Diez equivocaciones que cometen los administradores nuevos en sistemas Windows!

0 comentarios

Puede que usted sea un nuevo administrador de red. Tomó algunos cursos, pasó algunos exámenes de certificación, quizás incluso tenga armado un dominio Windows en su casa. Pero pronto encontrará que ser responsable de la red de una compañía trae desafíos que no había anticipado. O quizás ya es una persona experimentada en TI en compañías, pero hasta ahora había trabajado en ambientes UNIX. Ahora, ya sea por un cambio de trabajo o un nuevo desarrollo en su lugar actual de trabajo, se encuentra en el menos familiar mundo de Windows.

Este artículo apunta a ayudarlo a evitar algunos de las equivocaciones más comunes que cometen los nuevos administradores Windows.

  1. Tratar de cambiar todo a la vez

Cuando llega a un trabajo nuevo, o comienza a trabajar con una nueva tecnología, puede que tenga todo tipo de ideas brillantes. Si es nuevo en el lugar de trabajo, mejorará inmediatamente aquellas cosas que su predecesor (ó parece que, ó estaba) haciendo mal. Está lleno de todas las mejores prácticas y trucos que aprendió en la escuela. Si es un administrador que viene de una ambiente diferente, puede que esté acostumbrado a sus propias formas y quiera hacer las cosas de la forma que las hacía antes, en vez de aprovechar la características del nuevo SO.

De cualquier forma, es probable que se cause a usted mismo una gran pena. La mejor opción para alguien nuevo en redes Windows (o para cualquier otro trabajo) es darse un tiempo para adaptarse, observar y aprender, y proceder de forma pausada. Así hará más sencillo su trabajo y de esta forma a largo plazo hará más amigos (o al menos, menos enemigos).

  1. Sobrestimar la capacidad técnica de los usuarios finales

Muchos administradores nuevos esperan que los usuarios tengan una mejor comprensión de la tecnología de la que tienen. No asuma que los usuarios finales comprendan la importancia de la seguridad, o que serán capaces de describir con precisión los errores que tienen, o que saben lo que se quiere decir cuando les dice que realicen una tarea sencilla (para usted) tal como ir al Administrador de Dispositivos y verificar el estado de la placa de sonido.

Mucha gente en el mundo de los negocios usa computadoras todos los días, pero saben muy poco sobre ellas más allá de operar ciertas aplicaciones específicas. Si se frustra con ellos, o los hace sentir estúpidos, la mayoría tratará de evitar llamarlo cuando haya un problema. En lugar de eso lo ignorarán (si pueden) o peor, tratarán de arreglarlo por sí mismos. Eso significa que los problemas podrán ser mucho peores para cuando se de cuenta de ellos.

  1. Subestimar la experiencia técnica de los usuarios finales.

Aunque lo de arriba aplica para muchos de sus usuarios, la mayoría de las compañías tienen al menos algunos que son aficionados avanzados de computación y saben mucho de tecnología. Esos son los que surgirán con maneras innovadoras de sortear las restricciones que ponga si es que estas restricciones les resultan un inconveniente. La mayoría de estos usuarios no son maliciosos; solo están molestos que alguien más controle el uso de sus computadoras, especialmente si los trata como si no supieran nada.

La mejor táctica con estos usuarios es mostrarle que respeta sus habilidades, buscar su colaboración, y hacerles saber los motivos de las reglas y restricciones. Señalar que incluso el mejor corredor de autos que ha demostrado su habilidad por conducir de forma segura a alta velocidad debe soportar los límites de velocidad en las vía publica, y que no es porque se dude de sus habilidades tecnológicas, que usted debe insistir en señalarle a todos que sigan las reglas.

  1. No habilitar la auditoría

Los sistemas operativos Windows Server tienen una auditoría de seguridad propia, pero no está habilitada por defecto. Tampoco es una de las características mejor documentadas, así que algunos administradores no logran aprovecharla. Y es una lástima, porque con las características de auditoría, usted puede llevar registro de los intentos de ingreso (logon), acceso a archivos y otros objetos, y acceso a los servicios de directorio. La auditoría de los Servicios de Dominio de Directorio Activo (AD DS) han sido mejorados en Windows Server 2008 y se pueden hacer ahora de forma más granular. Sin la auditoría propia o de software de terceros, puede ser casi imposible ubicar con exactitud y analizar que pasó en una brecha de seguridad.

  1. No mantener actualizados los sistemas

Esto no requiere pensarse siquiera. Mantener sus servidores y máquinas cliente emparchados con las últimas actualizaciones de seguridad puede ser el camino para prevenir caídas, pérdidas de datos, y otras consecuencias del malware y los ataques. A pesar de ello muchos administradores se retrasan y sus redes están funcionando con sistemas que no están emparchados apropiadamente.

Esto sucede por varias razones. Departamentos de TI recargados y con poco personal sencillamente no consiguen aplicar los parches tan pronto son publicados. Después de todo, no es siempre una cuestión de “solo hacerlo”, todos saben que algunas actualizaciones pueden romper cosas, provocando que toda su red se detenga. Por lo tanto es prudente verificar los nuevos parches en un ambiente de prueba que simule las aplicaciones y configuraciones de su ambiente de red productivo.

Sin embargo, eso lleva tiempo, tiempo que puede que no tenga. Automatizar el proceso tanto como sea posible puede ayudarlo a mantener fluyendo esas actualizaciones. Tenga su red de prueba lista cada mes antes que, por ejemplo, Microsoft publique sus parches regulares. Use los Servicios de Actualización de Windows Server (WSUS) u otra herramienta para simplificar y automatizar el proceso una vez que decidió que el parche es seguro para ser aplicado. Y no olvide que las aplicaciones, no sólo el sistema operativo, también necesitan ser actualizadas.

  1. Volverse descuidado con la seguridad

Muchos administradores fuerzan las mejores prácticas de seguridad para sus usuarios pero se vuelven descuidados con sus propias máquinas. Por ejemplo, profesionales de TI que nunca permiten a los usuarios correr XP usando una cuenta de administrador, no lo tienen en cuenta para ellos mismos mientras realizan tareas rutinarias que no requieren ese nivel de privilegios. Algunos administradores parecen pensar que ellos son inmunes al malware y los ataques porque ellos “saben más”. Pero este exceso de confianza puede llevar al desastre, tal como sucede en el caso de oficiales de policía que tienen la tasa más alta de accidentes con armas de fuego porque estando todo el tiempo alrededor de las armas se vuelven displicentes respecto de los peligros.

  1. No documentar los cambios ni los arreglos
    Documentar es una de las cosas más importantes que usted, como administrador de red, puede hacer para que su propio trabajo sea más sencillo y para facilitárselo a alguien más que ingrese y se haga cargo de la red en su ausencia. Sin embargo esta es una de las tareas más descuidadas de todas las tareas administrativas.
    Puede pensar que recordará que parche aplicó o que cambio de configuración hizo que solucionó un problema exasperante, pero un año después, probablemente no lo recordará. Si documenta sus acciones, no deberá perder tiempo precioso reinventando la rueda (o el arreglo) de nuevo.
    Algunos administradores no quieren documentar lo que hacen porque piensan que si lo tienen todo en su cabeza, serán indispensables. En verdad, nadie nunca es irreemplazable y por hacer más difícil que algún otro aprenda su trabajo, hace menos probable que alguna vez sea promovido de ese trabajo.
    Además, ¿que pasa si es atropellado por un camión mientras cruza la calle? ¿Realmente quiere que la compañía se paralice porque nadie sabe las contraseñas administrativas o tenga idea como ha configurado las cosas y que tareas diarias tiene que realizar para mantener la red en buen funcionamiento?

  1. No probar los respaldos

    Una de las cosas de las cuales se arrepienten más los usuarios hogareños es de olvidar respaldar su información importante y debido a eso lo pierden todo cuando les falla un disco rígido. La mayoría de los profesionales de TI comprenden la importancia de hacer respaldos y lo hacen de forma regular. Lo que algunos administradores muy ocupados no recuerdan hacer es probar regularmente esos respaldos para asegurarse que la información realmente está allí y que puede ser recuperada.
    Recuerde que hacer el respaldo es solo el primer paso. Necesita asegurarse que esos respaldos funcionaran cuando los pueda necesitar.

  1. Prometer lo que no se puede dar y no cumplir con las expectativas

    Cuando su jefe lo presiona por respuestas a preguntas tales como “¿Cuando podrás tener todos los sistemas de escritorio actualizados con la nueva versión del software?” o “¿Cuánto costará tener el nuevo servidor de base de datos instalado y funcionando?”, su tendencia natural puede ser de dar una respuesta que lo haga quedar bien. Pero si hace promesas que no puede cumplir y luego se atrasa o se pasa del presupuesto, se hace a si mismo más un daño que un bien.
    Una buena regla general en cualquier negocio es prometer menos y entregar más en vez de hacer lo opuesto. Si piensa que tomará dos semanas implementar un nuevo sistema, dese un poco de margen y prométalo para dentro de tres semanas. Si está seguro que podrá comprar el nuevo hardware que necesita por $10.000, por las dudas pida $12.000.
    Su jefe quedará impresionado cuando termine el proyecto algunos días antes de tiempo o cuando gaste menos dinero que el esperado.

  1. Tener miedo de pedir ayuda

    El ego es algo divertido, y muchos administradores de TI han invertido mucho en el suyo. Cuando se trata de tecnología, puede que sea reticente en admitir que no lo sabe todo, y por lo tanto tema, o sienta vergüenza, de pedir ayuda. He conocido MCSEs (Microsoft Certified Systems Engineer [Ingeniero en sistemas certificado por Microsoft]) y MVPs (Most Valuable Player/Prefessional[Jugador/Profesional más valioso]) que no pueden soportar pedir ayuda a sus colegas porque sienten que se supone que son los “expertos” y que su reputación podría dañarse si admiten lo contrario. Pero lanzarse a un proyecto cuando no sabe lo que está haciendo puede sumergirlo en agua caliente, costarle mucho dinero a la compañía, e incluso costarle a usted su trabajo.

    Si algo lo sobrepasa, esté dispuesto a admitirlo y busque ayuda de alguien con más conocimiento sobre el tema. Puede ahorrarse días, semanas e inclusos meses de fracasos.

Sistema de Gestión de la Seguridad de la Información

8 comentarios

El SGSI (Sistema de Gestión de Seguridad de la Información) es el concepto central sobre el que se construye ISO 27001.

La gestión de la seguridad de la información debe realizarse mediante un proceso sistemático, documentado y conocido por toda la organización.

Este proceso es el que constituye un SGSI, que podría considerarse, por analogía con una norma tan conocida como ISO 9001, como el sistema de calidad para la seguridad de la información.

Garantizar un nivel de protección total es virtualmente imposible, incluso en el caso de disponer de un presupuesto ilimitado. El propósito de un sistema de gestión de la seguridad de la información es, por tanto, garantizar que los riesgos de la seguridad de la información sean conocidos, asumidos, gestionados y minimizados por la organización de una forma documentada, sistemática, estructurada, repetible, eficiente y adaptada a los cambios que se produzcan en los riesgos, el entorno y las tecnologías.

¿Qué es un SGSI?

SGSI es la abreviatura utilizada para referirse a un Sistema de Gestión de la Seguridad de la Información. ISMS es el concepto equivalente en idioma inglés, siglas de Information Security Management System.

En el contexto aquí tratado, se entiende por información todo aquel conjunto de datos organizados en poder de una entidad que posean valor para la misma, independientemente de la forma en que se guarde o transmita (escrita, en imágenes, oral, impresa en papel, almacenada electrónicamente, proyectada, enviada por correo, fax o e-mail, transmitida en conversaciones, etc.), de su origen (de la propia organización o de fuentes externas) o de la fecha de elaboración.

La seguridad de la información, según ISO 27001, consiste en la preservación de su confidencialidad, integridad y disponibilidad, así como de los sistemas implicados en su tratamiento, dentro de una organización. Así pues, estos tres términos constituyen la base sobre la que se cimienta todo el edificio de la seguridad de la información:

Confidencialidad: la información no se pone a disposición ni se revela a individuos, entidades o procesos no autorizados.

Integridad: mantenimiento de la exactitud y completitud de la información y sus métodos de proceso.

Disponibilidad: acceso y utilización de la información y los sistemas de tratamiento de la misma por parte de los individuos, entidades o procesos autorizados cuando lo requieran.

Para garantizar que la seguridad de la información es gestionada correctamente, se debe hacer uso de un proceso sistemático, documentado y conocido por toda la organización, desde un enfoque de riesgo empresarial. Este proceso es el que constituye un SGSI.

¿Para qué sirve un SGSI?

La información, junto a los procesos y sistemas que hacen uso de ella, son activos muy importantes de una organización. La confidencialidad, integridad y disponibilidad de información sensible pueden llegar a ser esenciales para mantener los niveles de competitividad, rentabilidad, conformidad legal e imagen empresarial necesarios para lograr los objetivos de la organización y asegurar beneficios económicos.

Las organizaciones y sus sistemas de información están expuestos a un número cada vez más elevado de amenazas que, aprovechando cualquiera de las vulnerabilidades existentes, pueden someter a activos críticos de información a diversas formas de fraude, espionaje, sabotaje o vandalismo. Los virus informáticos, el “hacking” o los ataques de denegación de servicio son algunos ejemplos comunes y conocidos, pero también se deben considerar los riesgos de sufrir incidentes de seguridad causados voluntaria o involuntariamente desde dentro de la propia organización o aquellos provocados accidentalmente por catástrofes naturales y fallos técnicos.

El cumplimiento de la legalidad, la adaptación dinámica y puntual a las condiciones variables del entorno, la protección adecuada de los objetivos de negocio para asegurar el máximo beneficio o el aprovechamiento de nuevas oportunidades de negocio, son algunos de los aspectos fundamentales en los que un SGSI es una herramienta de gran utilidad y de importante ayuda para la gestión de las organizaciones.

El nivel de seguridad alcanzado por medios técnicos es limitado e insuficiente por sí mismo. En la gestión efectiva de la seguridad debe tomar parte activa toda la organización, con la gerencia al frente, tomando en consideración también a clientes y proveedores de bienes y servicios. El modelo de gestión de la seguridad debe contemplar unos procedimientos adecuados y la planificación e implantación de controles de seguridad basados en una evaluación de riesgos y en una medición de la eficacia de los mismos.

El Sistema de Gestión de la Seguridad de la Información (SGSI) ayuda a establecer estas políticas y procedimientos en relación a los objetivos de negocio de la organización, con objeto de mantener un nivel de exposición siempre menor al nivel de riesgo que la propia organización ha decidido asumir.

Con un SGSI, la organización conoce los riesgos a los que está sometida su información y los asume, minimiza, transfiere o controla mediante una sistemática definida, documentada y conocida por todos, que se revisa y mejora constantemente.

¿Qué incluye un SGSI?

En el ámbito de la gestión de la calidad según ISO 9001, siempre se ha mostrado gráficamente la documentación del sistema como una pirámide de cuatro niveles. Es posible trasladar ese modelo a un Sistema de Gestión de la Seguridad de la Información basado en ISO 27001 de la siguiente forma:

Documentos de Nivel 1

Manual de seguridad: por analogía con el manual de calidad, aunque el término se usa también en otros ámbitos. Sería el documento que inspira y dirige todo el sistema, el que expone y determina las intenciones, alcance, objetivos, responsabilidades, políticas y directrices principales, etc., del SGSI.

Documentos de Nivel 2

Procedimientos: documentos en el nivel operativo, que aseguran que se realicen de forma eficaz la planificación, operación y control de los procesos de seguridad de la información.

Documentos de Nivel 3

Instrucciones, checklists y formularios: documentos que describen cómo se realizan las tareas y las actividades específicas relacionadas con la seguridad de la información.

Documentos de Nivel 4

Registros: documentos que proporcionan una evidencia objetiva del cumplimiento de los requisitos del SGSI; están asociados a documentos de los otros tres niveles como output que demuestra que se ha cumplido lo indicado en los mismos.

De manera específica, ISO 27001 indica que un SGSI debe estar formado por los siguientes documentos (en cualquier formato o tipo de medio):

Alcance del SGSI: ámbito de la organización que queda sometido al SGSI, incluyendo una identificación clara de las dependencias, relaciones y límites que existen entre el alcance y aquellas partes que no hayan sido consideradas (en aquellos casos en los que el ámbito de influencia del SGSI considere un subconjunto de la organización como delegaciones, divisiones, áreas, procesos, sistemas o tareas concretas).

Política y objetivos de seguridad: documento de contenido genérico que establece el compromiso de la dirección y el enfoque de la organización en la gestión de la seguridad de la información.

Procedimientos y mecanismos de control que soportan al SGSI: aquellos procedimientos que regulan el propio funcionamiento del SGSI.

Enfoque de evaluación de riesgos: descripción de la metodología a emplear (cómo se realizará la evaluación de las amenazas, vulnerabilidades, probabilidades de ocurrencia e impactos en relación a los activos de información contenidos dentro del alcance seleccionado), desarrollo de criterios de aceptación de riesgo y fijación de niveles de riesgo aceptables .

Informe de evaluación de riesgos: estudio resultante de aplicar la metodología de evaluación anteriormente mencionada a los activos de información de la organización.

Plan de tratamiento de riesgos: documento que identifica las acciones de la dirección, los recursos, las responsabilidades y las prioridades para gestionar los riesgos de seguridad de la información, en función de las conclusiones obtenidas de la evaluación de riesgos, de los objetivos de control identificados, de los recursos disponibles, etc.

Procedimientos documentados: todos los necesarios para asegurar la planificación, operación y control de los procesos de seguridad de la información, así como para la medida de la eficacia de los controles implantados.

Registros: documentos que proporcionan evidencias de la conformidad con los requisitos y del funcionamiento eficaz del SGSI.

Declaración de aplicabilidad: (SOA -Statement of Applicability-, en sus siglas inglesas); documento que contiene los objetivos de control y los controles contemplados por el SGSI, basado en los resultados de los procesos de evaluación y tratamiento de riesgos, justificando inclusiones y exclusiones.

Control de la documentación

Para los documentos generados se debe establecer, documentar, implantar y mantener un procedimiento que defina las acciones de gestión necesarias para:

Aprobar documentos apropiados antes de su emisión.

Revisar y actualizar documentos cuando sea necesario y renovar su validez.

• Garantizar que los cambios y el estado actual de revisión de los documentos están identificados.

• Garantizar que las versiones relevantes de documentos vigentes están disponibles en los lugares de empleo.

• Garantizar que los documentos se mantienen legibles y fácilmente identificables.

• Garantizar que los documentos permanecen disponibles para aquellas personas que los necesiten y que son transmitidos, almacenados y finalmente destruidos acorde con los procedimientos aplicables según su clasificación.

• Garantizar que los documentos procedentes del exterior están identificados.

• Garantizar que la distribución de documentos está controlada.

• Prevenir la utilización de documentos obsoletos.

• Aplicar la identificación apropiada a documentos que son retenidos con algún propósito.

¿Cómo se implementa un SGSI?

Para establecer y gestionar un Sistema de Gestión de la Seguridad de la Información en base a ISO 27001, se utiliza el ciclo continuo PDCA, tradicional en los sistemas de gestión de la calidad.

Plan (planificar): establecer el SGSI.

Do (hacer): implementar y utilizar el SGSI.

Check (verificar): monitorizar y revisar el SGSI.

Act (actuar): mantener y mejorar el SGSI.

Plan: Establecer el SGSI

• Definir el alcance del SGSI en términos del negocio, la organización, su localización, activos y tecnologías, incluyendo detalles y justificación de cualquier exclusión.

• Definir una política de seguridad que:

– incluya el marco general y los objetivos de seguridad de la información de la organización;

– considere requerimientos legales o contractuales relativos a la seguridad de la información;

– esté alineada con el contexto estratégico de gestión de riesgos de la organización en el que se establecerá y mantendrá el SGSI;

– establezca los criterios con los que se va a evaluar el riesgo;

– esté aprobada por la dirección.

• Definir una metodología de evaluación del riesgo apropiada para el SGSI y los requerimientos del negocio, además de establecer los criterios de aceptación del riesgo y especificar los niveles de riesgo aceptable. Lo primordial de esta metodología es que los resultados obtenidos sean comparables y repetibles (existen numerosas metodologías estandarizadas para la evaluación de riesgos, aunque es perfectamente aceptable definir una propia).

Identificar los riesgos:

– identificar los activos que están dentro del alcance del SGSI y a sus responsables directos, denominados propietarios;

– identificar las amenazas en relación a los activos;

– identificar las vulnerabilidades que puedan ser aprovechadas por dichas amenazas;

– identificar los impactos en la confidencialidad, integridad y disponibilidad de los activos.

Analizar y evaluar los riesgos:

– evaluar el impacto en el negocio de un fallo de seguridad que suponga la pérdida de confidencialidad, integridad o disponibilidad de un activo de información;

– evaluar de forma realista la probabilidad de ocurrencia de un fallo de seguridad en relación a las amenazas, vulnerabilidades, impactos en los activos y los controles que ya estén implementados;

– estimar los niveles de riesgo;

– determinar, según los criterios de aceptación de riesgo previamente establecidos, si el riesgo es aceptable o necesita ser tratado.

• Identificar y evaluar las distintas opciones de tratamiento de los riesgos para:

– aplicar controles adecuados;

– aceptar el riesgo, siempre y cuando se siga cumpliendo con las políticas y criterios establecidos para la aceptación de los riesgos;

– evitar el riesgo, p. ej., mediante el cese de las actividades que lo originan;

– transferir el riesgo a terceros, p. ej., compañías aseguradoras o proveedores de outsourcing.

• Seleccionar los objetivos de control y los controles del Anexo A de ISO 27001 para el tratamiento del riesgo que cumplan con los requerimientos identificados en el proceso de evaluación del riesgo.

• Aprobar por parte de la dirección tanto los riesgos residuales como la implantación y uso del SGSI.

• Definir una declaración de aplicabilidad que incluya:

– los objetivos de control y controles seleccionados y los motivos para su elección;

– los objetivos de control y controles que actualmente ya están implantados;

– los objetivos de control y controles del Anexo A excluidos y los motivos para su exclusión; este es un mecanismo que permite, además, detectar posibles omisiones involuntarias.

En relación a los controles de seguridad, el estándar ISO 27002 (antigua ISO 17799) proporciona una completa guía de implantación que contiene 133 controles, según 39 objetivos de control agrupados en 11 dominios. Esta norma es referenciada en ISO 27001, en su segunda cláusula, en términos de “documento indispensable para la aplicación de este documento” y deja abierta la posibilidad de incluir controles adicionales en el caso de que la guía no contemplase todas las necesidades particulares.

Do: Implementar y utilizar el SGSI

Definir un plan de tratamiento de riesgos que identifique las acciones, recursos, responsabilidades y prioridades en la gestión de los riesgos de seguridad de la información.

Implantar el plan de tratamiento de riesgos, con el fin de alcanzar los objetivos de control identificados, incluyendo la asignación de recursos, responsabilidades y prioridades.

Implementar los controles anteriormente seleccionados que lleven a los objetivos de control.

• Definir un sistema de métricas que permita obtener resultados reproducibles y comparables para medir la eficacia de los controles o grupos de controles.

• Procurar programas de formación y concienciación en relación a la seguridad de la información a todo el personal.

Gestionar las operaciones del SGSI.

Gestionar los recursos necesarios asignados al SGSI para el mantenimiento de la seguridad de la información.

• Implantar procedimientos y controles que permitan una rápida detección y respuesta a los incidentes de seguridad.

Check: Monitorizar y revisar el SGSI

La organización deberá:

• Ejecutar procedimientos de monitorización y revisión para:

– detectar a tiempo los errores en los resultados generados por el procesamiento de la información;

– identificar brechas e incidentes de seguridad;

– ayudar a la dirección a determinar si las actividades desarrolladas por las personas y dispositivos tecnológicos para garantizar la seguridad de la información se desarrollan en relación a lo previsto;

– detectar y prevenir eventos e incidentes de seguridad mediante el uso de indicadores;

– determinar si las acciones realizadas para resolver brechas de seguridad fueron efectivas.

• Revisar regularmente la efectividad del SGSI, atendiendo al cumplimiento de la política y objetivos del SGSI, los resultados de auditorías de seguridad, incidentes, resultados de las mediciones de eficacia, sugerencias y observaciones de todas las partes implicadas.

• Medir la efectividad de los controles para verificar que se cumple con los requisitos de seguridad.

• Revisar regularmente en intervalos planificados las evaluaciones de riesgo, los riesgos residuales y sus niveles aceptables, teniendo en cuenta los posibles cambios que hayan podido producirse en la organización, la tecnología, los objetivos y procesos de negocio, las amenazas identificadas, la efectividad de los controles implementados y el entorno exterior -requerimientos legales, obligaciones contractuales, etc.-.

• Realizar periódicamente auditorías internas del SGSI en intervalos planificados.

Revisar el SGSI por parte de la dirección periódicamente para garantizar que el alcance definido sigue siendo el adecuado y que las mejoras en el proceso del SGSI son evidentes.

Actualizar los planes de seguridad en función de las conclusiones y nuevos hallazgos encontrados durante las actividades de monitorización y revisión.

Registrar acciones y eventos que puedan haber impactado sobre la efectividad o el rendimiento del SGSI.

Act: Mantener y mejorar el SGSI

La organización deberá regularmente:

• Implantar en el SGSI las mejoras identificadas.

• Realizar las acciones preventivas y correctivas adecuadas en relación a la claúsula 8 de ISO 27001 y a las lecciones aprendidas de las experiencias propias y de otras organizaciones.

Comunicar las acciones y mejoras a todas las partes interesadas con el nivel de detalle adecuado y acordar, si es pertinente, la forma de proceder.

• Asegurarse que las mejoras introducidas alcanzan los objetivos previstos.

PDCA es un ciclo de vida continuo, lo cual quiere decir que la fase de Act lleva de nuevo a la fase de Plan para iniciar un nuevo ciclo de las cuatro fases. Téngase en cuenta que no tiene que haber una secuencia estricta de las fases, sino que, p. ej., puede haber actividades de implantación que ya se lleven a cabo cuando otras de planificación aún no han finalizado; o que se monitoricen controles que aún no están implantados en su totalidad.

¿Qué tareas tiene la Gerencia en un SGSI?

Uno de los componentes primordiales en la implantación exitosa de un Sistema de Gestión de Seguridad de la Información es la implicación de la dirección. No se trata de una expresión retórica, sino que debe asumirse desde un principio que un SGSI afecta fundamentalmente a la gestión del negocio y requiere, por tanto, de decisiones y acciones que sólo puede tomar la gerencia de la organización. No se debe caer en el error de considerar un SGSI una mera cuestión técnica o tecnológica relegada a niveles inferiores del organigrama; se están gestionando riesgos e impactos de negocio que son responsabilidad y decisión de la dirección.

El término Dirección debe contemplarse siempre desde el punto de vista del alcance del SGSI. Es decir, se refiere al nivel más alto de gerencia de la parte de la organización afectada por el SGSI (recuérdese que el alcance no tiene por qué ser toda la organización).

Algunas de las tareas fundamentales del SGSI que ISO 27001 asigna a la dirección se detallan en los siguientes puntos:

Compromiso de la dirección

La dirección de la organización debe comprometerse con el establecimiento, implementación, operación, monitorización, revisión, mantenimiento y mejora del SGSI. Para ello, debe tomar las siguientes iniciativas:

• Establecer una política de seguridad de la información.

• Asegurarse de que se establecen objetivos y planes del SGSI.

• Establecer roles y responsabilidades de seguridad de la información.

• Comunicar a la organización tanto la importancia de lograr los objetivos de seguridad de la información y de cumplir con la política de seguridad, como sus responsabilidades legales y la necesidad de mejora continua.

• Asignar suficientes recursos al SGSI en todas sus fases.

• Decidir los criterios de aceptación de riesgos y sus correspondientes niveles.

• Asegurar que se realizan auditorías internas.

• Realizar revisiones del SGSI, como se detalla más adelante.

Asignación de recursos

Para el correcto desarrollo de todas las actividades relacionadas con el SGSI, es imprescindible la asignación de recursos. Es responsabilidad de la dirección garantizar que se asignan los suficientes para:

• Establecer, implementar, operar, monitorizar, revisar, mantener y mejorar el SGSI.

• Garantizar que los procedimientos de seguridad de la información apoyan los requerimientos de negocio.

• Identificar y tratar todos los requerimientos legales y normativos, así como las obligaciones contractuales de seguridad.

• Aplicar correctamente todos los controles implementados, manteniendo de esa forma la seguridad adecuada.

• Realizar revisiones cuando sea necesario y actuar adecuadamente según los resultados de las mismas.

• Mejorar la eficacia del SGSI donde sea necesario.

Formación y concienciación

La formación y la concienciación en seguridad de la información son elementos básicos para el éxito de un SGSI. Por ello, la dirección debe asegurar que todo el personal de la organización al que se le asignen responsabilidades definidas en el SGSI esté suficientemente capacitado. Se deberá:

• Determinar las competencias necesarias para el personal que realiza tareas en aplicación del SGSI.

• Satisfacer dichas necesidades por medio de formación o de otras acciones como, p. ej., contratación de personal ya formado.

• Evaluar la eficacia de las acciones realizadas.

• Mantener registros de estudios, formación, habilidades, experiencia y cualificación.

Además, la dirección debe asegurar que todo el personal relevante esté concienciado de la importancia de sus actividades de seguridad de la información y de cómo contribuye a la consecución de los objetivos del SGSI.

Revisión del SGSI

A la dirección de la organización se le asigna también la tarea de, al menos una vez al año, revisar el SGSI, para asegurar que continúe siendo adecuado y eficaz. Para ello, debe recibir una serie de informaciones, que le ayuden a tomar decisiones, entre las que se pueden enumerar:

• Resultados de auditorías y revisiones del SGSI.

• Observaciones de todas las partes interesadas.

• Técnicas, productos o procedimientos que pudieran ser útiles para mejorar el rendimiento y eficacia del SGSI.

• Información sobre el estado de acciones preventivas y correctivas.

• Vulnerabilidades o amenazas que no fueran tratadas adecuadamente en evaluaciones de riesgos anteriores.

• Resultados de las mediciones de eficacia.

• Estado de las acciones iniciadas a raíz de revisiones anteriores de la dirección.

• Cualquier cambio que pueda afectar al SGSI.

• Recomendaciones de mejora.

Basándose en todas estas informaciones, la dirección debe revisar el SGSI y tomar decisiones y acciones relativas a:

• Mejora de la eficacia del SGSI.

• Actualización de la evaluación de riesgos y del plan de tratamiento de riesgos.

• Modificación de los procedimientos y controles que afecten a la seguridad de la información, en respuesta a cambios internos o externos en los requisitos de negocio, requerimientos de seguridad, procesos de negocio, marco legal, obligaciones contractuales, niveles de riesgo y criterios de aceptación de riesgos.

• Necesidades de recursos.

• Mejora de la forma de medir la efectividad de los controles.

¿Se integra un SGSI con otros sistemas de gestión?

Un SGSI es, en primera instancia, un sistema de gestión, es decir, una herramienta de la que dispone la gerencia para dirigir y controlar un determinado ámbito, en este caso, la seguridad de la información.

La gestión de las actividades de las organizaciones se realiza, cada vez con más frecuencia, según sistemas de gestión basados en estándares internacionales: se gestiona la calidad según ISO 9001, el impacto medio-ambiental según ISO 14001 o la prevención de riesgos laborales según OHSAS 18001. Ahora, se añade ISO 27001 como estándar de gestión de seguridad de la información.

Las empresas tienen la posibilidad de implantar un número variable de estos sistemas de gestión para mejorar la organización y beneficios sin imponer una carga a la organización.

El objetivo último debería ser llegar a un único sistema de gestión que contemple todos los aspectos necesarios para la organización, basándose en el ciclo PDCA de mejora continua común a todos estos estándares. Las facilidades para la integración de las normas ISO son evidentes mediante la consulta de sus anexos.

ISO 27001 detalla en su Anexo C, punto por punto, la correspondencia entre esta norma y la ISO 9001 e ISO 14001. Ahí se observa la alta correlación existente y se puede intuir la posibilidad de integrar el sistema de gestión de seguridad de la información en los sistemas de gestión existentes ya en la organización. Algunos puntos que suponen una novedad en ISO 27001 frente a otros estándares son la evaluación de riesgos y el establecimiento de una declaración de aplicabilidad (SOA), aunque ya se plantea incorporar éstos al resto de normas en un futuro.

Crítica inepta hacia Linux

0 comentarios
Hoy estuve navegando un rato, buscando información para una tarea :S, visitando de página en página, en el buscador me topé con un título que me llamó mucho la atención "10 razones para no usar Linux >> Sergio Hernando" quien escribió (mejor dicho) las "10 p3ndj@ds hacia Linux por un esclavo Windows" que para que les comento, mejor se los muestro.

Esta es una recopilación de las diez razones fundamentales por las que nadie en el mundo debería utilizar Linux, ya sabeis, ese sistema operativo que según algunos es complicadísimo y cuesta tanto trabajo instalar.

1 - Si usas Linux no tendrás que reiniciar el ordenador cada vez que instales un dispositivo, programa, actualización o similares. Notarás la ausencia de esos puntos muertos porque te perderás la oportunidad de hacer otra cosa que no sea utilizar el ordenador.

2 - No volverás a ver el mensaje “Se recomienda cerrar todas las aplicaciones antes de continuar” ya que en Linux no es necesario, ¿qué seguridad nos aporta esto?.

3 - No es necesario actualizar (normalmente tampoco instalar) periódicamente el antiVirus o antiSpyware. Lamentablemente, tendrás que buscar otra forma de gastar el dinero. Y si el antivirus es pirata ya no podrás alardear ante nadie de que has pirateado la última versión de tu antivirus favorito.

4 - Ya no podrás gastar ingentes cantidades de dinero en programas. Y tampoco podrás piratearlos. Linux viene con muchas, muchísimas aplicaciones para hacer casi cualquier cosa que puedas imaginar. No verás mucho software para Linux en las tiendas porque seguramente viene ya en tus CD de instalación o lo puedes descargar libremente de Internet.

5 - Dejaras de buscar “Acuerdo de licencia para el usuario final” o claves para instalar los programas. Simplemente no existen. Esto provocará que no tengas que descargar parches de páginas de dudosa fiabilidad, lo que conlleva que tu sistema no estará en peligro a cada instante.

6 - Autoconfiguración. Si hay driver para tu memoria USB, disco externo, o impresora simplemente enchúfalo y empezará a funcionar. Olvídate de buscar la última version de driver, reiniciar y todo eso. Con lo bien que se lo pasa uno instalando los CDs de los drivers e instalando el pesado software que les acompaña.

7 - Olvidate de tu “PC Doctor” favorito. Instalar 40000 aplicaciones no ralentiza el sistema, ni unas librerias corrompen las de otro programa que acabas de instalar. Tambien puedes desinstalar una aplicacion estando seguro de que no vas a romper otra aplicación de depende de no-se-que-otra libreria.

8 - Defragmentación de disco. Simplemente no es necesario. ¿Y ahora en qué pierdo yo el tiempo?

9 - En el menú de inicio encontraras las aplicaciones que instalas clasificadas de forma lógica en categorias, no todas en un enorme menú con flechitas para examinar. Esto provocará que encuentres rapidamente lo que buscas y que tengas siempre todo a mano.

10 - Tu ordenador es tuyo. Nadie te va a obligar a pagar para que actualices a una nueva version de tu reproductor de música. Nadie va a obligarte a que te conectes a sus servidores para verificar todo tu software y ninguna información sera enviada a ningun servidor de ninguna gran (enorme) compañia. ¿Dónde está la gracia? Que antigüo parece Linux.


Tal parece que aún hay lugares en el mundo en donde aún gobierna el "Gatezismo"



Lamentablemente sólo queda una solución...


Privacidad Google!

0 comentarios

Google dice tomarse la privacidad de los usuarios muy en serio y para ello ha publicado este conjunto de preguntas frecuentes (FAQ) sobre el tema, en donde se detalla que información almacena sobre nosotros el buscador o cualquiera de los servicios ofrecidos por el gigante.
Nuestras búsquedas siempre son almacenadas en nuestro perfil a menos que indiquemos lo contrario y, aquí se detalla como proceder a cancelar o eliminar esta posibilidad.
En base a esta información es posible configurar las opciones de privacidad de nuestro perfil para cada uno de los servicios de Google (las búsquedas web, GMail, Adsense, mapas, Youtube, Blogger, Orkut, etc).
Lo primero que debemos saber es que por defecto Google recopila y almacena información del usuario cada vez que el mismo ingresa (se loguea) en algunos de sus servicios.
Es importante remarcar que la mayoría de los servicios de Google además utilizan un login único por lo que si el usuario ingresa a su cuenta de GMail y, posteriormente sin realizar el logout, realiza uná búsqueda en Google, esta última se almacenará en su perfil y lo mismo sucederá si luego visualiza un video en Youtube (de allí la importancia de cerrar la sesión cada vez que no sea necesaria).
Suponiendo que se desconozca o que se desee configurar las opciones de privacidad y por ende, qué se almacenará de nuestras actividades, una vez logueado se puede proceder a ingresar a la opción Mi Cuenta en la parte superior derecha (al lado del nombre del usuario). En esta opción se podrá visualizar todos los servicios disponibles en Google:
Ahora se debe proceder a ingresar a las opciones de cada una de las herramientas para conocer la información que Google ha almacenado. Además también se podrá configurar las opciones de la cuenta y el nivel de privacidad o eliminar esa información si se deseara.
Desde la opción de Mis Productos Editar se puede conocer ver los servicios que hemos utilizado en el pasado y eliminarlos. Además también se puede eliminar la cuenta definitivamente (y su información):
En el caso que se hayan utilizado otros servicios, en esa lista aparecerán todos ellos.
Quizás una de las opciones más interesantes es la de visualizar el histórico de búsquedas realizadas en Google, al cual se accede de la pantalla inicial. Aquí puede verse un resumen de acciones realizadas en los distintos servicios:
Como puede verse, en el menú de la izquierda, puede visualizarse el historial de acciones desarrolladas en cada uno de los servicios accedidos con nuestra cuenta. Si se desea también puede verse estadísticas, tendencias y otra información relevante relacionada.
Y, quizás lo más importante, es que en la parte inferior, puede eliminarse la información almacenada y detenerse el servicio, para que Google deje de almacenar estos datos.
Dado el caso que se detenga el servicio de almacenamiento, el mismo puede reiniciarse cuando se desee.
La información almacenada sólo puede ser visualizada por el usuario dueño de la cuenta pero, si alguien se hiciera con nuestros datos de acceso, accedería a todo el historial de nuestras acciones. Eso sin considerar que puede no ser estrictamente necesario que Google almacene información sobre nuestras acciones (y considerando que realmente no las almacene si decidimos que no lo haga).
Las opciones de configuración son sencillas y sólo debemos invertir un poco de nuestro tiempo para conocerlas y adecuarlas a nuestras necesidades de privacidad. También es importante recordar que esta información no es almacenada si el usuario no se encuentra logueado.

Keylogger INALAMBRICO!!!

0 comentarios

Ya en la década de los 60 algunas organizaciones militares conocían que los ordenadores generaban radiaciones electromagnéticas que no solo interferían con las señales de radio sino que también suponían un punto de fuga de información sensible. Este tipo de emanación es conocida como radiación Tempest [1] (Transient ElectroMagnetic Pulse Emanation STandard,).
Para poder entender mejor este tipo de radiación necesitamos conocer algunos fundamentos básicos de electromagnetismo.

• Entiéndase corriente eléctrica como un flujo de partículas cargadas eléctricamente, por ejemplo electrones.
• La tensión eléctrica se puede definir como una concentración espacial de cargas eléctricas.
• Las cargas eléctricas crean campos eléctricos alrededor de ellas, cuya intensidad incrementa incrementando la tensión.
• Estas cargas eléctricas en movimiento crean campos magnéticos, acelerando este movimiento el campo magnético cambia, a mayor velocidad, mayor campo magnético.
• Los campos magnéticos y eléctricos se propagan en el espacio y su combinación es llamada campo electromagnético (EM). Cuando cualquiera de estos campos varia, también cambia su propagación en el espacio, formando una onda electromagnética.
• Las ondas electromagnéticas se pueden captar, reflejar, trasmitir, conducir y se ven afectadas dependiendo de la materia, cuanto mas conductiva es la materia, mas probable es que afecte a las ondas EM.
• Los campos magnético y eléctrico están unidos entre si, tal y como describen las ecuaciones de Maxwell.
Los datos que se procesan en cualquier dispositivo electrónico se representan internamente como la presencia o la ausencia de cargas eléctricas. Al procesar datos se manipulan estas cargas. De esta forma, la variación de estas corrientes eléctricas refleja que la información está siendo procesada. La variación de estas cargas hace variar el campo eléctrico y esta variación crea campos electromagnéticos, los cuales se propagan en el espacio y pueden ser detectados.
Teniendo en cuenta que la mayoría nos autenticamos en nuestros sistemas a través de nombres de usuario y contraseñas que se ingresan en las maquinas a través de teclados y que estos contienen componentes electrónicos, podemos suponer que cada pulsación de tecla crea un campo electromagnético, y que este campo electromagnético al propagarse por el espacio, puede ser interceptado.
Martin Vuagnoux y Sylvain Pasini encontraron 4 formas diferentes de recuperar las pulsaciones que se realizaban en teclados cableados a una distancia de 20 metros, capturando el campo electromagnético que se creaba al pulsar cada tecla.

Probaron 11 modelos diferentes de teclados, cableados y wireless comprados entre 2001 y 2008 (PS/2 USB y teclados de portátil) y todos eran vulnerables a al menos uno de sus 4 tipos de ataques.
Estos ensayos se realizaron con los teclados conectados a un ordenador portátil, quitando la alimentación al mismo para evitar cualquier tipo de aporte físico a la propagación de la señal, ya que comprobaron que la conexión a tierra (compartida) actuaba como una antena y se ampliaba el rango de ataque.
Del mismo modo, la pantalla LCD también estaba desconectada, ya que esta también emite señales comprometedoras y podría transmitir las señales del teclado, aunque estas señales pueden ser filtradas fácilmente, de hecho los autores apuntan que los dos monitores LCD que usaron para mostrar la captación de las señales, apenas interfirieron con el experimento. ( http://vimeo.com/2007855)

Desconozco si alguno de estos teclados tenía algún tipo de filtro atenuador de emisiones electromagnéticas, pero la proliferación de todo tipo de aparatos electrónicos, incluyendo una gran cantidad de teclados, por parte del mercado asiático y su bajo coste, hace suponer que la mayoría no estarán blindados, o que este blindaje, consistente en una bobina y un núcleo de ferrita sea bastante pobre.

Agradeciendo Zekuatro

http://blog.s21sec.com/2009/02/keylogging-mediante-la-captacion-de.html

CRISIS? CUAL CRISIS!!!!!!

0 comentarios
ESTO DIJO LA COPARMEX: BUUUUUUUUUUUU!!!!

Pese a crisis, México no se está desmoronando: Coparmex

El presidente de la Confederación Patronal de la República Mexicana, Ricardo González Sada, presentó 58 medidas para enfrentar los retos económicos.
Notimex / La Jornada On Line Publicado: 12/02/2009 14:13
México, DF. El sector patronal aseguró que pese a la crisis económica internacional, "Mexico no se está desmoronando", y para abatir el impacto en el país presentó 58 medidas que propone concretar a la brevedad posible.
El presidente de la Confederacion Patronal de la República Mexicana (Coparmex), Ricardo González Sada, explicó que las medidas anticrisis propuestas se derivan de ocho ejes fundamentales.
Estos son, una política fiscal que resuelva los retos de coyuntura a largo plazo; avanzar en la reforma laboral pendiente; un gobierno más eficiente; financiamiento y apoyo oportuno para las pequeñas y medianas empresas.
Además, mayor inversión en infraestructura con un esfuerzo adicional por parte de los estados; promover el libre comercio y abatir los monopolios; institucionalizar el desarrollo regional; así como mayor educación de calidad e innovación.

ES INCREIBLE COMO QUIEREN HACERNOS CREER QUE TODO ESTA BIEN MIENTRAS EL QUERIDO PRECI. NO QUISO RECORTAR LOS GASTOS DE LA PRECIDENCIA
A HA HA HA ALGO SE TRAMA NUESTRO CHAPARRITO!!

REGGAE!!!!!

0 comentarios

El reggae es un género musical de origen jamaicano. El término reggae algunas veces es usado ampliamente para referirse a la mayoría de los ritmos jamaiquinos, incluyendo ska, rocksteady y dub. El término es más específicamente usado para indicar un estilo particular que se originó después del desarrollo del rocksteady. En este sentido, el reggae incluye tres sub-géneros: el Skinhead Reggae, el roots reggae y el dancehall.
El término reggae es una derivación de
ragga, que a su vez es una abreviación de raggamuffin, que en inglés significa literalmente harapiento. Se utilizó esta etiqueta para nombrar a los pobres de Jamaica, y también a los Rastas y a los movimientos culturales de los barrios pobres. Actualmente se llama generalmente ragga o raggamuffin a algunos subestilos del reggae. Otras fuentes señalan que el término reggae proviene de una canción de The Maytals, llamada "Do the reggay", en la que la palabra "reggay" significaría "regular", es decir, gente normal y corriente. Hoy día, está muy difundido por todo el mundo este ritmo, y habitantes de islas vecinas como las islas de San Andrés y Providencia en Colombia la interpretan como música propia.
El reggae se basa en un estilo rítmico caracterizado por cortes regulares sobre una
música de fondo tocada por la batería rítmica, conocida como "Beat", y la batería, que se toca en el tercer tiempo de cada compás. Este ritmo es más lento que el de otros estilos precursores del reggae como el ska y el rocksteady.
Al reggae se lo asocia erróneamente con el
movimiento rastafari, ya que muchos elementos de este movimiento fueron tomados e incorporados a su música por prominentes músicos de reggae en los años 70 y 80. El reggae nunca formó parte del orden ceremonial de la iglesia rastafari, y sus sacerdotes son muy claros al diferenciar el reggae y la música rastafari. Ellos señalan que el reggae es parte de la cultura jamaiquina y que la cultura rastafari es la cultura etiope africana y su música el Nyahbinghi.
Algunos de los intérpretes más conocidos del género son
Pablo Nava, Peter Tosh y Jimmy Cliff, Steel Pulse, Bunny Wailer, Black Uhuru, Lucky Dube, Eddy Grant.
La música reggae frecuentemente toca temáticas de tipo social, además de políticas o religiosas. Este compromiso que adopta en ocasiones el reggae permite enlazarlo con otros estilos como la
canción de autor o el punk.
La primera aparición de la música reggae es atribuida a la canción "
Fat man" del cantante Derrick Morgan. Aunque hay quienes sostienen que "Do the reggay" del grupo The Maytals liderado por Toots Hibbert, fue el primer tema.
El reggae, como sus antecesores, el
rocksteady y el ska, se desarrolló influido por otros estilos que se escuchaban en Jamaica, basándose en sonidos Afro-Norteamericanos como el rhythm & blues, o de origen Afro-Caribeño como el Calipso, ska y otros ritmos antillanos.
La tradición cultivada en Jamaica por descendientes de esclavos.
La música de charangas y bandas de viento, impulsada por los colonizadores británicos.
La música popular estadounidense (
soul, rhythm & blues) y afro-antillana (soca, calypso, mento), que se escuchaba en la radio y se vendía en discos.
Los cánticos de iglesia, relacionados con el
gospel de EE.UU.

Estilos



En Jamaica, nuevos estilos se han hecho populares, entre ellos, el Dancehall y el Ragga (también conocido como raggamuffin) consistente en un reggae con bases electrónicas, probablemente influenciadas por el Hip-Hop, Drum & Bass – y otros estilos.
Gracias a la labor de
DJ Kool Herc, surgió en las calles de Nueva York una nueva cultura llamada Hip-Hop que incluye, entre sus expresiones sonoras, la música Rap que en su origen consistía en un DJ (Disc Jockey) que se encargaba de poner bases musicales en vinilo sobre las cuales un "MC" (Maestro de Ceremonias) recitaba rimas al ritmo de la música. Los términos Jaying, Toasting o Chating son usados en Jamaica. Generalmente el término rapper se usa en todo el mundo aunque se relaciona directamente con el Hip-Hop y con el Rap y no con el reggae.
Skinhead Reggae
Con la independencia de Jamaica del Reino Unido, en 1962, muchos jamaicanos pobres deciden emigrar hacía Inglaterra llevando consigo su música (
Ska y Rocksteady) está música tiene mucha aceptación dentro del movimiento Mod que posteriormente y con la fusión de los Rudeboys y los boot-boys (Hooligans provistos de botas con puntera de acero para propinar mejores golpes al momento de pelear contra los de un equipo de fútbol contrario) daría paso al movimiento Skinhead (en esos años habían muchísimos skinheads negros, mestizos y blancos, por lo que no era un movimiento racista), donde empezarían a tocarlo y apropiarlo de la mano de Trojan Records. Cabe destacar que el Skinhead Reggae, es un reggae que trata temas del contexto del Skinhead, es decir, temáticas de convulsión social, orgullo obrero y rechazo sobre todo al racismo y la manipulación de los medios de comunicación sobre el pueblo trabajador de cara a dar una imagen del skinhead como un joven borracho racista y ultraviolento, en vez de la verdadera imagen, la de un joven orgulloso de ser obrero, que odia la burguesía y la autoridad.

Roots (Raíces)

Se llama roots reggae ("reggae raíz") a una variedad de reggae sobre la cual se desarrollaron las distintas variaciones de estilos. Los temas recurrentes en las letras son la pobreza, la resistencia a la opresión del gobierno y la mención a la ganja o marihuana. En algunos casos, sus letras mencionan la alabanza a Dios o JAH (a menudo se exclama RASTAFARI queriendo decir "Príncipe Tafarí" (ras es príncipe en amaharico), que alude al nombre de nacimiento, Tafari Makonnen, de Haile Selassie I Rey de Etiopía (1892-1975), reconocido como Dios en su carácter de Rey por los rastafaris. Hay quien considera que el roots reggae tuvo su cumbre a finales de los años 1970, con cantantes como Johnny Clarke, Horace Andy y Lincoln Thompson trabajando con productores de estudios como Lee "Scratch" Perry, King Tubby y Coxsone Dodd. La investigación experimental de tales productores dentro de parámetros tecnológicos a menudo limitados dio paso al dub, y es vista por algunos historiadores de música como uno de las primeras contribuciones al desarrollo del techno en Costa Rica (aunque en sonido analógico).
El roots reggae es una parte importante de la cultura jamaicana. Aunque otras formas de reggae, como el
dancehall lo han sustituido en términos de popularidad en Jamaica, el Roots Reggae ha encontrado un pequeño, pero creciente lugar a nivel mundial.
También se dice en la misma Jamaica, que antes cuando se escuchaba el blues alla llegaba en ondas a menudo entre cortada, y ellos tratando de imitar el sonido poco a poco fueron creando el reggae, esto en cuanto a la base de la rítmica y los patrones que se usan son muy parecidos a los del blues y el jazz.

Rockers



El rockers reggae es un subgénero de música del reggae que se hizo popular a mediados y finales de los 70, existiendo simultáneamente con el roots reggae y compartiendo características con el dub. El nombre fue sacado del sistema de sonido de rockers, propiedad de Augustus Pablo. También a veces se conocen el lovers rock, refiriéndose a la frecuencia de temas románticos en el trabajo de algunos artistas, como Gregory Isaacs, Horace Andy, Black Uhuru, Junior Muruin, y Dennis Brown, Steel Pulse, Aswad y Matumbi.
La música reggae frecuentemente toca temáticas de tipo social, además de políticos o religiosos. Este compromiso que adopta en ocasiones el reggae permite enlazarlo con otros estilos como la
canción de autor o el punk.
La única manera de escuchar música era a través de los Sound systems. Originalmente solían ser fiestas al aire libre en el centro de Kingston. La gente se reunía a escuchar la música y disfrutar del ambiente mientras el DJ animaba al público. En la década de los años 50 los jóvenes jamaicanos estaban muy interesados por la música que llegaba de Estados Unidos, y que por las circunstancias sólo era posible escucharla gracias a las estaciones de música del Sur de Florida y los potentes vatios de los denominados Sound Systems. Los Sound Systems sustituyeron a las orquestas de los locales de música de los años 50. Resultaba mucho más económico alquilar un equipo para reproducir música norteamericana. El coste de disponer de un toca discos o radio propios se superaba poniendo sus altavoces en la calle para que todo el mundo escuchase música. Duke "The Trojan" Reid y Clement "Sir Coxsone" Dodd y Vincet "King" Edwards fueron personajes fundamentales en el desarrollo del Sound System jamaicano de 1950. Se encargaban de grabar sesiones para asegurarse un suministros de melodías exclusivas. También cabe destacar la importancia de la comunidad china asentada en Jamaica, a la que pertenecían excelentes productores asociados a los dueños de los Sound Systems. Algunos de los más importantes fueron: Lesie Kong, Byron Lee, Charlie Moo y por supuesto Vincent "Randy" Chin. Otro personaje importante fue Cecil Campbell, conocido después como Prince Buster, quien fue el primero en tener la visión y darse cuenta de la necesidad de un nuevo estilo. Enfatizó el contratiempo, es decir no en el “beat” o golpe rítmico, sino después de éste. Es así como nace el Ska. Se dice que el nombre viene cuando el futuro guitarrista de los Skatalites, Jah Jerry Haines, iba creando una canción como Prince Buster le había pedido y él dice que si pudiera generar el sonido con algunas letras, le sonaría a ska.
Los Sound Systems empiezan a grabar sus propias canciones para ganar ventajas competitivas entre ellos. La guerra entre Sound Systems escala al punto del envío de saboteadores por parte de la competencia para arruinar las fiestas. Estos saboteadores eran conocidos como Dance Hall Crashers. A pesar de la baja calidad de las grabaciones de Ska de este tiempo, los entusiastas de dicho ritmo lo llevan a un punto de popularidad altísimo. El Ska es reconocido como baile y música nacional de Jamaica. Como los bailes de los Sound Systems eran una de las pocas cosas que la gente del ghetto podía denominar como algo propio, se convirtieron en uno de los ejes principales de la vida del centro de la ciudad, incluso en barómetro para medir los gustos de la gente. De repente los productores comenzaron a realizar grabaciones para la venta; probaban los nuevos estilos en sus Sound Systems y casi todo el desarrollo de la música jamaicana (Ska, Rock Steady, Reggae, Dancehall, Ragga...) ha sido como consecuencia de la competición entre los Sound Systems por encontrar algo nuevo para atraer a las multitudes. La competición que existía por aquellos tiempos por demostrar quién tenía el mejor equipo y la música más cañera, era feroz, y los Sound Clashes (concurso por los cuales 2 Sound Systems alternaban canciones y eran puntuados según la reacción de la gente que asistía al evento) en algunas ocasiones derramaban violencia. Los Sound Clashes son todavía parte de la cultura del Reggae Algunos dubplates (discos de vinilo) tienen cortes ensalzando el nombre del Deejay y su Sound System. Son canciones realizadas exclusivamente por algún artista para un Sound System en concreto, dándole un gran valor añadido.
Actualmente los Sounds Systems internacionales a destacar son: David Rodigan, Kilimanjaro, Stonelove, Matterhorn, Base Odyssey...

LOS RASTAS

0 comentarios
PARA LOS AMANTES DEL REGGAE, AQUI LES DEJO UN POQUITO DE HISTORIA

El Bobo Shanti es un movimiento que fue fundado en 1958 en Spanish Town, Jamaica, por el Rey Emmanuel Charles Edwards conocido por seguidores como "Cristo Negro". La oficina central está en Jamaica y Emmanuel, aunque muerto, todavía es considerado dirigente espiritual. Este grupo llamado Bobo Ashanti muestra la relaciones con "Revivalism" sin embargo, ellos tienen peinado Rasta pero son diferente de la Juventud la Fe Negra y otros grupos de corriente principal. El Bobo usa turbantes alrededor de la cabeza, y alrededor del vestido en batas negras o blancas con sandalias en generalmente. El Bobo respeta a los Rastafarianos a semejanza de grupos la Juventud la Fe pero la agresividad Negra es extranjera a ellos y ellos hacen lo mejor para llevarse bien con las comunidades circundantes. Ellos viven en una sociedad pequeña en el Este de Nine Miles, Kingston en Bull Bay. El Bobo llama su comunidad " la Ciudad en una Colina". El panorama del mar es hermoso de su comunidad y los edificios se pintan rojos, verdes y oros. Cada Bobo dice una oración cuando entra a la comunidad. La Reina Rachel, la esposa de El Príncipe Emmanuel I, y su hijo Jesús vivian en la comunidad Bobo. Hay un templo en el medio de la casa de Reina Rachel y Príncipe Emmanuel I. El Príncipe llamado Bobo Emmanuel "dada". Hay un área donde mujeres se mandan cuando estan en menstruacion. Hay también una barraca circular donde hay una tabla y bancos son establecidos. Enfrente de una palangana de agua se levanta arriba un remiendo de menta de albahaca. Hay también una toalla que cuelga en un poste. Esta área es tanto semejante a un sello del Resurgimiento y es sagrado. Nadie es permitido usar la palangana o la toalla. Todos los otros edificios en el área son las casas. Todo Bobos masculino es llamado "profeta" o "sacerdote" por que ellos creen en Príncipe Emmanuel ser su Dios. Los profetas son los unicos de tener la razón y los sacerdotes son los unicoss de conducir los servicios o "circula el altar". Los niños asisten escuela donde ellos aprenden a leer y escribir. Cuándo ellos se portan mal el maestro amenaza decir Dada. Esto hace a los niños confiesan a lo que ellos hicieron mal y cambian su conducta traviesa. Dada es la autoridad moral y mantiene el control social. El es así como su nombre significa él es el padre de la comunidad. Las Mujeres en la sociedad de Bobo son abajo todos males en la posición y derechos a pesar de la edad. Las mujeres son requeridas a cubrir las piernas y las manos. Cuándo algo falla en una vida de hombre de Bobo, se culpa generalmente en su mujer. Las mujeres son cabezas de turco en su sociedad. Peinado Rasta trata a sus mujeres casi tan malo como el Bobo, son Apenas que el Bobo tiene más rituales con respecto al lado malo de mujeres. El Bobos cree en un Profeta, en un Sacerdote, y en un Rey. Selassie es el Rey, el Profeta es Marcus Garvey, y el Sacerdote es Príncipes Emmanuel I. Ellos apuntaban para la supremacía negra y creyeron que el hombre blanco dio el nombre de Africa a Etiopía o Jerusalén. Ellos creyeron al hombre negro para ser el superior a todas las otras carreras genéticamente. El Bobo tiene una relación magnífica con el mundo exterior en la mayor parte. Ellos tienen una relación especial con la comunidad local. El Bobo invita a gente que vive alrededor de ellos venir a todas sus festividades y celebraciones. Cuándo visitantes vienen al Bobo ellos primero se sientan en la choza y comen una fruta Las pelotas de la harina, el arroz y los guisantes, y plátanos maduros se ofrecen así como también tés de arbusto, la cerveza, y los refrescos. El Bobo no bebe la cerveza ni los refrescos sí mismos porque ellos no beben fuera de botellas. El Bobo sale de su manera de invitar a sus vecinos sobre comer y Unir en sus celebraciones. El Bobo se respeta, generalmente, más con el peinado Rasta. El Bobo no molesta a nadie, y es un grupo pacífico de gente. Hay muchos artesanos y otro Bobos talentoso pero el único comercio en su comunidad es hacer escobas. Esto es porque ellos consideran a sí mismo como Israel y cuándo Israel estaba en el cautiverio en Egipto, ellos sólo hicieron un comercio. El Bobo tiene un sentido de ser conectado uno al otro. Edward Emmanuel Charles I, conocido como el Principe, lidero uno de los grupos mas prominentes y mas puramente Rastafari asentado en Jamaica, en la zona de Back-O-Wall. Practicantes de este culto fueron los responsables de realizar el primer Nyabinghi o Sinodo Rastafariano en 1958. Pero el principe fue una figura controvertida que pretendía formar parte de la santísima trinidad junto a Haile Selassie y Marcus Garvey. Acabo desviando sus intereses y cobro tintes ortodoxos al convertir a sus seguidores en predicadores de una iglesia organizada, con Dogma, Liturgia y Jerarquía.

La Información Como Eje De Cambio

0 comentarios

Cuando muchos de nosotros éramos pequeñitos, aparecieron por nuestras casas los primeros ordenadores, donde jugando empezamos a hacer nuestros pinitos informáticos y de ahí, en tiempo récord, nos plantamos a algo que se denominó “la era digital”: ordenadores por doquier en empresas, el nacimiento de redes de ordenadores locales, la aparición de Internet que supuso incorporar “e-“ en el vocabulario (e-mail, e-business, e-commerce, e-learning, etc.), todo para conseguir intercambiar información de forma ágil y rápida, sin barreras espaciales o temporales. ¡Se trataba de interconectar el mundo!.
Para tener acceso a la información, entonces, la principal preocupación era disponer de una tecnología adecuada, unos sistemas lo más estables posibles, la estandarización de plataformas en pro de la accesibilidad, la velocidad de las comunicaciones,... hasta hoy, donde cobra importancia el término seguridad, existiendo una creciente preocupación dentro de la sociedad por todo lo que implique “seguridad digital”.
¿A qué se debe el cambio? A la importancia de la información en sí. Si antes su valor se manifestaba con la necesidad de dotarse de los mecanismos y herramientas necesarios para poder disponer de ella, ahora lo que importa ya no es solo conseguir información y tratarla, sino gestionarla adecuadamente, no perderla. Aquí es cuando aparece el concepto de “seguridad de la información”.
Pero volvamos a nuestra “era digital”... aparecen nuevas tecnologías capaces de interconectarse y también gente joven, curiosa, a la que le encanta cacharrear y probar sus habilidades... los ya conocidos hackers, que asustan por ser capaces de acceder donde uno no quiere y aquí empieza la preocupación por la seguridad que como es lógico, inicialmente se aplicará bajo el prisma de la protección tecnológica, estableciendo medidas destinadas a evitar que terceros no deseados se conecten a mis sistemas: cerrar puertos de comunicaciones, no utilizar configuraciones por defecto, cifrar los datos transmitidos, etc. Si bien este es el primer paso, la realidad se ha encargado de certificar que igual como los hackers se han transformado en otros colectivos más dañinos y menos éticos, implantado la seguridad únicamente a nivel tecnológico, no es suficiente. Se hace necesaria la Gestión de la Seguridad, el Buen Gobierno de las Tecnologías y los Sistemas de Información.

Gestionar la seguridad supone un cambio radical en la mentalidad, donde la gestión no debe asociarse a los activos individuales, sino a los procesos de negocio. Así, si analizamos el estándar ISO/IEC 27001:2005, cada vez más reconocido tanto por el sector público como privado, vemos que esta idea se aplica en el Círculo de Demming o Ciclo PDCA:

  • Planificar: Establecer las políticas, objetivos, procedimientos y procesos relevantes que conformarán el Sistema de Gestión para la Seguridad de la Información (SGSI), encargado de conseguir una correcta gestión del riesgo y mejorar la seguridad de la información, siendo capaz de proporcionar los resultados esperados de acuerdo con la políticas y objetivos de la Organización.

  • Hacer: Implementar y operar las políticas del SGSI, controles, procedimientos y procesos.

  • Monitorizar: Evaluar y donde sea posible, medir el rendimiento del proceso respecto a las políticas, objetivos y experiencias prácticas del SGSI y notificar los resultados a Dirección para su revisión.

  • Actuar: Llevar a cabo acciones preventivas, basadas en los resultados de las auditorías internas y revisiones del SGSI, para alcanzar una mejora continua del SGSI.

Donde la fase de Planificación es vital, al tratarse del punto de origen de la nueva filosofía: la seguridad al servicio del negocio.

Pongamos como ejemplo una cadena de montaje de automóviles. Será relevante para la Dirección el hecho de que la planta disponga de las piezas necesarias para el ensamblaje de vehículos, el hecho de que la cadena de montaje funcione en los tiempos establecidos, el disponer del volumen de vehículos finalizados adecuado para introducirlos en el mercado, una facturación correcta, etc. En ningún momento se ha pensado o hablado en términos de bases de datos, aplicaciones para la gestión de pedidos o facturación, virtualización de servidores o antivirus. El motivo es obvio, a la Dirección le preocupará la tecnología y la seguridad en la medida en que éstas, por ejemplo, repercutan en una mejor productividad, en un abaratamiento de costes o en línea contraria, dificulten la consecución de los objetivos de negocio.

Moraleja: la tecnología y la seguridad de los sistemas de información son relevantes en tanto y cuanto sirven a los propósitos del negocio.

Por lo tanto, la seguridad aplicada a las tecnologías y a los sistemas de información debería amoldarse al negocio, cubrir sus necesidades y objetivos estratégicos y ser capaz de proporcionarle, en su lenguaje, los datos necesarios que permitan valorar su repercusión dentro de la Organización. En definitiva, alcanzar un Buen Gobierno de las Tecnologías y los Sistemas de Información. Un primer paso para conseguirlo consistiría en determinar cuantitativa o cualitativamente los riesgos a los que estarían sujetas cada una de las distintas líneas de negocio. En segundo lugar, se tendría que llevar a cabo el diseño e implantación de un SGSI dirigido a cubrir y gestionar dichos riesgos con el único fin de que el negocio prevalezca frente a su materialización.

Cuando se dispusiese de un SGSI donde la gestión de la seguridad estuviese alineada con la estrategia de negocio se estaría en disposición de diseñar e implantar aquellos indicadores capaces de aportar valor adicional. "Todo aquello que se puede medir, se puede mejorar", así, la Organización, mediante cuadros de mando seria capaz de determinar y valorar tanto su seguridad, como estimar el Retorno de la Inversión (ROI).

La situación a día de hoy, en cambio, denota que todavía son muchas las organizaciones que tratan su seguridad independientemente del negocio al que desean proteger.

Mi Constraseña es: 1234 :P

0 comentarios

Incomprensiblemente en los tiempos que corren, la mayoría de usuarios derrochamos poca imaginación a la hora de elegir contraseñas incluso para el acceso a sitios sensibles como la gestión de cuentas bancarias en línea, por lo que somos presa fácil para los delincuentes informáticos según revela un reciente estudio.

Un análisis estadístico sobre 28.000 contraseñas robadas en Estados Unidos, revela datos preocupantes del poco interés que en general nos tomamos a la hora de elegir las contraseñas de acceso a sitios y servicios online.

El 16% de las contraseñas analizadas utilizaban el propio nombre del usuario o el de su hijo, y el 14% utilizaba combinaciones tan manidas como “1234” o “123456789”. El 5% usaba nombres simples de las estrellas de música o televisión o el nombre de series o películas.

Robert Graham, de la compañía Errata Security, autor del estudio, aconseja contraseñas superiores a ocho caracteres, combinando letras en mayúsculas, números y símbolos, con el fin de ponérselo un poco más difícil al delincuente online.

Ah lo del pajarito de arriba (jajaja) si es real, se pueden generar contraseñas aquí!!!

Todo en Uno, Seguridad en Hardware!

0 comentarios

"Los appliances de seguridad se han revelado como las estrellas del sector, con unos crecimientos más que relevantes en un mercado que no pasa por su mejor momento. Y es que, la combinación que hacen de hardware y software en una única plataforma para proporcionar seguridad perimetral a empresas de todo tipo, hace de ellos la solución preferida por usuarios y fabricantes, pues todos los grandes nombres de la seguridad tienen su propia propuesta en este sentido. Flexibilidad, sencillez y alto rendimiento son algunas de sus principales características.
En las TI se ponen de moda términos que, en la mayoría de las ocasiones, definen una tecnología que revolucionará el modo en que hasta ese momento se veía un determinado campo de la tecnología. Sin embargo, no son pocas las ocasiones en que, o bien no se sabe qué se esconde detrás del vocablo o bien desaparece antes de que nos haya dado tiempo a entender qué maravillas encerraba tras de sí.
Pero en toda regla hay una excepción, que en este caso es el de los appliances de seguridad, que se han revelado como una auténtica renovación en el modo de entender la seguridad. Esto es, se trata de dispositivos integrados, compuestos por una parte hardware y otra software, diseñados para una o varias funciones específicas dentro de una red. Estas funciones abarcan desde firewall, hasta VPN pasando por antivirus, antispam y filtros web, por ejemplo. En definitiva, tratan de ofrecer una completa seguridad perimetral. Aunque sus composiciones dependen de cada fabricante o del modelo que se trate, siempre integran funciones básicas como firewall y protección contra intrusiones. Y por todo ello, hoy en día, el mercado de appliances es uno de los que mayores crecimientos experimentan dentro de la seguridad TI.
Bruno Azula, responsable de canal de IronGate, ofrece su propia visión sobre el tema: “los appliances sin duda son los productos en que más se ha evolucionado y ha incrementado la inversión. Antyspyware, antispam y firewall siguen siendo las armas de batalla favoritas de la Pyme, pero indudablemente, encontrar un producto “todo en uno” que ponga fin a las tres amenazas, ha sido la solución ideal para este tipo de empresa”.
Por su parte, Jorge Puerta, director técnico de Audema, distribuidor de los appliances de Barracuda en nuestro país, define los appliances como plataformas cerradas en un ambiente hardware, “esto quiere decir de alguna forma, que es una tecnología mas “plug & play” donde ya viene el software instalado encima de un hardware totalmente compatible, de un sistema operativo estable y optimizado para la función que va a realizar la máquina”.
Los appliances de seguridad, todo en uno
Uno para cada necesidad
“Es un dispositivo hardware con un software específico y dedicado a funciones de protección de sistemas informáticos”, define Sixto Heredia, director de marketing de España de Panda Security. Aún así, precisa que la definición es muy genérica, pues “existen varios tipos de appliances claramente diferenciados en el mercado de seguridad TI. Podríamos hacer una clasificación entre los que ofrecen protección a nivel de red y aquellos que ofrecen protección a nivel de contenido”. Así, cabría distinguir entre UTM y SCM. Los primeros (Unified Threat Management) son dispositivos que unifican en un hardware protecciones a nivel de red y de contenidos, que se gestionan desde un interfaz común. Por su parte, los SCM, (Secure Content Management) son appliances altamente especializados que suelen elegir empresas con gran cantidad de tráfico.
Gilad Tzur, responsable regional de PineApp aclara que, por sus características y flexibilidad, en el mundo de los appliances se pueden encontrar desde dispositivos de protección perimetral para sistemas de correo a protección o gestión Web o cortafuegos.
Para María Campos, responsable de Stonesoft Ibérica, lo más destacable es la transparencia que los appliances ofrecen al usuario, “que adquiere una solución “lista” para poder ser puesta en marcha sin necesidad de adquisiciones de múltiples elementos por separado y de estudiar la integración entre ellos. Sin embargo, su utilidad precisa depende de cada fabricante y del producto ofrecido”.

Los sistemas de seguridad todo en uno, los appliances
Un poco de historia
Los appliances de seguridad nacieron como servidores con un software específico, generalmente con función de firewall, y se han ido mejorando a lo largo del tiempo, consiguiendo una mayor integración entre hardware y software. Gracias a esto, se ha logrado un mejor rendimiento, además de la posibilidad de incluir más funcionalidades hasta llegar a los UTM actuales.
Además, el crecimiento generalizado del uso de Internet y de las tecnologías asociadas a la Red, como el correo electrónico o los servicios ofrecidos desde la web, han provocado la creciente demanda de soluciones perimetrales que mantengan las amenazas fuera de las redes corporativas. Por eso, para clientes de la pequeña empresa que buscan soluciones sencillas y eficaces, están los dispositivos UTM, que facilitan la protección frente a riesgos procedentes de la red y tienen bajas necesidades de administración.
Emilio Román, director general de Fortinet, es claro al explicar los motivos que han llevado a que los appliances de seguridad estén en casi todas las empresas. “La ganancia incremental en capacidades de seguridad que pueden ser alcanzadas con productos puntuales simplemente no es suficiente para poner en marcha la seguridad que necesitan implementar las organizaciones. En contraste, los appliances de seguridad guardan la promesa de una solución de seguridad más eficiente, asequible, moderna y efectiva. Esto se basa en integrar un conjunto completo de servicios de seguridad en un dispositivo único y fácil de gestionar que es capaz de dar soporte a un amplio conjunto de escenarios de despliegue”.
En definitiva, lo que ha ocurrido es que, no hace mucho tiempo, las necesidades de seguridad de la mayoría de las organizaciones eran bastante sencillas. La defensa de redes incluía un conjunto de firewalls de perímetros para vigilar el origen del tráfico desde Internet, junto con el software de sobremesa y la entrada de correos electrónicos, para contrarrestar las amenazas que surgían por los virus. A medida que aumentaban los peligros, se añadían nuevas herramientas como las tecnologías de redes privadas virtuales o los sistemas de detección de intrusiones. Este método fue útil durante un período que fue formativo para la industria de la seguridad. Sin embargo, hace pocos años, una serie de factores hicieron que cambiara el panorama de la seguridad para siempre: la creciente ubicuidad de los servicios de comunicaciones, la proliferación de aplicaciones y tecnologías de la información, el surgimiento de los cumplimientos regulatorios y la creciente carrera contra los hackers. La suma de estos factores hizo que fuera necesaria una protección integral, donde aumentan cada día la cantidad de infraestructuras e información para proteger, así como una mayor cantidad, diversidad e intensidad de amenazas que detener. Dadas estas circunstancias, se ha abierto el paso un tiempo en el que las organizaciones deben adoptar un enfoque en el que se maximiza la efectividad mientras se minimizan los costes. Es el tiempo de los appliances de seguridad.
Y es que, tal y como destaca Jorge Puerta, en los appliances “su facilidad de instalación y manejo los convierten en tecnologías más sencillas de gestionar e incluso de paquetizar a la hora de la venta”.
“De cuatro años a esta parte, el mercado de los appliances de seguridad ha crecido exponencialmente siendo los propios usuarios los que han demandado soluciones lo más simples posibles. Veníamos de un mercado de software sobre plataformas estándares que en algunos casos había alcanzado gran complejidad por la integración de distintos fabricantes y se demandaba sencillez. Como resultado, el mercado de los appliances explotó y no ha parado de crecer desde ese momento. Actualmente sigue la trayectoria ascendente con crecimientos anuales de dos dígitos”, detalla María Campos, responsable de Stonesoft Iberia.
Como resume Emilio Román, “los importantes cambios en las amenazas, tecnologías y regulaciones han forzado a las organizaciones a implementar un conjunto creciente de controles de seguridad en un mayor número de ubicaciones a través de sus entornos de negocio. En respuesta a esta situación, las organizaciones deben reconsiderar su definición y uso de las mejores soluciones de seguridad. De hecho, las estrategias de seguridad basadas en el uso de productos puntuales ya no son el ideal, particularmente en términos de costes y efectividad de seguridad. En cambio, las empresas y los proveedores de servicios de seguridad deben adoptar plataformas de seguridad – particularmente aquellas que exhiben altos grados de flexibilidad, rendimiento, y efectividad de costes – cuando se trata de asegurar los entornos informáticos”.