Blog Protecció de Dades

Adaptar la teva empresa a la LOPD no és solament registrar els fitxers en l’Agència Espanyola de Protecció de Dades, això és el primer que cal fer, però mes allà d’est tramiti administratiu de legalització de fitxers hi ha una sèrie d’accions molt importants que has de tenir en compte per protegir les dades.

Una de les accions més important a l’hora de protegir les dades, és sens dubte a tenir instal·lat en els servidors i equips un bon antivirus que impedeixi que el malware arribi fins als teus arxius

Si tens instal·lada una alarma i no deixes oberta la porta de la teva casa o el teu despatx quan no aquestes per impedir que entrin cacos, perquè escatimes amb antivirus gratuïts?

Nosaltres utilitzem Bitdefender i protegim així tots els nostres equips fixos/mòbils i ens tranquil·litza veure les explicacions de Bitdefender de com detecta als cacos i que et vam mostrar a continuació.

FONT: NOTA DE PREMSA BITDEFENDER

Una campanya massiva de ransomware de la família GoldenEye afecta usuaris a nivell mundial Algunes infraestructures critiques d’institucions d’Ucraïna han estat posats offline «Bitdefender ha identificat una nova campanya massiva de ransomware que s’està desenvolupant en aquests moments.

Actualització al 6/28 08.00 GMT + 3

Existeix una creixent evidència que la campanya #GoldenEye / #Petya ransomware podria no haver estat dirigit per generar guanys financers, sinó més aviat a la destrucció de dades.
• L’elecció d’un proveïdor de serveis de correu electrònic regular i no a prova de bales per actuar com a canal de comunicació va ser òbviament una decisió equivocada en termes de negoci per part dels atacants.
• La falta d’automatització en el procés de recuperació de pagaments i claus fa que sigui realment difícil per a l’atacant completar el circuit i complir amb les seves amenaces.
• Hi ha una total falta de usabilidad en la confirmació de pagament: l’usuari ha d’escriure manualment una «clau d’instal·lació personal» extremadament llarga i mixta + » codi wallet de BTC» propens a errors tipogràfics.

Actualització al 6/28 06.00 GMT + 3

Posteo ha suspès l’adreça de correu electrònic que va ser utilitzada pels atacants per rebre les confirmacions de pagament. Això significa que tots els pagaments realitzats entre aquesta nit i demà al matí, no podran validar-se i, per tant, segurament no rebran la clau de desxifrat.
No és que alguna vegada hàgim aconsellat el contrari, però si estava planejant pagar el rescat, NO ho faci, doncs no solament perdrà les seves dades de totes maneres, sinó que contribuirà a finançar el desenvolupament de nous programes maliciosos.
Dit això, esmentar que hi ha hagut 15 pagaments realitzats després de la suspensió de l’adreça de correu electrònic. La cartera ara suma 3.64053686 BTC corresponents a 40 pagaments, amb un valor net de $ 9.000.

Actualització 21:30 GMT + 3

Reconeguts actors de la indústria han especulat sobre que el vector d’atac inicial va poder haver estat una actualització compromesa de la utilitat de programari de comptabilitat de M.I. Doc que totes les companyies atacades estaven utilitzant.
No obstant això hem confirmat infraccions en empreses que no van utilitzar la solució de programari respectiva, i detectat, un missatge de Facebook a la pàgina de l’empresa, en la qual el venedor nega les acusacions [ucraïnès].

Actualització 20:18 GMT + 3

Diverses companyies han confirmat fins ara haver estat víctimes del ransomware de GoldenEye / Petya: el sistema de monitoreo de radiació de Chernobyl, el bufet d’advocats DLA Piper, la companyia farmacèutica Merck, diversos bancs, un aeroport, el metre de Kíev, l’empresa danesa de transport i energia Maersk, anunciant britànic WPP i l’empresa russa de la indústria petroliera Rosnoft.
Els atacs van ser generalitzats a Ucraïna, afectant a Ukrenergo, el distribuïdor d’energia estatal, i varis dels bancs del país.

Actualització 18.45 GMT + 3

Els operadors GoldenEye / Petya ja han rebut 13 pagaments en gairebé dues hores. Això equival a $ 3.5K USD en moneda digital.

Actualització 18:30 GMT + 3

Bitdefender Labs confirma que el rescat de GoldenEye / Petya aprofita la vulnerabilitat de EternalBlue per propagar-se d’un ordinador a un altre a més de molts altres mètodes de propagació.
Detalls pròximament.

Història original:

La informació preliminar ens indica que el malware responsable d’aquesta infecció és un clon molt semblat a la família de ransomware GoldenEye. A l’hora d’enviar aquesta notícia encara no tenim informació sobre el vector de propagació, però creiem que es tracta d’una component tipus cuc, que permet la infecció sense intervenció de l’usuari.»
«A diferència d’un altre ransomware, la nova versió de GoldenEye té dos nivells d’encriptació: una que encripta fitxers blanc en els ordinadors de la víctima, i una altra que encripta estructures NTFS. Aquest comportament prevé que es puguin arrencar els ordinadors afectats amb algun sistema operatiu tipus Live SOTA (CD o USB) per recuperar els fitxers i les mostres del ransomware.»
«Addicionalment, després de completar el procés d’encriptació, el ransowmare té una rutina especialitzada que per a l’ordinador per forçar un reinicio que deixa l’ordinador fora d’ús fins que no es paga el rescat de 300 USD.»

 

Estem atents a la publicació de la legislació Española en materia de protecció de dades, de moment no cal fer cap modificació en el que ja esteu fent, podeu seguir aplicant els mateixos criteris, documents, clausules que fin ara.

El que si hem detectat, es que hi han empreses que estan aprofitant el canvi de normativa per anar a botigues i empreses dient que es obligatori que s’adaptin ja al nou reglament. No, aixó no es veritat, el reglament es va publicar al Maig del 2016 i serà d’obligada aplicació al Maig del 2018. Dificilment us poden adaptar a la nova legislació ja que encara no s’ha publicat!!!

Com que hem detectat que algunes empreses estan inquietes per aquest motiu us avancem les Novetats més destacades introduïdes pel nou Reglament Europeu de Protecció de dades:

– El consentiment «inequívoc». Requisits que legitimen el tractament de dades.
– Els nous drets a l’oblit i a la portabilitat de les dades. Anàlisi dels drets que es reconeixen als afectats.
– Relació entre el responsable i els encarregats del tractament.
– Les noves mesures de responsabilitat proactives exigibles.
– L’obligació d’analitzar/valorar el risc d’incórrer en vulneracions de protecció de dades.
– El registre de les operacions de tractament de dades.
– La protecció de dades des del disseny i per defecte
– L’obligació de notificar les violacions de seguretat de les dades
– L’obligació d’avaluar l’impacta en matèria de protecció de dades prèviament a iniciar un tractament de dades.
– El Delegat de Protecció de Dades.
– Les transferències internacionals de dades fora l’EEE

Un altre de les novetats importants es que les sancions ja no oscilaran de 900 a 600.000€, segons preveu el nou reglament a partir de la data d’aplicació, les sancions aniran del  2 al 4% de la facturació.

Us seguirem informant!

 

¿Saps on està allotjada la teva web o el servidor on estan allotjats les dades de les teves comunicacions comercials?. Si no ho saps et pot sortir molt però que molt car.

En la majoria d’empreses tenim paginas WEB o utilitzem programes que ens ajuden en la gestió diària (Allotjament WEB, Bases de dades a la WEB, Programes de Facturació, TPV, Envio de Comunicacions Comercials, etc.),que estan allotjats en servidors fora de les instal·lacions físiques de la nostra empresa “en el núvol”.

Quan contractem un servei poques vegades ens preguntem on van a estar allotjats les dades que anem a pujar al núvol i si el lloc on van a estar compleix amb la normativa de protecció de dades. Est és una dada molt important a valorar que hem de tenir en compte abans de contractar el servei. Per desgràcia la realitat amb la qual ens trobem cada dia quan realitzem auditorias és que en la majoria d’ocasions els nostres clients no saben on estan allotjats els servidors que estan fora de la seva empresa i desconeixen totalment si es compleixen les mesures de seguretat i tots els requisits de seguretat que imposa la normativa Europea i que estan pensats per protegir l’accés no autoritzat a les dades.

L’Agència Espanyola de Protecció de dades sanciona amb 180.000€ a Omnium Cultural i a l’Assamblea Nacional Catalana per tenir allotjada la WEB i la Base de dades dels Associats, Voluntaris, Via Catalana i Llaura és L’hora a EUA sense haver comunicat a l’Agència la transferència internacional de dades.

No s’ha pogut demostrar que hagi existit un accés no autoritzat a les dades, però la simple denúncia d’una persona ha aconseguit que s’imposi aquesta important sanció que sens dubte va a ofegar el procés independentista… com ofegaria sens dubte a qualsevol empresa que rebés una sanció de 90.000€.

Molts pensen que complir la LOPD és tan fàcil com copiar i pegar els textos d’altres paginas WEB o baixar-se un manual per confeccionar el document de seguretat, en la majoria d’ocasions els informàtics saben molt de programació o de creació de paginas web però no tenen un departament especialitzat en aquests temes i allotgen la WEB dels seus clients fora d’Europa sense saber que això pot comportar una sanció molt important.
Si aquestes llegint est articulo i tens fitxers en el núvol, pregunta’t on estan allotjats, si són servidors segurs i comunica la transferència internacional de dades si és necessari per evitar una sanció que pot fer molt dany a la rendibilitat de la teva empresa.