Las novedades del ranking OWASP 2021

David García    20 septiembre, 2021

OWASP es la fundación centrada en la seguridad de las aplicaciones web, recientemente ha actualizado el ranking de los riesgos más destacados. Vamos a ver la nueva reorganización del top, comentando brevemente qué aspectos de la seguridad toca cada uno de ellos.

¿Qué es el «top 10 de OWASP»?

El top 10 de OWASP es un ranking bastante popular en el mundo de la seguridad web y auditoria, aun con sus matices y no falto de alguna polémica en el pasado. Esta lista se comenzó a confeccionar en el 2003 y durante todo este tiempo se han ido publicando actualizaciones de forma más o menos regular cada tres años.

Por supuesto, la lista no es representativa de todos los riesgos existentes en las aplicaciones web. De hecho es probable que algunos de los puntos presentes no apliquen a cierto tipo de aplicaciones, mientras que otros riesgos que no están en la lista podrían afectar de forma crítica.

Hay que tomarlo como un “por donde se están moviendo las fronteras del mapa de riesgo en global”, más que un plano detallado y particular de en qué debemos poner el énfasis respecto de la seguridad.

Las posiciones del ranking son otorgadas en base a un estudio realizado sobre un número significativo de aplicaciones web y una encuesta realizada a la industria, donde los profesionales indican cuáles son sus mayores preocupaciones respecto de los diferentes riesgos que pueden sufrir sus aplicaciones.

  1. En el primer puesto, tenemos un ascenso notable desde el quinto: A01:2021-Broken Access Control. En esta categoría entran todos los riesgos que permitan a un atacante evadir un control impuesto para poder acceder a un recurso. Este tipo de vulnerabilidades pueden emanar desde el propio desarrollo a errores en la configuración durante el despliegue. Un ejemplo sencillo sería el poder acceder a una API privilegiada porque esta no examina correctamente los permisos de acceso del origen de la solicitud.
  2. El segundo puesto (escalando desde el tercero) se lo queda A02:2021-Cryptographic Failures. La criptografía es difícil, si ya es compleja de entender, mucho más lo es de aplicar sus conceptos de forma práctica y sin errores. A esto, sumemos el hecho de que los fallos en las librerías criptográficas suelen son transversales. Es decir, un fallo afecta a una miríada de librerías y programas que dependen de aquellas. Los problemas en el capítulo criptográfico llenan (inundan más bien) los informes de auditorías: uso de una función hash obsoleta, cifrado insuficiente, modo de cifrado por bloques inseguro…y por supuesto: ausencia de cualquier tipo de cifrado…
  3. El tercer puesto es una sorpresa, pues tras años de reinado en el primer puesto, las vulnerabilidades de inyección caen varios peldaños. A03:2021-Injection agrupa todas aquellas vulnerabilidades en las que el vector es la entrada de código externo y es ejecutado tanto en el cliente (navegador) como en el servidor. Es decir, tanto un Cross-site scripting como una inyección SQL. Sin duda, algo tiene que ver la progresión, respecto a la seguridad, tanto de lenguajes de programación como librerías y técnicas de programación segura. No es como para bajar la guardia, pero puede ser una buena noticia.
  4. El cuarto puesto se lo lleva una nueva categoría, inédita en el ranking: A04:2021-Insecure Design. No obstante, es una amalgama de defectos posibles en el diseño e implementación de los controles lógicos que deberían asegurar el correcto funcionamiento de la aplicación. Por ejemplo, permitir productos en el carro de la compra con un número negativo de artículos, almacenar las credenciales en texto claro, etc. Como vemos, es un cajón de sastre para todo tipo de errores que pongan en riesgo la seguridad de la aplicación.
  5. A05:2021-Security Misconfiguration asciende un puesto, del sexto al quinto. Aunque esta categoría podría confundirse con la anterior, es fácil ver que se refiere a aspectos de la seguridad que han de ser revisados en el contexto de la configuración más que del diseño e implementación seguros. El ejemplo más claro, sería el de permitir que un servidor web liste directorios completos o que las trazas de errores en la ejecución de peticiones sean publicadas como respuesta a una petición. Habitualmente, los productos de terceros proveen una configuración por defecto abierta para crear los mínimos conflictos posibles. Adaptar la configuración de forma segura debe formar parte del ciclo natural de desarrollo y despliegue.
  6. El sexto puesto pertenece a A06:2021-Vulnerable and Outdated Components, que asciende desde el noveno. Se explica prácticamente solo: que la aplicación posea componentes vulnerables u obsoletos y el ejemplo más directo sería un plugin de WordPress desactualizado y vulnerable o abandonado por los desarrolladores. Es obvio que un sistema no se crea y despliega y a continuación nos olvidamos de él. El software ha de cuidarse como un jardín o los bichos terminarán comiéndose los frutos de aquel.
  7. A07:2021-Identification and Authentication Failures era anteriormente denominado Broken Authentication. Además, protagoniza otra de las caídas importantes: del segundo al séptimo puesto. Fácil de confundir con los controles de acceso, la identificación y autenticación es el paso previo para obtener los permisos y privilegios en el ámbito de la aplicación. Esta categoría no solo identifica riesgos en el momento de la autenticación, sino que también estamos acaparando aquí el ciclo de vida de la sesión del usuario. Es decir, aspectos tales como la robustez del token de autenticación, la exposición de este y su validez en tiempo.
  8. El octavo puesto se lo lleva una nueva categoría que acoge ciertos riesgos que han estado presente en muchos titulares: A08:2021-Software and Data Integrity Failures. Este apartado cuida todo lo relacionado con la integridad y verificación de fuentes cuando instalamos, actualizamos o poseemos infraestructura de apoyo (integración continua, …) ¿Recordáis los ataques de «supply chain»? Pues esta nueva categoría es el resultado de reconocer este tipo de ataques como una amenaza crítica e importante que no podemos pasar por alto. No solo debemos poner un ojo en nuestros dominios sino en aquello que sentamos en nuestra mesa.
  9. A09:2021-Security Logging and Monitoring Failures asciende un puesto y actualiza su denominación. De Insufficient Logging & Monitoring al actual, no es para menos. Una aplicación genera un número de eventos que puede llegar a cifras astronómicas. ¿Cuántos de estos eventos son alertas de seguridad? Y mejor, ¿Cuáles de estos son alertas reales y críticas? Este capítulo cubre desde las ausencias de registro de eventos a su almacenamiento correcto y gestión adecuada de estos. De nada sirve haber hecho los deberes en el resto de los aspectos y no saber que está ocurriendo ni poder actuar a tiempo.
  10. El ranking lo cierra A10:2021-Server-Side Request Forgery como la primera preocupación de la industria (emana de la encuesta a la industria que organizó OWASP). Prácticamente, es la única categoría que posee un tipo concreto de vulnerabilidad. No es para menos, la vulnerabilidad puede poner un riesgo altísimo en un abanico de repercusiones que van desde el descubrimiento de servicios expuestos en la red interna, acceso a recursos que no son públicos (archivos, bases de datos, …) e incluso, ejecución de código arbitrario.

Un nuevo escenario para la ciberseguridad

Este es el nuevo escenario que pinta OWASP en 2021. Los cambios son patentes y aunque se nos muestra en una lista ordenada, no podemos ponderar el riesgo respecto a su posición en dicha lista. De hecho, solo hay que repasar la guía de tests de seguridad para ver hasta dónde llegan los riesgos.

El top es una cata de qué es lo más candente o los puntos más importantes, pero no debemos de perder de vista el resto. Hacerlo, nos puede poner en una posición incómoda si dejamos de darle importancia a capítulos que no entren en las diez categorías señaladas.

Más información:

https://owasp.org/Top10/

https://owasp.org/www-project-web-security-testing-guide/stable/

¿Qué puede hacer la tecnología Wifi por las empresas e instituciones?

Pablo Aguilera    20 septiembre, 2021

Saber al detalle los hábitos de transeúntes de un municipio, clientes de un comercio o huéspedes de un hotel es el camino más corto a diseñar acciones destinadas a que estos vivan una experiencia inmejorable en cada uno de estos ámbitos. Para ello, es vital que los responsables de dar vida a estas alternativas cuenten con información veraz y actual de estos comportamientos.

Actualmente, los datos geolocalizados están más en valor que nunca. Esto hace que sea amplia la oferta de soluciones tecnológicas que prometen generarlos y tratarlos debidamente. Entre estas, ocupa un lugar de privilegio las soluciones de analítica basadas en WiFi.

¿Sorprendido? ¿Pensabas que WiFi sólo servía para acceder a Internet sin cables? Continúa leyendo y descubrirás todo un mundo nuevo que se despliega ante ti de la mano de estas redes inalámbricas.

Las redes WiFi ofrecen mucho más que una conexión de calidad, ¿qué ventajas añadidas consiguen sus propietarios?

Contar con una infraestructura WiFi avanzada significa más que aportar una conexión a Internet de calidad, entendiendo como calidad a la combinación de cualidades como la rapidez, la robustez y la seguridad.

Para alcanzar estos niveles de excelencia, hoy en día los propietarios de las redes tienen acceso desde la nube a un panel desde el que monitorizar cada parámetro y configurarlo. Además, gracias a tecnologías de última generación, los propios puntos de acceso pueden actuar colaborativamente, formando un único “cerebro” capaz de automatizar su configuración. De esta forma, siempre será lo más óptima posible, independientemente de las circunstancias.

A partir de toda esta información extraída, los gestores de la red obtienen conclusiones de lo más interesante para su negocio, institución o smart city. Con esto nos estamos refiriendo a datos relacionados con el comportamiento de aquellos que estén conectados, así como de los que, sin estarlo, están bajo su área de influencia.

El gran potencial de WiFi es obtener analítica de localización de dispositivos que no están conectados a la red: smartphones, tablets y portátiles de personas que simplemente pasan cerca de los sensores sin intención de utilizar la red WiFi. Unos datos que cuentan con una importante componente contextual, dando lugar al concepto de Location Analytics, en el que vamos a entrar más en profundidad.

¿Por qué optar por WiFi para hacer Location Analytics de personas y activos?

Cuando hablamos de tecnologías que permiten estimar la localización de personas y otros activos, así como hacer recuento, medir la lealtad de los visitantes, el tiempo medio de visita, predicción de aglomeraciones, etc, la palabra WiFi cada vez surge más en la conversación. Estamos haciendo referencia a una tecnología de enorme potencial para esta finalidad. Detengámonos a pensar, ¿hoy en día quién no lleva siempre encima un dispositivo con conectividad WiFi?

Esto hace que prácticamente cada persona que entre en un establecimiento, pase por una calle o acuda a algún recinto pueda ser fácilmente “trackeable”. Por supuesto, siempre respetando las normas vigentes sobre protección de datos. Y todo ello sin necesidad de que los usuarios colaboren: sin que activen su GPS, ni que instalen molestas aplicaciones, ni que den permisos, ni que activen Bluetooth o incluso el botón WiFi de su smartphone. Ni siquiera hace falta que estén utilizando el dispositivo: basta con que pasen cerca de los nodos.

A partir de esto, se pueden generar mapas de calor que permiten visualizar más claramente qué está ocurriendo en directo o revisar históricos para comprobar cómo ha evolucionado la afluencia a lo largo del tiempo, establecer comparativas y cruzar estos datos con otros de distinta naturaleza, generando así un conocimiento del entorno nunca visto hasta ahora.

El problema fundamental de la analítica basada en WiFi

Como hemos visto, WiFi tiene un gran potencial para proporcionar analítica contextual en cualquier entorno. Es precisamente por ello por lo que los fabricantes de dispositivos WiFi, que no quieren que se mida la presencia y localización de sus usuarios (ni siquiera de forma anónima), han introducido en los últimos años una característica que distorsiona enormemente las métricas hasta hacerlas inútiles.

En efecto, los smartphones, tablets y portátiles modernos falsean (aleatorizan) su identificador único (la dirección MAC), cambiándolo constantemente para confundir a los sistemas de analítica WiFi. A modo de analogía, sería como intentar contar coches o estimar las veces que vuelven a un parking basándonos en su matrícula … una matrícula que está constantemente cambiando. Lo mismo sucede con el 95% de los dispositivos WiFi modernos. Y este porcentaje sigue aumentando por lo que pronto llegará al 100%.

Por poner un ejemplo, si en un establecimiento hay 50 dispositivos WiFi, un sistema clásico de recuento basado en direcciones MAC podría contar “entre 1 y 5000” dispositivos WiFi. Esta métrica es completamente inútil. Frente a ese fenómeno, la inmensa mayoría de los fabricantes de tecnología de analítica WiFi optan por mirar para otro lado: no abordan el problema pues piensan que no tiene solución. Esto hace totalmente inútiles las analíticas que proporcionan, enormemente distorsionadas por la aleatorización de los smartphones. Afortunadamente existen soluciones innovadoras basadas en un profundo conocimiento de la tecnología capaces de revertir este comportamiento, y por tanto dando analíticas con una precisión nunca alcanzable por soluciones clásicas de conteo y localización WiFi.

¿En qué ámbitos se aplica el análisis de geolocalización con redes WiFi? ¿Qué valor les aporta?

Para esta pregunta no tenemos una respuesta cerrada, ya que cualquier entorno privado o público puede sacar partido de los datos geolocalizados de las personas que acuden al mismo. Estamos hablando de supermercados, centros comerciales, hoteles, playas, restaurantes… y así hasta completar una larguísima lista de posibilidades. Como no podemos contemplar cada una de ellas, vamos a tomar una muestra representativa.

Supermercados y comercios

Aquí, una red WiFi con Location Analytics ayuda enormemente a resolver cuestiones como:

  • ¿Qué zonas del local son las más frecuentadas por los clientes?
  • ¿Cuánto tiempo de media pasan en cada lineal? ¿Y en la tienda?
  • ¿Quiénes son los clientes más fieles?
  • ¿Cuántos salen del establecimiento sin hacer ninguna compra?
  • ¿Voy a necesitar en un futuro inmediato refuerzo de personal en las cajas?
  • ¿Qué días y qué horas son los más concurridos? ¿Y los menos?
  • ¿Se va a llenar el parking en breve?
  • ¿Varía la afluencia en función de la metereología?

Respuestas que dan pie a una toma de decisiones estratégicas que favorecerán el desempeño del negocio y, en última instancia, harán que cada persona que acuda al local disfrute de una experiencia mejorada que le haga regresar.

Hoteles

En el caso de los establecimientos hoteleros, este conteo y monitorización de los huéspedes les ayuda a responder preguntas del tipo:

  • ¿Qué clientes pasan más y menos tiempo en su habitación?
  • ¿Cuál es la afluencia a la recepción? ¿Se va a saturar en unos minutos?
  • ¿Cuáles son las zonas comunes más y menos concurridas? ¿Cuáles son sus horas punta y valle?
  • ¿Cómo de concurrido se encuentra el restaurante? ¿Qué días será necesario contar con refuerzo de personal?
  • ¿Cuántas personas asisten a un congreso o a cualquier otro evento?

En lugares eminentemente turísticos, esta información aporta un valor añadido extraordinario de cara a destacar entre la elevada oferta hotelera existente, creando una estancia a la medida de los huéspedes.

Destinos turísticos inteligentes

Ahora que, poco a poco, vamos recuperando la normalidad, el sector turístico vuelve a tomar impulso en la economía. La analítica WiFi de localización tiene mucho que decir en esta remontada en muchos aspectos, por ejemplo:

  • ¿Qué zonas del municipio son sus favoritas?
  • ¿Es la primera vez que nos visita o es un habitual?
  • ¿Cuál es su tiempo de estancia?
  • ¿Se cumplen las normas fijadas de aforo en playas?
  • ¿Qué clase de oferta de ocio le resulta más atractiva?

En base a esto, gestores municipales y empresarios serán capaces de dar forma a una oferta que satisfaga con creces las expectativas de sus visitantes, multiplicando su índice de satisfacción, fidelizándolos y haciendo que estos recomienden el destino a su entorno más cercano y/o a sus contactos en redes sociales.

Estaciones y aeropuertos

Se trata de escenarios de elevada exigencia por la cantidad de personas que continuamente fluyen por ellos y que suelen hacer uso de internet en sus dispositivos para hacer más liviana la espera de su avión, tren o metro. Aquí, las preguntas más habituales que es capaz de responder Location Analytics son:

  • ¿Los pasajeros pasan más tiempo en zonas de espera o en los locales comerciales y de restauración?
  • ¿Se van a saturar los controles de seguridad, las zonas de facturación de equipajes o los andenes?
  • ¿Es la primera vez que acude a este lugar o que emplea el metro de la ciudad?
  • ¿Es un viajero habitual? ¿Con qué frecuencia hace uso de este tipo de transporte?
  • ¿Realiza transbordos rutinariamente?
  • ¿Cuáles son las estaciones más concurridas?
  • ¿Cuál es el tiempo medio de espera o de viaje?

Unas respuestas que son un tesoro para los responsables de estas infraestructuras y de las distintas redes de transporte público.

Si después de leer este artículo te has convencido de las bondades que tienen las redes WiFi para el control y la analítica de datos de localización, indicarte que en Galgus contamos con una solución de Location Analytics basada en esta tecnología. Galgus alcanza una precisión muy por encima que otras soluciones de analítica WiFi tradicionales que revierte la aleatorización de MACs y por tanto minimiza la distorsión sobre las métricas, gracias a su tecnología patentada internacionalmente.

De esta forma, tendrás a tu alcance todas las prestaciones que hemos mencionado, independientemente de cuál sea tu sector profesional. Antes de contratar una solución de recuento, tracking o localización basada en WiFi, pregúntate si te va a proporcionar analíticas fiables y métricas robustas. Te animamos a que le eches un vistazo a la página que dedicamos a ella y a que sacies toda tu curiosidad entrando en contacto con nosotros. ¡Te esperamos!

La era digital requiere organizaciones más conectadas

Virginia Cabrera    20 septiembre, 2021

Los pequeños negocios tienden a orientarse a la acción. Con equipos reducidos y organizaciones muy simples, su comunicación es fundamentalmente oral. El conocimiento reside en la cabeza de cada uno de sus miembros (o en su defecto, en sus ordenadores personales). Y un jefe que coordine tareas es suficiente para eliminar solapes y cuellos de botella.

Es una creencia habitual el pensar que, solo si el equipo crece, debe entonces mejorar la forma en la que nos organizamos.

¿Es suficiente tener una organización bien coordinada en la era digital?

La organización de un equipo o empresa no debería depender solo de su tamaño. También debería tener en cuenta la complejidad y la volatilidad del contexto en el que vive y se desarrolla.

Y en un momento tan complejo y cambiante como el actual, es absolutamente necesario que las empresas, por pequeñas que sean, vayan introduciendo en su estructura (y también en su cultura) prácticas que van más allá de la coordinación, como la colaboración y la cooperación.

La tensión, y también la urgencia, a la que obliga la digitalización (acelerada en gran medida por la pandemia) requiere mucho foco y altos niveles de confianza entre los miembros del equipo. Solo así comienzan las personas a ganar en autonomía y en interés por participar en la resolución de situaciones complejas. Y, como consecuencia, a compartir sin sensación de riesgo, las mejores ideas y prácticas.

Esto es colaboración. Es lo que hacemos cuando trabajamos juntos con un objetivo común, cuando todos aportamos con naturalidad nuestra pieza al puzle. Cada uno la suya.

Del mismo modo, y sin que esto suene contradictorio, la innovación necesita un poco de dispersión y esta llega cuando construimos una amplia red de contactos que conecte diversas experiencias, enfoques y puntos de vista.

A esto se le denomina cooperación. Es lo que hacemos cuando comenzamos a compartir libremente, y sin esperar nada a cambio, lo que somos, lo que hacemos y lo que aprendemos. Cuando visibilidad es sinónimo de servicio.  

¿Cómo evolucionar hacia organizaciones más conectadas y diversas?

Hoy solo es posible cumplir con tu cliente y hacer tus números, encontrando un equilibrio entre compartir conocimientos al realizar el trabajo (colaboración) y buscar en las redes inspiración para innovar (cooperación).

Por ello, habrá que ir transitando hacia organizaciones más abiertas y conectadas al mundo exterior. Relajar un poco las estructuras jerárquicas e inmovilistas muy orientadas a la gestión operativa y el control, para conseguir que sus integrantes tengan “incorporadas a sus tareas” la exploración de referencias de otros ámbitos económicos, sectores de actividad, cultura, competidores y zonas geográficas.

Es preciso crear un entorno donde todos entiendan que un equipo fuertemente coordinado, que incluso comparte conocimiento entre sus miembros para colaborar en la realización de tareas más complejas, ya no es suficiente.

Hay que seguir avanzando en diversidad y cooperación. La innovación solo es posible cuando aprendemos a levantar un poco la vista y dedicamos cierto espacio a la participación en comunidades de práctica donde se plantean retos y se prueban nuevos enfoques.

Deberíamos comenzar a dedicar tiempo y espacio a participar en grupos de trabajo donde surge la innovación colectiva, a buscar activamente la diversidad en todos sus aspectos, fomentando conversaciones con gente de todo tipo y condición.

El equilibrio entre acción y cooperación

Soy consciente de que este juego es una especie de soga-tira. Que nos lleva a tirar de una delicada cuerda (nuestros ingresos) en direcciones opuestas.

El equilibrio entre foco y dispersión, entre acción y cooperación es, por tanto, el verdadero quid de la cuestión.  

No hay receta mágica sobre cuánto tiempo debería dedicarse a mejorar “el tajo” y cuando a “mirar las nubes”. No es tan simple como establecer un porcentaje de horas o un día al mes. Habrá personas más proclives (y productivas) en una tarea que en otra.

Pero todas deberían ir aprendiendo a jugar a dos bandas, teniendo claro que, si bien la colaboración se puede “automatizar” con herramientas colaborativas, la cooperación, entendida como el cultivo de una red de “inspiración”, es algo que requerirá más aprendizaje y ayuda. Más límites incluso, ¿por qué no reconocerlo?

Cultura, cultura y más cultura

Mis recomendaciones para lograr una organización más conectada son tres:

1. Ir dando pasos poco a poco

  • Asumir y explicar la importancia y la necesidad de estos cambios organizativos en la empresa y en las tareas personales de cada uno de sus miembros.
  • Comunicar con claridad la valoración, y eventualmente el reconocimiento, que daremos a estas nuevas actividades.
  • Empezar a ponerlo en práctica con las personas que mejor lo entiendan y con más ganas se apunten a practicar.
  • Crear las estructuras de apoyo necesarias: formación, tiempo, herramientas, mentorización…
  • Compartir y celebrar cualquier progreso.

2. Establecer comunidades de práctica

Conviene establecer comunidades de práctica con personal propio, que interactúe con profesionales externos en actividades donde se hace camino al andar, aprendiendo a combinar el trabajo enfocado con el “potencial caos” de las redes sociales. Donde hay seguimiento de resultados, pero también de intentos y de sensaciones; donde hay apoyo por parte de la empresa y también desarrollo autodidacta por parte del empleado.

3. Diseñar una organización que vaya más con la naturaleza de las personas

Nos empeñamos en diseñar procesos productivos que nos marquen el ritmo, pero lo cierto es que a muchas personas se nos da mejor que nos dejen un campo relativamente abonado, buenas herramientas, una pizca de supervisión y mucha autonomía.

Porque la mayoría aporta más cuando la estructura y la forma de trabajar se adapta a su carácter y a sus capacidades y también a sus expectativas y ambiciones personales, cuando la relación con la empresa es de más confianza y menos control.

Claro que hay quien necesita mucha dirección y supervisión. Diles que salgan a conversar a las redes y no harán nada en todo el día. Pero cuando se trata de liberar creatividad y compromiso, toca ofrecer contexto, al menos a quienes puedan y quieran aprovecharlo, pero también a quienes no sepan hacerlo aún.

Nuevos retos requieren nuevas organizaciones

No quiero caer en la trampa fácil de pensar que una organizaciones más plana y conectada deba tirar por tierra cualquier modelo de jerarquía con jefes al frente. Solo pretendo poner de relieve que existen nuevos modelos de organización que están funcionando.

Empresas que trabajan 100% en remoto y donde cada uno aporta en función de sus capacidades e intereses. Organizaciones líquidas que son grupos temporales de freelancers que se reúnen en equipos a medida, para abordar proyectos concretos. Empresas-plataforma que conectan a proveedores con demandantes de servicio…

Y podría seguir. La imaginación es el límite. Porque, cuando los humanos nos autoorganizamos en torno a las oportunidades, la motivación es alta y el resultado suele ser brillante. Es cierto que este modelo no se adapta a todas las personas ni (al menos hoy por hoy) a todas las actividades. Pero maximiza tanto el valor para el cliente, que conviene ir dándole una vuelta.

De acuerdo con el estadounidense David Perkins, que desde hace más de 40 años estudia cómo funciona la mente humana, buscando estrategias para desarrollar el pensamiento crítico y creativo, “una organización funciona y progresa a través de la conversación, siendo la calidad de estas conversaciones lo que determina el valor de la organización “. Y yo estoy muy de acuerdo, porque lo he visto funcionar.

Foto de Martin Sanchez en Unsplash

Cuatro referentes de Industria 4.0 en Castilla y León: las claves y los retos

Félix Hernández    20 septiembre, 2021

El uso intensivo del dato es un elemento clave en la industria 4.0, que hace posible una conexión completamente diferente de la cadena de valor. Permite crear nuevos modelos que generan mayor eficiencia y conocimiento, además, de incluir la sostenibilidad. Lo explicaba Beatriz Herranz, directora general del Territorio Centro de Telefónica, en la mesa redonda del encuentro sobre Industria 4.0 en Castilla y León, del que escribía en mi último post.

5G es uno de los principales habilitadores de esta digitalización y permite trabajar en casos de uso muy específicos de la industria. Pero, además, su combinación con otras tecnologías como la inteligencia artificial o edge computing tiene un efecto multiplicador- señalaba.

Así contribuye el dato a la excelencia: el caso de L’Oréal

Benoît Mocquant, director de la fábrica de Burgos de L’Oréal -una de las referentes del Grupo y desde donde exportan a China como uno de sus principales mercados-, explicó el trabajo que durante cincuenta años han realizado en esta ciudad. Está marcado por la incorporación constante de tecnología en sus procesos. Mencionó innovaciones muy interesante, que explican el fenómeno de “servitización” de la industria, como ModiFace. Esta app de realidad aumentada muestra el resultado de sus productos en el rostro de los clientes.

Mocquant explicó los tres pilares de cambio de la compañía y de su excelencia, basados en el dato:

  • Calidad de los productos como garantía de su seguridad y trazabilidad de los mismos.
  • Transformación de los equipos humanos, atención a su evolución en competencias y habilidades digitales. Por ejemplo, con la integración de cobots para que los operadores se centren en lo más relevante.
  • Cuidado del medioambiente (posibilidad de anticipar consumos con IoT, por ejemplo).  

En cuanto a sus retos, Benoît, de L’Oréal, señaló que en los próximos años el 50 por ciento de sus ventas serán online y su impacto tanto en la logística como en la manera de relacionarse con los clientes.

Grupo Antolín: una compañía data driven preparada para nuevos retos

Mario Sánchez Fernández, director corporativo del Grupo Antolín fue rotundo: “Sin digitalización nos quedamos fuera del mundo de la automoción.” Ser  eficientes e inteligentes en este momento implica ser data driven. Esto confiere la agilidad necesaria. El responsable del Grupo Antolín explicó que lo digital los ayuda en la toma de decisiones, en el diseño del producto, a innovar en los procesos y también en los objetivos de sostenibilidad y circularidad.

En cuanto a los retos , Mario Sánchez mencionó la digitalización como condición sine qua non para acometerlos así como la importancia del equipo humano, de contar con perfiles que aúnen conocimiento IT/OT y de generar un ecosistema colaborativo.

La nueva movilidad, la electrificación, la descarbonización representan una ventana de cambio, que genera incertidumbre y permite atisbar nuevas oportunidades. Explicó la transformación que iba a suponer en la relación entre el cliente final y el fabricante. Exigirá mayor eficiencia y flexibilidad, además, por su parte. Menor sentido de la propiedad, restricción del uso del vehículo en el centro de la ciudad, los fabricantes convertidos en proveedores globales de tecnología y servicios de movilidad con un interior del vehículo cada vez más digital son algunas de las claves.

Calidad Pascual: digitalización y sostenibilidad, de la mano

Víctor Córdoba, director general de Calidad Pascual se refirió a la contribución de los procesos industriales a la sostenibilidad, que está en el centro de actuación de esta compañía. Calidad Pascual quiere ayudar a la optimización de la producción ganadera y de los recursos agrícolas teniendo en cuenta el bienestar animal -físico y emocional-, el respeto al medioambiente y la calidad del producto final. A todo ello ayuda la digitalización y la innovación, como la que se desarrolla en su granja piloto de Fuenteespina.

Victor también destacó cómo la digitalización permitió a Calidad Pascual mantener la producción durante la pandemia, incluso con un repunte de pedidos por parte de los clientes. Fue posible hacerlo con un acceso limitado a la fábrica, gracias al mantenimiento en remoto. Ahora están integrando lo aprendido en su manera de trabajar y se busca capturar el dato de forma sistemática para una mejor toma de decisiones.

También las personas son esenciales para esta compañía: los trabajadores -cuyo compromiso durante el COVID-19 fue clave- y el consumidor, que está ahora más en el centro  que nunca. Lo llaman “Direct to consumer” y quieren su feedback de manera constante.

ASTI: automatización de procesos para un mayor valor añadido

Roberto Lorenzo Sotelo, director comercial y de partners de ASTI explicó los beneficios de la intramovilidad en la industria. ASTI automatiza los procesos según las nuevas necesidades del mercado industrial, que es una demanda variable e imprevisible. Llevan ya veinte años como socio tecnológico tanto de grandes empresas como de pymes.

Fueron pioneros al ver la oportunidad de la robótica móvil en el mundo del automóvil -soluciones que ahora se replican en otros sectores como alimentación o farma. Roberto pronosticó que cada vez habrá más casos de  uso de cobots, por ejemplo, porque los equipos humanos estarán cada vez más centrados en lo importante y en aportar valor añadido.

ASTI es el principal productor en Europa de movilidad robótica y referente mundial en el sector del automóvil. Si bien su plantilla ha aumentado un 50 por ciento en el último semestre, su reto es seguir creciendo. Roberto mencionó la apertura de un nuevo centro de producto en China para el mercado asiático. Y destacó un amplio porfolio que se ha ido ampliando junto con el cliente. Para él la clave ha sido comenzar con proyectos pequeños en la planta del cliente y crecer con ellos mientras maduraba la tecnología, entendiendo y absorbiendo su cambio cultural al automatizarse como un compañero de viaje y socio, en sentido amplio.

Telefónica Empresas, partner ideal de la Industria 4.0

Beatriz Herranz, por parte de Telefónica Empresas, explicó las capacidades de la compañía para apoyar la industria en España. Mencionó algunos ejemplos en Castilla y León como el despliegue de redes LTE en la factoría de Renault, que le están permitiendo avanzar en sus proyectos de industria 4.0. También citó distintos proyectos de ciberseguridad y habló de la importancia creciente de los drones para la industria -pensemos en la oportunidad que existe alrededor del inventario indoor en almacenes. Y en lo relativo a formación mencionó la adjudicación de un interesante proyecto con la CEOE para la formación de perfiles profesionales.

Hemos visto algunos grandes ejemplos de Industria 4.0 en Castilla y León. Es, sin duda, una región eminentemente industrial, con un tejido amplio y diversificado y empresas referentes por su competitividad y modernidad. Y esta es la senda en la que deberemos seguir avanzando

Imagen: Rex

Boletín semanal de ciberseguridad 11-17 septiembre

Telefónica Tech    17 septiembre, 2021

S.O.V.A. – Nuevo troyano bancario para Android

Investigadores de Threat Fabric han descubierto la existencia, al menos desde principios del mes de agosto, de un nuevo troyano bancario para Android al que han denominado S.O.V.A., cuyo objetivo principal sería la recopilación de información personal identificable (PII) de las víctimas. Se trata de un troyano que contiene funcionalidades habituales en este tipo de malware como son la capacidad de realizar ataques de superposición, keylogging o manipulación de notificaciones; pero que también incluye otras funcionalidades menos comunes, como el robo de cookies de inicio de sesión, lo que permitiría a los atacantes tener acceso a inicios de sesión válidos de los usuarios sin necesidad de conocer sus credenciales.

Por el momento, el troyano se encuentra en fase de desarrollo, y los autores lo estarían publicitando en foros underground con la intención de poder probarlo en múltiples dispositivos e implementar las mejoras necesarias. Según los investigadores, ya se habrían detectado adaptaciones del malware, disponibles para la suplantación de instituciones bancarias en Estados Unidos y España fundamentalmente, aunque en su anuncio los autores ofrecen la posibilidad de adaptarlo contra otras entidades según necesidades del comprador.

Más info: https://www.threatfabric.com/blogs/sova-new-trojan-with-fowl-intentions.html

Vermilion Strike: versión no oficial de un Beacon de Cobalt Strike

Investigadores de Intezer descubrieron el pasado mes de agosto una versión no oficial de un Beacon de Cobalt Strike para sistemas Linux y Windows. Este Beacon, denominado Vermilion Strike, estaría desarrollado desde cero por agentes amenaza desconocidos, sin compartir código con la versión oficial, y se estaría empleando de forma activa contra organizaciones de todo el mundo. Vermilion Strike utiliza el mismo protocolo que Cobalt Strike para conectarse a los servidores de Command and Control y tiene capacidades de acceso remoto como subir archivos, ejecutar comandos y modificar archivos.

Esta amenaza llevaría en activo desde agosto y estaría siendo utilizada en ataques dirigidos contra empresas de telecomunicaciones, agencias gubernamentales, tecnológicas e instituciones financieras de todo el mundo. El objetivo final de los mismos parece enfocarse a labores de ciberespionaje.

Más info: https://www.intezer.com/blog/malware-analysis/vermilionstrike-reimplementation-cobaltstrike/

Operación Harvest: campaña de ciberespionaje de larga duración

Investigadores de McAfee han publicado el análisis de una operación de larga duración a la que han denominado “Harvest”. El hallazgo de esta actividad comenzó con el análisis de un incidente de malware que fue ampliándose hasta configurarse como un ciberataque de gran sofisticación que habría durado varios años.

El actor amenaza inició sus incursiones mediante la vulneración de un servidor web de la víctima, generando persistencia e instalando herramientas que serían utilizadas para la recopilación de información, la elevación de privilegios, la realización de movimientos laterales y la ejecución de archivos. Entre las herramientas utilizadas destacan PSexec, Procdump, Mimikatz, RottenPotato y BadPotato.  Además de valerse de un arsenal de herramientas bastante amplio, el agente amenaza se sirvió de los malware PlugX y Winnti para escalar privilegios y obtener un backdoor en la infraestructura de la víctima.

En base a los análisis realizados, los investigadores estiman que la incursión fue llevada a cabo por un actor de origen chino que comparte vínculos con APT27 y APT41. Su objetivo principal habría sido mantener su presencia dentro de la infraestructura de la víctima para exfiltrar información de inteligencia con fines comerciales o militares.

Más info: https://www.mcafee.com/blogs/enterprise/mcafee-enterprise-atr/operation-harvest-a-deep-dive-into-a-long-term-campaign/

Detalles adicionales sobre las campañas de explotación del 0-day en Microsoft MSHTML

Investigadores de Microsoft han publicado un análisis detallado de los primeros ataques detectados en los que se habría explotado la vulnerabilidad CVE-2021-40444, así como su potencial atribución. Las primeras campañas se remontan al mes de agosto, con correos electrónicos bajo el pretexto de acuerdos legales o contractuales donde los documentos maliciosos se alojaban en sitos legítimos de intercambio de archivos para la distribución de loaders con beacons de Cobalt Strike. El payload final no era marcado por los sistemas Windows como descargado de una fuente externa, por lo que era ejecutado directamente, sin interacción del usuario, evidenciándose así la explotación de la vulnerabilidad. La autoría de estos ataques iniciales, según Microsoft, apunta a DEV-0365, un grupo en desarrollo bajo el que se agrupa un cluster de actividades fraudulentas asociadas a infraestructura de Cobalt Strike. No obstante, también indican que parte de la infraestructura que alojaba los documentos maliciosos iniciales se puede relacionar con payloads de BazarLoader y Trickbot, actividad asociada al actor amenaza DEV-0193 (también conocido como UNC1878 o Wizar Spider).

Pese a estos vínculos con actores genéricos, desde Microsoft han querido diferenciar esta actividad de explotación de la vulnerabilidad a un nuevo grupo denominado DEV-0413, ya que indican que no estaríamos ante campañas genéricas, sino que los correos de phishing estaban muy alineados con las operaciones comerciales de las organizaciones a las que se atacaba. De forma adicional a la investigación de Microsoft, en los últimos días, investigadores de seguridad en Twitter también vienen alertando de la detección de campañas de spam que estarían distribuyendo el troyano Ramint mediante la explotación del mismo fallo.

Más info: https://www.microsoft.com/security/blog/2021/09/15/analyzing-attacks-that-exploit-the-mshtml-cve-2021-40444-vulnerability/

OMIGOD: vulnerabilidades en la cadena de suministro en la nube

El equipo de investigadores de Wiz han descubierto recientemente una serie de vulnerabilidades en el agente de software Open Management Infrastructure (OMI), integrado en muchos de los productos más populares de Azure. En concreto se trata de cuatro vulnerabilidades catalogadas como CVE-2021-38647 CVSS 9.8, CVE-2021-38648 CVSS 7.8, CVE-2021-38645 CVSS 7.8, y CVE-2021-38649 CVSS 7.0, denominadas conjuntamente como “OMIGOD”.

El riesgo está en clientes que utilicen máquinas virtuales Linux en la nube ya que el agente OMI se ejecuta de manera automática y sin el conocimiento de los usuarios al habilitar ciertos servicios en Azure (p.ej: Log Analytics, Diagnostics, Configuration Management, etc.), por ello estas vulnerabilidades en OMI podrían permitir a un posible atacante escalar a privilegios de root y ejecutar código malicioso de manera remota. Microsoft ha lanzado la versión parcheada de OMI 1.6.8.1., por lo que se aconseja su actualización lo antes posible, ya que de acuerdo con los investigadores miles de clientes de Azure y millones de puntos de conexión estarían afectados.

Más info: https://www.wiz.io/blog/secret-agent-exposes-azure-customers-to-unauthorized-code-execution

Cómo gestionar las críticas para mejorar en el entorno laboral

Raúl Alonso    17 septiembre, 2021

¿Un cañonazo en la línea de flotación de nuestra autoestima o una oportunidad para mejorar? La crítica está presente en la vida y aprender a encajarla puede dar sentido a la no siempre bien utilizada expresión de «crítica constructiva». En otras ocasiones, simplemente, hay que rechazarla por infundada.

Es incuestionable que el número de personas que activan sus mecanismos defensivos ante la crítica es mayor que las que las reciben con serenidad. Lo cierto es que no es sencillo reaccionar, si bien el modo en que se ha expresado esa opinión sobre nosotros va a condicionar en gran medida la reacción.

La crítica en el trabajo

La crítica es connatural a las relaciones humanas, pero la constante del compañero y del superior a buen seguro enturbiará las relaciones laborales. Y es que en pocos entornos sociales como el del trabajo, la crítica está más presente.

Durante siglos, la crítica de autoridad, la de un superior con mayor conocimiento y experiencia, se valoró como una de las principales herramientas de aprendizaje y motivación del subordinado. Pero hoy no sucede lo mismo.

La moderna psicología parece inclinarse más por todo lo contrario. Un estudio realizado por las universidades de Harvard y de Carolina del Norte durante cuatro años en una empresa, concluyó que la crítica negativa apuntala al trabajador en su identidad personal y profesional, bloqueando su capacidad de mejora, sobre todo cuando se prolonga en el tiempo. 

Aprender a criticar

Sin embargo, parece evidente que todo el mundo tiene derecho a expresar sus opiniones para tratar de mejorar o superar situaciones de cierta tensión. Por eso es tan importante aprender a criticar bien.

La crítica que nace de la honestidad, que no descalifica a las personas para centrarse en determinados comportamientos o actitudes, puede resultar productiva. Pero además, debe enfocarse en temas concretos sin recrearse en los detalles y, sobre todo, ser objetiva, basarse en algo realmente sucedido. Por último, debe verbalizarse de forma empática y nunca reiterada en el tiempo.  

Cómo reaccionar ante una crítica

Pero la crítica es cosa de dos y, con independencia de cómo se exprese, siempre impacta en el destinatario. Para canalizarlo de la mejor manera posible, ya sea para ignorarla o aprovecharla, hay que aprender a gestionarla. 

1. Analiza con objetividad antes de dar respuesta

Toma el control de la situación

Dicho en román paladino, no permitas que te saquen de tus casillas. Enojarte e incitar a que levantes la voz, son los objetivos de la crítica más malintencionada y, ante ese ataque, lo más inteligente es actuar con cautela, destensando la situación.  

La actitud más adecuada es escuchar sin interrumpir, porque escuchar no significa dar la razón. Mientras, busca en tu interior las emociones que se están movilizando para tomar el control sobre ellas. Eso debe servirte para tener una primera actitud, quizá un gesto de incomprensión como respuesta, algo que no vaya a condicionar tus siguientes acciones y comentarios.

Identifica el objetivo de la crítica

La norma dice que, por defecto, debemos entender estos comentarios como una crítica constructiva. Eso no significa que tengamos que convertirnos en un blanco fácil del criticón, sino en alguien menos visceral que trata de actuar con objetividad y respeto.

Lo importante es saber si la finalidad es hacernos daño o intentar abordar un problema con tranquilidad… y no es nada fácil. Eso implica abandonar de partida posturas autodefensivas agresivas y, sobre todo, bajarnos del pedestal de la autoestima para seguir avanzando en el proceso de respuesta.

Qué hay de cierto en el comentario

La crítica que da en la diana es más dolorosa: aquella que evidencia algo que ya conocemos (aun cuando nos lo ocultamos a nosotros mismos), como un error puntual o de comportamiento general asociado a nuestra persona.

En estos supuestos, con independencia de que la crítica pretenda invitarnos a la reflexión o hacernos daño, es muy importante mostrar mano izquierda. Para ello, debemos aprender a leer entre líneas y, por el momento, alejarnos de los sentimientos que nos provoca quien nos ha criticado. 

Las personas que saben quitar hierro, incluso bromear con el asunto, sobrellevan mejor esta situación: mostrando empatía con quien crítica, cuando es evidente que es cierta y bienintencionada, o escabullendo un enfrentamiento directo con evasivas, cuando su finalidad es herirnos o mostrar una vulnerabilidad en público.

2. Una respuesta adecuada a cada crítica

La crítica puede ser el principio de la solución

Si hemos concluido que la crítica tiene mucho de verdad y su objetivo es ayudar, es hora de relajar las posturas defensivas. Esto será más fácil si con anterioridad no hemos reaccionado con exabruptos o de forma descontrolada.

La información que nos han dado puede servir para mejorar. Conviene reconocer con honestidad el error o debilidad e incluso pedir consejo. Saber cómo hubiera actuado él o ella, puede convertirse en un buen aprendizaje. Además servirá para reconstruir puentes de confianza en la relación profesional.

Y una vez asumido, hay que recordar que nuestras capacidades van mucho más allá de ese hecho puntual. Explica que vas a trabajar para mejorar, pero que entienda, por supuesto, que sigue contando con tu confianza.

Rebélate ante la crítica injusta  

Por el contrario, si el análisis lleva a pensar que la crítica no es cierta, es injusta, e incluso mentira, también hay que saber cómo actuar. El objetivo, en este caso, es impedir que se convierta en un rumor que cuestione nuestra reputación.   

La clave, una vez más, es no actuar con precipitación. Si el objetivo es devaluarnos como profesional y las formas no son cordiales (sin duda, el peor escenario), se debe mantener el contacto visual y exigir que se dirijan en términos respetuosos. Y en segundo lugar, desmontar la crítica sin entrar en exceso de detalles ni ataques personales.

Si incluso así la conversación no transcurre por los cauces deseables, lo que no es habitual en el entorno laboral, hay que evitar el enfrentamiento. Una de las mejores opciones es anunciar que abandonamos la sala y emplazarle a tratar con más tranquilidad la crítica a él y todos los presentes, cuando se tranquilice.

Si además piensas que esa persona no va a cesar en su actitud, levanta un cordón sanitario. Reduce al máximo la interacción con ella y trata de que sus actitudes y comentarios tengan el menor efecto sobre tu comportamiento. En la medida en que vea que no tiene efecto, es posible que busque una nueva víctima, porque una persona tóxica difícilmente cambia de actitud.

Foto de Icons8 Team en Unsplash

“Castilla y León en digital”: baluarte de la Industria 4.0

Félix Hernández    17 septiembre, 2021

Cuando se cumple el VIII centenario de la catedral de Burgos, esta ciudad acogía el pasado 14 de septiembre el encuentro “Castilla y León en digital”, organizado por Telefónica Empresas. La ciudad, además de una deslumbrante arquitectura gótica, tiene un PIB industrial por encima de la media (cercano al 25 por ciento). Y un relevante tejido empresarial y emprendedor en términos internacionales. Así lo expuso su alcalde, Daniel de la Rosa, en la inauguración del evento.

Castilla y León, en su conjunto, es motor y baluarte de la Industria 4.0 en nuestro país. ASTI, Calidad Pascual, Grupo Antolín o L’Oreal, que lleva cincuenta años en la región, son claros ejemplos. Telefónica Empresas es socio tecnológico de todos ellos.

Digitalización y competitividad

Escribir de Castilla y León en este blog es muy satisfactorio para mí. No ya porque haya nacido allí y ame esas tierras profundamente, sino por su entendimiento de que la digitalización acelerará la competitividad de sus empresas. Es algo clave en el entorno actual y sobre ello debatieron autoridades, empresarios y expertos en “Castilla y León en digital” .

Emilio Gayo, presidente de Telefónica España, enfatizó durante su intervención el impulso a la digitalización que ha supuesto la pandemia. También la relevancia que ha tenido la red como salvaguarda y garantía de resiliencia de la actividad económica, social y cultural. Y se refirió a 5G como el gran habilitador de la reindustrialización que necesita nuestro país y como pieza clave de los Fondos Next Generation. El compromiso de Telefónica con Castilla y León para 2025 es un mapa de ultrabanda (banda ancha de máxima velocidad) que cubra el cien por cien de la población a través de fibra o 5G.

El presidente de la Junta de Castilla y León, Alfonso Fernández Mañueco, por su parte, enumeró algunas inversiones relevantes en la región: el Parque tecnológico de Burgos, al que irán destinados 30 millones de euros, o el programa Centr@tec para la digitalización de la pyme, así como otros aspectos de emprendimiento.

Puso de relieve, además, la oportunidad del despliegue de servicios digitales en el ámbito rural y para la propia cohesión del territorio. La banda ancha es crítica. En este sentido, mencionó inversiones de 81 millones de euros como apoyo a los operadores y el objetivo de conseguir en 2023 una velocidad de 30 Megas, que serán 100 en 2024.

Colaboración público-privada

Fernández Mañueco animó a la colaboración público-privada para aprovechar los fondos -la importancia de esta colaboración fue una constante durante todo el encuentro- e incidió en la importancia de la capacitación digital de los trabajadores y de la sociedad en general. Destacó que es crucial formar a empresas líderes para que retengan en la Comunidad capacidades tecnológicas críticas.

Los vínculos de Telefónica con Castilla y León

En este sentido, destacó la apuesta de Telefónica con su Centro de Ciberseguridad en Industria 4.0 de León, desde donde vela por los procesos de sus clientes. También el I+D que lleva a cabo en el Parque tecnológico de Boecillo, donde se ha desarrollado, toda la plataforma MEC, base del edge computing de Telefónica, como explicó más tarde Beatriz Herranz. La directora del Territorio Centro de Telefónica hizo hincapié en los vínculos de la compañía con la región.

Ana Carlota Amigo, consejera de Empleo e Industria de Castilla y León, puso de relieve las múltiples razones para localizar un proyecto industrial en Castilla y León. Entre ellas, las fortalezas de infraestructuras industriales en sectores como alimentación, automoción o farma. O el hecho de ser una región que cuenta con empleo cualificado, tanto desde la Universidad como desde la Formación Profesional y Ocupacional.

Capacitación digital y la creación de un ecosistema

Para garantizar la existencia de los perfiles necesarios habló de una inversión de 20 millones de euros para la formación de 20.000 alumnos en digitalización y ciberseguridad. La colaboración público-privada es precisa también para este fin y puso como ejemplo la Cátedra de Ciberseguridad de la Universidad de León -la región quiere convertirse en un referente en este ámbito- o el apoyo a nuevos emprendedores. El objetivo es claro: generar el ecosistema para que Castilla y León reúna los perfiles que requieren los nuevos tiempos.

La consejera de Empleo e Industria mencionó, además, medidas muy atractivas como un segundo plan de promoción e industrialización, en línea con los fondos europeos y la industria 4.0. La Junta ha creado una oficina de proyectos, que busca recoger el mayor número de ideas, teniendo en cuenta la sostenibilidad. Y planes territoriales de Fomento, pensados para ofrecer suelo industrial competitivo. “Una alfombra roja para las empresas con más de 200 trabajadores que inviertan más de 30 millones de euros”, dijo.

En un próximo post me referiré a los aspectos más importantes que se trataron en la mesa redonda de “Castilla y León en digital”.

Claves para preparar un currículum y atraer a los reclutadores

Raúl Salgado    16 septiembre, 2021

La probabilidad de encontrar trabajo aumentó más de nueve puntos en el segundo trimestre de 2021 respecto al mismo periodo de tiempo en 2020. Pero para conseguir un empleo, sigue siendo fundamental preparar un buen currículum, actualizado y completo, y tener en cuenta una serie de recomendaciones.

El estallido de la pandemia no solo originó una parálisis económica que hundió el mercado laboral, sino que aceleró la transformación tecnológica y revolucionó casi por completo tanto las demandas de las empresas como las pretensiones de los candidatos.

Esa revolución está teniendo su reflejo en los hábitos y formas de trabajar -sobre todo tras la extensión del teletrabajo-, en los procesos de selección y, por ende, en las sugerencias a la hora de preparar un currículo.

“En una situación como la actual, las empresas demandan perfiles muy dinámicos y adaptables, ya que muchas de las incorporaciones que se están llevando a cabo son 100% en remoto”, explica Iñigo Fernández, director de la División Salud de Michael Page.

Se busca proactividad y dinamismo

De ahí que hoy en día se recomiende a los candidatos destacar sus capacidades y habilidades para ajustarse a un entorno cambiante y evolucionar de manera rápida a las necesidades del mercado, ya que las mutaciones de los ecosistemas empresariales son cada vez más frecuentes.

De hecho, hay empresas que buscan personas con talento para adelantarse a esos constantes cambios, por imprevisibles que puedan parecer. Por ello, a la hora de valorar un currículo prestan especial atención a las destrezas relacionadas con la flexibilidad, la proactividad o el dinamismo, así como al nivel de compromiso que muestren unos candidatos que no siempre trabajarán en la oficina bajo la supervisión del jefe.

Competencias frente a hiperespecialización

Mejorar la empleabilidad es uno de los principales objetivos de los CV, donde se recomienda no acumular contenidos irrelevantes para el desarrollo personal y profesional. Y es que los expertos consideran que las empresas valoran más las competencias adquiridas a lo largo de la vida laboral y la adaptación a los cambios que la hiperespecialización.

Asimismo, en un contexto VICA (Volátil, Incierto, Complejo, Ambiguo) como en el que estamos, en el CV también es importante reflejar aptitudes y actitudes vinculadas con la curiosidad, poner de manifiesto las habilidades blandas (flexibilidad, comunicación, capacidad de trabajo en equipo, empatía, creatividad…) y equilibrarlas con las duras (hard skills).

En paralelo, hacer constar en el CV experiencias como, por ejemplo, haber vivido o trabajado en otros países o ciudades de origen puede ser una baza que aprovechar por los candidatos.

Cursos online gratuitos y de prestigio para mejorar tu currículum

Flexibilidad temporal y espacial

Fernández explica que la flexibilidad es primordial, sobre todo después de que el teletrabajo haya quedado consolidado en buena parte de las empresas y de que se haya demostrado que la productividad no tiene por qué verse mermada por la falta de rigidez en torno a horarios y lugares desde los que trabajar.

En este punto, las compañías más atractivas son aquellas que permiten teletrabajar y que tienen horarios flexibles, según las necesidades de los empleados.

“También es muy importante la formación continua, por lo que los candidatos valoran positivamente esa planificación adaptada a la evolución y el crecimiento que tendrán dentro de la empresa y a las tendencias del momento”, añade el directivo de Michael Page.

Tres claves para elaborar un currículum

Además de mostrar el dinamismo y la flexibilidad que requieren actualmente las empresas, desde Michael Page recuerdan los siguientes consejos de cara a la elaboración de un currículum:  

  1. Indicar todos los datos personales y de contacto del candidato de forma clara, para facilitar el trabajo a la persona que lo recibe.
  2. En caso de aspirantes a un primer empleo, los estudios, prácticas, becas, experiencias y proyectos realizados deberán ocupar la parte más importante del currículum. Si hablamos de personas con experiencia laboral, esta deberá destacar dentro del CV y tiene que ser el foco del mismo. 
  3. Añadir los idiomas y otros conocimientos (lenguajes o programas informáticos, etc.) al final del currículo.

Desterrar el mito de un currículum corto

En cuanto a la extensión, desde Michael Page pretenden desterrar un mito: no es necesario que el CV ocupe solo una hoja.

“Si tu experiencia y conocimientos son amplios, es mejor explicarlos bien y no olvidarte de nada importante que comprimirlo todo en una sola hoja y dejarte información relevante”.

No obstante, Fernández recuerda que el CV es un resumen laboral y no debe ser un detalle de toda tu vida. Es decir, recomienda que sea completo pero conciso, sugiriendo una extensión de dos hojas para los candidatos con experiencia profesional y de una hoja para quienes busquen su primer empleo.

Añadir proyectos e información personal

Si el candidato quisiera añadir los proyectos que ha llevado a cabo, Fernández remarca la importancia de indicar de manera esquematizada (tres líneas como máximo) las principales funciones y tareas realizadas en cada uno de ellos, para ofrecer una visión completa de las responsabilidades en cada etapa.

Asimismo, el directivo de Michael Page propone destacar los principales logros y aprendizajes conseguidos en cada una de esas etapas, para desvelar a los responsables de RRHH la manera de afrontar los desafíos profesionales y el nivel de implicación en cada uno de ellos.

Finalmente, Fernández anima a incluir información personal o aficiones (hacer senderismo por la montaña, construir maquetas, correr maratones…), para lograr que el currículum sea único y personal, lo que además ayudará al candidato a que lo recuerden con mayor facilidad.

Más del 80% de las entrevistas son actualmente online

En el caso de que el CV supere el primer filtro y el candidato sea seleccionado para realizar una entrevista, las diferencias más significativas entre las recomendaciones que se hacen en la actualidad y las que se hacían antes de la pandemia tienen que ver con cuestiones relacionadas con el mundo online, puesto que más del 80% de las entrevistas se hacen a través de la pantalla.

Por ello, desde Michael Page proponen probar la conexión con antelación para evitar interrupciones de la señal y verificar que la imagen se ve correctamente: nítida de cintura para arriba y con un fondo neutro. Si esto no fuera posible, sugieren ordenar al máximo el fondo para no provocar distracciones al entrevistador.

Sin embargo, “el mayor consejo que podemos dar como consultores y expertos en selección de personal pasa por ser tú mismo, para saber si conectas con la persona que te entrevista y la empresa, y lograr así que tu nueva etapa profesional sea un éxito”, puntualiza Fernández.

Artículos relacionados:

Cómo responder las «killer questions» en una entrevista de trabajo
Las principales webs y buscadores de empleo para encontrar trabajo
El primer día de becario: consejos para triunfar (Infografía)

Foto de Icons8 Team en Unsplash

Diez predicciones sobre el futuro empresarial de la próxima década

Alejandro de Fuenmayor    16 septiembre, 2021

Decía Peter Druker que «La mejor forma de predecir el futuro es crearlo». Es un gran planteamiento del que muchos han bautizado como el creador del pensamiento estratégico empresarial del siglo XX. Sin duda, gran parte de su obra ha sido parte de los principios rectores de muchos planes estratégicos empresariales.

Sus principios también han guiado el trabajo de las grandes consultoras en las últimas décadas. McKinsey es un claro referente a la hora de asesorar y definir la estrategia de las grandes organizaciones. Es fácil comprobar cuántos de sus ex socios forman parte del consejo de dirección de las más importantes corporaciones. Su influencia y poder es ampliamente reconocido en el mundo de los negocios y la política.

Los pilares del futuro según McKinsey

Así que, siguiendo los consejos del sabio Sr. Druker, veamos qué nos tiene que contar McKinsey respecto a la invención del futuro empresarial que veremos en las próximas décadas. Debe interesarnos porque será quien susurre al oído de los consejeros delegados o presidentes lo que deben hacer. El cómo probablemente recaiga sobre vosotros en cascada…

Hace unas semanas, McKinsey publicaba su informe: “Diez tendencias tecnológicas que podrían reconfigurar el futuro de los mercados y las industrias en las próximas décadas”. Este post no pretende ser un mero repaso de las tendencias que, según la consultora, serán los pilares del futuro. Sobre muchas de ellas ya publiqué un artículo bastante amplio a comienzos de 2021.

Se avecina una década con más cambios que los de todo el siglo XX

Según McKinsey los cambios que veremos en la próxima década equivaldrán a todo lo acontecido durante el siglo XX. Una visión que también comparten otros distinguidos futurólogos como Peter Diamandis (cofundador de la Singularity University).

Yo siempre digo que si mi abuelo viese que, en vez de dar cuerda al reloj de pulsera, lo enchufamos todas las noches para cargar su batería, le parecería bastante ilógico. Pero mi reflexión es acerca de cómo seremos capaces nosotros, sin cambio generacional, de experimentar y sobrevivir al aluvión de cambios que nos esperan en los próximos diez años. Una cosa está clara, y es que al menos tendremos que aprender a desaprender todo lo que hemos visto hasta el momento.

Las tecnológicas, las nuevas petroleras

No hay duda -la Bolsa lo ha refrendado en los últimos años- que los ganadores de esta batalla serán las empresas tecnológicas, de la misma manera que a finales del siglo pasado lo fueron las petroleras. A estas últimas parece que el modelo de negocio ya se les ha quedado un tanto obsoleto.

Diez claves de la «cuarta revolución industrial»

La combinación de todo ello parece el cóctel perfecto para lo que McKinsey denomina la próxima cuarta revolución industrial. Y desde la consultora detallan que los cambios se estructuran en diez tendencias o pilares. Siete están puramente vinculados a la revolución tecnológica que lleva años desarrollándose y otros tres tienen carácter sectorial.

No voy a entrar a enumerar las ventajas de estas tecnologías. En este blog podéis encontrar numerosos contenidos al respecto. Me centraré en el análisis e impacto que McKinsey observa en ellas para el futuro empresarial y de la humanidad.

Siete tendencias tecnológicas

  1. Automatización y virtualización de procesos, con tecnologías como IoT, la robótica, cobots, RPA, los gemelos digitales o la impresión 3D y 4D.
  2. Conectividad del futuro con 5G e IoT como principales catalizadores.
  3. Arquitecturas distribuidas, en las que se yuxtaponen la nube y el edge computing.
  4. La computación cuántica y los chips neuromórficos (computación de próxima generación) servirán de catalizador para las tendencias anteriores.
  5. Inteligencia artificial con el procesado de lenguaje natural, la visión computarizada o las tecnologías del habla como sus principales motores.
  6. El sexto de los pilares tecnológicos es una evolución aplicada de la inteligencia artificial en lo que denominan la programación del futuro.
  7. Y, para terminar de conformar las bases de las empresas del futuro, las arquitecturas de confianza, basadas en la seguridad y blockchain.

Tres áreas claves

En clave sectorial éstas son las tres áreas en las que McKinsey ve un amplio recorrido tecnológico:

  • La biotecnología y las nuevas biotech serán las que definan el futuro del sector de la salud.
  • Los materiales de próxima generación son la segunda de estas tendencias con la nanotecnología y el grafeno como algunos de sus protagonistas.
  • Y, por último, las tecnologías limpias, que incluyen fusión nuclear, baterías, distribución inteligente y generación de energía libre de carbono, que es uno de los retos que tiene ante sí la humanidad.

Impacto en las organizaciones: nuevos modelos de negocio e innovación

Pero qué consecuencias tendrán estas tecnologías y cómo han de tratar de sacar partido de ellas las organizaciones. McKinsey estima el potencial impacto de cada una de ellas en los próximos años.

  1. La automatización permitirá digitalizar el 50 por ciento de las actividades que hoy realizan personas para el año 2025.
  2. El potencial de las comunicaciones de nueva generación será accesible para el 80 por ciento de la población mundial en 2030 gracias a 5G.
  3. En 2025 más del 75 por ciento de los datos generados por las empresas se procesarán en el edge o en la nube
  4. El valor del mercado de la computación cuántica y sus casos de uso asociado tendrán un potencial de mercado de 1 Bn$ para el año 2035
  5. Gracias a la inteligencia artificial las iteraciones con los clientes serán digitalizadas en más de un 75 por ciento de los casos, a través de asistentes virtuales que dotarán a las mismas de mayor personalización.
  6. Se reducirá un 30 por ciento el tiempo necesario para llevar a cabo los proyectos vinculados al desarrollo de software y analítica de datos.
  7. Gracias a tecnologías como blockchain, en 2027 cerca del 10 por ciento del PIB mundial podría estar vinculado al uso de la cadena de bloques
  8. De la mano de la biotecnología, el coste de secuenciación del genoma humano se ha reducido un 45 por ciento en la última década
  9. Los nuevos materiales incrementaron diez veces el número de patentes desarrolladas entre 2008 y 2018
  10. Y, en 2050, el consumo de energías limpias representara más del 75 por ciento del mundial.

La combinación de estas diez tendencias, por tanto, amplificará y acelerará los nuevos modelos de negocio e innovación. Éstos cambiarán el panorama de la industria: alteraran el statu quo actual y traerán consigo nuevas oportunidades.

Sectores telco, farmacéutico y biotech, los más afectados

Según señala McKinsey, el impacto no será igual en todos los ámbitos. Algunos, como las telecomunicaciones y el sector farmacéutico serán de los más afectados. De todas maneras, habrá que estar atentos a quiénes lideraran los rankings bursátiles en la próxima década. Si yo tuviese que invertir mi dinero y mi reputación dependiera del éxito lo haría en torno a las farmacéuticas y las empresas de biotecnología.

La actitud de las empresas, determinante

En cuanto a qué acciones deben llevar a cabo las empresas que determinen su éxito futuro, en primer lugar deben calcular el impacto de cada una de estas tendencias en su modelo de negocio actual. Después, evaluar la madurez técnica de cada una de dichas tendencias y, por último, ver cuál de ellas encaja con su organización actual.

A quienes jugamos a imaginar qué nos depara el mañana, el tiempo nos pondrá en nuestro sitio y dirá si nuestras predicciones eran o no acertadas. Solo está nuestra reputación en riesgo. Sin embargo, para muchas empresas esta apuesta dirimirá su capacidad de sobrevivir a las próximas décadas y turbulencias tecnológicas que se ven a lo lejos, en el horizonte del panorama empresarial.

Imagen: Hans Splinter

Los servicios DFIR en una respuesta al incidente con ransomware

Víctor José González Arcos    16 septiembre, 2021

Como vimos en el primer post de la serie, el proceso de IR (respuesta a incidentes) en caso de ataques que utilizan ransomware es fundamental, apoyándose en el trabajo de varios grupos que, aportando distintos roles, conforman un único equipo de trabajo para ayudar a recuperarse en la menor brevedad de tiempo posible, a la empresa afectada.

Nuestros servicios NextDefense, incluyen una rama específica en su propuesta para cubrir este tipo de servicios.

En este segundo post de la serie, vamos a revisar el papel que juegan los integrantes del equipo de servicios DFIR (Digital Forensics and Incident Response) de Telefónica Tech dentro del proceso global de IR.

Composición del equipo DFIR

El equipo está formado por un conjunto de profesionales multidisciplinales, perfiles senior mayormente, donde su trayectoria profesional ha estado siempre ligada a la seguridad en cualquiera de sus especialidades.

Esta diversidad de roles permite estar preparados ante cualquier evolución de las técnicas, tácticas y procedimientos ofensivos y métodos anti-forenses de los atacantes, al margen de las características concretas del actor y el ataque.

En el caso que nos ocupa, incidentes de seguridad con uso de ransomware, es necesario combinar recursos de distintos grupos:

  • DFIR
  • Threat Hunting (ocasionalmente combinado con servicios de monitorización EDR)
  • Threat Intel (Inteligencia de amenazas)

Dentro de estas disciplinas, DFIR cuenta con tres roles diferenciados que participan de maneras muy concretas dentro del proceso de IR:

  • Incident Handler (IH): Es quien coordina el incidente de seguridad, y hace de enlace entre el cliente y los distintos equipos para llevar un control y facilitar la comunicación, asignando tareas a las distintas partes y asegurando que todo el proceso de IR va evolucionando de la forma debida.
  • Analista Forense: Es el especialista con capacidad de realizar investigaciones (locales y remotas) sobre cualquier sistema o soporte con información, y cuya finalidad es la obtención de evidencias que permitan avanzar durante la investigación.
  • Analista de Malware: Es el especialista que realiza análisis estáticos y dinámicos sobre virus y otros artefactos maliciosos que se podrán encontrar en los equipos procesados por el analista forense, el role Threat-hunter o por el propio cliente.

Preparación del proceso de IR

Cuando se inicia un nuevo proceso de respuesta a un incidente, el equipo de servicios DFIR organiza el trabajo y prepara la realización de las primeras tareas. Se crean espacios en la nube (que se utilizarán para la compartición de evidencias) y también se aprovecha para analizar la propia nota de rescate, la extensión de los archivos cifrados e incluso qué dominio corporativo tiene la empresa que ha sido afectada. Esperando la reunión inicial con el cliente, las personas asignadas, revisan internamente la información disponible y preparan todo el contenido para esos primeros pasos con cliente. Esta primera reunión de trabajo será de las más importantes.

Toda esta preparación antes de la primera reunión es utilizada para revisar el conocimiento que se pudiera tener sobre el actor concreto: Si suele realizar exfiltración de datos, qué vía de entrada suele utilizar, qué herramientas despliega e incluso si la empresa tiene credenciales exfiltradas en mercados negros. La primera jornada del proceso y en particular, la primera reunión, son fundamentales.

Inicio de la respuesta

Una vez se produce la primera reunión y se comienza en sí el proceso de respuesta, se crean unas líneas de trabajo iniciales dirigidas a todos los grupos (cliente y terceros incluidos) probadas en cada incidente y mejoradas al final de ellos. Algunos ejemplos:

  • El Incident Handler tomará el control del proceso y comenzará a organizar todos los grupos de trabajo, actividades, plan de reuniones, etc.
  • El equipo Threat Intel solicitará una serie de datos al cliente para producir inteligencia de ciberseguridad accionable (se verá en el próximo post).
  • El analista forense recogerá todos los eventos/objetos que puedan albergar información del atacante. Ello producirá los primeros IOCs (Indicadores de Compromiso) que permitirán comenzar, por ejemplo, con los bloqueos para iniciar las fases de contención y erradicación de la amenaza. Si hay elementos de malware, un analista de esta especialidad será incorporado al equipo para realizar sus labores correspondientes.
  • El grupo Threat Hunting (muchas veces, en combinación con otros servicios de monitorización de Telefónica TECH) irá apoyando el despliegue (cuando sea necesario) de una plataforma EDR, realizando análisis de alertas e investigación de amenazas sobre dicha plataforma. Concretamente, en el último post de la serie veremos el trabajo de este equipo.

Desempeño durante el proceso de IR

El proceso de respuesta a incidentes sigue una rutina de reuniones (más ejecutivas) o puntos de control (más técnicos) a lo largo del periodo de trabajo (un par de semanas, en término medio). En estas reuniones, el equipo de trabajo conjunto (cliente, equipo de Telefónica TECH y posibles terceros) irá revisando el trabajo en curso, compartiendo conocimiento y asignando nuevas tareas a todos (siendo estas revisadas en cada punto de control).

Los perfiles forenses del equipo DFIR tendrán un trabajo intenso en este proceso iterativo y a lo largo del periodo de trabajo acordado: irán realizando sus investigaciones con los distintos tipos de evidencias disponibles, se apoyarán en los analistas de malware (si se diera el caso) e irán -poco a poco- creando la narrativa del incidente que será explicada al cliente en el siguiente punto de control. Irán identificando y comunicando los IOC encontrados a los distintos grupos para apoyar en la contención y erradicación, mientras trazan el timeline (línea temporal) que irá reflejado en el informe que será entregado al cliente junto con la identificación del primer sistema hallado como comprometido (pasando a ser el “paciente 0”), los vectores de entrada utilizados para enriquecer las recomendaciones que servirán como puntos de mejora de la infraestructura afectada y todo lo relevante de la red (y del atacante) que deba ser comunicado al cliente.

Posteriormente y sólo en los casos donde pudiera existir una publicación de información (no todos los ataques con ransomware implican exfiltración de datos), los analistas de inteligencia de amenazas intentarán monitorizar su Hall of Shame (“salón de la vergüenza”, normalmente tablones públicos donde se divulga la información exfiltrada) de cara a poder asistir a los clientes en los aspectos más importantes concernientes a la privacidad de datos y a la norma GDPR, entre otras acciones. Este bloque de actividad se explicará en el siguiente post de la serie.

En definitiva: el trabajo del grupo DFIR dentro de un incidente con ransomware, tal como lo entendemos en Telefónica TECH, es un proceso constante de investigación y de intercambio de conocimiento de los analistas de forense y de malware con otros grupos (inteligencia de amenazas y Threat Hunting, sobre todo). En cada actuación, el cliente y los demás roles y grupos conocerán los avances logrados en DFIR gracias a la intermediación del Incident Handler (quizás, un nuevo IOC o la identificación del paciente 0) y a su vez, esos grupos podrán ampliar la información a los especialistas de DFIR para refinar los siguientes pasos de su investigación.

Finalización de los trabajos de análisis forense y malware

Cuando se da por completado el trabajo de investigación en un proceso IR, se genera un informe final de investigación que sigue una estructura que se va revisando regularmente para asegurar la máxima utilidad al cliente. Al margen del país/región del incidente o del idioma utilizado, el informe tiene siempre el mismo formato y estructura.

En algunos casos, los clientes solicitan una versión previa de dicho informe para compartir con fuerzas y cuerpos de seguridad, empresas aseguradoras, auditores, socios, proveedores o clientes.

Para aportar tranquilidad, una vez que se ha compartido con el cliente el informe final de la investigación, el proceso de IR suele continuar con una monitorización en 24×7 pactada del EDR en donde todo el equipo podría volver a ser reactivado.

En estos últimos compases del proceso de IR, se mantendrá una reunión final con el cliente donde se revisará con detalle el informe entregado, resolviéndose las dudas que hayan podido surgir y explicando los aspectos más importantes de la narrativa tanto del incidente como de las recomendaciones.

Tal como hemos visto, el proceso de respuesta a incidentes del equipo de DFIR de Telefónica Tech trabaja de forma rápida y organizada atendiendo a una metodología específica seguida por todos los grupos, para cubrir todas las fases del proceso de IR. Estos roles y su metodología son clave para resolver este tipo de incidentes.