1.

Introducción

2. Clasificación de ciberataques

3. Qué hacer ante un ataque

4. Familiarización con la legislación y normativa

5. Prevención. Creación de una cultura de

ciberseguridad en el trabajo
2
3
4
Internet de
las Cosas

5
 CCN-CERT gestionó más de 20.000 ciberincidentes, detectados principalmente en
el sector público y en empresas, lo que supone un 14,5% más que en 2015

 De ellos, el 3,6% fueron catalogados como muy altos o críticos

 Solo en España se trataron más de 2.000 incidentes de distintos tipos de

ransomware, un 375% más que en 2015

 Los ataques de denegación de servicio registrados solo en el segundo trimestre de

2016, se incrementaron en un 129% más que los registrados en el mismo trimestre
de 2015

Fuente: Ciberamenazas y Tendencias (Edición 2017) del Centro Criptológico Nacional (CCN)

6
 INCIBE ha resuelto más de 120.000 incidentes de seguridad en 2017, un 6,77% más
que 2016

 De estos incidentes, más de 100.000 afectaron a empresas y ciudadanos, 885 a

operadores estratégicos y 5.537 correspondieron al ámbito académico de la RedIRIS

Fuente: Balance 2017 del Instituto Nacional de Ciberseguridad (INCIBE)

7
8
Es la disciplina que se encarga de que los sistemas de
información sean seguros y confiables.

9
Los sistemas de información son la información y todo lo
que la gestione o contenga.
10
Fuente: Instituto Nacional de
Ciberseguridad (INCIBE)
11
12
  Software malicioso cuyo objetivo es
infiltrarse en un sistema para
Malware dañarlo.

 Virus, gusanos, troyanos, etc.

13
  Robo de datos personales,
bancarios, etc.

 Funcionan mediante la suplantación

Phishing de identidad.

 Se realiza a través del correo

electrónico, mensajería o llamadas
telefónica.

14
  Consiste en realizar un número
considerable de peticiones a un
servidor.
Denegación de Servicio  El objetivo es colapsar y saturar un
(DoS) sistema.

 La técnica más habitual es infectar

múltiples dispositivos para poder
utilizarlos en el ataque.

15
  Programa que aprovecha una
vulnerabilidad
Exploit  Múltiples objetivos: robar, espiar,
controlar o modificar la
configuración de los dispositivos,
etc.

16
 Tiempo de inactividad

 Costes económicos

 Pérdidas de datos

 Daños de reputación

17
18
1. Preparación 2. Detección y análisis

3. Contención,
4. Cierre
resolución, recuperación

19
 Estimar las necesidades para la gestión del incidente

 Definición de política de gestión de incidentes

 Catálogo con las incidencias más probables

20
 Identificación

 Clasificación y priorización

 Notificación

21
 Contención
 Varía según el tipo de incidente y el impacto
 Más eficaz si previamente se han definido estrategias

 Resolución
 Recuperación de los sistemas afectados

 Recuperación
 Eliminación de los componentes asociados al incidente

22
 Documentar la gestión del incidente

 Registro común de incidentes

 Revisión periódica de las estrategias

 Analizar y medir

23
  Cuenta con la ayuda de expertos
¿Has sufrido un incidente?
 Contacta con INCIBE

24
Cualquiera puede reaccionar ante un ciberataque, la
cuestión es adaptar la metodología según los recursos con
los que se cuente.

25
26
 Legislación y normativa bastante extensa

 Leyes de ámbito estatal y europeo

 Existen organismos internacionales que generan normas y estándares

27
Conocer y cumplir las leyes y los estándares ayuda a
mejorar la seguridad de nuestra empresa.

28
 Mejora la gestión de la seguridad de la empresa

 Mayores garantías de seguridad y niveles de servicio

 Mejora la reputación

 Ayuda a identificar los riesgos y vulnerabilidades

 Refuerza la aplicación de buenas prácticas de seguridad

 Evita sanciones

 Evita problemas con terceros

29
 LOPD LSSI
(Ley Orgánica de Protección de Datos) (Ley de Servicios de la Sociedad de la
Información y de Comercio Electrónico)

 Protección de datos personales  Personas/empresas que realicen

actividades económicas por
 Nivel de protección dependiente Internet
de sensibilidad del dato

 Cambio a RGPD (mayo 2018)  Obligatorio cumplir una serie de

exigencias, por ejemplo, en la
 Organismo responsable la página web
Agencia Española de Protección
de Datos

30
 LGT LPI
(Ley General de Telecomunicaciones) (Ley de Propiedad Intelectual)

 Operadores de  Protección de los derechos de

telecomunicaciones autor de todo tipo de creaciones

 El objetivo es la regulación
 Obligatorio (si procede) pagar
licencias de software, reconocer
autorías, etc.

31
 ISO/IEC 27000 SISTEMAS DE GESTIÓN DE LA SEGURIDAD DE LA INFORMACIÓN

 ISO 27001:2013: Sistemas de Gestión de la Seguridad de la Información (SGSI)

 ISO 27002:2005: Código de buenas prácticas para la Gestión de la Seguridad

de la Información

 ISO 27005:2011:Gestión de riesgos de seguridad de la información

 ISO 27032:2012: Directrices de ciberseguridad

 ISO 27035:2011: Guía de gestión de incidentes de Seguridad

32
33
 No proporcionar datos confidenciales, bancarios, contraseñas, etc.

 No instalar programas de origen desconocido

 Prestar atención a las URL cuando se navega

 No abrir enlaces sospechosos ni descargar archivos adjuntos

 En los emails fijarse en la dirección de correo del remitente

34
35
Puestos de trabajo Comunicaciones

Dispositivos móviles

36
 Uso de antivirus

 Cifrado de datos

 Copias de seguridad

 Control de contraseñas

 Bloqueo del ordenador

 Política de mesas limpias

 Política de uso de los sistemas

37
 Redes privadas virtuales (VPN)

 Cortafuegos

 Política de uso del correo electrónico

 Técnicas para telefonía IP

38
 Bloqueo del terminal

 Cifrado de datos

 Copias de seguridad

 Software actualizado

 Aplicaciones de confianza

 No utilizar WiFis públicas

39
Nuestros empleados son nuestros mejores aliados en
materia de prevención.

40
41