración de medidas de seguridad, ponen en riesgo la reputación de las empresas, y las podrían hacer acreedoras de sanciones, por lo que resulta necesario estudiar el tema desde una perspectiva regulatoria legislación, normas sectoriales y buenas prácticas.

La LFPDPPP tiene por objeto proteger los datos personales en posesión de los particulares, con la finalidad de regular su tratamiento legítimo, controlado e informado. Esto con el fin de garantizar la privacidad y el derecho a la autodeterminación informativa de las personas.

10-2 ¿Aplican la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP)?*

El debido tratamiento de datos personales, se ha vuelto un tema relevante. Factores como el uso indebido o la vulneración de medidas de seguridad, ponen en riesgo la reputación de las empresas, y las podrían hacer acreedoras de sanciones, por lo que resulta necesario estudiar el tema desde una perspectiva regulatoria legislación, normas sectoriales y buenas prácticas.

La LFPDPPP tiene por objeto proteger los datos personales en posesión de los particulares, con la finalidad de regular su tratamiento legítimo, controlado e informado. Esto con el fin de garantizar la privacidad y el derecho a la autodeterminación informativa de las personas.

Procedimientos

11-1 ¿Cuentan con procedimiento de Reclutamiento y Selección?*

Al momento de reclutar nuevo personal, mencionen claramente cuál es la intención de su política de trabajo desde casa y qué pretenden lograr al brindar oportunidades de trabajo home office.

11-2 En sus contrataciones con tercero: ¿ha cuidado implementar cláusulas de protección de sus activos informáticos y derechos de propiedad intelectual e industrial*

La importancia de la tecnología y su uso en el ámbito empresarial hace que resulte necesario para las empresas -ya sean clientes o proveedores- conocer las implicaciones legales y los aspectos jurídicos de los contratos relacionados con la tecnología

11-3 ¿Tiene algo escrito para aconsejar a todos los usuarios sobre la creación de buenas contraseñas, cuál debe ser su longitud y lo importante que es usar diferentes contraseñas para diferentes sistemas?*

De la misma manera que los atacantes conocen las combinaciones predeterminadas de nombre de usuario y contraseña, también tienen listas de nombres de usuario y combinaciones de contraseñas para lo que podrían ser algunas de sus cuentas. Si tiene una combinación favorita de nombre de usuario / contraseña y se descubrió en un compromiso, entonces alguien intentaría esto para entrar en su sistema.

Las contraseñas son importantes. Sólo piense por un minuto en la llave de su puerta principal. ¿Cuántas puertas diferentes abre esta llave? ¿Sería feliz usando una llave universal para entrar en su casa?

Capacitación

12-1 ¿Cuentan con un programa de capacitación donde se mencionen los siguientes temas? (ataques BEC, extorsión de ransomeware, Uso aceptable, Patch awareness, Conciencia de ingeniería social, Mejores prácticas de contraseña, Manejo de correo electrónico, Uso seguro del navegador, Protección de Datos, Bloqueo de pantalla, Entrenamiento dirigido, Informar incidentes, entre otros.)*

La mayoría de incidentes, como fuga y secuestro de información se da, por la falta de capacitación y concientización.

La mayoría de incidentes, como fuga y secuestro de información se da, por la falta de capacitación y concientización. Es por ello que invertir en tecnología y programas de capacitación para, mitigar y en su momento eliminará este tipo de eventos en su operación, alentará a los colaboradores al uso correcto de la tecnología, dentro y fuera de la organización.

Continuidad del Negocio

13-1 ¿Realiza respaldos de sus servidores?*

Que todas las organizaciones deberíamos contar con un backup o copia de seguridad es algo cada vez más claro. Cada vez más compañías apuestan por soluciones informáticas basadas en servidores locales y cloud, lo que supone tener mucha información en circulación.

13-2 ¿Realiza respaldos de sus equipos de computo?*

Que todas las organizaciones deberíamos contar con un backup o copia de seguridad es algo cada vez más claro. Cada vez más compañías apuestan por soluciones informáticas basadas en servidores locales y cloud, lo que supone tener mucha información en circulación.

Red WiFi

14-1 ¿Utiliza red Wifi en sus oficinas centrales y sucursales?*

A los riesgos y amenazas propios de redes cableadas hay que añadir los inherentes a las redes wifi. Al tratarse de una tecnología inalámbrica, cualquiera que se encuentre dentro de su rango de acción podría llevar a cabo acciones maliciosas.

14-2 ¿Cuenta con una red WiFi privada?*

A los riesgos y amenazas propios de redes cableadas hay que añadir los inherentes a las redes wifi. Al tratarse de una tecnología inalámbrica, cualquiera que se encuentre dentro de su rango de acción podría llevar a cabo acciones maliciosas.

14-3 ¿Cuenta con una red WiFi para invitados?*

A los riesgos y amenazas propios de redes cableadas hay que añadir los inherentes a las redes wifi. Al tratarse de una tecnología inalámbrica, cualquiera que se encuentre dentro de su rango de acción podría llevar a cabo acciones maliciosas.

14-4 ¿Los dispositivos móviles personales de los colaboradores se conectan a red privada o de invitados?*

A los riesgos y amenazas propios de redes cableadas hay que añadir los inherentes a las redes wifi. Al tratarse de una tecnología inalámbrica, cualquiera que se encuentre dentro de su rango de acción podría llevar a cabo acciones maliciosas.

Correo electrónico

15-1 ¿Las cuentas de correo electrónico que se utilizan en la empresa son de un dominio privado (su dominio) o público (Hotmail, Gmail, Outlook.com, yahoo.com, etc.)?*

No es lo mismo Responder que Responder a todos. Si se responde a todos se puede estar compartiendo información con contactos que uno mismo, el remitente principal o los destinatarios no quieren o deben recibir. Y un fallo muy habitual en correos entre varios contactos es Responder solo a la persona que envía el correo electrónico dejando sin respuesta al resto de los miembros de la comunicación incluidos en la conversación, lo que supone una pérdida de información y de tiempo.