UTH Florida University
Tutor
Moisés Molina, PhD.
Maestrante:
Rut Gonzales De Dios
Número de cuenta
No: 108151
Maestría:
Administración de Recursos Humanos
Sistemas de Información
Código
Spring A 2025
Nombre de la asignación
Riesgos “Sistemas de la Información”
10 febrero del 2025
Introducción
La presente investigación busca mostrar la manera en cómo la
tecnología ha venido evolucionando gradualmente y con ella la
manera de almacenar la información y la necesidad de ir aumentando
cada vez más su protección en bases de datos donde se almacena
virtualmente toda la información correspondiente. Se analizan
diferentes situaciones de riesgo, donde se ve afectada la información
y las alternativas que se toman para contrarrestar, disminuir y
controlar estos tipos de situaciones, tomando como base las buenas
prácticas en la aplicación de la seguridad informática en los sistemas
contables
Un sistema de información es un conjunto ordenado de personas,
procesos y herramientas cuyo fin es administrar datos e información,
de manera que puedan ser recuperados y procesados fácil y
rápidamente.
Los sistemas de información pueden presentar diferencias, pero
generalmente recolectan y clasifican datos, que son procesados por
personas y/o con recursos informáticos, para que sean fáciles de
comprender y recuperar. Así, esta información queda almacenada
para ser consultada de manera sencilla o para ser divulgada cuando
sea necesario.
Asimismo, abordaremos la ingeniería social a las diferentes técnicas
de manipulación que usan los ciberdelincuentes para obtener
información confidencial de los usuarios, los ciberdelincuentes
engañan a sus víctimas haciéndose pasar por otra persona.
Sistemas de la Información
¿A qué riesgos están expuestos los Sistemas de Información?
Un riesgo para un sistema informático está compuesto por la terna de
activo, amenaza y vulnerabilidad, relacionados según la fórmula
riesgo = amenaza + vulnerabilidad”, lo cual significa que las
empresas como poseen un conjunto de elementos que sirven como
medio para el respaldo y la conservación de la información, es decir,
los activos, estos se ven a diario expuestos a unos riesgos, los cuales
van ligados a unas amenazas y vulnerabilidades.
Se puede decir, que una cosa lleva a la otra, debido a que, si un
computador no tiene las protecciones mínimas que deben tener,
como por ejemplo los antivirus, actualizaciones del sistema operativo,
etc., es decir que ese equipo cuenta con vulnerabilidades que pueden
llegar a materializarse, ocasionando el acceso no autorizado de un
atacante al servidor contable de una empresa y tener así control total
de la información.
Por ello, en algunas empresas, medianas o pequeñas y de varios
sectores, de la Ciudad de Montería Córdoba, Colombia, se han
presentado situaciones, como: la creación, por parte de los
ciberdelincuentes, de programas malware que logran entrar a las
plataformas de las planillas de seguridad social de los trabajadores,
que se hacen de manera virtual, a través de PSE (Pagos Seguros en
línea), con el propósito de robar contraseñas, las cedulas de los
afiliados, información financiera, etc.
Además, las plataformas de Redeban y Credi banco, con las cuales se
hace efectivo el pago de cualquier compra o transacción que se haga,
también se han visto afectadas por parte de estos delincuentes, al
igual que los cajeros electrónicos, utilizando códigos maliciosos y
logrando hacer copias de las tarjetas que puedan ser ingresadas a
estos cajeros. Además, los trabajadores que desempeñan cargos
administrativos tienden a estar más en el foco de los delincuentes, ya
que estos son los que tienen información valiosa en sus
computadores del dinero y los procesos llevados cabo en una
empresa.
También se evidenciaron aspectos en donde los programas consumen
muchos recursos ocasionando lentitud en el computador, problemas
en el almacenamiento de las bases de datos, la inexistencia de
mecanismos de protección en el acceso de información contenida en
los servidores y en relación a la interrupción de los procesos, la falta
de herramientas de detección de malware, la falta de conciencia en
seguridad informática en los empleados, que es una de las mayores
causas de incidentes informáticos que afectan significativamente en
los procesos de la organización, y que si no se controlan a tiempo
pueden inducir al robo o la pérdida de la información.
La administración de las copias de seguridad de los sistemas
contables juega un papel fundamental en la seguridad de la
información y en todo el proceso que garantice la continuidad del
servicio. Los buenos procedimientos en cuanto al almacenamiento de
las copias de seguridad garantizan que la empresa pueda reaccionar
ante algún incidente informático relacionado con robo o eliminación
de la información.
Es muy importante que la organización cuente con políticas de
almacenamiento de las copias de seguridad, tan estrictas como lo
crean pertinente, por ejemplo el servidor contable genera una copia
de seguridad diariamente, y esa copias quedan almacenadas en el
disco duro del mismo servidor contable, pero adicional se cuenta con
servidor de almacenamiento en red que diariamente extrae esa copia
y la guarda, hasta este punto se tiene dos puntos de respaldo, pero si
se necesita un mayor respaldo ante un incidente informático o un
desastre natural se debe contar con un respaldo en la nube o con una
empresa que preste servicio de almacenamiento en la nube, de esta
manera se garantiza la disponibilidad de la información.
Aunque en muchos casos se trate de implementar un sistema de
seguridad para la información contable y financiera, muchos de estos
no han ayudado de manera integral debido a que la empresa deja de
lado una parte importante, que son los empleados, para la obtención
de conocimiento y manejo de este tipo de circunstancias en relación
con su actuar, y simplemente dicha responsabilidad o carga se la
delegan a los expertos que contratan.
Es por ello la importancia de generar conciencia en seguridad
informática, garantizando así que se tomen los controles necesarios
para la prevención de los riesgos informáticos a los que se expone la
organización. Cuando se realizan jornadas de capacitación en la que
intervenga todo el personal de la empresa, se estarán dando las
instrucciones para poder atender, reaccionar, reducir y evitar
incidentes informáticos, que comprometa la seguridad de la
información.
Malware
Se trata de un software malicioso que se activa cuando el usuario
hace clic en enlaces o archivos de dudosa procedencia. El malware
puede ser un virus, un gusano informático o un troyano que tiene
como propósito dañar el equipo desde el que se accede.
Phishing
Con este ataque el perpetrador tiene como meta obtener información
importante del usuario, como datos personales, fiscales o bancarios.
Estos hacen uso de falsas comunicaciones para poder apropiarse de
la información.
Inyección SQL
Es la inserción de un código malicioso en un servidor que haga uso de
SQL. Una vez en él, este código obligará al servidor a liberar
información del usuario. Es muy sencillo ser víctima de amenazas
cibernéticas de este tipo, pues solo hace falta introducir el código en
una web vulnerable.
Denegación de servicio
Este ataque, también reconocido por sus siglas en inglés DoS, procura
inaccesibilidad en los servicios o recursos de la computadora o red de
un usuario. En este ataque se produce un sobrecargo en los recursos
informáticos o pérdida de conectividad con la red.
Denegación de servicio distribuido
Como sucede con la amenaza anterior, en este caso el DDoS busca
colapsar servidores o sitios webs a través de tráfico informático. Ya
que la infraestructura no puede responder a la demanda, como
resultado se producen fallos en la plataforma para ofrecer los
servicios.
Man in the middle
Este tipo de amenaza de ciberseguridad involucra a un pirata
informático en medio de una transacción informática entre la web o
aplicación y el usuario. Tiene como propósito robar información del
último a través de la instalación de un software malicioso.
Rootkit
Es un conjunto de softwares que se mantienen ocultos y permite el
control a distancia de una red de computadoras, además de acceso a
la consola de administración. Una vez que sea activado por el hacker,
éste podrá realizar acciones maliciosas como robar contraseñas y
desactivar el antivirus.
Emotet
Se trata de un software malicioso de tipo troyano y es una de
las amenazas cibernéticas más difíciles de detectar para los antivirus.
La razón de ello es que es un malware polifórmico.
Aunque en un principio se trataba de un troyano bancario, ha
evolucionado hasta convertirse en un gusano informático que se
instala en la red de computadoras con el objetivo de robar
información cifrada y personal.
Ataques de contraseña
Aunque muchos atacantes cibernéticos acceden a la base de datos
que preserva las contraseñas de los usuarios, aún es posible que, a
través de la interacción social con sus víctimas, éstas les revelen la
información de acceso. En otros casos, adivinan la combinación para
obtener entrada a la app o web.
¿Cuál es la amenaza cibernética más importante?
El ransomware o secuestro de datos es una de las amenazas más
preocupantes para este 2023, este ataque es muy sencillo de
perpetrar y también es económico.
Se trata de un software malicioso que prohíbe el acceso de los
usuarios al sistema operativo del dispositivo o a ciertos archivos, y
para permitir nuevamente el uso normal exige un rescate a cambio.
Otra de las formas de restringir el acceso es a través del cifrado de
los archivos, lo que empuja a los usuarios a pagar el rescate.
Según las cifras ofrecidas por Cybersecurity Ventures, durante el 2022
al menos un 71% de todas las organizaciones del mundo fueron
víctimas de amenazas cibernéticas como el ransomware.
Por otro lado, Atlas VPN, basado en un Informe de Tendencias de
Ransomware de Veeam 2022, que son el resultado de una encuesta
realizada en 2022 a 1.000 líderes de TI de más de 16 países, el 73%
de las organizaciones atacadas con ransomware son víctimas por lo
menos dos veces el mismo año.
¿Cuáles son las principales causas de un ciberataque?
Aunque cada vez los ataques son más refinados y en apariencia
difíciles de evadir, existe una serie de inconvenientes que hacen más
vulnerables a las empresas:
Sistemas informáticos vulnerables. Puede tratarse de deficiencias o
fallas que ponen en riesgo los dispositivos. La consultora LastPass
estima que un 65% de personas que acceden a Internet usan la
misma contraseña para sus diferentes aplicaciones, y un 92% de ese
porcentaje sabe que eso es peligroso.
Robos o extravíos de dispositivos electrónicos. Es una de las causas
de ciberataques más comunes y las consecuencias son la divulgación
de información confidencial de una empresa o de datos personales de
una persona particular.
Empleados con malas intenciones. Son personas contratadas con
dobles intenciones, el propósito es robar información importante de la
empresa a través del ciber espionaje sin que sus contratadores
sospechen de ellos.
Divulgación de información confidencial. Puede que suceda de forma
accidental entre trabajadores de una empresa, pero sigue siendo
igual de peligroso que el ciber espionaje, pues pone en riesgo las
operaciones o transacciones importantes.
Ingeniería social. Hace referencia a la manipulación empleada por
piratas tecnológicos a personas particulares con el propósito de
obtener datos de gran valor para una empresa.
Falta de controles de terceros. Si una empresa es víctima
de amenazas de ciberseguridad es posible que los perpetradores
puedan acceder a los datos de sus socios y con ello perjudicar a
terceros si la seguridad es débil.
¿Qué es la Ingeniería Social?
La ingeniería social es una técnica de manipulación que aprovecha el
error humano para obtener información privada, acceso a sistemas u
objetos de valor. En el caso del delito cibernético, estas estafas de
"hackeo de humanos" tienden a hacer que los usuarios desprevenidos
expongan datos, propaguen infecciones de malware o den acceso a
sistemas restringidos. Los ataques pueden ocurrir en línea, en
persona y a través de otras interacciones.
Las estafas basadas en la ingeniería social se basan en cómo las
personas piensan y actúan. Como tal, los ataques de ingeniería social
son muy útiles para manipular el comportamiento de un usuario. Una
vez que un atacante comprende qué motiva las acciones de un
usuario, puede engañar y manipular al usuario de manera efectiva.
Además, los piratas informáticos intentan explotar la falta de
conocimiento de un usuario. Gracias a la velocidad de la tecnología,
muchos consumidores y empleados no son conscientes de ciertas
amenazas, como las descargas no autorizadas (drive-in). Es posible
que los usuarios no se den cuenta del valor real de sus datos
personales, como el número de teléfono. Como resultado, muchos
usuarios no están seguros de cómo protegerse mejor a sí mismos y a
su información.
Por lo general, los atacantes que usan la ingeniería social tienen dos
objetivos:
Sabotaje: alterar o corromper los datos para causar daños o
molestias.
Robo: obtener objetos de valor como información, acceso a
sistemas o dinero.
¿Cómo funciona la ingeniería social?
La mayoría de los ataques de ingeniería social se basan en la
comunicación real entre atacantes y víctimas. El atacante tiende a
motivar al usuario a comprometerse a sí mismo, en lugar de
usar métodos de fuerza bruta para violar sus datos.
El ciclo del ataque les da a estos criminales un proceso confiable para
engañarlo. El ciclo de ataque de ingeniería social suele usar los
siguientes pasos:
Prepararse, recopilar información básica sobre usted o un grupo
más grande del que forme parte.
Infiltrarse, establecer una relación o iniciar una interacción,
comenzar a generar confianza.
Explotar a la víctima una vez que se haya establecido la
confianza y se conozca la debilidad para avanzar en el ataque.
Desentenderse una vez que el usuario haya realizado la acción
deseada.
Rasgos de los ataques de ingeniería social
Los ataques de ingeniería social se centran en que el atacante
persuade a la víctima y se gana su confianza. Cuando uno se
expone a estas tácticas, es muy probable que realice acciones
que de otro modo no haría.
Entre la mayoría de los ataques, tratarán de engañarlo con los
siguientes comportamientos:
Intensificación de las emociones: la manipulación emocional les da a
los atacantes la ventaja en cualquier interacción. Es mucho más
probable que realice acciones irracionales o arriesgadas cuando se
encuentra en un buen estado emocional. Las siguientes emociones se
utilizan en igual medida para convencerlo.
Miedo
Entusiasmo
Curiosidad
Ira
Culpa
Tristeza
¿Qué tipo de formación debe darse al personal de las empresas en
relación con los riesgos que tienen los sistemas de información?
Para las empresas, independientemente del tamaño que tengan, es
cada vez más complejo cuidar la información tanto del negocio como
de los clientes. A diferencia del pasado, hoy la ciberseguridad es
indispensable para garantizar las operaciones de la empresa, pues los
ataques cibernéticos son un riesgo real en cualquier tipo de actividad.
Si bien los empleados son el mayor activo que puede tener una
empresa, no es menos cierto que también representan uno de los
mayores riesgos, esto desde el punto de vista de ciberseguridad.
¿Cuál es la razón de esto? Muy simple, los delincuentes informáticos
pueden vulnerar los sistemas informáticos de una empresa, al evitar
ser detectados por los mecanismos de seguridad que los protegen.
Sin embargo, hay una forma mucho más sencilla y rápida, que es a
través del phishing o utilizando la ingeniería social, donde los
atacantes usan a los empleados para que, involuntariamente, les
faciliten el acceso a los sistemas de la organización.
Por esta razón es que es de vital importancia para cualquier negocio,
capacitar oportunamente a sus empleados en los riesgos asociados
con la seguridad informática. De esa forma, pueden evitar que
cualquier atacante pueda llegar hasta la información importante de la
empresa, manteniéndola segura.
Conclusiones
Los sistemas contables que poseen cada empresa de este país,
suelen ser un blanco directo para aquellos ladrones de información
financiera, por ello utilizan diferentes técnicas para obtener acceso a
los servicios y redes que posee una empresa o persona, para así
poder tomar control y extraer toda la información necesaria.
Cada vez que los empleados estén en su sitio de trabajo, deben tener
presente algunas alternativas básicas de seguridad para proteger o
contribuir de alguna manera a la conservación de la información
financiera de la empresa.
Finalmente las situaciones de riesgo en el que se presentaron en
estas empresas tienen lugar debido a las deficiencias que se
presentan en las buenas prácticas en seguridad informática, el
desconocimiento de las actuaciones que se deben tener en cuenta, y
el no pensar como estos ciberdelincuentes, debido a que, si uno lo
hace, se instaura automáticamente una barrera más estable, puesto
que se tiene conocimiento de sus actuaciones y estrategias.
Bibliografía
Álvarez Marañón, G., & Pérez García, P. P. (2004), Seguridad
informática para empresas y particulares. Madrid, SPAIN:
McGraw-Hill España.
Hernández, R. M., & Dopico, M. I. B. (2017), Gestión de riesgos:
reflexiones desde un enfoque de gestión empresarial
emergente. Revista Venezolana de Gerencia, 22(80), 693-711.
Roa Buendía, J. F. (2013), Seguridad informática. Madrid, SPAIN:
McGraw-Hill España. Semana. (2019), Así está Colombia en el
ranking de ciberseguridad mundial. Retrieved10/08/2019,
from [Link]
colombia-en
