lunes, 12 de septiembre de 2016

IoT y el último adios a nuestra privacidad


Gracias a la conexión a internet de todo y todos, el IoT y la necesidad casi patológica de la gente de compartir en redes sociales absolutamente toda su vida e información, incluyendo la que no debería ser compartida, la privacidad sigue un camino en donde se volverá solo una utopía, un lejano recuerdo de las épocas en donde internet era para buscar algo que uno necesitaba, donde internet era el producto y no donde nuestra información es el producto como pasa hoy en día, nuestra información es la mina de oro que explotan los grandes de internet para seguir llenando sus arcas de dinero a expensas nuestras, como retribución recibimos servicios “gratuitos” como un servicio de correo, una aplicación de redes sociales, un buscador o un repositorio de fotos. 

La búsqueda en este mar de datos que crece a pasos agigantados ayudado por nuestros clicks, los Like’s y las búsquedas que hacemos todos los días, se ha refinado ayudando a mejorar tecnologías como Big Data, minería de datos e inteligencia artificial con las que los dueños de nuestros datos (que ya no somos nosotros mismos al aceptar usar esos servicios "gratuitos"  hacen mercadeo selectivo para poder presentarnos a medida que hacemos uso de las diferentes herramientas avisos personalizados y correos con servicios de temas asociados a nuestra vida personal o profesional, un “mejor servicio” según argumentan los grandes de internet mientras comercian con nuestra privacidad, con nuestros amores y desamores, con nuestras enfermedades, con nuestra afiliación política, sexual o nuestros gustos culinarios, da tristeza que una corporación para la que no somos sino algunos megas de información conozca o crea conocer, más de nuestra vida, que nuestra pareja, nuestros hijos y nuestros verdades amigos “y no hablo de los conocidos de las redes sociales, mal etiquetados como amigos”.

En la medida que el IoT consiga conectar más de nuestros dispositivos vamos a poder disfrutar de más servicios pero también vamos a perder lo poco que queda de nuestra privacidad, los dispositivos para mejorar el dormir, para hacer ejercicio, para desplazarnos, para desarrollar nuestras tareas laborales, de estudio o de entretenimiento podrán dibujar un esquema completo de nuestras actividades, reacciones, sentimientos, salud, gustos, sueños y esperanzas que estarán en la base de datos de alguno (o varios) de los grandes de internet y que los usaran como una mercancía que se vende al mejor postor, para hacer de todo lo que nos representa como humanos nos muestre como un cliente potencial de algún bien o servicio y todo ello sin nuestra intervención ni conocimiento, en la medida en que la explotación de esta información mejore, los algoritmos  estadísticos, el análisis predictivo y todas las tecnologías de análisis de datos mejoren, ya dejamos de ser nosotros mismos, seremos un porcentaje de acierto en alguna herramienta de análisis de datos que estará a la disposición de las compañías que pagan millones de dólares por saber cuándo y a donde vamos de vacaciones, cual es la comida favorita de nuestro perro o de nuestra pareja, o cuando será probable que tengamos algún periodo de ansiedad causado por el efecto colateral del medicamento para nuestra gastritis, los escenarios imaginables con casi infinitos pero el resultado será el mismo, hasta nuestra libertad de elegir se reduce drásticamente cuando un tercero sabe que necesitamos, cuando lo necesitamos y cuanto estaremos dispuestos a pagar por ello y además tiene la posibilidad de presentar su oferta directo a nuestros ojos, a través de nuestro computador, celular, Tablet, reloj, etc, etc.

Para los que amamos y trabajos en temas de seguridad el panorama además se vuelve aún más complejo, cualquier dispositivo conectado a internet, genera de manera automática preocupaciones no solo desde el punto de vista de la privacidad sino desde el punto de vista de la seguridad, los casos de hacking de carros, televisores, relojes inteligentes y dispositivos de salud (por mencionar solo algunos) ya son voz populi y se expandirán irremediablemente a todos los demás dispositivos imaginables que se conecten a internet con efectos difíciles de predecir, que pueden pasar por el robo de nuestra información, suplantaciones de identidad y fraudes financieros, hasta la muerte (si creen que exagero, que pasaría si vas a 50 kilómetros en tu vehículo y alguien decide acelerarlo al máximo y de paso dejarte sin frenos...?), los estándares del IoT están en desarrollo y crecimiento (al final de 2006 habían 2 billones de dispositivos conectados y se estima que para el año 2020 suban a 200 Billones, según intel), pero al igual que paso en sus primeros años con los grandes de la informática, al llevar dispositivos conectados a internet la seguridad no será uno de las prioridades sobre todo cuando la guerra de precios y el afán de llegar al público presione a los fabricantes de electrodomésticos y nuevos dispositivos a integrarlos a la red a la mayor brevedad posible.


La gente del común deberá preocuparse “por fin” de este tipo de características de los nuevos dispositivos si no quieren que toda la información generan y recolectan estos dispositivos además de terminar como datos de los grandes de internet, terminen en manos criminales que obtengan también beneficios de ellos, para los profesionales de la seguridad nuevamente los retos solo hacen incrementarse y las ayudas no son muchas, la explosión que generara la IoT no facilita la seguridad que este tipo de dispositivos debería garantizar y a nivel corporativo los riesgos deberán evaluarse de manera correcta para implementar los controles adecuados, así pues, mientras estrenamos nuestros últimos gadget’s démosle de paso un último adiós a lo que aún quedaba de nuestra privacidad.

miércoles, 27 de abril de 2016

SOA ISO 27001

Señores luego de muchos meses en donde no agregue entradas a mi blog, retomo con el tema de la ISO 27001 versión 2013, a raíz de un proyecto en el cual estoy participando estuve buscando en internet algunas plantillas que me permitieran registrar realizar la declaración de aplicabilidad o el Statement Of Applicability de la ISO 27001, y claro que encontré algunas hojas que me sirvieron mucho, sin embargo decide usarlas de base y crear una que permitiera registrar la existencia o no de algunos de los controles dentro de esta evaluación inicial y que me permitiera generar de manera automática un par de graficas (con dos versiones de presentación cada una) a suerte de dashboard para mostrar a nivel gerencial y que fueran fáciles de interpretar y entender.

La evolución natural de este tipo de herramientas en una organización que de manera seria y comprometida se lanza a implementar este estándar con todas sus implicaciones es avanzar y usar algún software que permita esta misma tarea de manera más sencilla, llevando histórico mensual o bimensual de la evolución y quizás con algún repositorio de datos que permita almacenar por control las evidencias del cumplimiento de los mismos, políticas, procedimientos e instructivos y facilitar la generación de reportes o entregables cuando la auditoria interna o la de certificación decida solicitarlos, este tipo de solución debería ser en web (a título personal me pregunto porque aún existen en las compañías soluciones cliente servidor…?), debería ser una solución integrada con un sistema de autenticación centralizada como un LDAP o para ser un poco más exacto que cumpla con los RFC 2251, RFC 2256, RFC 2829 y un par de otros RFC (solo para que los usuarios de Windows no crean que esto lo invento Microsoft cuando en realidad el Active Directory de Microsoft es solo una “popular” de las muchas implementaciones de este protocolo) y tener un módulo de administración en donde se puedan definir con los permisos correspondientes los usuarios de las partes interesadas incluyendo alta gerencia y Auditoria, y por supuesto debería ser una solución de software libre, ¿ no es mucho pedir o sí..?

Algunas aplicaciones de software libre en esta linea son "ERAMBA" www.eramba.org/tag/isms y "VERINICE" https://verinice.com/en/product/ 
No he tenido la oportunidad de trabajar con ninguna de ellas, pero sus caracteristicas y documentación dejan ver que son soluciones que cubrirían las necesidades de cualquier compañia, como siempre habría que prestar un poco de atención el tema de soporte, pero incialmente son de alcance muy difrenete a un simple assessment.

El archivo, esta entonces sin ningún tipo de protección y por supuesto son libres de usarlo y distribuirlo, pero también quedan con la obligación moral de si lo mejoran, compartirlo, recuerden el conocimiento debe ser libre y es para compartirlo. Hay algunas oportunidades de mejora para ser una solución tan “simple” como agregar una columna en donde quede registrada el área encargada de implementar el control y generar una gráfica de este cumplimiento por responsable, o generar reportes más detallados por dominio, etc, sin embargo más allá de esto tampoco la hoja de cálculo nos facilita mayores controles, así que les dejo algunas imagenes del archivo y sus graficas y si a alguien le interesa me puede escribir y con gusto se los envio por correo.

                                           Figura 1: Entrada de datos validado por lista


 
Figura 2: Grafia de Implementación de Controles

Figura 3: Cumplimiento ISO 27001 por Dominio 

Archivo disponible aqui: SOA 27001:2013