Contexto


Lee el caso referenciado en la sección de lecturas obligatorias y reflexiona en las preguntas planteadas.

Guerra cibernética: Destrucción Mutua Asegurada 2.0 (MAD 2.0)

¿Te has puesto a pensar qué pasaría si no tuvieras Internet por un fin de semana? ¿Qué pasaría si todo un país no tuviera Internet por siete días? Probablemente algunos negocios tendrían que dejar de operar y definitivamente habría un caos. Internet es mucho más que un medio de comunicación y se ha convertido en un blanco potencial para ataques, en un riesgo de seguridad.

China y Google tuvieron varias diferencias cuando el gobierno chino decidió manipular e interrumpir sus servicios de Gmail y GoogleTalk para lo que pareció ser un intento de evitar repercusiones de los eventos de la primavera árabe ocurridos en Túnez y Egipto en el 2011.

En otras instancias, el gobierno chino fue acusado de patrocinar grupos que han penetrado las redes de al menos 760 empresas. Sin embargo, China no es el único país con iniciativas en estos frentes, Estados Unidos e Israel parecen haber estado detrás de la creación del gusano Stuxnet que atacaba las computadoras de las plantas nucleares en Irán. A su vez, Estados Unidos también parece tener iniciativas para recopilar información de empresas y personas de todo el mundo.

Aunque los ataques cibernéticos se reportan como incidentes aislados, en Estados Unidos los sistemas de tráfico aéreo, la asistencia médica y los servicios de telecomunicaciones han sufrido ataques. Se presume que tanto China como Rusia realizan esfuerzos por infiltrarse en la red de energía eléctrica de EE.UU. En el 2010, tras años de negociaciones, 15 naciones acordaron una serie de recomendaciones que se esperaba llevarían a prohibir ataques cibernéticos, pero los acuerdos nunca se materializaron.



Se sabe que Estados Unidos puede lanzar ataques cibernéticos, pero no puede defenderse de ellos con facilidad. La opción de atacar primero puede sonar atractiva, pero el resultado final podría ser uno: el de perder-perder.

El caso ilustra la creciente vulnerabilidad de la Red a ataques de gran escala. Algunas veces pareciera que Internet se ha convertido en un campo de batalla donde no sólo participan grupos terroristas que atacan sistemas de naciones desarrolladas, sino también países como Estados Unidos, Rusia y China que se involucran como participantes activos en la administración de una guerra cibernética con sus propios fines.


Preguntas detonadoras o de reflexión:

  • ¿Cuál es la diferencia entre la piratería y la guerra cibernética?
  • ¿Por qué la guerra cibernética se ha convertido en algo potencialmente más devastador en la última década?
  • ¿Qué porcentaje de las computadoras han sido comprometidas por los programas de malware ocultos?
  • ¿Podría una solución política a MAD 2.0 (Destrucción Mutua Asegurada) ser lo suficientemente eficaz?

Explicación


13.1. Amenazas de seguridad en línea

El tamaño total y las pérdidas ocasionadas por la ciberdelincuencia no quedan claros. Algunos datos indican que el 46% de los participantes de las encuestas detectaron haber tenido ataques cibernautas, sin embargo muchas organizaciones deciden no denunciar los ataques por temor a perder la confianza de sus consumidores. La información robada se almacena en servidores de la economía informal.

Tomando las cifras anteriores de referencia, ¿cómo saber si los pagos en línea que haces son seguros?

Ahora bien, cabe señalar que una transacción segura es aquella que cumple con seis características principales:

Haz clic en cada característica para ver su descripción.

TITULO
TITULO
TITULO
TITULO
TITULO
TITULO

Para lograr una seguridad efectiva, las empresas recurren a soluciones tecnológicas, políticas y procedimientos de organización, así como a estándares de la industria y leyes del gobierno. Sin embargo, otros factores como el valor del dinero en el tiempo, el costo de la seguridad frente a posibles pérdidas y el hecho de que la seguridad a menudo se rompe en el eslabón más débil, hacen difícil garantizar la aplicación de las medidas adecuadas de protección y seguridad por las empresas.

La figura siguiente (Laudon, K.C. y Traver, C.G., 2014), ilustra el entorno de seguridad en el comercio electrónico:

Otro problema de las medidas de seguridad es que hay una tensión entre la protección y otros valores. Mientras más medidas se implementen, más difícil será usar un sitio y éste se volverá más lento. En algunas ocasiones hay un compromiso entre seguridad y privacidad, o entre seguridad y derecho de acceso a la información.

En una transacción de comercio electrónico hay tres puntos principales donde pueden ocurrir ataques a la seguridad:

Las amenazas más comunes en el ambiente de comercio electrónico son las siguientes:

Haz clic en cada elemento para ver su descripción.

Software diseñado para explotar vulnerabilidades del sistema y extraer información o tomar control de los datos.

Se presenta de diferentes maneras, como las siguientes:

  • Virus: programa que puede hacer copias de sí mismo y extenderse a otros.
  • Gusanos: malware diseñado para extenderse de una computadora a otra.
  • Caballos de Troya: programa que parece ser benigno pero luego hace algo inesperado.
  • Puertas traseras: característica de virus y gusanos que permiten a un atacante acceder remotamente a una computadora comprometida.
  • Redes de bots: código que se puede instalar en una computadora y responder a comandos maliciosos de externos.

Software que se instala a sí mismo en una computadora, por lo general sin el consentimiento informado del usuario.

Se presenta de las siguientes maneras:

  • Adware: programa que hace aparecer publicidad emergente.
  • Parásito del navegador: programa que puede monitorear y modificar la configuración del navegador.
  • Spyware (programa espía): software que se usa para obtener información como las teclas pulsadas, cuentas o contraseñas.

Cualquier intento engañoso habilitado en línea por parte de alguien que quiere obtener información confidencial a cambio de un beneficio económico. Generalmente explota la falibilidad e ingenuidad humanas para distribuir malware.

Se presenta de de las siguientes maneras:

  • Estafas por correo electrónico
  • Intento de suplantar a un banco para recibir datos de las cuentas de los clientes.

Los hackers son individuos que intentan acceder a un sistema sin autorización.

Se presenta de las siguientes maneras:

  • Crackers: son hackers con fines delictivos.
  • Hackers de sombrero blanco (White hat): buscan ayudar a la empresa a encontrar fallas.
  • Hackers de sombrero negro (Black hat): buscan ocasionar daños.
  • Hackers de sombrero gris (Grey hat): actúan con buenas intenciones al creer estar persiguiendo un bien mayor al irrumpir en los sistemas. Son un híbrido entre los hackers de sombrero blanco y de sombrero negro.

Tiene como finalidad interrupir, desfigurar o destruir los sitios web.

Se refiere a la pérdida de control sobre la información corporativa a manos de intrusos.

Los hackers atacan a los servidores mercantiles y con ello poder utilizar los datos robados para establecer un crédito con una identidad falsa.

Se refiere a presentarse con direcciones falsas o hacerse pasar por otra persona.

Los hackers inundan un sitio con tráfico inútil para abrumar la red, se puede hacer desde una (DoS) o varias computadoras coordinadamente (DDoS).

Programa de espionaje que monitorea la información que viaja a través de una red.

Ataques realizados por personal interno de la empresa.

Al revisar las amenazas de seguridad, está claro que las amenazas para el comercio electrónico son muy reales, peligros devastadoras para individuos, negocios y naciones enteras y es muy probable que su intensidad aumente junto con el crecimiento en el comercio electrónico (Laudon y Traver, 2014).

13.2. Soluciones y políticas de seguridad

Entre las soluciones tecnológicas para los ataques o amenazas en el entorno cibernético, se encuentran las siguientes:


  1. La protección de las comunicaciones de Internet mediante cifrado (encriptación).
  2. Proteger los canales de comunicación de SSL (Secure Sockets Layer) y VPN (Virtual Private Network).
  3. Proteger las redes con Firewalls.
  4. La protección de servidores y clientes.

Lo anterior puede llevarse a cabo mediante el cifrado (encriptación), que se refiere a transformar los datos en texto cifrado leíble sólo por el emisor y el receptor, asegura la transmisión de información y la información almacenada.

El cifrado proporciona cuatro de las seis características clave de la seguridad del comercio electrónico mencionadas al inicio del tema:

  • Integridad de los mensajes
  • No rechazo
  • Autenticación
  • Confidencialidad

Existen diferentes mecanismos de cifrado:

En lo que respecta a las políticas administrativas y procedimientos de negocios, esto se logra con un proceso de cinco pasos que se detallan en la siguiente imagen (Laudon, K.C. y Traver, C.G., 2014).

DESARROLLO DE UN PLAN DE SEGURIDAD EN EL COMERCIO ELECTRÓNICO

  1. La valoración del riesgo es el análisis de los riesgos y puntos de vulnerabilidad.
  2. La política de seguridad es el conjunto de estatutos que identifican y priorizan los riesgos y determinan los mecanismos necesarios para alcanzar estos objetivos.
  3. El plan de implementación incluye los pasos necesarios para lograr los objetivos del plan establecido.
  4. Una organización de seguridad educa y capacita a los usuarios, brindando el mantenimiento necesario a las herramientas y políticas definidas.
  5. Una auditoría de seguridad consiste en revisar rutinariamente los registros para determinar si el plan ha funcionado.

Como se puede observar existen diferentes mecanismos para salvaguardar la información y datos de los usuarios de Internet, sin embargo, ninguna será tan segura como que el usuario mismo tome las precauciones necesarias en lo que respecta a la proporción de su información personal así como en su sitios de navegación.

13.3. Sistemas de pago en el comercio electrónico

Antes de entrar en detalle a los sistemas de pago electrónicos, es importante entender con claridad lo que es el concepto de comercio electrónico.

El comercio electrónico es definido por los estudios de la Organización para la Cooperación y el Desarrollo Económicos (OCDE) como el proceso de compra, venta o intercambio de bienes, servicios e información a través de las redes de comunicación. Representa una gran variedad de posibilidades para adquirir bienes o servicios ofrecidos por proveedores en diversas partes del mundo.

Para comprender las formas de pago en el comercio electrónico de mejor manera, es necesario que observes previamente las formas de pago genéricas que hay y que se describen a continuación:

Haz clic en cada forma de pago para ver su definición.


Los participantes en un sistema de pago son el consumidor, comerciante, intermediarios financieros y los reguladores del gobierno. Cada uno de los actores tiene objetivos claros:

  • El consumidor busca bajo riesgo, bajo costo, refutabilidad, comodidad y fiabilidad.
  • El comerciante busca bajo riesgo, bajo costo, irrefutailidad, seguridad y fiabilidad.
  • Los intermediarios financieros quieren que el sistema de pago sea seguro y de bajo riesgo así como de maximización de beneficios.
  • A los reguladores del gobierno les interesa la seguridad, confianza y protección para los participantes.

En el comercio electrónico, 44% de las transacciones son mediante tarjetas de crédito y 28% por tarjetas de débito. También usan sistemas de valor almacenado y otras alternativas como Amazon Payments, Google CheckoutBill Me LaterWUPayDwollaStripe, ente otras.

Es importante señalar que las formas de pago electrónicas no difieren de las que normalmente se conocen y se mencionaron anteriormente, sin embargo, Internet ha modificado la manera en las que se implementan dichos sistemas para adaptarlos al comercio electrónico.

Prueba de ello son los pasos involucrados en una transacción de tarjeta de crédito en línea en comparación a una transacción tradicional.

A continuación se muestra un ejemplo de una transacción en línea realizada con tarjeta de crédito:

  1. La compra.
  2. La entrega del pedido al comerciante mediante una conexión segura SSL.
  3. La transferencia de la orden de la cámara de compensación a través de una línea segura.
  4. La verificación con el banco emisor del consumidor de la disponibilidad de un saldo suficiente para realizar la compra.
  5. Abono del banco emisor a la cuenta de los comerciantes.
  6. El envío al consumidor de un estado de cuenta mensual que incluye el cargo.

De acuerdo a la Profeco, las compras de artículos y servicios por Internet o en línea pueden resultar atractivas por la facilidad para realizarlas, sin embargo, es importante que los ciberconsumidores tomen precauciones para evitar ser víctimas de prácticas comerciales fraudulentas.

Práctica


Práctica 13
  1. Lee el caso Hackers roban datos de 40 millones de clientes de Target en EU, referenciado en las lecturas obligatorias.
  2. Con base en el caso, analiza y contesta lo siguiente:
    • ¿Cuáles fueron algunas de las señales que consideras que Target pudo detectar para saber que su sistema había sufrido de hacking?
    • ¿Qué tipo de hacking fue el que sufrió la tienda Target?
    • Señala y explica los principales tipos de ataques que pudiera llegar a tener (además de hacking) y el daño resultante a su sistema de información.
    • ¿Qué recomendaciones de seguridad le harías a Target para evitar que vuelva a ser atacado?

Cierre


En este tema se resumen las amenazas de seguridad y las soluciones que los administradores de sitios de Internet tienen que conocer, aunado a la comprensión de los diferentes sistemas de pago disponibles en la Web.

La seguridad cibernética es un fenómeno complejo y multifacético que involucra  un conjunto diverso de riesgos y un enfoque equilibrado. Para lograrlo, es fundamental contar con tres elementos:

  1. Implementación de tecnología orientada a proteger y salvaguardar la seguridad de los usuarios, equipos e información.
  2. Políticas y procedimientos de la organización.
  3. Leyes y normas de la industria.

Es importante tener en cuenta que no existe una solución única en lo que respecta a la seguridad en Internet, así como tampoco hay una solución mágica para la seguridad de la sociedad en general.

Con respecto a los sistemas de pago, es necesario comprender que la Web no ha creado nuevos métodos de pago, sin embargo, ha cambiado cómo se implementan dichos métodos para adaptarlos a realizar comercio electrónico.

En Estados Unidos los consumidores web utilizan predominantemente las tarjetas de crédito para las compras, por lo que los esfuerzos para buscar que se utilicen otros medios de pago por lo general, han fracasado. La principal excepción a esto es el sistema de pago P2P (interconectando nodos independientes que se comportan como iguales, a diferencia del modelo cliente-servidor) y PayPal, que se basa en el valor almacenado proporcionado por tarjetas de crédito o cuentas de cheques.

Revisa a continuación el Checkpoint:

Asegúrate de contestar las preguntas que se enlistan a continuación.

Una vez que lo hayas hecho, da clic sobre las preguntas para comparar tus respuestas y averiguar si respondiste acertadamente.

Haz clic aquí acceder a ellas.

 

Revisa el glosario del curso aquí.

Referencias