GERENCIA CORPORATIVA TECNOLOGÍA

Por: Seguridad de la Información TI

Si bien las estafas relacionadas con las compras se producen durante todo el año, los ataques cibernéticos se suelen intensificar cuando se acercan las fiestas navideñas. 

Cuando compra en una tienda física, probablemente reciba un simple ticket de papel. En cambio, las compras online normalmente generan un sin fin de mensajes de correo electrónico, de texto y otras comunicaciones de confirmación (facturas, confirmación de pedidos, notificaciones, etc.); por ello, en esta época es particularmente importante examinar con detenimiento todo mensaje de correo electrónico que le pida hacer clic en un enlace, descargar un archivo o confirmar las credenciales de inicio de sesión o los datos de pago.

Los timadores aprovechan esta situación para crear mensajes de phishing convincentes, como por ejemplo:

¿QUÉ PUEDO HACER?

La mejor forma de evitar los ataques de phishing en las fiestas navideñas se examina con cuidado todos los mensajes que le piden hacer algo. Y puesto que los estafadores imitan fácilmente los logotipos de las marcas, las direcciones de los remitentes y las firmas, debe ir un paso más allá.

Pregúntese lo siguiente:

• ¿Se con seguridad quién ha enviado este mensaje?
• ¿Parece extraño comparado con otros recibidos de este remitente anteriormente?
• ¿Es confuso o menciona una cuenta o una compra que no reconozco?
• ¿Me pide que actúe rápidamente o intenta asustarme mencionado problemas en relación con una cuenta, una compra o una entrega?
• Cuando paso el mouse por la dirección del remitente y los enlaces Web ¿veo algo inesperado o sospechoso?

CONSEJOS

• Vaya despacio: No deje que las prisas navideñas le hagan tomar decisiones precipitadas. Antes de interactuar con un mensaje que le incite a hacer algo (visitar un sitio web, descargar un archivo o iniciar sesión de una cuenta) revíselo con detenimiento. Si no está completamente convencido de que el mensaje es seguro, siempre es mejor pecar de cauto

• Confíe solo en lo que conoce: para evitar caer en la trampa de los impostores online, límite sus interacciones a sitios Web confianza y preferiblemente con las que ha tenido relación en el pasado. Si decide comprar en sitios Web menos conocidos, no olvide informarse antes.

• Tenga cuidado con las rebajas trampa: hay una gran diferencia entre una oferta fantástica y una oferta difícil de creer, los anuncios y sitios Web fraudulentos pueden prometer artículos de lujo a precios muy reducidos o la posibilidad de comprar un juguete o un dispositivo electrónico que ya está agotado en todas las tiendas. Esas compras podrían ser falsar, o no llegar. 

Cumplimos con norma técnica exigida por el BCCR para el servicio SINPE

El Banco Central de Costa Rica (BCCR) estableció que todas las entidades afiliadas al servicio de SINPE deben cumplir una serie de regulaciones dirigidas a adoptar MARCOS DE CIBERSEGURIDAD para la protección del sistema a nivel nacional.

Para ello, el 01 de agosto de 2023 emitió una norma técnica que las entidades deben atender obligatoriamente y que constituye un requisito para adquirir y mantener la condición de afiliado. 

También, estableció que el cumplimiento de la norma debía ser evaluado por una firma de auditores externos. Para tal efecto, se asignó a Crowe Horwath CR, S.A. como los responsables de emitir el informe que determinara el cumplimiento de los controles ante el BCCR.

La Gerencia Corporativa de Tecnología asignó al equipo de la Unidad de Integración de Canales la tarea de analizar la norma y asegurar el cumplimiento de la misma.

Este proceso incluyó:

• Un esfuerzo integral que involucró 18 áreas de Tecnología y 6 áreas de negocio. 

• El mapeo de los 47 controles solicitados por el BCCR; de los cuales 40 son de carácter obligatorio y 7 opcionales.

• El análisis para determinar servicios, responsables, entregables y planes de acción (de setiembre a diciembre 2023)

• La puesta en marcha de los planes de acción para recolectar, analizar, clasificar y revisar las evidencias entregadas según los requisitos establecidos. En total se recolectaron aproximadamente 270 evidencias (de enero a mayo 2024)

• La construcción y modificación de algunos procesos para lograr el cumplimiento de la norma.

Finalmente, luego de muchas horas de trabajo se logra la emisión del informe por parte de la firma auditora el 26 de junio de 2024, el cual da como resultado el cumplimiento de los 40 controles obligatorios y 4 opcionales ,  sobrepasando la meta primordial que era el cumplimiento de los 40 controles obligatorios antes del 30 de junio

“El 10 de julio de 2024 recibimos repuesta del BCCR donde dan por aceptado el informe y cumplimiento del Conglomerado Financiero BCR a la norma, lo cual celebramos y por lo que nos sentimos muy satisfechos”, afirma @Viviana Vega Zumbado86FB954A-AB2F-46E6-A83D-730F733142F5, Supervisora de la Unidad de Integración de canales.​

CONOCIMIENTO APLIADO:

• Aplicativos que tienen interfaz directa con el SINPE:

  BCR Gestor de Pagos Entrantes
  BCR Gestor de Pagos Salientes
  BCR Gestor de Firma y Sello Electrónico
  BCR OPC Gestor de Pagos
  Gestor de Pagos de BCR Valores
  BCR Monex BCCR
  BCR Nodo de Emisión de Firma Digital
  BCR Nodo SINPE

• Herramientas de Software Empleadas: se utilizaron todas estas herramientas especializadas dirigidas a optimizar la gestión y seguridad de la información y así contribuir con el cumplimiento de la norma:

• BCR Endpoint Central: Destinado al inventario de equipos, software, y VMs, y la aplicación de parches para sistemas operativos Windows.
• Panorama de PaloAlto: Administra el firewall, esencial para la protección perimetral.
• Cisco ISE: Implementa funciones AAA para mejorar la seguridad y gestión de identidades.
• Cisco Duo: Refuerza la seguridad mediante autenticación multifactor.
• Cortex: Ofrece servicios de detección y respuesta para endpoints.
• ProofPoint: Protege contra amenazas avanzadas de correo electrónico.
• Service-Now: Gestiona tiquetes y la documentación operativa.
• vCenter Sphere VMware: Gestiona las máquinas virtuales, permitiendo un control centralizado.
• Avamar: Proporciona soluciones de respaldo de datos y VMs.
• Safeguard: Facilita acceso seguro a VMs a través de usuarios administradores locales.
• EventLog y SolarWinds: Recopilan logs de seguridad y auditoría, cruciales para el cumplimiento y la vigilancia de la seguridad.
• Tenable IO: Evaluación continua de la vulnerabilidad y la conformidad de la seguridad de los activos de TI
• Qradar: Gestión de eventos e información de seguridad (SIEM) que facilita la detección avanzada de amenazas y anomalías en tiempo real
• SOC: Monitorear, analizar y proteger al Conglomerado contra ciberataques de forma continua.

Por: @Maureen Torres Masis55046078-33FC-4151-A3A0-515B3C67C4E6

​

Durante el 2023, la Jefatura de Seguridad de la Información desarrolló un Plan de Cultura de Ciberseguridad con el propósito de fortalecer la cultura de riesgo sobre este tema.

“Nos hemos propuesto mantener un programa continuo de culturización en ciberseguridad a todo el CFBCR conforme lo solicitado a las normas, estándares y buenas prácticas a nivel internacional”, afirma @Luis Carlos Hernandez Salazar5EC9EB5E-3A44-473B-BAFF-B62519CF8549​, jefe de Seguridad de la Información.

Para ello, el plan contempló informar a todos los colaboradores sobre las amenazas existentes y emergentes en materia de Ciberseguridad y orientar al personal en cómo actuar ante una situación que comprometa la seguridad de la información en el CFBCR.

Para lograrlo, se abrieron espacios de capacitación en la TechnoWeek, charlas optativas, participación en el programa de inducción al personal de nuevo ingreso, comunicados constantes y alertas de Seguridad a través de SOMOS y la plataforma de correo institucional.

“En nuestras charlas optativas participaron un total de 211 personas, quienes aprendieron sobre conceptos tales como: conocer los riesgos y amenazas de la tecnología y la importancia de la ciberseguridad, identificar como podemos colaborar con la seguridad de la información, además consejos y medidas de seguridad personales en diferentes ambientes (redes sociales, dispositivos móviles, redes inalámbricas, dispositivos de almacenamiento externo, etc.)”, agrega Hernández.

También, desarrollamos una prueba controlada de ingeniería social, en la que se enviaron correos maliciosos a 1000 buzones de usuarios elegidos de manera aleatoria. Con este tipo de pruebas, pretendemos identificar y reducir los riesgos de seguridad relacionados con el factor humano, fortaleciendo la conciencia y culturización en ciberseguridad de todos los usuarios.
 

Los compañeros @Jose Grossberger Villarroel62DE0131-B60B-4F4E-914B-EC95B01E75AE y @Luis Carlos Villalobos VillalobosA0B439C6-E592-46DD-ABC1-0F525BDE3DF7 de la Unidad de infraestructura de Telecomunicaciones, de la Gerencia Corporativa de Tecnología, nos cuentan su experiencia al desarrollar con éxito el proyecto: Adquisición Licenciamiento Palo Alto del cuadrante tres del PETI.

 
Este proyecto consiste en fortalecer el sistema de seguridad en la infraestructura a nivel de Telecomunicaciones, permitiendo enriquecer la estrategia de seguridad cibernética del CFBCR.

 
Le invitamos a escucharlos

En caso de no poder visualizar el video: Clic aquí