Su competidor publica antes que Ud. una solución novedosa (que dentro de seis meses iba a lanzar su compañía). Sus principales ejecutivos claman al cielo intentando averiguar cómo obtuvieron la información y diseñan frenéticamente nuevas estrategias para recuperar los posibles ingresos perdidos.
El espionaje corporativo no es en absoluto un peligro reciente. En la actualidad se estima que el 70 por ciento del valor medio de una corporación reside en la información que posee (fuente: Trends in Proprietary Information Loss - Tendencias en la pérdida de información confidencial, American Society for Industrial Security and PricewaterhouseCoopers, 1999). ¿Hasta qué punto está protegida su corporación contra la nueva hornada de espías electrónicos?
En este trabajo investigativo, se mostrará los recursos utilizados por estos espías para dañar a las empresas, como también los mecanismos de seguridad que deben usar las empresas vulnerables al espionaje para erradicar a estas personas, asi como otros tópicos de interés...
Muchas de las corporaciones con más éxito actualmente han sufrido incidentes de espionaje corporativo y el número de estos casos aumenta constantemente. En 1999, las compañías del Ranking Fortune 1000 reportaron un total de 45 billones de dólares en pérdidas debidas al espionaje corporativo (fuente: Trends in Proprietary Information Loss - Tendencias en la pérdida de información confidencial, American Society for Industrial Security and PricewaterhouseCoopers, 1999). Las tecnologías de Internet son claramente un caldo de cultivo para el robo de información confidencial o protegida. Los directores de sistemas deben dedicar tiempo a proteger a la compañía, aplicando medidas de seguridad adecuadas para su red y estableciendo normas eficaces.
La información más valiosa actualmente está almacenada de forma electrónica y, dado que las computadoras están conectadas a redes y en línea, o accesibles por otros medios físicos, el director de sistemas juega un papel fundamental en la defensa de la corporación frente a las actividades de espionaje (y en la detención de esas actividades cuando se descubren). A pesar de que lo más probable es que los incidentes de espionaje corporativo no puedan erradicarse completamente, las corporaciones pueden modificar sus estrategias de seguridad para reducir al mínimo los incidentes y las pérdidas que provocan.
Antes de modificar su estrategia de seguridad, resulta útil comprender la diferencia entre los incidentes de espionaje interno y externo, y cómo las distintas tecnologías hacen más fáciles estos delitos.
El espionaje Corporativo presenta algunos sinónimos, a saber:
El Espionaje Corporativo no solamente consiste de los esfuerzos de una compañía para robar los secretos comerciales de otra empresa. También puede ser la reacción de los empleados a un cambio en la compañía. Además incluye obtener información sobre ejecutivos clave de otra empresa.
El Espionaje Industrial: Según un Presidente de la Asociación Profesional de Detectives Privados de España, el espionaje corporativo es una de las mayores demandas que se encuentran en la actualidad. Se trata de descubrir a los ejecutivos infieles que venden secretos empresariales a la competencia, con el consiguiente perjuicio.
El Espionaje Corporativo, es por definición, la obtención de información de un competidor haciendo a tal fin uso de medios ilícitos.
Nos protegemos de potenciales enemigos tales como:
Nos protegemos de los espías corporativos de:
IV. PERSONAS CON ACCESO A INFORMACIÓN CONFIDENCIAL: SU PEOR ENEMIGO
Según las encuestas del sector, incluido el reporte del año 2000 del FBI y del Computer Security Institute acerca del crimen por computadora, las personas con acceso a información confidencial constituyen el mayor peligro para la seguridad corporativa. El 71% de las compañías encuestadas detectaron accesos no autorizados por parte de estas personas. Esta cifra no indica qué porcentaje concreto de estos casos tuvo como consecuencia la sustracción de información protegida. Sin embargo, sí implica que existe un grado considerable de vulnerabilidad frente al espionaje por parte de personas con acceso a información confidencial.
V. RIESGOS DIRECTOS EN RELACIÓN CON LAS PERSONAS QUE TIENEN ACCESO A INFORMACIÓN CONFIDENCIAL
En relación con las personas con accesos especiales, existen tres tipos principales de peligros que pueden facilitar el espionaje corporativo.
Soborno: Es posible que los empleados reciban ofertas directas de agentes de inteligencia de otras corporaciones, que ofrecen dinero en metálico a cambio de información confidencial o protegida.
Ingeniería Social: La manipulación de un administrador de redes o de otras personas del departamento de sistemas (ya sea por parte de personas de la propia corporación o por parte de terceros) para que divulguen información, como datos de inicio de sesión u otros datos de autentificación, que pueden usarse a continuación para obtener el acceso a la información delicada.
Connivencia en Grupos: Cuando varios empleados se alían para usar sus conocimientos y privilegios colectivos para obtener el acceso a la información.
Entre los métodos utilizados para obtener los datos se incluye también el uso de los privilegios de acceso propios del empleado, que pueden facilitarle el acceso a información protegida o confidencial. Por otro lado, dado que los empleados tienen acceso físico a la organización, pueden iniciar sesiones con la computadora de otro empleado o robar una computadora portátil para tener acceso a otros recursos de la red. La intervención de las líneas de datos y la sustracción de cintas de copia de seguridad son métodos habituales de espionaje físico. Los espías pertenecientes a la organización pueden falsificar la información de otro usuario para solicitar y obtener a través de archivos adjuntos de correo electrónico la información que normalmente no recibirían nunca. Otras técnicas de ingeniería social, incluida la solicitud de cambios de información de inicio de sesión o contraseñas a través de los centros de soporte de sistemas, haciéndose pasar por otro usuario, o el uso compartido de información de inicio de sesión entre empleados, facilitan el espionaje por parte de las personas de la organización.
VI. AYUDA INDIRECTA AL ESPIONAJE POR PARTE DE LAS PERSONAS CON ACCESO A INFORMACIÓN CONFIDENCIAL, A TRAVÉS DE INTERNET
Uno de los mayores peligros indirectos para la información de la corporación es la actividad de los usuarios en línea. Los grupos de Usenet son una fuente habitual de vulnerabilidad en línea. Si muchos empleados de una misma corporación participan frecuentemente en los grupos de Usenet, los agentes de inteligencia pueden recopilar la información y analizarla para descubrir mucha información y, posiblemente, obtener información confidencial. Desde el punto de vista técnico, los mensajes almacenados en Usenet revelan información acerca de los sistemas del usuario, lo que puede ayudar a que los hackers consigan llegar hasta la información. Entre los datos que pueden obtenerse de los mensajes publicados por un empleado cuya compañía utiliza un servidor proxy (incluso si se usa este servidor con fines limitados) son el origen del mensaje, el sistema operativo y el software que se ejecuta en el sistema. Esta información puede ser utilizada por personas ajenas a la organización para conseguir entrar en la red o aprovechar el sistema del usuario.
Los agentes de información pueden usar incluso las compras en línea para obtener pequeñas cantidades de información que pueden ser aprovechadas a la larga para obtener información confidencial o protegida. Un ejemplo hecho público recientemente son los "círculos de compras" de Amazon.com. Amazon.com hace seguimientos de las compras y recopila otros tipos de información acerca de los grupos de usuarios, como por ejemplo las corporaciones, a los que pertenecen más de 200 clientes. Esta información podía ser utilizada por los agentes de información de las corporaciones para obtener información competitiva acerca de las empresas, que normalmente debe ser privada.
El espionaje corporativo realizado por las personas ajenas a las organizaciones recibe más atención de los medios de comunicación que las actividades ilícitas del personal, especialmente porque las protecciones de red que se aplican frente a los espías externos son similares a las que se usan como protección frente a los hackers. Las vulnerabilidades de su red que permiten el acceso de las personas externas a su red les permitirán eventualmente el acceso a la información protegida que buscan.
En el caso de los espías externos, los métodos comunes de conseguir el acceso a los datos protegidos son los siguientes:
Descifrado de Contraseñas: Existen varios programas de descifrado de contraseñas que pueden obtenerse sin problemas, como BO2K y SATAN, y que ayudan a los hackers a penetrar en las redes. La mayoría de los analizadores de contraseñas están limitados a combinaciones sencillas de palabras que aparecen en los diccionarios y combinaciones numéricas. Los programas de descifrado de contraseñas con fuerza bruta prueban con todas las combinaciones posibles hasta que descubren la correcta. Se trata del método preferido por los espías más decididos, pero no es frecuente en el caso de los espías ocasionales. Para excluir esta posibilidad, existen varias protecciones obvias:
Cree contraseñas resistentes, de 8 a 12 caracteres con una combinación alfanumérica, cambie las contraseñas cada 30 días y bloquee indefinidamente las contraseñas después de tres intentos fallidos.
Puertas Traseras y Caballos de Troya:
Es posible ejecutar programas en la computadora de un usuario
para permitir el acceso y el control de
la computadora por parte de una persona ajena
a la organización, que consigue de esta forma un
acceso mayor a la red. NetBus, Back Orifice y el reciente
BO2K pueden ser utilizados para capturar datos de la
computadora de la víctima y enviarlos a una
ubicación remota. BO2K incorpora mejoras que le
permiten ocultarse automáticamente después de
la instalación en la computadora del usuario.
Normalmente, las puertas traseras son enviadas al usuario o
descargadas de un sitio Web,
camufladas como archivos adjuntos o programas benignos.
Cuando se abre el archivo
adjunto, éste se instala automáticamente en la
computadora del usuario, sin el
conocimiento ni la autorización de éste.
Otros sistemas de método trasero permiten a los
fisgones grabar todo lo que se escribe en la computadora del
usuario, lo que permite al espía capturar los datos
protegidos o la información de autentificación
que permite el acceso a dichos datos.
El "Olfateo" de paquetes se basa en un programa que
monitorea los datos que viajan a través de una red, lo que permite
a los espías robar la información directamente.
Las soluciones
de detección de intrusiones pueden ayudar a los
directores de sistemas a detectar y detener estas actividades
en su red.
La Ingeniería Social: es una forma no
técnica de obtener la información que
está almacenada en la red. Esta actividad puede
incluir contactos con los empleados para intentar conseguir
los documentos
delicados a través de correo electrónico. Por
ejemplo, imagine que el asistente de un ejecutivo de alto
rango recibe una llamada de alguien que afirma ser el
asistente de una persona importante y conocida. El
interlocutor le pide que reenvíe un documento que no
se ha recibido. Es probable que el asistente tenga acceso a
la computadora de su jefe y que envíe
rápidamente el documento. Este ejemplo demuestra una
técnica habitual entre los espías corporativos
modernos. Los espías tienen la habilidad necesaria
para convencer a los empleados para que les entreguen
pequeños fragmentos de información que pueden
usarse para obtener un acceso mayor a los sistemas de la
organización. Los empleados de los centros de soporte
suelen ser el objetivo
de este tipo de espías, que intentan obtener
más información acerca de la estructura
de la red y obtener de esta forma el acceso. A pesar de que
la ingeniería social no es algo que pueda controlarse
desde el departamento de sistemas, los empleados deben
comprender al menos las distintas técnicas que se
utilizan para conseguir el acceso a la red o para obtener
información protegida. La protección de
documentos con contraseñas de archivo y/o
encriptaciones puede reducir al mínimo el riesgo que
plantean estos espías.
Entre los métodos más frecuentes usados por estos espías tenemos:
IX. ORÍGENES DE LOS ATAQUES CORPORATIVOS INTERNOS Y EXTERNOS (EN %)
|
1994 |
1996 |
1999 |
|
|
INTERNO |
70 |
60 |
30 |
|
EXTERNO |
30 |
40 |
70 |
Fuente: http://www.cybsec.com/ataque.pdf994
X. CÓMO REDUCIR LAS VULNERABILIDADES QUE CONDUCEN A LA SUSTRACCIÓN DE INFORMACIÓN
Entre las vulnerabilidades de una red que podrían conducir a fugas de información se encuentran la presencia en la Web, el correo electrónico y las actividades de los usuarios en Internet, su intranet y los privilegios de acceso. A pesar de que no afectan directamente al departamento de sistemas, también pueden usarse métodos físicos, como la sustracción de computadoras portátiles y la intervención de líneas de datos. Con el fin de protegerse del uso indebido o la fuga accidental de información interna hacia los espías externos a través de la red, la corporación debe evaluar y clasificar los activos de información y diseñar normas de implementación y soluciones que permitirán reducir el acceso no autorizado a esos datos.
Las soluciones que deben aplicarse son las siguientes:
El acta Economic Espionage Act (Acta de espionaje económico) de 1996 ayuda a las corporaciones a inculpar a los espías corporativos y resarcirse de las pérdidas causadas por los incidentes de espionaje. Son actos criminales la toma, la recepción, la descarga o la posesión de información comercial sin la autorización del propietario. Las penas por incumplimiento de esta normativa alcanzan los 10 millones de dólares de multa y 15 años de prisión.
Desde su entrada en vigor hasta abril de 2000, las autoridades de los EE.UU. han perseguido veinte casos y han ganado diecinueve de ellos, lo que ha supuesto condenas para más de treinta y cinco personas y la imposición de multas por valor de más de 7 millones de dólares. Además, la cooperación entre las corporaciones y las autoridades durante las investigaciones por espionaje para que contribuya a que la Administración comprenda mejor los peligros futuros para la seguridad de la infraestructura pública y pueda actuar contra ellos. Anteriormente, muchas corporaciones se resistían a reportar las violaciones de seguridad. Dado que el espionaje es una intrusión muy costosa, las corporaciones están mucho más dispuestas a inculpar a los espías. Al contrario que en el caso de los hackers o los virus, las pérdidas causadas por el espionaje pueden ser recuperadas, dado que las
intrusiones son facilitadas por competidores o incluso organismos oficiales, que pueden costear la reparación de las pérdidas después de las acciones legales oportunas.
En un mercado competitivo en el que la información es un bien precioso, no es probable que el espionaje desaparezca. Muchos expertos predicen que el espionaje crecerá en el futuro, especialmente a medida que el público en general tiene acceso a Internet y a otras tecnologías electrónicas dignas del mismísimo James Bond. La aplicación de programas completos de seguridad de la red permite responder al riesgo creciente del robo de contenidos. A pesar de que el espionaje no puede ser eliminado, la implementación de protecciones en la red permite al menos reducir al mínimo la pérdida de información confidencial por medios electrónicos.

Por:
Edwin E. Guillermo R.
Trabajos relacionados
Ver mas trabajos de Administracion y Finanzas |
|
Nota al lector: es posible que esta página no contenga todos los componentes del trabajo original (pies de página, avanzadas formulas matemáticas, esquemas o tablas complejas, etc.). Recuerde que para ver el trabajo en su versión original completa, puede descargarlo desde el menú superior.
Todos los documentos disponibles en este sitio expresan los puntos de vista de sus respectivos autores y no de Monografias.com. El objetivo de Monografias.com es poner el conocimiento a disposición de toda su comunidad. Queda bajo la responsabilidad de cada lector el eventual uso que se le de a esta información. Asimismo, es obligatoria la cita del autor del contenido y de Monografias.com como fuentes de información.
Ingrese el e-mail y contraseña con el que está registrado en Monografias.com
|
|