Hola,
La semana, además de los parches de Microsoft (incluyendo un evento crítico de escalada de privilegios en el sistema, exploits públicos para Excel y hasta para el mismísimo Wordpad), ha traído otras muchas novedades.
Me quedo con el informe 2009 de Verizon, todo un clásico a la hora de informar sobre incidentes relacionados con la fuga y/o exposición de información sensible. Este documento se ha publicado recientemente bajo el título Verizon 2009 Data Breach Investigation Report, y francamente, creo que es un buen input para documentarse sobre la tipología de los incidentes que provocan la exposición no deseada de información confidencial.
La portada, además de bonita y bien elaborada, incluye un dato que resume en cifras lo que ha sido 2008: 285 millones de registros quedaron expuestos, considerando los incidentes de los que Verizon tiene conocimiento (evidentemente, no todos los incidentes de este tipo se revelan)
52 páginas repletas de datos interesantes, como por ejemplo, un 74% de incidentes protagonizados por agentes externos a las organizaciones. Los atacantes internos suben un 2% en el interanual, siendo responsables de un 20% de los casos, mientras que desciende el número de incidentes con business partners y contratas externas involucradas, cayendo la cifra hasta un 32%. En el 39% de los casos documentados se ha determinado que las fugas de información estuvieron protagonizadas por múltiples partes.
Más datos: El 30% de los incidentes estuvo causado por el malware (y es que los troyanos de Windows son conflictivos, peligrosos y hacen sudar la gota gorda a los usuarios de estas plataformas, pero el mundo gira alrededor de más cosas que Windows). La palma se la lleva, como siempre, la comisión de errores operacionales severos, presentes en un 67% de los casos, seguido muy de cerca de incidentes soportados en hacking (un 64% de las casuísticas)
Creo que el texto puede ayudar a comprender qué se cuece realmente ahí fuera cuando hablamos de incidentes en los que se doblega la confidencialidad, más allá de las cábalas y aproximaciones hechas desde sillones desconectados de la realidad. El informe se puede descargar gratuitamente en http://www.verizonbusiness.com/resources/security/reports/2009_databreach_rp.pdf.
Por cierto, como comentan en ISC SANS, hay premio para quien descife el mensaje del pie de la página 48 :)
Un saludo para todos,
le chiffre indéchiffrable