Es posible que las prácticas normales de seguridad de TI no lo protejan de ataques maliciosos que ingresan a su sistema a través de dispositivos cotidianos, como llaves USB. Crédito:Shutterstock
Si tiene un negocio, probablemente esté preocupado por la seguridad de TI. Quizás invierta en software antivirus, cortafuegos y actualizaciones periódicas del sistema.
Desafortunadamente, Es posible que estas medidas no lo protejan de ataques maliciosos que ingresan a sus sistemas a través de dispositivos cotidianos.
En la noche del viernes 24 de octubre de 2008, Richard C. Schaeffer Jr, El principal oficial de protección de sistemas informáticos de la NSA estaba en una reunión informativa con el presidente de Estados Unidos, George W. Bush, cuando un asistente le pasó una nota. La nota fue breve y al grano. Habían sido pirateados.
¿Como paso? El culpable fue un simple USB.
Ataques a la cadena de suministro USB
El ataque fue inesperado porque los sistemas militares clasificados no están conectados a redes externas. La fuente se aisló en un gusano cargado en una llave USB que se había configurado cuidadosamente y se dejó en grandes cantidades para comprar en un quiosco de Internet local.
Este es un ejemplo de un ataque a la cadena de suministro, que se centra en los elementos menos seguros de la cadena de suministro de una organización.
El ejército de Estados Unidos actuó de inmediato para prohibir las unidades USB en el campo. Algunos años despues, Estados Unidos usaría la misma táctica para violar e interrumpir el programa de armas nucleares de Irán en un ataque que ahora se ha denominado Stuxnet.
La lección es clara:si está conectando unidades USB a sus sistemas, debe estar muy seguro de dónde provienen y qué contienen.
Si un proveedor puede obtener una carga útil secreta en una memoria USB, entonces no existe un período seguro en el que un USB sea una buena opción. Por ejemplo, actualmente puede comprar una memoria USB que secretamente es una computadora pequeña, y lo hará, en la inserción, abre una ventana en tu máquina y juega la marcha de la Estrella de la Muerte.
Este es solo un tipo de ataque a la cadena de suministro. ¿Cuáles son los otros tipos?
Ataques a la cadena de suministro de la red
Los usuarios de computadoras tienen una tendencia creciente a almacenar toda su información en una red, concentrando sus activos en un solo lugar. En este escenario, si una computadora está comprometida, todo el sistema está abierto a un atacante.
El modelo básico de un ataque a la cadena de suministro de la red muestra cuán vulnerables son los sistemas interconectados dentro de una organización. Suministrado por el autor
Considere la posibilidad de utilizar un teléfono de conferencia en su organización. Supongamos que este teléfono habilitado para la red tiene una falla incorporada que permitiría a los atacantes escuchar cualquier conversación en las cercanías. Esta fue la realidad en 2012, cuando más de 16 versiones del popular teléfono IP de Cisco se vieron afectadas. Cisco lanzó un parche para sus teléfonos, que podrían instalar los departamentos de seguridad de TI de la mayoría de las empresas.
En 2017, un problema similar surgió cuando una marca de lavavajillas de grado hospitalario se vio afectada por un servidor web inseguro incorporado. En el caso de un hospital, Existe una gran cantidad de datos privados y equipos especializados que podrían verse comprometidos por tal vulnerabilidad. Aunque finalmente se lanzó un parche, requirió un técnico de servicio especializado para cargarlo.
Los ataques a la cadena de suministro se han visto implicados recientemente en la desastrosa tasa de fallas del programa de misiles de Corea del Norte. David Kennedy, en un video para The Insider, analiza cómo Estados Unidos ha interrumpido previamente los programas nucleares mediante el uso de la tecnología cibernética. Si todavía poseen esta capacidad, es posible que deseen mantenerlo en secreto. Si este fuera el caso, Es concebible que uno de los numerosos fallos de Corea del Norte pudiera haber sido una prueba de tal arma cibernética.
Cinco formas en que las empresas pueden protegerse
Para protegerse contra todo esto, debe configurar procesos básicos de higiene cibernética que puedan ayudar a mantener su empresa libre de infecciones.
La conciencia cibernética es crucial
Finalmente, puede maximizar la resiliencia cibernética capacitando a todos en su organización para que aprendan nuevas habilidades. Pero es vital comprobar si su entrenamiento está funcionando. Utilice ejercicios reales, junto con profesionales de la seguridad, para examinar su organización, practicar esas habilidades, y averigüe dónde necesita hacer mejoras.
El precio de cualquier conexión a Internet es que es vulnerable a los ataques. Pero como hemos mostrado, ni siquiera los sistemas independientes son seguros. La práctica deliberada y los enfoques reflexivos de la seguridad pueden aumentar la protección de su empresa o lugar de trabajo.
Este artículo se publicó originalmente en The Conversation. Lea el artículo original. 
