Under Attack?
Has creado una lista blanca para software y hardware, has configurado las políticas del firewall y has revisado todos los permisos de usuario. Pero ¿has cerrado la puerta de entrada?
Las empresas dedican enormes recursos a la ciberseguridad, y con razón: una sola brecha puede tener efectos devastadores en todo el negocio. En esa búsqueda de una protección digital perfecta, es fácil olvidar que también existe un lado físico de la seguridad informática.
Las evaluaciones de ingeniería social física son ejercicios que miden la capacidad de una empresa para defenderse de atacantes que intentan explotar sus instalaciones. Si las realiza un consultor experimentado, las organizaciones obtienen un conocimiento valioso sobre lo seguras que son realmente.
A menudo considerada la pieza que falta en el puzle de la ciberseguridad, la evaluación de ingeniería social física se ha vuelto cada vez más popular en EE. UU. Con solo un puñado de consultores especializados en el Reino Unido e Irlanda, muchas empresas la ven como el próximo servicio imprescindible.
Qué es una evaluación de ingeniería social física
La ingeniería social física es una evaluación para determinar si un atacante puede obtener acceso físico a las instalaciones de una organización con el fin de llegar a información sensible y sistemas internos. Después ofrece recomendaciones sobre cómo protegerse mejor frente a este tipo de ataques, que a menudo se pasan por alto al diseñar una estrategia de ciberseguridad.
La ingeniería social física es un área de la ciberseguridad que suele ignorarse. Consiste en probar la capacidad de una organización para evitar accesos físicos no autorizados a sus sitios y sistemas. Una evaluación típica puede incluir intentos de entrar en las instalaciones, obtener acceso a la red o instalar dispositivos diseñados para mantener accesos remotos, observando al mismo tiempo prácticas cotidianas como políticas de escritorio limpio, estaciones de trabajo desatendidas o documentos sensibles dejados a la vista.
Aunque muchas organizaciones realizan regularmente pruebas de penetración internas y externas, las evaluaciones de seguridad física son mucho menos comunes. Esto suele deberse a la escasez de especialistas con las competencias adecuadas para llevar a cabo evaluaciones completas. En muchos casos, estas pruebas las realizan consultores cuya experiencia se centra principalmente en la seguridad técnica de la información y no en la intrusión física. Como resultado, las organizaciones pueden desarrollar una falsa sensación de seguridad, creyendo que proteger solo sus redes es suficiente para salvaguardar los datos confidenciales.
Cuando finalmente se realiza una evaluación de seguridad física, los hallazgos pueden ser reveladores. Las empresas suelen sorprenderse al descubrir lo fácil que sería para alguien entrar en unas instalaciones supuestamente seguras, instalar un dispositivo en la red corporativa o recoger información sensible desechada sin ser detectado durante días o incluso semanas. Estas revelaciones suelen llevar a las organizaciones a añadir la seguridad física a su agenda de ciberseguridad, introduciendo evaluaciones periódicas y medidas correctivas para cerrar las brechas.
En el panorama actual de amenazas, la seguridad física es realmente la pieza que falta del puzle. Sin tomarla en serio, las organizaciones corren el riesgo de dejar la puerta abierta –a veces literalmente– a los atacantes. Los grupos criminales también han reconocido esta debilidad y los incidentes de intrusión física como parte de ciberataques más amplios están aumentando de forma constante.
En qué se diferencia una evaluación de ingeniería social física de una evaluación red team
La ingeniería social física adopta habitualmente dos formas:
-
Pruebas de penetración – este enfoque se centra exclusivamente en el elemento físico/individual: ¿puede un atacante obtener acceso físico no detectado a las redes internas y áreas seguras de una organización?
-
Red teaming – este enfoque explora si el vector de ataque físico ofrece una ruta viable para lograr los objetivos del compromiso: ¿puede un atacante obtener acceso físico no detectado a las redes internas de una organización para proporcionar al red team acceso lógico y continuar con el compromiso?
Por qué es importante contar con una evaluación de ingeniería social física
Los ciberdelincuentes buscan el “fruto más fácil” y, debido a que en las estrategias de ciberseguridad se ha priorizado la seguridad de red sobre la seguridad física, entrar en las instalaciones y acceder a los datos de una organización se ha vuelto más fácil que piratear redes y aplicaciones en línea.
La ciberseguridad consiste en mantenerse un paso por delante de las posibles amenazas; las empresas necesitan saber dónde son vulnerables y qué amenazas pueden suponer un riesgo tangible para sus activos y su reputación, para poder mitigar esos riesgos o ajustar sus defensas en consecuencia. Con tan poca atención prestada a la posible ineficacia de la seguridad física de las empresas, sigue siendo un vector de ataque viable para los ciberdelincuentes.
¿Te preguntas cómo se comportaría tu empresa en una evaluación de ingeniería social física? Descúbrelo poniéndote en contacto con Integrity360 y organizando una evaluación hoy mismo.
