Ingeniería Social

Ingeniería Social.

La ingeniería social ha sido uno de los ataques con mayor ocurrencia en el contexto de pandemia, el impacto que genera es variado y de gran efecto en algunos casos.

Hay muchos vectores de ataque y vulnerabilidades que explota. En el último año, más de 500 intentos de ataque se han realizado a la organización, siendo efectivos 3 de ellos. El principal efecto de estos ataques ha sido el robo de información confidencial (datos personales) y el traspaso de recursos financieros no autorizados a terceros. Se estiman perdida sobre $12.000.000 en dichos eventos, no teniendo efectos mayores en lo operacional, reputacional ni normativo.

Dado el contexto del ataque, el cual afecta principalmente a usuarios internos, es de alta preocupación para la organización, puesto que estos administran información de alta confidencialidad e integridad, incluyendo información personal, razón por la cual la materialización de un riesgo de estas características puede tener serios efectos.

La organización ha establecido un foco en los usuarios internos para gestionar este riesgo, desarrollando la Gerencia de RRHH un programa de concientización, el cual se realiza de manera permanente a lo largo del año (con campañas de concientización, el desarrollo de ejercicios prácticos de Phishing, Malware y solicitudes de información confidencial), los cuales están además vinculados con procesos de capacitación para el informe incidentes. Adicionalmente han contratado de manera externa un servicio con un proveedor, el cual realiza servicios de análisis y bloqueo automatizados de Phishing en el servidor de correos adicionales a los ya existentes, siendo el responsable de dicho control el Gerente de Servicios.

Dicha campaña ha mejorado los resultados de la organización, no materializándose los riesgos en el último periodo, con un 100% de reporte de los ataques simulados.

Gestión de Proveedores

Se ha identificado un riesgo con el Proveedor XYZ en la provisión de sus servicios, puesto que estos no poseen Planes de Continuidad del Negocio establecidos y son uno de los proveedores críticos.

En el transcurso del año es la cuarta vez que ocurren problemas de disponibilidad por interrupciones en el servicio provisto por el proveedor, el cual corresponde a un servicio transaccional empleado para la validación de datos de clientes con bases de datos de terceros. La pérdida de disponibilidad en todos los casos ha sido por un periodo de más de 8 horas, siendo que el SLA establecido es de 2 horas. El efecto operacional ha sido importante puesto que más de un 30% de los procesos críticos del negocio se ha visto afectado, generando pérdidas del orden de $2.000.000. En términos de reputacionales, no ha generado mayor efecto, salvo reclamos informales de clientes.

Se ha advertido que la empresa no posee planes de continuidad del negocio que posibiliten alcanzar el RTO establecido (2 horas) y que la provisión de servicios productos de los incidentes materializados no es capaz de otorgarse de manera continua.

El gerente de TI responsable del servicio y relación con el proveedor en su análisis de riesgo ha exigido como mecanismos de control el cambio a una plataforma de alta disponibilidad con un 99,995% de uptime y la formalización de un plan de continuidad del negocio para el servicio que garantice las 2 horas de RTO, aceptando el proveedor dicho requisito.

Base de Datos de Operaciones

Se ha identificado un riesgo en la Base de Datos de Operaciones, identificando un alto número de funcionarios desvinculados con accesos activos, así como proveedores que ya han dejado de prestar los servicios en la compañía, muchos de estos desvinculados desde el año pasado.

La Base de Datos soporta el Core del negocio y prácticamente todos los procesos organizacionales claves, es por ello que el CID requerido es del más alto nivel.  

El riesgo de fuga de información es inminente, producto de ciertos controles modificados por la pandemia y la priorización de otras actividades, el proceso de RRHH no ha sido del todo riguroso en el informe oportuno de desvinculaciones a TI, mientras que TI no ha cumplido con la revisión de las desvinculaciones establecidas desde el sistema de RRHH.

...