Search

Intercontact es una compañía fundada en el año 2009 que presta servicios de contact center, dentro de sus clientes esta la compañía Metlife cuya relación comercial consta en el uso de Intercontact para la venta de seguros de vida por medio de contacto telefónico y recolección de datos por medio de una aplicación Web. Esta venta de seguros involucra el almacenamiento, tratamiento y trasferencia de datos del titular de la tarjeta y en la actualidad los procedimientos establecidos para ejecutar estas tareas, no cumplen con regulaciones interpuestas por las compañías de tarjetas débito y crédito. Con el fin de evitar los fraudes que involucran el manejo de datos de tarjetas de pago débito y crédito, arriesgar la pérdida de sus permisos para procesar estos datos y evitar pago de multas, Intercontact ha decidido implementar la PCI DSS. Para ello se debe establecer las pautas que Intercontact debe tener en cuenta para poder implementar la norma, realizando un análisis GAP con el fin de determinar cuál es el estado actual y el estado deseado relacionado con el cumplimiento de la norma PCI DSS en la campaña Metlife tomando como base una metodología CMMI. Luego de realizar el análisis GAP es necesario establecer varios planes de acción que logren llegar a un estado Definido con relación a los controles de la norma PCI- DSS, esto quiere decir que el control está documentado, se ha divulgado, pero no se realizan mediciones de su desempeño. De acuerdo a esto la compañía empezaría a realizar otras mejoras para Madurar en la implementación y cumplimiento de la PCI-CSS en la campaña Metlife. En paralelo se sugiere el orden, tiempo y responsables necesarios para ejecutar esta serie de actividades con un cronograma que debe ser desarrollado o ejecutado a lo largo de un periodo aproximado de año y medio, en el cual se establece como fecha de inicio de ejecución de actividades el 01 de Septiembre del 2017 y una fecha de finalización del 03 de mayo del 2019. Luego de todas estas activid, Intercontact is a company that was founded in the 2009, which provides contact center services; among its clients is the MetLife Company. This relationship consists of the use of Intercontact to sell life insurance through telephone contact and data collection by means of a Web application. The sale of insurance services involves the storage, treatment and transfer of data of the cardholder and currently these established procedures to perform these tasks do not comply with regulations brought by credit card and debit card companies. In order to avoid scams and fraud that involve the handling of data of credit and debit card payments, risk the loss of their permits to process these data and avoid fines, Intercontact has decided to implement the PCI DSS. To do this, guidelines must be set that Intercontact must take into account in order to implement the standard/norm. By performing, a GAP analysis to determine what is the current state and the desired state related to compliance with the PCI DSS standard in the MetLife campaign based on a CMMI methodology. After performing the GAP analysis, it is necessary to establish several action plans to reach a defined state relative to the PCI-DSS standard controls, this means that the control is documented, has been reported, but their performance measurements are not carried out. According to this the company would begin to make other improvements to advance and reach the implementation and compliance of the PCI- CSS in the MetLife campaign. At the same time, it is suggested that, time, order and responsible parties needed to run this series of activities. This should be done with a timetable/schedulle that should be developed or executed over an approximate period of a year and a half, which sets as a start date for implementation of activities on 01 September 2017 and finish May 03 of 2019. After all these activities Intercontact could be ready to perform the self-evaluation using a questionnaire provided by the consortiu

El presente artículo tiene como finalidad exponer una tendencia que se está tomando el mundo de la tecnología, la cual se llama Internet de las cosas (o IoT por sus siglas en inglés “Internet of Things”), así como detallar los principales sectores en los cuales se está desarrollando este concepto. Se listan las principales tecnologías de comunicación existentes en el mundo, junto con las empresas que están incursionando en este nuevo ámbito. Adicionalmente se da una breve explicación de las principales vulnerabilidades y riesgos a los que las personas, sociedades y/o empresas se pueden ver expuestos al incursionar en el IoT, para finalmente terminar con unas sencillas recomendaciones del Proyecto Abierto de Seguridad de Aplicaciones Web (OWASP por sus siglas en inglés, “Open Web Application Security Project”) para mitigar los riesgos más significativos en el IoT., This article aims at exposing a trend that is taking the world of technology, which is called Internet of Things (IoT), as well as to detail the main sectors in which this concept is being developed. It lists the main communication technologies existing in the world, along with the companies that are entering this new field. Additionally, a brief explanation of the main vulnerabilities and risks that individuals, the society and / or companies can be exposed to when entering the IoT is given, in order to finally finish with some simple recommendations of the Open Web Application Security Project (OWASP) to mitigate the most significant risks in IoT

Con respecto a los países latinoamericanos, Colombia es uno de los mayores países donde se originan y se reciben ataques cibernéticos, así mismo la mayoría de los hackers están al acecho para burlar los sistemas de seguridad de empresas financieras y usuarios, buscando nuevas modalidades de extorsiones a través de las redes para extraer dinero de sus víctimas. Cada vez que se ingresa a la Internet, se debe tener conocimiento de los riesgos que representan las operaciones que se llevarán a cabo, así mismo saber qué medidas de seguridad se deben tener para evitar ser víctimas de fraudes o ataques cibernéticos. Las nuevas modalidades de extorsión por la red ya no sólo atacan a las mujeres sino también a los hombres. Nuevas modalidades detectadas por la policía identifican que muchos hombres se vuelven víctimas de estas extorsiones por mujeres que muestran sus partes íntimas y de esta forma caen en esta nueva forma de chantaje., With respect to the Latin American countries, Colombia is one of the largest countries where cyber-attacks are originated and received, and most hackers are lurking to circumvent the security systems of financial companies and users, seeking new Extortion through the networks to extract money from their victims. Every time you enter the Internet, you must be aware of the risks involved in the operations being carried out, as well as knowing what security measures should be taken to avoid being victims of cyber-attacks or cyber-attacks. The new forms of red extortion no longer only attack women but also men. New modalities detected by the police identify that many men become victims of these extortions by women who show their intimate parts and in this way are in this new form of blackmail.

El documento presenta un esquema que permite a los funcionarios públicos identificar las actividades que deberían planear para la aplicación de la seguridad informática de forma integral dentro de cada entidad, presentando las generalidades a tener en cuenta., The document presents an outline that allows public officials to identify the activities that should plan for the application of computer security comprehensively within each entity, presenting the generalities to be taken into account.

El internet de las cosas busca interconectar dispositivos para que se puedan monitorizar y automatizar tareas cotidianas, para esto, es necesario realizar configuraciones de manera centralizada, por tanto, si se tiene acceso por medio de técnicas de hacking a la consola de administración de estos dispositivos es posible acceder a la información personal de los usuarios incluso que sean utilizados como botnet. En este artículo se muestran diferentes falencias que estos dispositivos pueden llegar a tener, incluso ayudar a protegerlos de posibles ataques., The Internet of Things IOT looking interconnect different electronic devices to separate tasks helping automate, benefiting the daily lives of users. In addition to this, it also helps to obtain and access specific information, therefore, its use makes it possible to process a lot of information, in order to predict different events and habits of those who use them. The use of IOT devices in the next four years is estimated to reach 26 million devices therefore makes during this time is an access point growing to information and therefore a new gap to consider the availability, integrity and confidentiality of information.

El documento presenta un esquema que permite a los funcionarios públicos identificar las actividades que deberían planear para la aplicación de la seguridad informática de forma integral dentro de cada entidad, presentando las generalidades a tener en cuenta., The document presents an outline that allows public officials to identify the activities that should plan for the application of computer security comprehensively within each entity, presenting the generalities to be taken into account.

Intercontact es una compañía fundada en el año 2009 que presta servicios de contact center, dentro de sus clientes esta la compañía Metlife cuya relación comercial consta en el uso de Intercontact para la venta de seguros de vida por medio de contacto telefónico y recolección de datos por medio de una aplicación Web. Esta venta de seguros involucra el almacenamiento, tratamiento y trasferencia de datos del titular de la tarjeta y en la actualidad los procedimientos establecidos para ejecutar estas tareas, no cumplen con regulaciones interpuestas por las compañías de tarjetas débito y crédito. Con el fin de evitar los fraudes que involucran el manejo de datos de tarjetas de pago débito y crédito, arriesgar la pérdida de sus permisos para procesar estos datos y evitar pago de multas, Intercontact ha decidido implementar la PCI DSS. Para ello se debe establecer las pautas que Intercontact debe tener en cuenta para poder implementar la norma, realizando un análisis GAP con el fin de determinar cuál es el estado actual y el estado deseado relacionado con el cumplimiento de la norma PCI DSS en la campaña Metlife tomando como base una metodología CMMI. Luego de realizar el análisis GAP es necesario establecer varios planes de acción que logren llegar a un estado Definido con relación a los controles de la norma PCI- DSS, esto quiere decir que el control está documentado, se ha divulgado, pero no se realizan mediciones de su desempeño. De acuerdo a esto la compañía empezaría a realizar otras mejoras para Madurar en la implementación y cumplimiento de la PCI-CSS en la campaña Metlife. En paralelo se sugiere el orden, tiempo y responsables necesarios para ejecutar esta serie de actividades con un cronograma que debe ser desarrollado o ejecutado a lo largo de un periodo aproximado de año y medio, en el cual se establece como fecha de inicio de ejecución de actividades el 01 de Septiembre del 2017 y una fecha de finalización del 03 de mayo del 2019. Luego de todas estas activid, Intercontact is a company that was founded in the 2009, which provides contact center services; among its clients is the MetLife Company. This relationship consists of the use of Intercontact to sell life insurance through telephone contact and data collection by means of a Web application. The sale of insurance services involves the storage, treatment and transfer of data of the cardholder and currently these established procedures to perform these tasks do not comply with regulations brought by credit card and debit card companies. In order to avoid scams and fraud that involve the handling of data of credit and debit card payments, risk the loss of their permits to process these data and avoid fines, Intercontact has decided to implement the PCI DSS. To do this, guidelines must be set that Intercontact must take into account in order to implement the standard/norm. By performing, a GAP analysis to determine what is the current state and the desired state related to compliance with the PCI DSS standard in the MetLife campaign based on a CMMI methodology. After performing the GAP analysis, it is necessary to establish several action plans to reach a defined state relative to the PCI-DSS standard controls, this means that the control is documented, has been reported, but their performance measurements are not carried out. According to this the company would begin to make other improvements to advance and reach the implementation and compliance of the PCI- CSS in the MetLife campaign. At the same time, it is suggested that, time, order and responsible parties needed to run this series of activities. This should be done with a timetable/schedulle that should be developed or executed over an approximate period of a year and a half, which sets as a start date for implementation of activities on 01 September 2017 and finish May 03 of 2019. After all these activities Intercontact could be ready to perform the self-evaluation using a questionnaire provided by the consortiu

El internet de las cosas busca interconectar dispositivos para que se puedan monitorizar y automatizar tareas cotidianas, para esto, es necesario realizar configuraciones de manera centralizada, por tanto, si se tiene acceso por medio de técnicas de hacking a la consola de administración de estos dispositivos es posible acceder a la información personal de los usuarios incluso que sean utilizados como botnet. En este artículo se muestran diferentes falencias que estos dispositivos pueden llegar a tener, incluso ayudar a protegerlos de posibles ataques., The Internet of Things IOT looking interconnect different electronic devices to separate tasks helping automate, benefiting the daily lives of users. In addition to this, it also helps to obtain and access specific information, therefore, its use makes it possible to process a lot of information, in order to predict different events and habits of those who use them. The use of IOT devices in the next four years is estimated to reach 26 million devices therefore makes during this time is an access point growing to information and therefore a new gap to consider the availability, integrity and confidentiality of information.

El presente artículo tiene como finalidad exponer una tendencia que se está tomando el mundo de la tecnología, la cual se llama Internet de las cosas (o IoT por sus siglas en inglés “Internet of Things”), así como detallar los principales sectores en los cuales se está desarrollando este concepto. Se listan las principales tecnologías de comunicación existentes en el mundo, junto con las empresas que están incursionando en este nuevo ámbito. Adicionalmente se da una breve explicación de las principales vulnerabilidades y riesgos a los que las personas, sociedades y/o empresas se pueden ver expuestos al incursionar en el IoT, para finalmente terminar con unas sencillas recomendaciones del Proyecto Abierto de Seguridad de Aplicaciones Web (OWASP por sus siglas en inglés, “Open Web Application Security Project”) para mitigar los riesgos más significativos en el IoT., This article aims at exposing a trend that is taking the world of technology, which is called Internet of Things (IoT), as well as to detail the main sectors in which this concept is being developed. It lists the main communication technologies existing in the world, along with the companies that are entering this new field. Additionally, a brief explanation of the main vulnerabilities and risks that individuals, the society and / or companies can be exposed to when entering the IoT is given, in order to finally finish with some simple recommendations of the Open Web Application Security Project (OWASP) to mitigate the most significant risks in IoT

Con respecto a los países latinoamericanos, Colombia es uno de los mayores países donde se originan y se reciben ataques cibernéticos, así mismo la mayoría de los hackers están al acecho para burlar los sistemas de seguridad de empresas financieras y usuarios, buscando nuevas modalidades de extorsiones a través de las redes para extraer dinero de sus víctimas. Cada vez que se ingresa a la Internet, se debe tener conocimiento de los riesgos que representan las operaciones que se llevarán a cabo, así mismo saber qué medidas de seguridad se deben tener para evitar ser víctimas de fraudes o ataques cibernéticos. Las nuevas modalidades de extorsión por la red ya no sólo atacan a las mujeres sino también a los hombres. Nuevas modalidades detectadas por la policía identifican que muchos hombres se vuelven víctimas de estas extorsiones por mujeres que muestran sus partes íntimas y de esta forma caen en esta nueva forma de chantaje., With respect to the Latin American countries, Colombia is one of the largest countries where cyber-attacks are originated and received, and most hackers are lurking to circumvent the security systems of financial companies and users, seeking new Extortion through the networks to extract money from their victims. Every time you enter the Internet, you must be aware of the risks involved in the operations being carried out, as well as knowing what security measures should be taken to avoid being victims of cyber-attacks or cyber-attacks. The new forms of red extortion no longer only attack women but also men. New modalities detected by the police identify that many men become victims of these extortions by women who show their intimate parts and in this way are in this new form of blackmail.

A continuación se mostrará de una manera superficial y a grosso modo aspectos inherentes a los planes de continuidad del negocio y de recuperación ante un desastre y de cómo el ultimo es uno de los tantos aspectos que debe tener el primero para solventar de una manera eficiente y sobre todo efectiva, una situación imprevista, crítica y accidental en una compañía o negocio., Then it will be shown in a superficial way and grosso inherent aspects plans business continuity and recovery disaster and how the latter is one of many aspects that should be the first to solve in an efficient way and all effective , an unexpected critical and accidental situation in a company or business.

A continuación se mostrará de una manera superficial y a grosso modo aspectos inherentes a los planes de continuidad del negocio y de recuperación ante un desastre y de cómo el ultimo es uno de los tantos aspectos que debe tener el primero para solventar de una manera eficiente y sobre todo efectiva, una situación imprevista, crítica y accidental en una compañía o negocio., Then it will be shown in a superficial way and grosso inherent aspects plans business continuity and recovery disaster and how the latter is one of many aspects that should be the first to solve in an efficient way and all effective , an unexpected critical and accidental situation in a company or business.

La mayoría de los ataques son configurados para robar información confidencial como los son los ataques de phishing, MITM y otros más. Sin embargo, estos ataques tienen un proceso complejo cuando son distribuidos al usuario final, alguno de ellos son distribuidos por medio de ingeniería social y otros son distribuidos por medio de malware. El análisis de malware cubre un amplio rango de áreas conocimiento como análisis de conexiones y programación de bajo nivel. Actualmente, el análisis de una muestra de malware no tiene un proceso específico o una herramienta especifica debido a que la mayoría del malware fueron programados sin seguir ningún tipo de patrón. Tomando en cuenta lo anterior, es importante tener la experticia para reconocer diferentes tipos de patrones que permitan identificar el comportamiento de una muestra de malware., Most of important attacks are performed to steal confidential information such a phishing attacks, MITM attacks and so on. However, those attacks have a complex process in order to be distributed to the final users, some of them are distributed by social engineering, but other ones are distributed by malware. Malware´ analysis covers a lot of knowledge areas such connection analysis and low level programming. Currently, the analysis of a sample malware has no a specific process or a specific tools due to most of them were programmed differently. Taking in to account, it is important to have expertise to recognize different types of patterns to identify the behavior of a sample of malware.

En la Universidad, varios profesores decían en sus clases, que nosotros, los próximos especialistas en seguridad informática, debemos compartir nuestros conocimientos, ser inquietos, investigar, practicar y estar siempre a la vanguardia de los avances tecnológicos, de las vulnerabilidades, de las amenazas que se presentan día a día, que no nos debemos quedar quietos. Algo que me impacto y gusto mucho, hacía referencia a iniciar con la seguridad informática en nuestras casas, en nuestras familias. Esas palabras hicieron que yo empezara a enseñarle seguridad informática a mi hija de 5 años, proceso que va excelente hasta el momento. Y el resto de niños, me preguntaba, y al consultar en la Constitución Política de Colombia, leí el Artículo 44 que habla sobre los derechos de los niños, y se menciona que ellos deberán ser protegidos, ahí, es donde se debe aplicar todo lo relacionado con los conocimientos en seguridad informática adquiridos, para trabajar en pro del cumplimiento de ese artículo; y de esta manera contribuir de alguna manera con el cumplimiento del artículo 44 de nuestra Constitución. Este es el motivo de la realización de este artículo, dar a conocer los peligros y riesgos a los cuales puede estar expuesto un niño cuando navega en internet e interactúa a través de redes sociales, mostrar qué herramientas existen para que padres y madres utilicen como métodos de protección de sus hijos al hacer uso de la tecnología, y saber qué hacer en caso de ser víctimas de acoso o incidentes en la web., At the University, some professors said in class that we, the next Specialists Security, we share our knowledge, be restless, research, practice and always be at the forefront of technological advances, vulnerabilities, threats that every day, that we should not sit still they occur. Something that struck me and I enjoyed it, referred to start with Information Security in our homes, in our families. Those words made me to start teaching my daughter Computer Security; she is 5 years, a process that is excellent so far. But what about the other kids asked me, and to consult the Political Constitution of Colombia, Article 44 read that talks about the rights of children, and mentioned that should be protected, there is where you apply everything related to Information Security knowledge acquired to work towards the implementation of that article; and thus contribute in any way to comply with Article 44. In itself, that is why the realization of this article, to publicize the dangers, the risks to which a child may be exposed when browsing the Internet and interact through social networks, show what tools exist for parents and mothers used as methods of protecting their children by making use of technology, and what to do if they are victims of harassment or incidents on the web.

Estudios revelan que 75% de los ataques ocurren en el nivel de aplicación y que de un 100% de aplicaciones auditadas el 96% contenían vulnerabilidades de seguridad y que de ese porcentaje el 13% fueron atacadas con técnicas de Sql Injection. OWASP (Open Web Application Security Project), en su top 10 de vulnerabilidades del año 2013 y 2010 muestra como en orden de ataques la inyección de Sql se encuentra en el primer lugar con más vulnerabilidades explotadas. Las aplicaciones web se han convertido en un blanco fácil de la infraestructura de TI. Con tantas vulnerabilidades para elegir, los atacantes pueden fácilmente acceder a los datos cada vez más expuestos para ser vulnerados. Este artículo se centra en la explotación de vulnerabilidades en aplicaciones web bajo las técnicas de inyección de Sql, se exponen herramientas, frameworks y buenas prácticas para la prevención de este tipo de ataques, bajo la plataforma Asp.Net con su lenguaje Csharp, ya que el uso de la plataforma Asp.Net y sus lenguajes de programación aportan un 11.8% según el ranking de lenguajes utilizados por Tiobe Software a noviembre de 2014., Studies show that 75% of attacks occur at the application level and 100% of audited applications 96% contained security vulnerabilities and that percentage 13% were attacked with techniques Sql Injection. OWASP (Open Web Application Security Project) in its top 10 vulnerabilities in 2013 and 2010 shows that in order SQL injection attacks is in first place with most exploited vulnerabilities. Web applications have become an easy target for the IT infrastructure. With so many to choose vulnerabilities, attackers can easily access increasingly exposed to be violated data. This article focuses on the exploitation of vulnerabilities in web applications under Sql injection techniques, tools, frameworks and best practices for preventing such attacks are discussed under the Asp.Net platform Csharp language as using the Asp.Net platform and programming languages provide 11.8% according to the ranking of languages used by Tiobe Software to November 2014.

En este artículo se presenta una revisión del modelo estratégico de las organizaciones que desean aumentar la eficacia en los planes de concienciación de seguridad de la información. Enmarcando el concepto de la metodología de gestión de seguridad de la información y la innovación como opción estratégica para la adopción e implementación de un modelo de seguridad dentro de las organizaciones. El objetivo del artículo es mostrar y examinar mediante la adopción de una perspectiva evolutiva intra organizativa, el papel que juegan modelos, herramientas y agentes de cambio claves, dentro y fuera de la organización para impulsar y dar forma al cumplimiento de un sistema de seguridad de la información (SGSI) transversal a la estrategia de las empresas. La metodología planteada se basa en la explicación de aspectos generales, bases teóricas y antecedentes de un modelo de innovación y la estructura definida en la guía ISO/IEC 27001-2005 y como se pueden enmarcar en una secuencia dentro de los planes estratégicos de una empresa para el cumplimiento plasmado en las políticas establecidas, lo anterior apalancado en la revisión de la literatura del tema, la cual nos lleva a identificar la evolución y el campo de acción en el sector de enfoque. Como resultado se proporciona una descripción de las estrategias adoptadas para el desarrollo,cumplimiento y la no resistencia al cambio dentro de la cultura organizacional existente., This paper reviews the state of the art framing the concept of management methodology information security and innovation as a strategic option for the adoption and implementation of a security model within organizations is presented. The objective of this article is to show and discuss with the adoption of an evolutionary perspective intra organizational, the role models, tools and key change agents within and outside the organization to drive and shape the implementation of information security management system (ISMS) transverse to the business strategy. The proposed methodology is based on the explanation of general aspects, theoretical basis and background of the defined model ISO/IEC 27001 and can be framed as a sequence within the strategic plans of company compliance policies embodied in established, the above leveraged in the literature review of the topic, which leads us to identify the evolution and scope in the field of focus. The result is a description of the strategies adopted for the development, compliance and non-resistance to change within the existing organizational culture is provided.

En este documento se contemplan algunos conceptos básicos para la definición de métricas, los cuales pueden ser tenidos en cuenta por las organizaciones, para que de acuerdo con su naturaleza, los utilicen para definir métricas, no solo para tener conocimiento del desempeño del modelo de seguridad de la información, sino que les permitan implementar indicadores en las otras áreas o procesos que conforman las organizaciones. Igualmente, se contemplan aspectos tales como los conductores de medición de seguridad en el negocio, modelado de medidas de seguridad y qué define una buena métrica. Se hace una breve descripción de las características de los indicadores de gestión entre los que se contemplan aspectos tales como por qué debemos medir, para que debemos medir, atributos, tipos y categorías de los indicadores. Se expone una metodología para la construcción de indicadores y finalmente, se incluyen ejemplos de indicadores que se podrían utilizar para la medición del control y la evolución del modelo de seguridad de la información., In this paper some basic concepts for defining metrics are contemplated, which may be considered by organizations, according to their nature, used to define metrics, not only to have knowledge of the performance of the security model information, but allow them to implement indicators in other areas or processes that make organizations. Similarly, aspects such as safety test leads in business modeling security measures are contemplated and what defines a good metric. A brief description of the characteristics of management indicators including aspects such as why should we measure, so that we measure, attributes, types and categories of indicators contemplated done. A methodology for the construction of indicators exposed and finally, examples of indicators that could be used to measure and control the evolution of the security model of information are included.

Este articulo tiene como fin mostrar un enlace sobre la seguridad en sus diversos campos, tomando un enfoque en la rama de la informatica y sus modelos aplicados para poder emplear un diseño adecuado para solventar cada situación presente. Junto a esto se muestra las diversas maneras de aprovechar una vulnerabilidad sobre las redes informáticas y como de cierta manera se genera una necesidad de invertir en soluciones que puedan asegurar la información presente en cada una de las empresas.Cada uno de las situaciones y ejemplos presentados, reflejan la realidad en la cual día a día estamos expuestos, cada nueva situación presentada valida la necesidad del mejoramiento continuo y las nuevas metodologias en las cuales estamos siendo objeto para su fin., This article aims to show a link on safety in their various fields, taking an approach in the field of computer and use models applied to solve a design suitable for every situation present. Next to this the various ways to exploit a vulnerability on computer networks as in some way a need to invest in solutions that can ensure the information in each of the companies is generated is shown. Each of the situations and examples presented reflect the reality in which every day we are exposed to every new situation presented validates the need for continuous improvement and new methodologies in which we are being subjected to an end.

En este documento se presenta el modelo BMIS desarrollado por ISACA, se explica cada una de las partes que lo conforman y como se comportan todas en conjunto. Adicionalmente indica como se refleja cada componente al momento de implementar o diseñar un programa de seguridad de la información para el negocio., In this paper the model developed by ISACA BMIS is presented, explained each of the parties thereto and behave like all together. Additionally indicate how each component when implementing or designing an security program information for the business is reflected.

Ensayo basado en documentos recientes publicados en el sitio Oreilly.com acerca del modelo DevOps y su impacto a través del uso de Lean, Agile y metodologías de administración de sistemas y operaciones afectando los modelos de desarrollo y administración de sistemas. Este ensayo asume la posición no en el impacto de gestión de la información si no en el impacto derivado de dichas nuevas prácticas en los modelos de seguridad convencionales para el analista de seguridad y como este ejecuta su trabajo y las habilidades requeridas para ello., This essay is based in recent documents published by oreilly.com about DevOps model and its impact through use lean, agile, and methodologies about IT and operations management affecting act development models and system's administration. This essay assumes the position not in the impact over information management but in the impact coming from those new practices will impact the way the security analyst perform their job and the abilities required for that.

Cada día se vuelve más común ver como la seguridad tiene que ver con la confianza. Generalmente si hablamos de ingeniería social, hablamos de un acto de manipulación a una persona a través de tecinas muy psicológicas y capacidad para cumplir un objetivo o una meta específica. En estos tiempos uno de los activos más apreciados para las instituciones u organizaciones es la Información. Por ello, las entidades y sociedades financieras, educativas etc., buscan la mejor de las formas y controles de seguridad, y confidencialidad para proteger su información. Por ello, en general vemos como la ingeniería social es la manipulación más inteligente de un delincuente a la pendiente más natural del ser humano de confiar en su prójimo. Hablamos de “El eslabón más débil” un sencillo principio de la ingeniería social donde es el usuario, la persona más débil de la cadena de la seguridad, ya que no hay un solo procedimiento que no dependa del ser humano. Un arte en el que pocos se desenvuelven, debido a que no todas las personas tienen la capacidad y el ingenio. Aun así, vemos como sujetos que desde muy pequeños han demostrado tener toda la habilidad y con un poco de instrucciones convertirla en el camino ideal para realizar acciones maliciosas., It is becoming more common to see security has to do with trust. Generally when we talk about social engineering, we talk about an act of manipulation to a person through very psychological and ability to meet a goal or a specific goal tecinas. These days one of the most appreciated for institutions or organizations is the Information assets. Therefore, entities and financial, educational etc, companies seeking the best of forms and controls security and confidentiality to protect your information. Therefore, in general we see as social engineering is the most intelligent manipulation of an offender to the natural slope of human beings to trust your neighbor. We speak of "The Weakest Link" a simple principle of social engineering where user is the weakest chain security person, since no single method that is independent of human beings. An art that few develop, because not all people have the ability. and ingenuity. Even so, we see very young subjects have shown all the skill and with a little instruction make it the ideal way for malicious action.

Este artículo pretende dar una visión de la importancia que ha cobrado la seguridad de la información, la inclusión de esta en estándares, marcos de trabajo y normas, revisando el desarrollo que ha tenido a través de los años, y la integración con los procesos de las empresas., This article to provide a vision that the importance which has taken the information security, the inclusion of that in standards, frameworks, and norms, review the envelopment that it had along the years and the integration with process of the company.

Este documento exhibe diferentes aspectos y características acerca del panorama internacional de la Ciberguerra, definiendo términos informáticos, usados en amenazas y sus posibles métodos de ejecución, también las posibles medidas en las que se pueden prevenir estos ataques por parte de organizaciones nacionales e internacionales este nuevo tópico de delito y guerra del siglo XXI., This paper show different aspects and features about the international scope of Ciber warfare, defining informatics terms, used threats and possible methods of execution, also the possible measure that can prevent these attacks by national and international organizations in this new topic of crime and warfare of the XXI century.

La revisión pretende analizar la importancia que tiene dentro de los planes de continuidad del negocio la seguridad informática, que sin pretender ser su componente más importante, si busca demostrar que para que una empresa sobreviva a una contingencia, independiente de su severidad, la garantía de la salvaguarda de su información si es imprescindible en su futuro., This review pretends to analyze informatics security importance for business continuity plans, without trying to be the most important aspect, it attempts to demonstrate that if an enterprise is trying to survive a contingency, independently of it severity, the guaranty of safeguarding information is essential for its future.

Este artículo enfatiza en una parte de la ingeniería social que ataca principalmente el comportamiento de la mente humana, considerada como uno de los grandes bug informáticos de los cuales no se tiene aún algún tipo de parche de seguridad o herramienta que garantice la seguridad de la información dentro de la mente del ser humano., This paper emphasizes in one part of the social engineering that attacks mainly the behavior of the human mind, considered like a big one informatics bug of which is not yet found some kind of security patch or tool that ensures information security inside the mind of human being.

La expresión "hacker" es frecuentemente utilizada para hacer referencia a un individuo que intenta ingresar a un sistema de información o que de otro modo utiliza el conocimiento experto y la programación para actuar de manera maliciosa. Este proceder es conocido como hacking. Es por esto que proteger adecuadamente los activos de información de la organización se hace prioritario. Una prueba de hacking ético normalmente es ejecutada por una o varias personas contratadas por la organización que solicita la prueba. Es importante tener claro que es posible que una prueba de hacking ético no identifique todas las vulnerabilidades, ni que ofrece garantía absoluta de que la información de la organización está segura. El hacking ético son pruebas de penetración que la organización autoriza para simular las actividades de hackers que intentan acceder a sus activos de información y es por esta razón que se puede decir que es una herramienta para la seguridad informática., The term "hacker" is often used to refer to an individual who attempts to enter an information system or otherwise use the expertise and programming to act maliciously. This procedure is known as hacking. It is for this reason that adequately protects information assets of the organization is a priority. A test of ethical hacking is usually performed by one or more persons engaged by the organization requesting the test. It is important to understand that you may ethical hacking test does not identify all vulnerabilities, or provides absolute assurance that the organization information is secure. Ethical hacking are penetration testing that organization authorized to simulate the activities of hackers attempting to access their information assets and for this reason we can say it is a tool for computer security.

En la actualidad los riesgos de vernos afectados por un incidente relacionado con malware cada vez son más altos, debido a la facilidad de conseguirlo y al continuo desarrollo de los mismos, para cual debemos tener muy bien definidas políticas en la compañía de prevención, y estar preparados para responder debidamente ante una situación en el que se ponga en peligro nuestra información en cualquiera de sus propiedades, disponibilidad, confidencialidad o integridad., At present the risk of seeing affected by an incident related to malware are higher each time, due to the ease of doing and the continuing development of the same, for which we have very well-defined policies in the company of prevention, and be prepared to respond appropriately to a situation in which jeopardize our information in any of its properties, availability, confidentiality or integrity.

A través del presente trabajo, se dará a conocer cómo el Gobierno Nacional ha desarrollado una estrategia liderada por el Ministerio de Tecnologías de la Información y las Comunicaciones – MINTIC, dentro de la cual se encuentra la implementación del Sistema de Gestión de Seguridad de la Información para las entidades del Estado, su marco normativo, así como las dificultades que podrían encontrar a la hora de desarrollar los proyectos y sus posibles soluciones, como también la importancia que genera la iniciativa a nivel laboral para los profesionales en Seguridad de la Información que cada vez están siendo más valorados., Through this work, it will be released as the Government has developed a strategy by the Ministry of Information Technologies and Communications -MINTIC (for its Spanish acronyms), within which is implementation of the Management System of Information Security for State entities, its regulatory framework, difficulties they might to find in developing projects and their possible solutions, as well as importance that generates initiative in the workplace for professionals in Security Information that increasingly are being more valued.

La globalización de la economía ha exigido que las empresas implementen plataformas tecnológicas y con ellas la seguridad de la información que es un factor cada vez más determinante en la competitividad de las organizaciones, por lo anterior y debido a las nuevas tendencias en tecnología y a los tantos delitos informáticos fue necesaria la creación de una ley con la cual se tuviera el derecho a la privacidad, la cual es la ley de protección de datos personales que trata de tener una herramienta de defensa para cada ser humano ya sea persona natural o jurídica, pública o privada. Es una realidad que cada vez más nuestros datos personales estaban siendo manejados por muchas entidades y/o personas para diversos fines, sin que tuviéramos conocimiento de ello, lo cual podía traer perjuicios enormes a nuestro honor e intimidad ya que en muchos casos (la gran mayoría) no se conoce el objetivo y el tratamiento de dicha información. Es en este sentido el derecho del cual me refiero, es muy importante para que las personas puedan defender su derecho inviolable y así mismo a ser dejada en paz y a no sufrir intromisiones no consentidas en su vida privada. En cuanto al derecho de protección de datos personales, es bueno saber que sigue su propio ritmo; el mismo que se expresa en diversas características cuya conceptualización se propone en el presente artículo. Se analiza su evolución significativamente en los últimos años, presentando la ley de carácter general con autoridades de control aprobadas., The globalization of the economy has required companies to implement technological platforms and with them the information security is an increasingly crucial in organizational competitiveness factor for the above and due to new trends in technology and many cybercrime creating a law with which the law had to privacy was needed, which is the law of protection of personal data which seeks to take an advocacy tool for every human being whether natural or legal, public person or private. It is a reality that more and more of our personal data was being handled by many entities and / or individuals for various purposes, without us knowing about it, which could bring enormous damage to our reputation and privacy since in many cases (the vast most) the purpose and treatment of this information is unknown. It is in this sense the law which I mean, it's very important for people to defend their inviolable right and likewise to be left in peace and freedom from non-consensual interference with his privacy. Regarding the right to protection of personal data, it is good to know that follows its own rhythm; it is expressed in various features whose conceptualization is proposed in this article. Its evolution is analyzed significantly in recent years, with the general law approved check with authorities.

El presente artículo mostrará la apreciación subjetiva que se ha llevado a cabo durante el año 2014 sobre como las pequeñas y medianas empresas colombianas dan la suficiente importancia para aplicar la seguridad informática en sus infraestructuras, concretamente hablando sobre amenazas persistentes avanzadas conocidas por la sigla APT. Se quiso evidenciar si las empresas conocen de esta definición y en caso de conocer el concepto, que están realizando al interior de las mismas para mitigar los procesos de hacking continuo que se está expandiendo a nivel mundial y que ha ocasionado múltiples ataques a grande escala afectando los pilares de la seguridad de la información como lo son la confidencialidad, disponibilidad e integridad. Se debe tener en cuenta que para la realización del presente artículo, primero se realizó una exploración documental que permitió reunir la información suficiente que definiera el concepto de Amenazas Persistentes Avanzadas, características y su ciclo de vida, logrando determinar cómo los atacantes realizan una programación estratégica e inteligente de códigos complejos informáticos que les permita identificar el qué, cómo y cuándo atacar a los sistemas con gran nivel de precisión. Adicionalmente la indagación se realizó a través de los procesos de consultoría e implementación/configuración de las diferentes soluciones informáticas destinadas para la protección de los sistemas, logrando entender la percepción que tienen las empresas sobre los ataques informáticos. Con base en la experiencia profesional adquirida junto con los conocimientos adquiridos durante la especialización en Seguridad Informática, se procedió a realizar el presente artículo que se desarrolló como requisito para optar al título de Especialista en Seguridad Informática de la Universidad Piloto de Colombia., This article will show the subjective assessment that has been carried out during 2014 on how small and medium Colombian companies give enough importance to implement Computer Security into their infrastructure, specifically talking about advanced persistent threats better known with the acronym APT. This wanted to see if companies know this definition and if they know the concept, what procedures performed in their organizations to avoid and mitigate the hacking processes that is expanding globally and has caused many attacks to large scale affecting the pillars of information security such as confidentiality, availability and integrity. It should be noted that for the realization of this article, first documentary research was allowed and gather sufficient information to define the concept of Advanced Persistent Threats, characteristics and life cycle, achieving determine how attackers perform a strategic planning was performed and intelligent complex computer codes that allow them to identify what, how and when to attack the systems with high level of accuracy. Additionally inquiry was conducted through consulting and implementation processes / configuration of different software solutions designed to protect systems, achieving understand the perception that companies have on attacks. Based on professional experience with the knowledge acquired during specialization in Computer Security, proceeded to make this article which was developed as a requirement to obtain the title Computer Security Specialist from Universidad Piloto of Colombia.

En este documento se tratan los principales aspectos que son claves en la implementación de redes seguras, se muestra desde el punto de vista de los pilares de la seguridad informática como son: la integridad, la disponibilidad y la confidencialidad. Adicionalmente, indica aspectos claves que pueden servir de guía para implementarlas y aspectos claves en el endurecimiento de equipos de red como son: los switches, Routers, firewalls y en redes inalámbricas., This paper covers the main aspects that are key in implementing secure networks, shown from the point of view of the pillars of IT security such as: integrity, availability and confidentiality. Additionally indicates key aspects that can guide you to implement them, and key aspects in hardening of network equipment, such as: switches, routers, firewalls and wireless networks.

En este documento se brinda información sobre los avances tecnológicos en el campo de la autenticación personal, buscando, a través de un compendio sobre los métodos actuales, dar una visión del contexto en el que se desarrollan estos avances y sus posibles aplicaciones y beneficios., This document provides information on technological developments in the field of personal authentication, looking for, through a compendium of current methods, give an overview of the context in which these developments and their potential applications and benefits.

Este proyecto surge a partir de la necesidad de la compañía REFIANCIA S.A.S. por implementar un sistema que le permita proteger su información, mediante políticas de seguridad, procedimientos, planes de acción y efectividad en la mitigación de los riesgos a los que actualmente está expuesta, logrando así tener una mayor cultura en cuanto a seguridad de la información, uso apropiado de las aplicaciones que se manejan al interior de la organización y control sobre las herramientas en general en las cuáles se procesa, almacena o transporta el segundo activo más importante para esta entidad. Con el uso del marco de trabajo COBIT y las normas ISO 27005 e ISO 27001:2013, se pretende enfocar la seguridad de la información de la organización hacia una visión donde la confidencialidad, la integridad y la disponibilidad sean los principios más importantes a la hora de manejar los activos de la compañía, así como un mecanismo donde se establezcan elementos que permitan mejorar las prácticas de control y seguridad; entre las que se encuentra el planear, organizar, adquirir, implementar, prestación del servicio, soporte, monitoreo y evaluación de procesos TI, acorde al marco de gobierno de TI propuesto en COBIT 5.0., This project arises from the need for the company REFIANCIA S.A.S. to implement a system that allows you to protect your information through security policies, procedures, plans of action and effectiveness in mitigating the risks to which it is currently exposed, achieving thus have a stronger culture for safety information, proper use of the applications that are managed within the organization and control of the tools in general in which it is processed, stored or transported the second most important asset to this organization . Using the COBIT framework and ISO 27005 and ISO 27001: 2013 is intended to focus the information security of the organization towards a vision where the confidentiality, integrity and availability are the most important principles when handling company assets, as well as a mechanism whereby elements to enhance control and safety practices are established, among which is the plan, organize, acquire, implement, service delivery, support, monitoring and evaluation of IT processes according to the proposed IT governance framework COBIT 5.0.

La Ley Estatutaria 1581 fue publicada el 17 de Octubre de 2012, mediante esta ley se dictan las disposiciones para el tratamiento de los datos personales en Colombia; no obstante el 27 de Junio de 2013 se publicó el Decreto 1377 de 2013 el cual reglamento parcialmente la Ley 1581 de 2012. El pasado 13 de Mayo de 2014 se publicó el Decreto 886 de 2014, mediante el cual se reglamenta el artículo 25 de la ley 1581 de 2012, el cual se refiere al Registro Nacional de Bases de Datos. La publicación de esta ley y estos decretos mencionados anteriormente, muestra una evidente preocupación de la forma cómo en Colombia se venían vulnerando los derechos de los ciudadanos frente al tratamiento sus datos personales sin que se efectuara un control o se aplicará algún tipo de sanción a quienes realizaban dichos abusos. La publicación de la ley estatutaria 1266 del 31 de Diciembre de 2008, más conocida cómo Hábeas Data, se convirtió en el primer eslabón hacia la búsqueda de la protección de los datos personales en Colombia. Este documento pretende realizar un análisis de esta normatividad vigente y cómo su conocimiento y aplicabilidad sugiere un reto para los profesionales que nos dedicamos a la Seguridad de la Información., The statutory law 1581 was posted on October 17, 2012, by this law the provisions for the treatment of personal data in Colombia are issued; however the June 27, 2013 was published Decree 1377 of 2013 which partially Act 1581 Regulations 2012. On May 13, 2014 was published Decree 886 of 2014, by which article 25 of Law 1581 of 2012, which refers to the National Registration Database is regulated. The publication of this law and these decrees mentioned above, shows an evident concern the way in Colombia were being infringed the rights of citizens against their personal data treatment without a control is effected or some type of sanction applied to performed such abuses. The publication of statutory law 1266 of December 31, 2008, better known as Hábeas Data, became the first step toward seeking the protection of personal data in Colombia. This document aims to make an analysis of the current regulations and how their knowledge and applicability suggests a challenge for professionals dedicated to the Information Security.

A continuación se presentan las directrices y pasos “guía” que se deben llevar a cabo, para la realización de una auditoría de sistemas de gestión de seguridad en la información - SGSI, en el documento se establecen procedimientos de auditoría que pueden ser aplicables a organizaciones comerciales, gubernamentales, proveedores de servicios, etc. Sin importar el tipo, tamaño o naturaleza de las mismas. Estos pasos brindan una visión general de las actividades y tareas que un auditor debe llevar a cabo, al momento de realizar la evaluación y seguimiento a la implementación, mantenimiento y mejora continua de un SGSI, con el fin de evaluar su conformidad con la norma ISO/IEC 27001:2013., is presented below the guidelines and steps "guide" to be carried out, an audit of Management Systems Information Security - ISMS, herein audit procedures are established that may apply to commercial organizations, government, service providers, etc. Regardless of the type, size or nature thereof. These steps provide an overview of the activities and tasks that an auditor must perform, at the time of the evaluation and monitoring of the implementation, maintenance and continuous improvement of an ISMS, in order to assess their conformity with ISO / IEC 27001: 2013

Constitucionalmente las personas Colombianas tienen derecho a conocer, actualizar, rectificar su información Personal, así mismo exigir a entidades de cualquier naturaleza o razón social que hayan almacenado sus datos a tener un control de almacenamiento y uso de los datos personales, por ello es de vital importancia poner en contexto la Ley Estatutaria 1581 de 2012 mediante la cual se regula el control de la información personal tanto en entes públicos como privados, con el fin de proteger los deberes y derechos fundamentales y el manejo que los mismos le dan a la información a nivel nacional; también se analiza la forma en la que la información es manejada a nivel mundial con el fin de conocer las alternativas que otros gobiernos han implementado al respecto., Constitutionally the Colombian people have to know, update , rectify their Personal Information , also require entities of any nature or social reason to store their data to take control of storage and use of personal data , so it is vitally important to contextualize the Constitutional law 1581 Act , 2012 by which it control personal information in both public and private entities in order to protect the fundamental rights and duties and the handling that people give to the information and is regulated on national level; also the way in which information is handled globally in order to determine the alternatives that the Colombian government based on success stories in other countries can implement.

En este artículo se evidencia la importancia de realizar un borrado seguro de la información en equipos obsoletos, dañados y dispositivos de almacenamiento, los cuales pueden contener información de organizaciones o personas en particular. Estos son donados a fundaciones y otras empresas que determinan su disposición final, por esta razón se ha de realizar una recopilación bibliográfica de los principales antecedentes, métodos e información relevante del borrado seguro de la información, que ayuden a determinar los riesgos vitales a los que se exponen. A través de esta revisión se podrán establecer políticas para implementar métodos para el borrado seguro de la información., This article highlights the importance of performing secure deletion of information stored by companies Cooperative sector hard drives to computer equipment donated voluntarily surrender or recycling to third parties. For this reason, it has to make a bibliography of the main background, methods and relevant information secure deletion of information to help determine the critical risks to which they are exposed. Through this review, we will develop policies to identify how efficient and safe methods employ techniques for erasing this information.

Una de las grandes preocupaciones de las organizaciones al implementar herramientas y/o estrategias de seguridad es que costo y cuan traumático sería el ajustar sus actuales aplicaciones, por lo cual en algunas ocasiones se prefiere asumir el riesgo de no implementarlas. Pero si la solución no implica cambios en los sistemas actuales y por lo contrario parte de la solución está contenida en los recursos con los que ya se cuentan, convirtiéndose estos en la fuente primaria que permita la detección de intrusos. Por tal razón en este documento se da a conocer como a través de un análisis de logs y/o correlación de eventos se puede consolidar gran cantidad de datos extrayendo la información realmente relevante y eliminando la redundancia de todo el conjunto de actividades registradas con el fin de encontrar patrones de eventos que evidencien una intrusión a los sistemas y con ello proporcionar los datos necesarios para la adecuada reacción y la prevención a futuros ataques., One of the major concerns of the organizations to implement tools and / or security strategies is that cost and how traumatic it would be adjusting their existing applications, which sometimes is preferred to take the risk of not implementing them. But if the solution does not involve changes in current systems and the opposite part of the solution is contained in the resources they already have, making these the primary source that allows the detection of intruders. For this reason, herein disclosed as through a log analysis and / or event correlation can consolidate large data extracting really relevant information and eliminating redundancy of the entire set of recorded activities to find patterns of events that demonstrate an intrusion systems and thereby provide the data necessary for adequate reaction and prevent future attacks .

Presentación de lo más indicado para un proceso de endurecimiento en los dispositivos de networking mas importantes (routers y switchs) que constituyen la columna vertebral de toda infraestructura de TI ya sea local o en la nube. Estos dispositivos siempre estarán presentes debido a que son fundamentales para la comunicación entre sistemas., Introducing the most suitable for a hardening process in major networking devices (routers and switches) and are the backbone of any IT infrastructure either locally or in the cloud. These devices will always be present because they are essential for communication between systems.

El estándar PCI-DSS plantea un conjunto mínimo de requisitos y procedimientos impuestos por la industria de las tarjetas de pago, que buscan asegurar la información confidencial de los tarjetahabientes, además de facilitar la adopción de medidas de seguridad utilizadas a nivel mundial. Dicho estándar se aplica a todas las entidades que participan en los procesos de las tarjetas de pago, entre las que se destacan los comerciantes, las entidades emisoras y proveedoras de servicios, así como también las entidades que almacenan, procesan o transmiten datos de los titulares de las tarjetas. Por lo tanto este documento busca presentar al lector de manera clara una visión general de los requisitos necesarios del estándar y de esta forma, poder comprender la importancia del uso de controles y la adopción de buenas prácticas de seguridad con el fin de mitigar los riesgos asociados al uso de las tarjetas de pago., PCI-DSS presents a minimum set of requirements and procedures imposed by the card industry to pay, which seek to secure confidential cardholder information and facilitates the adoption of security measures used worldwide. This standard applies to all entities involved in the process of payment cards, including highlighting the merchants, issuers and service providers, as well as entities that store, process or transmit cardholder data of the cards. Therefore this paper aims to present the reader with a clear overview of the requirements of the standard and thus to understand the importance of using controls and the adoption of good security practices to mitigate risks associated the use of payment cards.

Este documento busca contextualizar al lector en cómo gestionar la seguridad y el riesgo en un ambiente de TI, utilizando los modelos más conocidos del mercado en este momento, brindándole opciones desde como abarcar el tema de seguridad en TI, como reconocer los riesgos y actuar frente a ellos hasta que controles implementar según el caso para mitigar los mismos y brindar seguridad a la compañía., This document looks for to contextualize to the reader in how managing the security and the risk in an atmosphere of TI, using the models more known the market at this moment, offering options him from like including the subject of security in TI, like recognizing the risks and of acting them in front of until controls to implement according to the case to mitigate such and to offer security to the company.

La mayoría de los ataques son configurados para robar información confidencial como los son los ataques de phishing, MITM y otros más. Sin embargo, estos ataques tienen un proceso complejo cuando son distribuidos al usuario final, alguno de ellos son distribuidos por medio de ingeniería social y otros son distribuidos por medio de malware. El análisis de malware cubre un amplio rango de áreas conocimiento como análisis de conexiones y programación de bajo nivel. Actualmente, el análisis de una muestra de malware no tiene un proceso específico o una herramienta especifica debido a que la mayoría del malware fueron programados sin seguir ningún tipo de patrón. Tomando en cuenta lo anterior, es importante tener la experticia para reconocer diferentes tipos de patrones que permitan identificar el comportamiento de una muestra de malware., Most of important attacks are performed to steal confidential information such a phishing attacks, MITM attacks and so on. However, those attacks have a complex process in order to be distributed to the final users, some of them are distributed by social engineering, but other ones are distributed by malware. Malware´ analysis covers a lot of knowledge areas such connection analysis and low level programming. Currently, the analysis of a sample malware has no a specific process or a specific tools due to most of them were programmed differently. Taking in to account, it is important to have expertise to recognize different types of patterns to identify the behavior of a sample of malware.

Este artículo enfatiza en una parte de la ingeniería social que ataca principalmente el comportamiento de la mente humana, considerada como uno de los grandes bug informáticos de los cuales no se tiene aún algún tipo de parche de seguridad o herramienta que garantice la seguridad de la información dentro de la mente del ser humano., This paper emphasizes in one part of the social engineering that attacks mainly the behavior of the human mind, considered like a big one informatics bug of which is not yet found some kind of security patch or tool that ensures information security inside the mind of human being.

Presentación de lo más indicado para un proceso de endurecimiento en los dispositivos de networking mas importantes (routers y switchs) que constituyen la columna vertebral de toda infraestructura de TI ya sea local o en la nube. Estos dispositivos siempre estarán presentes debido a que son fundamentales para la comunicación entre sistemas., Introducing the most suitable for a hardening process in major networking devices (routers and switches) and are the backbone of any IT infrastructure either locally or in the cloud. These devices will always be present because they are essential for communication between systems.

Una de las grandes preocupaciones de las organizaciones al implementar herramientas y/o estrategias de seguridad es que costo y cuan traumático sería el ajustar sus actuales aplicaciones, por lo cual en algunas ocasiones se prefiere asumir el riesgo de no implementarlas. Pero si la solución no implica cambios en los sistemas actuales y por lo contrario parte de la solución está contenida en los recursos con los que ya se cuentan, convirtiéndose estos en la fuente primaria que permita la detección de intrusos. Por tal razón en este documento se da a conocer como a través de un análisis de logs y/o correlación de eventos se puede consolidar gran cantidad de datos extrayendo la información realmente relevante y eliminando la redundancia de todo el conjunto de actividades registradas con el fin de encontrar patrones de eventos que evidencien una intrusión a los sistemas y con ello proporcionar los datos necesarios para la adecuada reacción y la prevención a futuros ataques., One of the major concerns of the organizations to implement tools and / or security strategies is that cost and how traumatic it would be adjusting their existing applications, which sometimes is preferred to take the risk of not implementing them. But if the solution does not involve changes in current systems and the opposite part of the solution is contained in the resources they already have, making these the primary source that allows the detection of intruders. For this reason, herein disclosed as through a log analysis and / or event correlation can consolidate large data extracting really relevant information and eliminating redundancy of the entire set of recorded activities to find patterns of events that demonstrate an intrusion systems and thereby provide the data necessary for adequate reaction and prevent future attacks .

Este documento, describe varios de los aspectos de la técnica llamada Hacking Ético y su aplicación en los sistemas de cómputo, pasando antes por una descripción de los aspectos más importantes, hablando un poco de los aspectos técnicos, las definiciones importantes, un poco de historia y la opinión acerca de su implementación en los sistemas de información actual. También se definen varios términos, para poder entender de mejor forma la búsqueda de fallas de seguridad en los sistemas., This document describes various aspects of the technique called Ethical Hacking and its application in computer systems, passing by a description of the most important aspects, talking a bit about the technical aspects, important definitions, and little history and through the awareness of its implementation in current information systems. Several terms are also defined in order to understand better how the search for security flaws in the systems.

La globalización de la economía ha exigido que las empresas implementen plataformas tecnológicas y con ellas la seguridad de la información que es un factor cada vez más determinante en la competitividad de las organizaciones, por lo anterior y debido a las nuevas tendencias en tecnología y a los tantos delitos informáticos fue necesaria la creación de una ley con la cual se tuviera el derecho a la privacidad, la cual es la ley de protección de datos personales que trata de tener una herramienta de defensa para cada ser humano ya sea persona natural o jurídica, pública o privada. Es una realidad que cada vez más nuestros datos personales estaban siendo manejados por muchas entidades y/o personas para diversos fines, sin que tuviéramos conocimiento de ello, lo cual podía traer perjuicios enormes a nuestro honor e intimidad ya que en muchos casos (la gran mayoría) no se conoce el objetivo y el tratamiento de dicha información. Es en este sentido el derecho del cual me refiero, es muy importante para que las personas puedan defender su derecho inviolable y así mismo a ser dejada en paz y a no sufrir intromisiones no consentidas en su vida privada. En cuanto al derecho de protección de datos personales, es bueno saber que sigue su propio ritmo; el mismo que se expresa en diversas características cuya conceptualización se propone en el presente artículo. Se analiza su evolución significativamente en los últimos años, presentando la ley de carácter general con autoridades de control aprobadas., The globalization of the economy has required companies to implement technological platforms and with them the information security is an increasingly crucial in organizational competitiveness factor for the above and due to new trends in technology and many cybercrime creating a law with which the law had to privacy was needed, which is the law of protection of personal data which seeks to take an advocacy tool for every human being whether natural or legal, public person or private. It is a reality that more and more of our personal data was being handled by many entities and / or individuals for various purposes, without us knowing about it, which could bring enormous damage to our reputation and privacy since in many cases (the vast most) the purpose and treatment of this information is unknown. It is in this sense the law which I mean, it's very important for people to defend their inviolable right and likewise to be left in peace and freedom from non-consensual interference with his privacy. Regarding the right to protection of personal data, it is good to know that follows its own rhythm; it is expressed in various features whose conceptualization is proposed in this article. Its evolution is analyzed significantly in recent years, with the general law approved check with authorities.

A continuación se presentan las directrices y pasos “guía” que se deben llevar a cabo, para la realización de una auditoría de sistemas de gestión de seguridad en la información - SGSI, en el documento se establecen procedimientos de auditoría que pueden ser aplicables a organizaciones comerciales, gubernamentales, proveedores de servicios, etc. Sin importar el tipo, tamaño o naturaleza de las mismas. Estos pasos brindan una visión general de las actividades y tareas que un auditor debe llevar a cabo, al momento de realizar la evaluación y seguimiento a la implementación, mantenimiento y mejora continua de un SGSI, con el fin de evaluar su conformidad con la norma ISO/IEC 27001:2013., is presented below the guidelines and steps "guide" to be carried out, an audit of Management Systems Information Security - ISMS, herein audit procedures are established that may apply to commercial organizations, government, service providers, etc. Regardless of the type, size or nature thereof. These steps provide an overview of the activities and tasks that an auditor must perform, at the time of the evaluation and monitoring of the implementation, maintenance and continuous improvement of an ISMS, in order to assess their conformity with ISO / IEC 27001: 2013

A través del presente trabajo, se dará a conocer cómo el Gobierno Nacional ha desarrollado una estrategia liderada por el Ministerio de Tecnologías de la Información y las Comunicaciones – MINTIC, dentro de la cual se encuentra la implementación del Sistema de Gestión de Seguridad de la Información para las entidades del Estado, su marco normativo, así como las dificultades que podrían encontrar a la hora de desarrollar los proyectos y sus posibles soluciones, como también la importancia que genera la iniciativa a nivel laboral para los profesionales en Seguridad de la Información que cada vez están siendo más valorados., Through this work, it will be released as the Government has developed a strategy by the Ministry of Information Technologies and Communications -MINTIC (for its Spanish acronyms), within which is implementation of the Management System of Information Security for State entities, its regulatory framework, difficulties they might to find in developing projects and their possible solutions, as well as importance that generates initiative in the workplace for professionals in Security Information that increasingly are being more valued.

La expresión "hacker" es frecuentemente utilizada para hacer referencia a un individuo que intenta ingresar a un sistema de información o que de otro modo utiliza el conocimiento experto y la programación para actuar de manera maliciosa. Este proceder es conocido como hacking. Es por esto que proteger adecuadamente los activos de información de la organización se hace prioritario. Una prueba de hacking ético normalmente es ejecutada por una o varias personas contratadas por la organización que solicita la prueba. Es importante tener claro que es posible que una prueba de hacking ético no identifique todas las vulnerabilidades, ni que ofrece garantía absoluta de que la información de la organización está segura. El hacking ético son pruebas de penetración que la organización autoriza para simular las actividades de hackers que intentan acceder a sus activos de información y es por esta razón que se puede decir que es una herramienta para la seguridad informática., The term "hacker" is often used to refer to an individual who attempts to enter an information system or otherwise use the expertise and programming to act maliciously. This procedure is known as hacking. It is for this reason that adequately protects information assets of the organization is a priority. A test of ethical hacking is usually performed by one or more persons engaged by the organization requesting the test. It is important to understand that you may ethical hacking test does not identify all vulnerabilities, or provides absolute assurance that the organization information is secure. Ethical hacking are penetration testing that organization authorized to simulate the activities of hackers attempting to access their information assets and for this reason we can say it is a tool for computer security.