Cabecera aquí

¿Cómo hacer frente a los riesgos de

ciberseguridad en empresas de

logística?Elisa Vivancos

elisa.vivancos@incibe.es

Cabecera aquí

¿Quiénes somos?

Fomento de la

industria,I+D+i y talento

Servicios públicos

Ciberseguridad

• Desarrollo de Tecnologías de Ciberseguridad• Inteligencia en el ciberespacio

• Desarrollo de la industria nacional• Fomento I+D+i• Promoción e identificación de talento

• Detección, análisis y respuesta ante ciberataques

• Concienciación en ciberseguridad

Desarrollo

Tecnologías

Ciberseguridad

¿Qué hacemos?

Uso de las TIC en el sector

• Infraestructura y conectividad

• Presencia y usos de internet

• Comercio electrónico

• Uso de tecnologías clave

• Talento digital

Un sector en plena transformación digital

• Sistemas y aplicaciones

automatizados: gestión almacenes

y rutas, control mercancías RFID

• Uso de redes inalámbricas y redes

móviles (flotas vehículos).

• Nuevas tecnologías en la cadena

de suministro: IoT, integración de

sensores, Blockchain, cloud,

robótica, drones,…

• Información de carácter personal.

Efectos positivos de la adopción de la tecnología

• Mejora de los procesos

• Mejora de la relación con

el cliente

• Mayor eficiencia /

productividad y

competitividad

• Sostenibilidad

…que dan lugar a incidentes con pérdidas de

datos, equipos, reputación o daño para las

personas.

• ataques intencionados

• accidentes, fallos,

errores involuntarios

• situaciones fortuitas,

azarosas

…no está exenta de riesgos…

• Perímetro extenso

• Dispositivos conectados a la nube

• Movilidad

• Software propietario

• Cadena de suministro

• Riesgos ciber-físicos

• Infraestructuras esenciales

Riesgos derivados de la transformación digital

para empresas del sector

9

¡Nos han secuestrado la información!

¡Se han filtrado todos nuestros datos de

clientes!

¡Nos ha llegado un phishing!

¡Formamos parte de una Botnet!

Cabecera aquí

El sector como objetivo para los delincuentes

Los incidentes de ciberseguridad en el sector

Los nuevos modelos, paradigmas y

disciplinas hacen que aumente la

dependencia de la tecnología

Grandes empresas

«madurez en ciberseguridad»

Pymes y autónomos

Alta dependencia tecnológica

«Precavidos y preparados»

Media dependencia tecnológica

«Temerarios o imprudentes»

Baja dependencia tecnológica

«Despreocupados o indiferentes»

Dependencia tecnológica y

actitud frente a la ciberseguridad

Gráfico de Teller en el librode Thomas L. Friedman

«Thank You for Being

Late: An optimist's

guide to thriving in the

age of accelerations»

Mayor dependencia … ¿cuál debe ser la

actitud frente a la ciberseguridad?

… las empresas han de aprender más rápido y gobernarse de forma más inteligente…

La protección de nuestros

ACTIVOS frente a AMENAZAS

¿Por qué lo llamamos ciberseguridad?

Sobre activos TIC

o…

mediante

amenazas TIC

RIESGOS ACTUALES

RIESGOS EMERGENTES (dentro de 1 año)

FUTUROS (dentro de 5 años) RIESGOS

… en un entorno de riesgos cambiantes…

la ciberseguridad es un proceso continuo

Identificar activos

Prevenir

Detectar incidentes

Responder

RecuperarENFOQUE

INCREMENTAL

MEJORA CONTINUA

Buscar el equilibrio: preocuparse y ocuparse

Para proteger nuestros activos tenemos que

conocer…

… la fórmula del riesgo (%)

AmenazaAmenazaVulnera-bilidad

Vulnera-bilidad

ImpactoImpacto Riesgo Riesgo

Grupos de riesgos según el modelo EBA

Sistemas TIC soporte

operaciones

Servicios TIC prestados a

usuarios internos o externos

Disponibilidad y continuidad de

las TIC

Seguridad de las TIC: acceso no

autorizado

Cambio de las TIC: por mala gestión de los cambios

Integridad de los datos

Externalización de las TIC

Gestión de riesgos: «gobernarse de forma más

inteligente»

https://adl.incibe.es/

Puestos de trabajo

Ordenadores personales

Impresoras

Teléfono fijo

Dispositivos móviles:

Teléfono

Sensores - IoT

Tableta

Portátiles

Sistemas de almacenamiento

externo:

Pendrives

Discos duros externos

CRM - BI / Servidores de

correo electrónico

Servidores de aplicaciones

Router de Internet

Red wifi

Página web / Tienda online

Plataforma de logística / Servicios

externalizados

Servicios en cloud

Identificar los activos: inventario

Identificar su criticidad para el negocio y

valorar su coste en caso de pérdida o fallo.

https://www.incibe.es/protege-tu-empresa/que-te-interesa/plan-director-seguridad

https://etl.

… amenazas …

ATACANTE

Cracker

Hacker

Script Kiddie

Terrorista

Criminal

Espía

Insider

Vándalo

HERRAMIENTA

Sniffer

Scanner

Ataque físico

Kit de exploits

Comandos

Kit de malware

Scripts

Herramientas distribuidas

Agentes autónomos

VULNERABILIDAD

Diseño

Configuración y despliegue

Políticas de uso y

procedimientos

ACCIÓN

Prueba

Espiar

Escanear

Interrumpir

Modificar, borrar

Inundar

Suplantar

Secuestrar

Inyectar

Lectura, copia, robo

ACTIVO

Cuentas de usuario

Datos

Procesos

Sistemas

Redes

Servicios

Aplicaciones

RESULTADO

Brecha de datos

Denegación de servicio

Escalada de privilegios

Destrucción de datos o

sistemas

Corrupción de información

Robo de recursos

FINALIDAD

Reto, aprendizaje o

renombre

Beneficio político

Beneficio económico

Daño a la reputación

Incidente

Diseño

Fabricante o Desarrollador

Despliegue y configuración

Software

Hardware

Comunicaciones

Políticas de uso y procedimientos

Usuario

Administrador

Conoce tus vulnerabilidades

https://www.incibe-cert.es/alerta-temprana/vulnerabilidades

https://www.incibe.es/protege-tu-empresa/avisos-seguridad

Cinco leyes de ciberseguridad

1. Si existe una vulnerabilidad será explotada.

2. Todo es vulnerable de alguna forma.

3. Las personas confían aun cuando no

deberían hacerlo.

4. Con la innovación …vienen nuevas

oportunidades para explotar

vulnerabilidades.

5. En caso de duda aplica la ley número 1.

Fuente: TEDx FoundduLac Nick Espinosa https://youtu.be/_nVq7f26-Uo

Calcula el impacto

Guía de gestión de riesgos

Opciones para gestionar los riesgos

Control de accesos

Antimalware

Cortafuegos, IDS/IPS

Configuración de la red

cableada y la wifi

Configuración la Web

Dispositivos móviles seguros

Backup

¿Qué medidas técnicas y organizativas tenéis

implementadas para mitigar los riesgos?

Cloud, Correo electrónico,Wifis y redes externas, Uso de

dispositivos móviles no corporativos

Políticas de uso: checklists

https://www.incibe.es/protege-tu-empresa/herramientas/políticas

Garantizar las propiedades de los entornos

seguros

También cuando subcontratamos servicios

Aplicaciones seguras

Trabajando en el camino

Identificar activos

Prevenir

Detectar incidentes

Responder

Recuperar¿Qué hacemos si ocurre un incidente o un desastre?Preparados para responder y recuperarse

¿Qué ha pasado?

¿A quién afecta?

Usuarios / clientes / colaboradores

¿Qué decirles y cómo?

Sólo internamente

¿Tiene repercusiones

legales o contractuales?

Consultar con soporte legal

Pérdida de datos personales

¿Es un delito que podamos

denunciar?

Honor, Propiedad intelectual, intrusión,

extorsión, etc.

¿Tendremos que guardar evidencias

para hacer la denuncia?Sí, nuestro

responsable de IT se hace cargo

No, contactamos al soporte externo

Los tenemos externalizados

Contactamos con el proveedor

Respuesta a incidentes

JUEGO DE ROL

¿Estáis preparados para resolver un incidente de seguridad?

Sin necesidad de conocimientos técnicos específicos

Entrenamiento en la toma de decisiones durante una crisis

5 escenarios distintos habituales

Phishing

alojado

en la web

empresarial

Ransomware Fuga de

información

Ataque de

ingeniería

social

Formar parte

en un botnet

¿Tienes un plan B?

Identificar activos

Prevenir

Detectar incidentes

Responder

Recuperar

Aprender más rápido: evitar

incidentes

Pensar como un hacker

• Interrumpir los sistemas o

piratearlos

• Secuestrar información

• Capturar credenciales de

transacciones financieras

• Identificar

vulnerabilidades para

explotarlas

• Controlar y exponer

información confidencial,

personal o patentada.

• Obtener ganancias

financieras.

• Pedir rescate para liberar la

info secuestrada.

• Venta de cuentas o

interferencia en

transacciones.

• Hacer trabajar a nuestros

sistemas para ellos.

• Causar daños

reputacionales y pérdidas.

¡Todo lo necesario para concienciar a los empleados en ciberseguridad!

Fomentar buenos hábitos en ciberseguridad

Materiales en diversos formatos

KIT DE CONCIENCIÓN

Ataques dirigidosDocumentosPosters

ImágenesTrípticosTest de evaluación

Distribución programada

ITINERARIOS SECTORIALES INTERACTIVOS

Videos interactivos por sector empresarial

Aspectos esenciales en ciberseguridad

Laura y Miguel nos guiarán en esta aventura

29 videos interactivos con situaciones cotidianas de cualquier empresa

PopupsDocumentación adicionalElementos específicos

HACKEND, SE ACABÓ EL JUEGO

Juego cuyo objetivo es formar y concienciar en ciberseguridad

Inspirado en el juego de Carmen SanDiego

Disponible para varias plataformas y online

Múltiples escenarios

Premio Mejor Serius Game 2016 en el Fun&Serious Game Festival

eSpecífico: ¿qué?

Medible: ¿cuánto?

Alcanzable: ¿cómo?

Relevante: ¿por qué?

a Tiempo: ¿cuándo?

Objetivos de seguridad para

empresas del sector1. Formar al personal para evitar

incidentes.

2. Identificar los activos y sus

vulnerabilidades.

3. Seguir una gestión de riesgos e

iniciar un Plan de Ciberseguridad.

4. Entrenar al personal en la

respuesta a incidentes.

5. Establecer Plan de contingencia y

continuidad.

¿Cómo nos puede ayudar INCIBE?

LÍNEA DE AYUDA

LÍNEA DE AYUDA

GRATUITAEN CIBERSEGURIDAD

DISPONIBLE365 DÍAS

TU AYUDA ENCIBERSEGURIDAD

www.incibe.es Redes sociales

Línea de ayuda

Síguenos en….