El blog de Hector Montenegro https://docs.microsoft.com/archive/blogs/hectormontenegro/feed.xml National Technology Officer de Microsoft Ibérica Twitter: @hectorsm Tue, 16 Apr 2019 06:08:20 GMT es_ES hourly 1 Azure Sphere o la anhelada seguridad del mundo del IoT https://docs.microsoft.com/archive/blogs/hectormontenegro/azure-sphere Wed, 25 Apr 2018 18:15:07 GMT https://blogs.technet.microsoft.com/hectormontenegro/?p=3735 1.- ¿Nos atreveríamos a acercarnos siquiera a la idea de una seguridad cercana al 100% ? Es posible. Lo que es seguro es que, si alguien puede, Microsoft está en esa lista corta. Son muuuchos años trabajando en primera línea en todos los frentes de la ciberseguridad y el conocimiento acumulado, la experiencia, la inteligencia recogida, y la apuesta por la investigación básica, permite acometer un proyecto con esa ambición. Microsoft Research estableció un marco de 7 principios básicos que todo dispositivo dotado de una alta seguridad, debería ser capaz de cumplir, y estos han sido implementados en este desarrollo. No vamos a discutirlo en este post, pero de verdad invito a que se lean estas 7 propiedades que deberían tener estos dispositivos y se entienda que, de cumplirlos, estaríamos frente a un punto de inflexión en lo que a la seguridad del mundo IoT se refiere. Nuestra experiencia sobre este desarrollo ya nos está apuntando a este nivel de garantía:
  1. Hardware-based Root of Trust: Clave criptográfica infalsificable generada y protegida por hardware
  2. Small Trusted Computing Base:  características de enforcement de seguridad protegidas por otro hardware y software
  3. Defense in Depth: Múltiples contramedidas que mitigan las consecuencias de cualquier ataque exitoso
  4. Compartmentalization: barreras internas que limitan el alcance de cualquier fallo individual
  5. Certificate-based Authentication: confianza intermediada mediante certificados firmados, comprobada mediante claves criptográficas imposibles de descifrar
  6. Renewable Security: seguridad del dispositivo renovada para superar las amenazas en evolución y las brechas de seguridad
  7. Failure Reporting: los fallos en los dispositivos se informan automáticamente al sistema de análisis basado en la nube
2.-  Construyendo parte de la solución sobre un Kernel de Linux….Y sin que ningún infierno se congele. Trabajamos por la Seguridad y protección de clientes, negocios y mercados… y por ese orden de prioridad. A veces resulta complicado eliminar determinadas inercias y percepciones como aquella generada alrededor de Microsoft y el Software Libre (y sobre la que tanto he hablado en este Blog en los últimos 10 años), pero estos nuevos tiempos en nada se parecen a otros 3.- Adentrándonos en un mercado hasta ahora muy desconocido para Microsoft, como el de las MCU (Microcontroladoras) conectadas, pero masivo, y de importancia creciente. Y tanto, como que es inherente a la transformación digital de absolutamente TODOS los sectores imaginables, por diferentes y evidentes motivos que los fabricantes de “Silicio” visualizan como una clara oportunidad:
  1. Elementos IoT que proporcionan información en tiempo real (estado, comportamiento, información, utilización, localización etc..) a cualquier modelo de análisis inteligente de la información
  2. Menores tiempos de reparación y mejores garantías (medición de funcionamiento, predicción de fallos…)
  3. Oportunidades de monetización posteriores a la venta (mejoras, actualizaciones, nuevas características etc..)
  4. Nuevas experiencias para el usuario final (control desde sus smartphones, conexión entre dispositivos etc..)
Siempre se ha dicho que el coste asociado a la implementación de la seguridad en un dispositivo de IoT lo hacía difícil de justificar dada la enorme escala en la que se suelen comercializar estos dispositivos. Si el coste de un dispositivo es de ½$, pero con una mayor seguridad asciende a, digamos 0.8$, la diferencia en una distribución de 5000 dispositivos se hace muy patente, y con mucha frecuencia se sacrifica la seguridad. Esto se ha tenido MUY en cuenta en este proyecto para ofrecer de verdad un dispositivo IoT, con la seguridad que todos necesitamos y deseamos que tengan, con un sobrecoste despreciable, y a cambio de un enorme beneficio mantenido durante 10 años. Ningún fabricante de dispositivos quiere ser fuente de inseguridad y eso ahora SI será posible hacerlo desde el punto de vista tecnológico y económico. Azure Sphere, además de un bonito nombre es una propuesta que podría significar un punto inflexión en la seguridad de estos entornos que tanto lo necesitan. Es una solución End to End para securizar aquellos dispositivos con MCUs integradas, es decir, el mundo del IoT. La aproximación holística de Azure Sphere comprende estos cuatro componentes, desde el silicio al cloud:
  1. Un nuevo tipo de diseño y arquitectura para producir MCU seguras y económicas para cualquier dispositivo
    1. Azure Sphere MCUs. A new cross-over class of MCU with built-in Microsoft security technology, connectivity, and the headroom to support dynamic new experiences.
  2. El Sistema Operativo Azure Sphere OS. Un OS de Microsoft altamente securizado que genera una plataforma de defensa en profundidad para nuevas experiencias en el mundo IoT:
    1. Secured application containers compartmentalize code for agility, robustness, and security.
    2. On-chip connectivity services secure your connection to the cloud and provide access to the Azure Sphere Security Service.
    3. A custom Linux kernel enables silicon diversity and innovation.
    4. A security monitor guards integrity and access to critical resources.
  3. El Azure Sphere Security Service. A turnkey security service that guards every Azure Sphere device; renewing security, identifying emerging threats, and brokering trust between device, cloud, and other endpoints.
  4. Elementos para desarrolladores, SDKs y herramientas, para construir aplicaciones igualmente seguras
En resumen, Azure Sphere una aproximación muy ambiciosa, con soluciones reales y asequibles a problemas que aparentan estar casi fuera de control. No es más que eso. Ni muchísimo menos que eso.]]> El papel de Microsoft Trusted Cloud en entornos regulados https://docs.microsoft.com/archive/blogs/hectormontenegro/el-papel-de-microsoft-trusted-cloud-en-entornos-regulados Mon, 19 Feb 2018 10:57:00 GMT https://blogs.technet.microsoft.com/hectormontenegro/?p=3675 Y es que es parte de mi trabajo asegurar que las tecnologías y servicios que proponemos desde Microsoft se adaptan y ayudan a los clientes a cumplir con sus obligaciones regulatorias. Por un lado los Grupos de Ingeniería de producto de Microsoft Corporación necesitan conocer a fondo estos escenarios para construir servicios que los clientes puedan y quieran adquirir, mientras que por otro lado es fundamental que el regulador conozca la evolución y previsible impacto de las propuestas tecnológicas susceptibles de impactar en la industria o sector objeto de su acción reguladora. Y los Technology Officers servimos de nexo en esas conversaciones. En esta labor, no he conocido a ningún regulador que con sus decisiones pretenda frenar el progreso de una industria o limitar su capacidad de innovación, sino más bien establecer aquellos parámetros, aquellas normas necesarias para asegurar que la operación en una industria determinada o sector se produzca dentro de un marco que, sin entorpecer su avance y evolución, contemple y proteja los derechos de ciudadanos, usuarios, socios, trabajadores, competidores etc.. Tampoco he conocido a un solo cliente en una industria regulada que no preste una atención muy especial a ese marco regulatorio que le aplica, ya sea por su carácter obligatorio, por su régimen sancionador como suele ocurrir en una amplia mayoría de casos, o por el buen alineamiento que la regulación pudiera tener con los intereses propios del sector (lo más deseable). En cada caso se produce un delicado equilibrio que es interesante conocer, y así mientras el regulador procurará proteger derechos sin obstaculizar progreso, el sector afectado procurará cumplir la regulación sin perjudicar su capacidad de transformación, progreso e innovación. Y es bueno que cada parte conozca los equilibrios que gobiernan la conducta y proceder de la otra parte. Pero si hay algo en lo que todos coinciden es en la dificultad que a ambos les genera la velocidad de innovación especialmente en Tecnologías de la Información, cuando además éstas se presentan como un núcleo de transformación en todos y cada uno de los sectores e industrias, y cuyos ritmos de cambio exceden por mucho aquellos ciclos que hasta ahora podían resultar suficientes para que la definición de una política, tuviera los tiempos adecuados de maduración e implantación por parte de la industria regulada. No ser consciente de esta nueva realidad por parte de unos y otros, llevaría sin duda a la colisión entre una indeseada por todos regulación bloqueante y las aspiraciones de progreso, transformación e innovación de cualquier industria o sector. Uno de los debates que mejor han ilustrado recientemente este compromiso entre la regulación y la transformación, se ha producido en torno al Cloud Computing desde el momento en que su previsible disrupción e impacto en todo tipo de sectores, procesos, servicios etc, llamó la atención de los reguladores por las implicaciones que pudiera tener igualmente en entornos regulados. Afortunadamente el Cloud Computing ya no es una novedad y posé un grado de madurez que nada tiene que ver con el existente en aquellas primeras fases hará 7 u 8 años, pero igualmente el Cloud es ya un mecanismo imprescindible para muchas industrias que ya lo consideran como la pieza más importante en sus planes transformadores más ambiciosos, y no verlo de esa manera bien podría suponer la pérdida de competitividad y quedarse rezagado frente aquellas otras empresas de la competencia que si hubieran sabido adaptarse y aprovechar de forma más eficaz estas capacidades que solo el Cloud es capaz de habilitar. En la actualidad existe preocupación, y ojalá ocupación, sobre una regulación especialmente demandante y de previsible impacto. Se trata del Reglamento General de Protección de datos Europeo (GDPR ó RGPD), con incidencia generalizada. Y en este sentido es importante que los clientes especialmente sepan que, de nuevo en esta ocasión, hemos alineado la ingeniería, los procesos, los servicios y los compromisos de los servicios Cloud que Microsoft ofrece, a las exigencias de este nuevo reglamento y a las expectativas al respecto de nuestros clientes para que cumplir con esta regulación sea, además de una responsabilidad compartida, una historia de éxito de adaptación de una regulación, sin perjuicio de la capacidad de innovación y transformación. Esto significa que las capacidades que el Cloud de Microsoft pone en manos de sus usuarios en términos de … Identidad, autorización, detección, clasificación, protección, reporte, gestión, protección frente a amenazas, ciclo de vida de la información, operación y un larguísimo etcétera, junto con aquellos compromisos contractuales exigibles como responsables que somos del tratamiento de la información, ayudan de forma muy eficaz a los usuarios a acercarse de forma definitiva al cumplimiento de sus obligaciones regulatorias derivadas del GDPR. De hecho y dadas las enormes capacidades que en el ámbito concreto de la seguridad y la protección de la información dispone el Cloud de Microsoft (Office 365, Microsoft Azure, Dynamics o EMS), es muy probable (me atrevería a decir que casi seguro) que tanto la seguridad de la información, como la disponibilidad de los servicios ante incidentes de seguridad se vean más favorecidos mediante la utilización de los recursos que el Cloud de Microsoft pone a disposición de sus usuarios. Es difícil que un cliente por si mismo, especialmente si su negocio no es la seguridad, pueda aportar las medidas y capacidades de detección, protección y respuesta que el Cloud de Microsoft le pueda prestar, tanto en el ámbito estrictamente de cumplimento regulatorio, como en ese otro referido a la más pura ciberseguridad visualizada como la continuidad de servicios, así como el mantenimiento de la integridad y confidencialidad de la información. Cuando las cosas suceden de esta manera, estamos hablando de verdad del Microsoft Trusted Cloud, en el que detrás de cada una de estas certificaciones, la más extensa e intensa del sector, existe el trabajo intenso de un equipo mixto, local y corporativo, que ya ha adelantado una gran cantidad de reflexión, tiempo, esfuerzos y recursos (se invierten 1000 Millones de Euros /año solo en Seguridad, Privacidad, Transparencia y Cumplimiento) para que las conversaciones con reguladores y clientes transcurran de la forma más suave, productiva y eficaz cuando sea Microsoft el proveedor del servicio. En resumen, los sectores regulados (y dependiendo de que regulación podemos estar hablando de TODOS) y el Cloud Computing, hallan un punto de encuentro en lo que llamamos Microsoft Trusted Cloud, que además de ser una acertada imagen de marca sobre aquello que nuestro Marketing quiere transmitir, es el resultado real del empeño de reguladores, Microsoft Corporación, Microsoft Ibérica (y un buen número de socios que nos han acompañado en el camino) para que, sin renunciar a las necesidades de progreso, innovación y transformación de un sector, amparemos aquellos derechos de usuarios/clientes/ciudadanos preservados por esa regulación.]]> Blockchain para Superdummies https://docs.microsoft.com/archive/blogs/hectormontenegro/blockchain-para-superdummies Mon, 11 Sep 2017 10:58:54 GMT https://blogs.technet.microsoft.com/hectormontenegro/?p=3425 Y lo mejor es recurrir en la medida de lo posible a ejemplos cotidianos. Ya que acabamos de terminar el verano, supongamos, y es un suponer, que mi hija mayor se hubiera ido alegremente de vacaciones con sus amigos, y debido a algunos contratiempos (aunque a mi me parecieran más que previsibles: gasolina, comida.. vamos… llamadme vidente ) se ha quedado sin dinero antes de lo previsto, y si quiero tenerla de vuelta en algún momento, tendré que transferirle dinero para el viaje de regreso. Tras valorar los pros y contras de tenerla de vuelta 😉 (pobrecita, ella sabe que es broma), decidimos hacerle esa transferencia de 20€. Es mi hija, hay confianza, hay voluntad de hacer esa transferencia, y por parte de ella, sin duda, de recibirla. Pero aun así, yo estoy en Madrid, mi hija en Cádiz, y necesitamos de un tercero que “bendiga” esa transacción. La Bendición consiste en comprobar que yo soy yo, que tengo más de 20€ en mi cuenta, que tengo la voluntad de dárselos a mi hija, que mi hija los acepta (lo garantizo si más ciencia de por medio), que se suman en su cuenta y que desaparecen de la mía. Ese tercero, mi banco en este caso, en el que apenas pongo un pie por cierto (todo lo hago on line), y que bien podría cambiar de un día para otro a golpe de click, habrá creado en algún momento un apunte donde quede registrado que:

El 5 de Agosto del 2017, Héctor transfirió 20€ a Marina.

Esto solo lo sabemos Yo, el Banco y por supuesto Marina. Nadie ha tocado un billete (ni mi hija, que lo utilizó para echar gasolina y pago desde su tarjeta de debito). Es decir, lo único que realmente ha ocurrido es la creación de un apunte en un registro creado por un tercero, el banco, en el que todos hemos acordado confiar. Es decir, que para establecer una relación de confianza entre mi hija Marina y yo hemos dependido de un tercero. Sin valorar la confianza o no que podamos tener en ese tercero, todo comienza con la pregunta… ¿Por qué? ¿No hay alguna otra forma en la que podamos crear y mantener ese registro, que al final parece ser lo más importante, sin que un único tercero en concreto tenga que hacerlo por nosotros? Adicionalmente, alguien podría pensar que la ubicuidad física del banco, existencia de cajeros, etc, es un valor importante. Bien. Es cierto, aunque en este caso concreto, no hiciera ninguna falta. Y es que es evidente que la posibilidad de transmisión de información, cualquier tipo de información, de un punto a otro en plena era Internet NO solo está al alcance de una entidad financiera. Pues como podemos ir adivinando, la respuesta a esta situación que hemos planteado respecto a la “vida” de ese registro, se basa en Blockchain. Volvamos a Marina y a su Padre, que soy yo.Bitcoin ¿Tenemos alguna forma de no depender de un único tercero de confianza para crear y mantener ese maldito registro de los 20€? Pues si. La forma es depender de muchos. Es decir, tiene que haber mucha más gente que no quiera depender de un solo tercero de confianza en sus transacciones, y que además estén dispuestos a mantener una transparencia insólita respecto a los movimientos de sus finanzas, en la misma medida que lo hago yo. Es decir, no solo Marina y yo compartiremos la información de ese registro de los 20€ que le transferí, sino que esa información la compartimos además con toda esa comunidad que ha decidido, al igual que nosotros, confiar en este nuevo sistema de confianza en lugar de en una sola entidad (bancaria, en este caso). Ahora todos los que participamos en este mecanismo sabemos que Héctor le hizo una transferencia de 20€ a Marina el 5 de Agosto del 2017 porque TODOS tenemos una copia idéntica de ese registro donde se van anotando las transacciones. En esa hoja aparece que Héctor le hizo una transferencia a Marina de 20€, pero también que Pilar se la hizo a Andrés de 45€, que Juan recibió una transferencia de Manuel de 2500€ ….. etc… Y esa hoja, con TODOS los apuntes que vamos anotando, está en poder de TODOS. Todos han podido ver mi intención de transferir 20€ a Marina, y ver que previamente tenía al menos esa cantidad en mi cuenta para poder hacerlo. Y todos han tomado nota en sus registros de esta transacción. En ese momento, la transacción ya está completa y es efectiva. Enhorabuena Marina. De vuelta a casa. Creo que es bueno adelantar, llegados a este punto, y ante el más que probable susto que algún lector habrá sentido al leer cosas como “transparencia insólita de mis finanzas”, “todos sabemos lo de todos”, “ todos han podido ver mi transacción a Marina” etc.. que estoy utilizando identidades de personas para facilitar la compresión del mecanismo y solo con fines didácticos. En la realidad, las identidades de los usuarios de blockchain no están asociadas ni almacenan ninguna información sobre la identidad física y real de las personas. Son un pseudónimo. Una identidad en blockchain no será más que una clave pública (elemento fundamental en los sistemas de criptografía asimétrica pero que obviamente no es el objetivo de este post explicarlo aquí) sin asociación a ninguna identidad física. De hecho es común que una misma persona pueda utilizar diferentes identidades en Blockchain por motivos o propósitos diferentes. Volvamos al ejemplo. Muchos pensareis que la cantidad de registros que tenemos que ir copiando todos es enorme. Y en efecto lo es. Por eso cada vez que completamos una hoja con un número determinado de registros, la cerramos, la almacenamos, y abrimos una nueva para seguir apuntando nuevas transacciones y registros. El proceso de ir cerrando y almacenando esa pila de hojas de registros es muy importante. Ahí reside la memoria histórica de todo lo que ocurre en el sistema y por tanto de ello depende su futura consistencia y fiabilidad. Por eso lo mejor es que esas hojas con los registros que vayamos completando, apilando y almacenando, los protejamos adecuadamente. Para ello todos hemos decidido utilizar un mecanismo para proteger esa información según la vayamos almacenando. Pero… ¿Protegerla de qué? ¿Qué es lo peor que podría pasarle a esa información almacenada para que el sistema se viniera abajo? ¿Vulnerar la confidencialidad de esa información? Noooo. Hemos dicho que todos conocemos las transferencias que todos han hecho y recibido. ¿Qué alguien la robe? ¿Perdón? Tenemos millones de copias. Al menos cada persona tiene o ha tenido una copia …. ¿Qué alguien vulnere su integridad, es decir, que modifique algún registro? ¿Os imagináis que alguien pudiera generar nuevos registros falsos?¿O duplicarlos llevando el sistema a situaciones de “doble gasto” (en este caso los mismos 20€ utilizados no solo por Marina, sino también por.. ¿Nadia? desde la más árida estepa Siberiana?) Eso si sería un problema. Bueno, mas bien eso sería EL PROBLEMA. Por tanto pensemos de que forma garantizamos entro todos la INTEGRIDAD de esos registros almacenados. Es decir, como nos aseguramos que esa información permanece inalterable bajo 7 llaves (de ello depende todas las garantías que sustentan el sistema). Sin eso, todo se desmoronaría como un castillo de naipes. Si alguien consiguiera sustituir los 20€ de Marina por 20000€, el sistema ...y yo... nos resentiríamos de muerte. O si nuestra Nadia consiguiera gastarse los mismos 20€ de Marina, pero en polvorones “La Estepa” al otro lado del mundo, el sistema simplemente ya no nos serviría para nada. Es por eso por lo que este mecanismo de protección de la integridad de los registros es sin duda la piedra angular de todo el mecanismo y donde reside parte de la sofisticación del sistema Blockchain. Hasta aquí, tecnología cero. Pero ahora si hace falta entender un sencillo concepto ampliamente conocido para cualquier ingeniero o matemático, pero probablemente desconocido para personas menos técnicas. Lo llamaremos algo así como “la prueba del 9” de que algo no ha sido modificado (la he llamado así para seguir manteniendo enganchado a cualquier lector no técnico, igual que la podría haber llamado la “función chivata” o cualquier otra cosa). En este caso, la garantía de que todas las hojas almacenadas permanecen integras y nadie ha modificado ningún dato. Esa “prueba del 9” de la integridad (o P9 que llamaré a partir de ahora), se llama función de Hash (Lo sé, es obvio para muchos, pero intento dejarme en el camino al menor número de personas). Dejando de lado toda la criptografía asociada a esa función, recordemos que pretendemos ser cero técnicos, sepamos que esa función se caracteriza por devolver un resultado diferente y único a una entrada concreta. Es decir, si a nuestra función “Prueba del 9” le damos como dato de entrada el número 20, nos devuelve un resultado. Por ejemplo, y me lo invento, el resultado es este palabro: Xds21Wa. Y SIEMPRE que presentemos el número 20 a la función, nos dará el mismo resultado: Xds21Wa. Y será único. Es decir, ningún otro número de entrada a la función dará el mismo resultado. Por otro lado, no hay forma de aplicar esa función en sentido contrario. Es decir, si nos dan el palabro Xds21Wa, nunca podremos deducir que viene del número 20. Tan solo podremos confirmar una y otra vez que dando como entrada el número 20, SIEMPRE obtenemos Xds21Wa. Por qué es útil esto? Porque si aplicamos esta función “prueba del 9” a la famosa hoja de registros almacenados cuya integridad queremos proteger a toda costa, obtendremos un resultado diferente para cada hoja. ¿Y si alguien modificara un registro de esa hoja? Pues nuestra función “prueba del 9” daría un valor diferente. Es decir si aplicamos “Prueba del 9” a nuestra hoja número 324, nos dará el resultado único de R34t%6dg (me lo acabo de inventar de nuevo). Y cualquiera, en cualquier lugar del mundo que aplique la función “Prueba el 9” a la Hoja 324, obtendrá idéntico resultado (R34t%6dg). Si alguien hábilmente modifica un registro de nuestra Hoja 324, al aplicar la función “Prueba del 9” dará un resultado distinto a R34t%6dg, dejando en evidencia ante todos, porque todos podemos efectuar esa operación, que algún registro ha sido modificado. Por tanto, no admitiremos esa modificación. El Sudoku es un buen ejemplo para entender el concepto detrás de estas funciones: difícil de resolver, pero muuuyyy sencillo de comprobar por cualquiera. Releyendo hasta aquí creo que no habré perdido a nadie por el camino. Pero vamos a complicarlo solo un poquito, de verdad, con tres operaciones nuevas: Primera: Supongamos que nos inventamos una condición al resultado de aplicar la función “Prueba del 9”. Por ejemplo ¿Cuántos números, A, me darán como resultado de aplicarles la función “prueba del 9”, un resultado que empiece, por ejemplo, por “1234”? Es decir, algo así:

P9(A)=1234...

Ufff. Pues me parece que no nos va a quedar más remedio que comenzar a probar números y números a lo bruto para ver cuáles de ellos dan como resultado algo que empiece por “1234”. Y es que no hay una forma aritmética de deducirlos porque precisamente las funciones de Hash (nuestra función “Prueba del 9”) están diseñadas para que no sea posible deducir el número de entrada de una función, dado el resultado. Por tanto creo que estaremos de acuerdo que solo podemos hacerlo por fuerza bruta. Es decir, comenzando a introducir números y números y números en nuestra función “prueba del 9” e ir quedándonos con aquellos cuyo resultado haya comenzado por 1234. Es importante entender en este punto que lógicamente esto requerirá un esfuerzo computacional, verdad? Al final, de tanto probar y probar, habremos encontrado por ejemplo que nuestra Función “prueba del 9” aplicada al número, por ejemplo, 39874, nos ha dado el resultado 12349845. Por tanto el número 39874 cumple la condición. Y resulta que la función “prueba del 9” aplicada al número 3909001, también nos ha dado como resultado el numero 12349082375, cumpliendo igualmente la condición que habíamos definido. Es decir, de todos los números que hemos ido probando hasta este momento, ya hemos encontrado dos, el 39874 y el 3909001, que cumplen la condición de dar como resultado un número que empiece por 1234. Pues bien, podemos seguir buscando. Segunda: Vamos a añadir un pequeñísima dificultad en este proceso. No se trata más que de prestar un poco de atención a ese dato de entrada de nuestra función “Prueba del 9”. Vamos a cambiar ese dato de entrada por una suma de dos datos en lugar de un solo dato, ok? Es decir, en lugar de hablar de un número, al que se le aplica la función “Prueba del 9”, y que nos da un número que cumple la condición de comenzar por 1234, hablaremos de una suma de dos números a los que le aplicamos la función “prueba del 9”. Algo así como:

P9(A+B)=1234…..

Es decir, nuestra función “Prueba del 9”, que aplicada a la suma de A más B, cumpla la condición de dar un número que comience por 1234, ok? Ya nos habremos dado cuenta de que el número de soluciones será infinito a no ser que fijemos el valor de uno de los dos números. Hagámoslo. Fijamos el valor de A=20, por ejemplo. Ahora tengo que aplicar la función “prueba del 9” a la suma de 20, el valor de A, más un número B para que nos de un número que comience por 1234, ok?. Algo así:

P9(20+B)=1234….

Ahora tendríamos que probar en nuestra función “prueba del 9” un montón de valores de B para que, sumados a 20, nos de como resultado un número que cuando se le aplique la función P9, cumpla la condición de empezar por 1234, ok? Bueno. No parece una complejidad muy grande respecto a lo anterior, verdad?. Pero en este caso es interesante ver que estamos encontrando una bonita relación casi romántica obsesiva entre un par de números, convirtiéndose uno en el “guardián” del otro. B guardará la integridad de A, y A guardará la integridad de B. Es decir, podríamos decir que la integridad de A esta garantizada por B. Si alguien modificara A, al sumarse con B y aplicar a la suma nuestra función “prueba del 9”, daría un número que no comenzaría por 1234, dejando en evidencia la vulneración de la integridad de A. Y Viceversa. Podríamos decir que B se convierte en el garante de la integridad de A. Si volvemos por fin al ejemplo del registro de la olvidada transacción que hice a mi hija Marina por importe de 20€, podemos identificar esa transacción como la transacción A, y B será el guardian de que nadie modifique esa transacción. Si alguien modificara esa transacción A, al añadirle el valor de B (su guardian), veríamos que al aplicar la función “prueba del 9” a la suma, el resultado no cumpliría la condición de comenzar por 1234 (en un caso real la condición es diferente a esta simpleza que nos hemos inventado de que el resultado comience por 1234… , pero seguro que el ejemplo ha sido útil para entender todos estos conceptos básicos.  En la realidad, las condiciones tienen que ver con el numero de "ceros" con el que comience el resultado) Es decir, en el sistema de Blockchain, todos los participantes pueden comprobar de forma autónoma que B es el guardián de A, y que si se modifica cualquiera de ellos, el otro evidenciará esa vulneración de la integridad. Parece que la información de mi transacción a Marina está a salvo y hay mucha gente que está de acuerdo. Muchísima gente que está de acuerdo. La inmensa mayoría está de acuerdo. Tercera. Si hemos llegado hasta aquí sin perdernos, esto ya está hecho. Pero nos falta un pequeño detalle. La transacción que hice a Marina, la transacción A, ya está hecha, guardada, almacenada, bendecida con su clave B que impide que nadie pueda modificarla. Pero ¿Y si alguien estuviera muy interesado en modificar ese registro A, que podría hacer? Pues se me ocurre que podría realizar la modificación deseada en A, y volver a calcular un nuevo número B que sumado a A cumpliera de nuevo la condición de arrojar un resultado que comenzara por 1234. Hago la sustitución de A y B por sus nuevos valores, y ya está. El sistema vulnerado ☹. Pues vaya… ¿Para este corto viaje tantas alforjas? (realmente no es tan sencillo vulnerar así el sistema, dado que una gran mayoría tendría una copia de ese registro original y podría detectar ese intento de trampa. Pero supongamos, a efectos didácticos, que si fuera sencillo, para dar contexto a lo que sigue en esta explicación) ¿Cuál ha sido el problema y como podríamos resolverlo? Básicamente, no podemos tratar las transacciones como hechos aislados, sin ningún tipo de conexión entre si. Todo el mecanismo que hemos descrito nos ha servido para garantizar la integridad de cualquier registro en particular de forma autosostenida, y que todos los demás puedan verlo, pero independientemente de la existencia del registro vecino. De esa forma, se podría manipular y vulnerar un registro aunque no sin cierta dificultad. Llegados a este punto, estaría muy bien que pudiéramos introducir un nuevo elemento que nos relacione mi transacción A, no solo con esa especie de sello o guardian que hemos llamado B hasta ahora, sino que también lo hiciera con otra transacción vecina, que a su vez también estaría relacionada con otra, y esta con otra… y si… aquí aparece por primera vez el por que de la palabra “cadena”, chain, en esta tecnología. En este escenario, modificar un registro significaría modificar tooooda la cadena de registros vecinos….. y eso ya tiene muy pocas probabilidades de poder realizarse, verdad ?. Es decir, ese nuevo elemento que nos relacione un registro con el registro vecino lo vamos a llamar C, ok? Y que mejor que representar a ese registro vecino que con el resultado de su “prueba del 9”? De esta forma la integridad de cada registro A estará custodiada no solo por ese guardian B, sino que también por ese otro valor de C que depende del registro vecino. Es decir, que el registro A que recoge la información de la transferencia de 20€ que le hice a Marina está custodiada por ese clave B que definíamos anteriormente, pero que a su vez depende de otro elemento C que nos trae información sobre el registro vecino, en este caso el de la transferencia que Juan le hizo a Mónica por valor de 1500€…. por ejemplo. Es decir, antes teníamos que P9(A+B)= 1234….. donde A es el registro a proteger, y B tenía que ser calculado para cumplir la condición de dar un número que comenzara por 1234. Ahora tenemos que:

P9(A+B+C)=1234…..

donde A es de nuevo el registro a proteger, B tendrá que ser de nuevo calculado y C es el resultado de aplicar P9 al registro anterior. Es decir, también un número que comenzaría por 1234…. en nuestro ejemplo. De esta forma, la protección de cada registro depende de parámetros del registro anterior. Si alguien quisiera modificar el registro A utilizando ese truquillo descrito al principio de este punto, tendría que modificar el contenido de A, calcular la clave de protección B de todos los registros siguientes para mantener la consistencia del sistema. Y además conseguir repetir esa operación fraudulenta en todas las copias de los bloques, o en los de una inmensa mayoría, que no olvidemos están distribuidas entre todos los participantes en el sistema. Y todo eso me parece a mi que ya es bastante más que improbable que suceda (aunque un ejercicio teórico en el que todos los participantes del sistema blockchain, ¿millones? nos volviéramos malos malísimos, y diéramos por buena esa cadena inconsistente, se podría llevar teóricamente el sistema al traste).   Y ya para terminar, incorporemos otro concepto fundamental. Hemos hablado con bastante ligereza de aplicar funciones (nuestra manida “prueba el 9”), calcular números que cumplan condiciones etc.. Y además estos cálculos son imprescindibles para ir “sellando” los registros con esas claves B que hemos ido comentando. El sistema necesita esas claves. Pues bien, el esfuerzo computacional para realizar estos cálculos no es menor. Es muy intenso. Probar millones de entradas con nuestras función de hash (Prueba del 9) para ver cuales nos devuelven un resultado que cumpla una determinada condición (empezar por 1234), requiere mucha capacidad de proceso …. y algo de suerte 😉. En un sistema descentralizado como este nos podemos preguntar, ¿Quién lo hace? ¿Y por que lo va a hacer? La respuesta a la primera pregunta es clara: cualquiera de los participantes en el sistema de Blockchain lo puede hacer (siempre y cuando cuente con alguna capacidad de proceso). Pero siendo un proceso que requiere unos cálculos intensos, que acarrean gastos importantes en tiempo y energía, proceso, por que alguien querría hacerlo? ¿Altruismo? ¿experimentación? Pues la respuesta a ello es una recompensa tan poco original, como genial en este caso….: dinero. Si, dinero, pero como no podría ser de otra forma, en forma de Bitcoins. De hecho, el Bitcoin, como cualquier otra moneda, circula, se transfiere, se gasta, se compra, se invierte, se cambia, se regala, se roba, se ….. todo. Pero ¿Cómo se crea? O utilizando términos apropiados ¿Cómo se acuña? No existe un Banco Central que “fabrique moneda”, no. La única forma de crear Bitcoin de la nada e inyectarlos en el sistema es trabajando para el sistema ¿Cómo? Aportando potencia de cálculo para obtener esas claves B que nos vayan cerrando y guardando los registros, y que como hemos visto, son imprescindibles para la seguridad e integridad de todo el mecanismo. Si habíais oído el término “minar Bitcoins”, ya sabéis a que se refiere, por qué se hace y que se obtiene a cambio. Este esfuerzo computacional es a lo que se le denomina una prueba de trabajo, concepto fundamental en el mundo Bitcoin/Blockchain. En el proceso de minar Bitcoins, se da el dicho de “the First takes it all”. El primero que consigue una clave B válida, es decir que cumple la condición de P9(A+B+C)=1234…, cerrará ese bloque. Informará a todos de su descubrimiento, todos podrán comprobar inmediatamente que en efecto ha descubierto una clave B válida (es decir, una clave B que cumple la condición de, sumada a A y a C, dar un número que comienza por 1234...), y se llevará por ello toda la recompensa. Premio. A seguir trabajando sobre el resto de bloques. Recuerdo en este punto de nuevo el ejemplo del Sudoku: difícil de resolver, pero muy sencillo de comprobar por todos que se ha resuelto correctamente. El sistema autoregula de forma automática el factor de dificultad de la condición a cumplir para sellar un bloque (cálculo de B). Si la condición “número que comienza por 1234” comienza a ser demasiado sencilla, pongo por caso, y se tarde menos de 10 minutos de media en el cálculo de B, se incrementa automáticamente la dificultad de la condición a cumplir, por ejemplo, cambiándola por “comenzar por 12345” (recordar que es un ejemplo didáctico. En la realidad hablaremos de añadir "ceros" a la condición) En relación a su implementación tecnológica, es interesante igualmente exponer que todo el código fuente de Bitcoin es software libre (bajo una licencia libre permisiva no-copyleft), que es un proyecto de código abierto tras el que no hay nadie detrás, que cualquiera con las skills adecuadas puede participar, que nadie lo controla, sino que se gestiona en github y listas de correo públicas como cualquier otro proyecto de software libre. Y en relación a su utilización, es obvio que no hay que conocer NADA de lo que he descrito en este post para ser un feliz usuario de Bitcoins, blockchain o de cualquier otro proyecto basado en esta tecnología. Se habla mucho del uso de la tecnología de Blockchain en el ámbito empresarial, si bien algunas de sus caractaerísticas diseñadas originalmente para funcionar en un ámbito absolútamente público, descentralizado y sin gobierno, como característica fundamental de su disño, necesitan de alguna modificacón en términos de goberbnanza, confidencialidad o rendimiento,  para que se uso pueda ser ampliamente aceptado en el mundo de la empresa.Resultado de imagen para ethereum Lo escenarios de la empresa que miran a Blockchain como una solución importante a muchos retos, tienen que ver no solo con las criptomonedas o sector bancario. Hablamos de ámbitos de transferencias, registros, seguros (caso Microsoft & Maersk) votaciones, seguimiento de productos y servicios, internet de las cosas, contratos inteligentes, previsiones, musica on line, compartición de vehículos, compra de acciones y un etcetera tan largo como queramos. En este sentido, Microsoft se ha convertido en el proveedor de servicios en cloud con más atención a esta tecnologia y no en vano se acaba de anunciar por parte del CTO de la compañía, Mark Russinovich, la existencia del denominado Coco Framework sobre Microsoft Azure. Unas plataforma Open Source que habilita un Blockchain con características pensadas para su uso en el mundo de la empresa en términos de escalabilidad, gobernanza, confidencialidad. Algunos de los primeros proyectos sobre la plataforma Coco está siendo la integación de Ethereum. Y creo que lo voy a dejar aquí, pero no sin antes agradecer a mi amigo Miguel Vidal, que hace ya unos años me descubrió la existencia de este mundo, con una cerveza de por medio, y que desde entonces no he dejado de aprender de él en especial desde sus artículos, opiniones y comentarios en diferentes redes sociales, siendo en mi opinión uno de los mayores expertos en el tema. Solo con su Visto Bueno, y habiendo incorporado lo que él humildemente ha llamado “recomendaciones” ( aunque las recomendaciones de un experto son órdenes para mí 😊), me he atrevido a publicar este post.]]> 5 Razones por las que Microsoft debería ser tu socio clave en Ciberseguridad https://docs.microsoft.com/archive/blogs/hectormontenegro/5-razones-por-las-que-microsoft-deberia-ser-tu-socio-clave-en-ciberseguridad Thu, 03 Aug 2017 08:56:04 GMT https://blogs.technet.microsoft.com/hectormontenegro/?p=3416 Microsoft Secure Blog acaban de publicar y que me parece  inmejorable: When you think about cybersecurity, does Microsoft come to mind? Probably not.
Here are 5 reasons why enterprises should consider partnering with Microsoft on cybersecurity:

1. Strong Commitment to Cybersecurity

  • Significant security investments. Microsoft invests over $1 billion annually on security. Microsoft has invested significantly towards building security into our core technologies like Windows, Office, and Azure, and in making strategic acquisitions of security technologies that enhance the investments customers have already made in Microsoft. We operate the Microsoft Cyber Defense Operations Center (CDOC), a 24x7 cybersecurity and defense facility with leading security experts and data scientists that protect, detect, and respond to threats to Microsoft cloud infrastructure, products and devices, and internal resources.
  • Microsoft powered by Microsoft. We use our own hosted cloud and security solutions. Microsoft runs its business on the same multi-tenant cloud services as our customers, including those from highly regulated industries and governments.
  • World class security talent and expertise. Our dedicated engineers, researchers, forensics experts, threat hunters, and data scientists work together to make our products and services better for you. The global incident response team works around the clock to help our customers respond and recover from breaches, and our team of Executive Security Advisors, including former CISOs, leverage extensive real-world experience to partner with customers on planning and implementing sound security programs.

2. Holistic Security Approach

Microsoft takes a three-fold security approach for customers to enable their business digital transformation.
  • A Comprehensive Platform: Microsoft platform looks holistically across all the critical end-points of today's cloud & mobile world. By building security into Microsoft products and services from the start, we can deliver a comprehensive, agile platform to better protect your organization, move faster to detect threats, and respond to security breaches across even the largest of organizations. The platform serves as the framework for protecting enterprise organizations in four ways:
    • Identity and Access Management: protect user's identities and control access to valuable resources based on user risk level
    • Threat Protection: protect against advanced threats and help you recover quickly when attacked
    • Information Protection: help ensure documents and emails are seen only by the people you authorize
    • Security Management: gain visibility and control over your security resources, workflows, and policies, as well as recommendations on improving your security posture
  • Vast Intelligence: Our intelligence, which is built upon a massive amount of security related-signals from the consumer and commercial services that we operate on a global scale, powers Microsoft solutions to enable you to protect, detect, and respond to threats more effectively. Each month we:
    • Scan 400 billion emails across outlook.com and Office 365 for phishing and malware
    • Process 450 billion authentications across all cloud services
    • Execute 18+ billion Bing webpage scans
    • Update 1+ billion Windows devices
Using the tremendous breadth and depth of signal and intelligence from our various on-premises and cloud solutions deployed globally, we investigate threats and vulnerabilities and regularly publish the Microsoft Security Intelligence Report (SIR) to educate enterprise organizations on the current state of threats and recommended best practices and solutions.
  • Broad Partnerships: We're committed to being a leader in this space, but security is not a problem we can address alone. Our commitment is to make sure our products work with technology you already use. Microsoft is fostering a vibrant ecosystem of partners who help us raise the bar across the industry. We also collaborate extensively with customers and industry standards bodies to help us meet specific customer needs and industry regulations.

3. Trust-aligned Corporate Mission

Microsoft's mission is to empower every person and every organization on the planet to achieve more. As our CEO, Satya Nadella, stated, "Businesses and users are going to embrace technology only if they can trust it", and therefore we want to make sure our customers can trust the digital technology that they use, backed with the assurances they need. We've made investments in privacy and control, compliance, and transparency, and especially those features that matter the most to our customers. For example, for our cloud services, we are committed to: helping you have control over your data, enabling you to comply with applicable laws, regulations (Esquema Nacional de Seguridad, ENS, en el caso de España) and key international standards, and  being transparent with you about the collection and use of your data. Last, but not least, we are committed to safeguarding your data from hackers and unauthorized access using state-of-the-art technology, process and certifications. To learn more about Microsoft commitment to security, privacy, compliance, and transparency of our products and services, visit the Microsoft Trust Center at www.microsoft.com/trustcenter.

4. Leadership in Cybersecurity Best Practice Sharing

Microsoft collaborates extensively with governments and organizations around the world in sharing industry standards, providing guidance on cybersecurity best practices, and engaging in protecting critical infrastructure sectors. For example, even before the launch of the National Institute of Standards and Technology (NIST) Cyber Security Framework (CSF), Microsoft provided a response to the RFI and subsequently, NIST used our recommendations of focusing on protect, detect, respond, and recover functions in the NIST CSF. Microsoft's deep engagement with the Framework has allowed us to be agile in adopting it for our enterprise risk-management program, to inform and influence our security risk practices. It is also a key component in how we track security assurance and communicate about security maturity. Additionally, the Microsoft Security Development Lifecycle (SDL), established as a mandatory policy in 2004, has been designed as an integral part of the software development process at Microsoft. Combining a holistic and practical approach, the SDL introduces security and privacy early and throughout all phases of the development process. The industry has accepted practices aligned with the SDL, and we continue to adapt it to new technologies and changes in the threat landscape. Microsoft has developed guidance papers, tools, training and resources to help organizations understand and adopt the SDL. We are committed to disseminating such best practices (NIST CSF, SDL, etc.) internationally also.

5. Deep Customer Interaction

The Enterprise Cybersecurity Group (ECG) inside of Microsoft has been deeply engaging with customers across the globe to educate them on Microsoft's cybersecurity approach and services. To further help customers with their cybersecurity strategies, ECG partnered with a variety teams (Digital Crimes Unit, Cyber Defense Operations Center, Digital Risk and Security Engineering team, Cloud & Enterprise Security, Windows Security, and others) to launch a cybersecurity executive briefing center (EBC) experience. This invitation only program is designed to provide an executive level security experience for our customer's CISOs and their teams. Key benefits of the EBC experience for customers:
  1. Attendees receive a comprehensive overview of Microsoft's cybersecurity products and services aligned thematically to the Protect, Detect, and Respond framework, a common approach followed by enterprise organizations.
  2. They meet face-to-face with Microsoft security experts and leaders from engineering, product management, threat intelligence, cyber security services, information security and risk management, and more to learn about approaches, ask questions, and provide feedback in real time.
  3. Attendees learn how to improve their cyber security posture and come away with a stronger relationship with Microsoft as a trusted advisor and partner.
To learn about Microsoft's security strategy and solutions, visit: www.microsoft.com/security.
]]> Microsoft Cloud. Motor de Transformación https://docs.microsoft.com/archive/blogs/hectormontenegro/microsoft-cloud-motor-de-transformacion Thu, 01 Jun 2017 13:21:39 GMT https://blogs.technet.microsoft.com/hectormontenegro/?p=3415 Worldwide Datacenter Briefing and ToursAyer tuve la fortuna de visitar de nuevo una de las mayores infraestructuras de Cloud que hay en el mundo: el Cloud Data Center de Microsoft en Amsterdam. A principio de año pude igualmente visitar su “compañero” de Dublín. Ambas son localizaciones desde donde se ofrecen servicios de Cloud a las empresas y organismos que así lo deseen. Azure, Office 365, Dynamics 365 No se si seré capaz de transmitir las sensaciones que traigo pero en un primer pensamiento estas son las más persistentes: 1. Sensación de lo irremediable que es el tránsito al Cloud de todas aquellas empresas u organismos que realmente planeen adecuadamente el progreso de sus negocios o funciones en el ámbito digital. En otras vidas de “becario de combate” tuve el privilegio de trabajar en otros ámbitos como proyectos de “Simulación Numérica de procesos de Combustión en Centrales Térmicas”. Cuando visitaba aquellos Grupos Térmicos, y me metía en su Cámara de Combustión, que eran como edificios de 5 plantas (obviamente en fases de parada ) para observar condiciones de contorno, tenía la sensación lógicamente de estar en el corazón real de la bestia. En el corazón de la producción eléctrica que sin mayor preocupación disfrutamos posteriormente en nuestros hogares para alimentar casi el total de nuestra actividades vitales. La abstracción de la enorme complejidad de ingeniería que hay detrás del proceso de producción eléctrica nos permite disfrutar de estos servicios hoy tan básicos y comoditizados, olvidando lógicamente toda dificultad inherente a su producción y distribución. Tan solo los utilizamos a demanda, solo esperemos que siempre estén cuando se les requiera y nuestra atención se centra solo en la funcionalidad del terminal que conectemos en nuestro lado de la red. Una Bombilla? Un Ordenador? …Un Quirófano? Es la misma sensación que tengo cada vez que visito alguna de estas mastodónticas infraestructuras de Cloud. La de estar en el “Corazón de la Bestia” de la “Computación como Servicio”, en el corazón de las aspiraciones de transformación digital de muchos negocios, en el núcleo de los mejores servicios que una administración podría proporcionar a sus administrados, o en la capacitación de ese incipiente negocio de esa StartUP que tras una excelente idea, podrá contar con una capacidad de computación sin precedentes para llevarla a término. Etc.. 2. Sensación de haber estado con un pie en el presente y otro en el futuro más inmediato. Cuando veo que el terreno proyectado para la extensión física del Data Center, donde conviven 4ª y 5ª generación, es 10 veces el terreno ocupado actualmente, entiendo que tengo delante de mí una foto de cómo será el futuro de la TI más vanguardista (o incluso de la única TI posible?) Tengo la impresión de que muchos negocios serán cloud based o cloud supported, o simplemente no serán. Si añadimos que solo estoy viendo uno de los Cloud Data Centers más grandes y avanzados del mundo…. pero que a su vez es tan solo uno de los mas de 100 de similares características que Microsoft tiene por todas las geografías, puedo decir sin dudas que la conversación sobre el Cloud no es Cloud si o no. Es Cloud Cuándo y Cómo... (y con Quién) 3. La comoditización del Hardware, a favor del “Software-Defined …Everything” ….  llevando al límite el concepto de Hiperescala. Y por supuesto, la economía de escala asociada al Cloud, porque ninguna “revolución” tecnológica es posible sin una economía que la favorezca. (Hace algún tiempo compartía en este blog el contenido de una ponencia en el Congreso de los Diputados en la que planteaba el factor económico inherente al cloud. Pero era el año 2010 … y hablaba de oídas 😊. Hoy, no) El Hardware se ensambla con componentes comunes que son sustituidos inmediatamente tan pronto presenten algún mal funcionamiento, y de la misma forma la modularización de racks permite una rápida gestión, una integración total, sobre una infraestructura común, con un software resiliente, flexible y escalable. La información de esta página da una idea de lo que estamos hablando, o este tour virtual, aunque nada comparado con la experiencia de verlo in situ. Todos hemos tenido, tenemos y tendremos nuestros “momentos de la verdad” en todos los ámbitos, profesionales, familiares, personales etc.. Un Momento de la Verdad es un episodio en el cual se entra en contacto con cualquier aspecto de la empresa, persona etc y se crea una impresión definitiva sobre la calidad de su servicio, su confianza etc.. Pero también existen momentos de verdad en la relación de uno con su entorno o por que no, con su profesión. Pues bien, la visita a un Data Center de Cloud Computing de Microsoft de estas características es un Momento de Verdad para cualquiera que se dedique desde cualquier perspectiva no solo al mundo IT, sino al mundo de los negocios.]]> Premio Seguridad SIC 2017 a Microsoft !! https://docs.microsoft.com/archive/blogs/hectormontenegro/premio-sic Wed, 03 May 2017 12:31:05 GMT https://blogs.technet.microsoft.com/hectormontenegro/?p=3285 Pepe de la Peña y Luis Guillermo Fernandez, Director y Editor Jefe respectivamente de la Revista SIC. No solo es de agradecerles el éxito en mantenewp_20170426_22_31_19_pror en torno a sus iniciativas a una grupocomunidad de Seguridad activa, informada y con vocación de compartir sus circunstancias sino que también por ser desde hace ya tantos años, el punto de referencia para entender este sector en España. Los Premios SIC, para los pocos que no los conozcais, son algo así como los Oscars del Sector de la Seguridad en España. Muy deseados, pero solo al alcance de unos pocos. Haxiv-premios-sic-iin pasado 15 años desde el Securmática del año 2002. ¿Y por qué recuerdo especialmente ese ya lejano año? Pues porque eran años duros en el ámbito de la seguridad donde amenazas aun recordadas por muchos como Blaster, Slammer o Nimda campaban a sus anchas entre las infraestructuras de muchos clientes, causando importantes pérdidas de productividad. Aunque yo por aquel entonces no tenía ninguna responsabilidad explícita en el ámbito de la Seguridad en Microsoft (realmente dirigía la Ingeniería de Preventa en grandes organizaciones en esa época) si me acerqué por la cena de Securmática de ese año 2002 y saludar a gente del sector que conocía de épocas pasadas. Duraxiv-premios-sicnte el cocktail previo a la cena y entrega de premios SIC de ese año, me presentaron a la entonces Directora General de un importante IDS (Intrusion Detection System) americano, y que no sin cierta gracia, me espetó: " ¿...de Microsoft? Encantada. De hecho, gracias a tí estamos todos aquí" . No se si respondí con un "de nada, para eso estamos", un "you're welcome" o simplemente me uní a la gracia del momento. Pero desde luego, me quedó muy claro, entre otras muchas cosas, que muchas cosas habrían de cambiar para ver a Microsoft recoger algún año un premio de Seguridad de tal categoría cuando en la ecuación se te ve más cerca del problema que de la solución. 15 años después, con cientos de aventuras en el camino, 1000 Millones de Dolares de inversión en Seguridad al año, unas infraestructuras Cloud construidas desde la más exquisita y exhaustiva atención a la seguridad, en todos sus ámbitos de Protección, Detección, Respuesta, Cumplimiento etc.. y sobre todo, un gran reconocimiento, por fin, por parte del sector de la seguridad a este respecto, han hecho a Microsoft merecedores en opinión de la organización de Securmática, de ese esquivo y preciado reconocimiento Premio SIC 2017. Y además dirigido a un colectivo de 26 profesionales de Microsoft España que, bajo el nombre de #SpainSecurity, nos encargamos de trasladar y transmitir esas nuevas capacidades de Microsoft en el ámbito de la Ciberseguridad a clientes, socios y partners en España desde diferentes ámbitos. En nombre de todos y de cada uno de los 26 miembros de este equipo de Microsoft, #SpainSecurity, agradecemos mucho este reconocimiento y nos pone las pilas para seguir aprendiendo, disfrutando y compartiendo nuestro propio aprendizaje en este sector tan apasionante.]]> De premios, motivaciones y SIEMPRE agradecimientos https://docs.microsoft.com/archive/blogs/hectormontenegro/premios Tue, 18 Apr 2017 10:30:52 GMT https://blogs.technet.microsoft.com/hectormontenegro/?p=3186 La alegría del ascenso te durará tres días". Un interesante artículo sobre las motivaciones y frustraciones en el ámbito laboral y de donde extraigo especialmente esta idea, que si bien no es en absoluto novedosa, continua mereciendo una reflexión: 

"Las verdaderas motivaciones son las intrínsecas, recompensas que nos damos a nosotros mismos del tipo "siento que estoy aprendiendo"; "percibo que formo parte de un grupo exclusivo"; "soy útil en la organización"; o "me siento reconocido".

Al hilo de la lectura de ese artículo, me he animado a compartir una experiencia personal/profesional muy reciente relacionada con este asunto, y que se me hacia muy presente según avanzaba en su lectura. Aunque por otro lado siempre me surgen dudas al escribir sobre asuntos tan a medio camino entre lo personal y lo profesional. Pero recorriendo este blog a lo largo de sus mas de 140 entradas, me doy cuenta que he transitado siempre por la misma disyuntiva.... ¿Personal? ¿profesional?..  para al final ir contando lo que me ha ido pareciendo en cada momento :-)

El caso es que en Julio del 2016 tuve el enorme honor de recibir la máxima distinción que cada año otorga Microsoft para distinguir, en sus palabras, a sus:

" tie5a5955_1op performing employees WorldWide. The award represents our compaextny's ongoing commitment to recognize its finest contributors and reflects the value Microsoft places on its highest achievers. All candidates were nominated as the most significant contributors and the winners have been selected in appreciation of their passion, determination, leadership and contributions toward Microosft's success,

The Circle of Excellence platinum Club winners are etc.. etc.. .... Spain: Héctor Sánchez Montenegro, National Technology Officer ....etc. etc."

Pasó por mi cabeza la cantidad de grandes profesionales con nombre y apellidos que afortunadamente trabajan alrededor mío en Microsoft España, los cuales podrían haber sido reconocidos igualmente con esta distinción y a nadie hubiera sorprendido. Pero bueno, parece que este era mi momento :-)

Se le suele dar bastante difusión interna a este reconocimiento por lo que al poco comencé a recibir felicitaciones de mis compañeros tanto de Microsoft España, Microsoft Corporación así como de mis homólogos, los National Technology Officers de países de medio mundo.

¿Factor intrínseco en estado puro? Pues creo que si. Me sentí muy agradecido eimg_5318n primer lugar a una compañía como Microsoft con la que confieso sin rubor sentirme muy comprometido y motivado tras algunos años ya de relación laboral... con premios o sin premios.

Y también agradecido a grandes  compañeros de trabajo, y aquí los incluyo en todas las jerarquías, con los que trabajo, aprendo y colaboro cada día en la mejor armonía posible.

Y es que soy muy consciente que cualquier trabajo que hubiera llamado la atención para hacerme candidato a este reconocimiento, ha sido hecho siempre en colaboración con grandes profesionales y mejores compañeros que afortunadamente abundan en esta casa (y que si leen esto, saben quienes son)

wp_20161003_20_21_44_pro-2Microsoft Corp se vuelca en reconocimientos de todo tipo hacia los premiados de cada país. Tras una "ceremonia" de reconocimiento ante 15,000 personas, en Orlando en esta ocasión, se sucedieron todo tipo de atenciones como cartas de felicitación, un viaje para dos personas en esta ocasión a Roma, fotografías con el Leadership Team del presidente Satya Nadella, recepciones a los premiados (en Villa Medicci) , cenas de gala (inolvidable la de Cinecitta), detalles a cada paso,  etc, etc... y sobre todo, una amabilidad extrema en todo momento alrededor del premiado.

En resumen, relato estos detalles porque, además de querer compartir esta bonita historia que he vivido, entenderéis porque el artículo mencionado de " La alegría del ascenso te durará tres días"  me hacía recordar esta experiencia reciente como ejemplo de ese factor intrínseco (o motivacional) que mencionaba el artículo.

Este reconocimiento no conlleva ningún premio económico directo. Pero en mi propia experiencia fue sin duda algo más importante y motivante porque, ¿Cuanto dura una "alegría" en términos económicos? ¿Los tres días que menciona el artículo? ¿4? ¿un mes? No se. Seguro que un buen rato. Es sin duda un factor relevante, aunque puramente higiénico.

¿Cuanto dura un factor intrínseco como éste? Pues aun no lo se, porque 8 meses después y aun con el "título" en vigor  ;-), aquí estoy escribiendo sobre ello :-) :-)

]]> Nuevo Reglamento General de Protección de Datos Europeo. Una nueva era en Privacidad https://docs.microsoft.com/archive/blogs/hectormontenegro/gdpr Wed, 08 Mar 2017 22:11:11 GMT https://blogs.technet.microsoft.com/hectormontenegro/?p=3255 Reglamento General de Protección de Datos (GDPR), o RGPD en sus siglas castellanizadas,  impone nuevas condiciones a empresas, organismos gubernamentales, organizaciones sin ánimo de lucro y otras organizaciones que ofrecen bienes y servicios en la Unión Europea (UE), o que recojan y traten datos vinculados a residentes en de la UE. El GDPR aplicará con independencia de su ubicación. Microsoft considera que el GDPR representa un avance significativo en los derechos fundamentales de privacidad. Ofrece a los residentes en la UE un mayor control sobre sus “datos personales” (que se definen claramente en el GDPR). Asimismo, el GDPR pretende garantizar que los datos personales estén protegidos con independencia de dónde se envíen, traten o almacenen. Esta ley actualiza la legislación europea de privacidad por primera vez en más de dos décadas, para que estén más en consonancia con las tecnologías actuales, y aumenta la uniformidad de los reglamentos de privacidad en los distintos estados miembros de la UE. El GDPR es también una normativa compleja que puede requerir grandes cambios en la forma de recoger y tratar los datos personales. Microsoft tiene una larga tradición de ayudar a sus clientes a cumplir con legislaciones complejas. Cuando se trate de prepararse para el GDPR, estaremos ahí para ayudarle. Ayuda para el cumplimiento del GDPR ¿Por dónde empiezo? Compromiso de Microsoft con el GDPR Productos y servicios empresariales de Microsoft y el GDPR Preguntas frecuentes
 

Ayuda para el cumplimiento del GDPR

Queremos ayudarle a enfocarse en su negocio principal al tiempo que se prepara para el GDPR. Nuestro objetivo es facilitar el cumplimiento del GDPR mediante el uso de tecnología inteligente, innovación y colaboración. En la actualidad existen productos y servicios de Microsoft que le ayudan a cumplir los requisitos del GDPR, y estamos invirtiendo en otras características y funcionalidades adicionales. Gracias a nuestros servicios en la nube y soluciones locales le ayudaremos a ubicar y categorizar los datos personales existentes en sus sistemas, crear un entorno más seguro, simplificar la administración y supervisión de los datos personales, y ofrecerle las herramientas y los recursos necesarios para cumplir con los requisitos de presentación de informes y evaluación del GDPR. Compartiremos lo que aprendamos durante nuestro proceso de adaptación para facilitar el suyo. Le mostraremos cómo nuestros productos y servicios para empresas, como Azure, Dynamics 365, Enterprise Mobility + Security, Office 365 y Windows 10, pueden agilizar ese proceso hoy mismo.  

¿Por dónde empiezo?

El GDPR contiene muchos requisitos sobre la forma de recoger, almacenar y usar los datos personales. Esto no solo se refiere a cómo identificar y proteger los datos personales contenidos en sus sistemas, sino también la forma de satisfacer los nuevos requisitos de transparencia, detectar y notificar los incidentes de seguridad con los datos personales, y entrenar al personal y a los empleados sobre la privacidad. Por todo lo que esto conlleva, no debe esperar hasta la entrada en vigor del Reglamento en mayo de 2018 para prepararse. Debe empezar a revisar ahora sus prácticas de privacidad y administración de datos. El incumplimiento del GDPR puede salir muy caro, ya que las empresas que no cumplan sus requisitos y obligaciones pueden tener que afrontar fuertes multas y daños en su reputación. Se recomienda que comience el proceso de cumplimiento del GDPR centrándose en cinco pasos clave: (1) Detección: identificar qué datos personales tiene y dónde residen; (2) Control: administrar el uso y el acceso a los datos personales; (3) Protección: establecer controles de seguridad para impedir, detectar y responder a las vulnerabilidades y los incidentes de seguridad de los datos; (4) Notificación: tramitar las solicitudes de acceso a los datos por parte de los interesados y conservar la documentación necesaria; (5) Revisión: analizar los datos y sistemas para asegurar el cumplimiento y reducir riesgos.
Los productos y servicios de Microsoft proporcionan soluciones eficaces para abordar estos pasos en su proceso hacia el cumplimiento del GDPR. Para obtener más información sobre cómo los productos y servicios de Microsoft pueden ayudarle a prepararse para cumplir con el GDPR, consulte las secciones relativas a Azure, Dynamics 365, Enterprise Mobility + Security, Office 365 y Windows 10.

Compromiso de Microsoft con el GDPR

Los objetivos del GDPR están en consonancia con el compromiso que Microsoft ha asumido desde hace tiempo con la seguridad, privacidad y transparencia. Estamos trabajando para que nuestros productos y servicios se adapten al GDPR antes de mayo de 2018. Estamos actualizando las características y funcionalidades de todos nuestros servicios para satisfacer los requisitos del GDPR, y estamos actualizando la documentación y los contratos con los clientes para que reflejen los requisitos del GDPR. Microsoft cuenta con el conjunto de funciones de cumplimiento más completo de los proveedores de servicios en la nube. Asimismo, somos líderes de la industria en la colaboración con clientes, organismos reguladores y comités de normas para acelerar el cumplimiento y atender las necesidades de los clientes. Seguiremos colaborando estrechamente con usted mientras nos preparamos juntos para la entrada en vigor del GDPR.

Productos y servicios empresariales de Microsoft y el GDPR

Microsoft Azure y el GDPR Al diseñar Azure, Microsoft incorporó directrices de privacidad y medidas de seguridad líderes de la industria para proteger los datos en la nube, incluidas las categorías de datos personales identificadas por el GDPR. Azure puede ayudarle en el proceso de reducir riesgos y asegurar el cumplimiento del GDPR. Un requisito fundamental del GDPR es identificar los datos que tiene y controlar quién tiene acceso a ellos. Azure le permite administrar las identidades y credenciales de los usuarios, así como controlar el acceso a los datos, de varias maneras:
  • Azure Active Directory (Azure AD) le ayuda a garantizar que únicamente los usuarios autorizados pueden tener acceso a sus entornos informáticos, datos y aplicaciones. Ofrece herramientas como Multi-Factor Authentication para lograr inicios de sesión de alta seguridad. Además, Azure AD Privileged Identity Management le ayuda a reducir los riesgos que entrañan los privilegios administrativos mediante control, administración y notificación de accesos.
  • Microsoft Azure Information Protection ayuda a garantizar que los datos son identificables y están protegidos, un requisito fundamental del GDPR, independientemente de dónde se almacenen o de cómo se compartan. Puede clasificar, etiquetar y proteger datos nuevos o ya existentes, compartirlos de forma segura con personas de su organización o ajenas a ella, realizar un seguimiento de su uso e incluso revocar el acceso de forma remota. Azure Information Protection incluye también innumerables funciones de registro y generación de informes para supervisar la distribución de los datos, además de opciones para administrar y controlar las claves de cifrado.
La protección de los datos personales contenidos en sus sistemas, así como la generación de informes y la revisión del cumplimiento, son requisitos fundamentales del GDPR. Los siguientes servicios y herramientas de Azure le ayudarán al cumplimiento de estas obligaciones del GDPR:
  • Azure Security Center le permite tener visibilidad y control sobre la seguridad de sus recursos de Azure. Supervisa continuamente los recursos, ofrece recomendaciones de seguridad útiles, y le ayuda a impedir amenazas, detectarlas y responder a ellas. Las funciones avanzadas de análisis integradas de Azure Security Center le ayudan a identificar ataques que de otro modo podrían no detectarse.
  • Cifrado de datos en Azure Storage protege tanto los datos en reposo como los datos en tránsito. Por ejemplo, puede cifrar automáticamente los datos mediante Storage Service Encryption cuando se escriben en Azure Storage. También puede usar Azure Disk Encryption para cifrar los discos de datos y sistemas operativos usados por las máquinas virtuales. Los datos están protegidos en el tránsito entre una aplicación y Azure, por lo que siguen siendo seguros en todo momento.
  • Azure Key Vault le permite proteger las claves criptográficas, los certificados y las contraseñas que contribuyen a la protección de los datos. Key Vault emplea módulos de seguridad de hardware (HSM, por sus siglas en inglés) y está diseñado para que pueda mantener el control de las claves y, por tanto, de los datos, incluida la garantía de que Microsoft no puede ver ni extraer sus claves. Puede supervisar y auditar el uso de las claves almacenadas con el registro que hace Azure, así como importar los registros en Azure HDInsight o en su SIEM para realizar análisis y detección de amenazas adicionales.
  • Log Analytics: Azure proporciona opciones configurables de registro y auditoría de seguridad que pueden ayudarle a identificar y subsanar vacíos en las directrices de seguridad para evitar incidentes de seguridad. Además, Log Analytics le ayuda a recoger y analizar los datos generados por los recursos en sus entornos locales o en la nube. Proporciona información en tiempo real mediante paneles de búsqueda y personalizados integrados para que pueda analizar inmediatamente millones de registros en todas las cargas de trabajo y los servidores con independencia de su ubicación física.
Para obtener más información, visite nuestra información general sobre Servicios y tecnologías de seguridad de Azure. Microsoft Dynamics 365 y el GDPR Al diseñar Dynamics 365, Microsoft incorporó directrices de privacidad y medidas de seguridad líderes de la industria para proteger los datos en la nube, incluidas las categorías de datos personales identificadas por el GDPR. Dynamics 365 puede ayudarle en el proceso de reducir riesgos y garantizar el cumplimiento del GDPR. El control de quién tiene acceso a los datos personales es un factor clave para proteger esos datos, y la seguridad de los datos es un requisito fundamental del GDPR. Dynamics 365 le permite administrar y controlar el acceso a los datos de varias maneras:
  • La seguridad basada en roles de Microsoft Dynamics 365 le permite agrupar conjuntos de privilegios que limitan las tareas que un usuario determinado puede realizar. Se trata de una función importante, sobre todo cuando las personas asumen distintos roles dentro de una organización.
  • La seguridad basada en registros de Dynamics 365 le permite restringir el acceso a determinados registros.
  • La seguridad en el nivel de campo de Dynamics 365 le permite restringir el acceso a determinados campos que tienen un gran impacto para el negocio, como la información de identificación personal.
  • Azure Active Directory (Azure AD) ayuda a proteger Dynamics 365 contra accesos no autorizados al simplificar la administración de usuarios y grupos, y permitirle asignar y revocar privilegios fácilmente. Azure AD incluye herramientas como Multi-Factor Authentication para conseguir inicios de sesión de alta seguridad. Además, Azure AD Privileged Identity Management le ayuda a reducir los riesgos que entrañan los privilegios administrativos mediante control, administración y notificación de accesos.
Otro requisito esencial del GDPR es la protección de los datos personales que usted controla o trata. Dynamics 365 se ha diseñado para optimizar la seguridad de los datos:
  • Ciclo de vida de desarrollo de software es un proceso obligatorio de Microsoft que incluye requisitos de seguridad en cada fase del proceso de desarrollo. Dynamics 365 se ha diseñado usando el ciclo de vida de desarrollo de seguridad.
  • El cifrado de los datos cuando están en tránsito entre los dispositivos de sus usuarios y nuestros centros de datos, así como cuando están en reposo en una base de datos de Microsoft, ayuda a proteger sus datos de Dynamics 365 en todo momento.
Para obtener más información, visite nuestro Centro de confianza de Dynamics 365. Microsoft Enterprise Mobility + Security y el GDPR La protección y tratamiento de los datos personales son esenciales para usted, para sus clientes y para el cumplimiento de los futuros requisitos del GDPR. Al diseñar Enterprise Mobility + Security, Microsoft incorporó funciones de seguridad líderes de la industria para proteger los datos de los clientes, tanto en la nube como en los sistemas locales. Esto incluye todos los datos personales con independencia de su recorrido entre sus usuarios, dispositivos y aplicaciones. Enterprise Mobility + Security ofrece tecnologías y soluciones innovadoras que pueden ayudarle en el proceso de reducir riesgos y asegurar el cumplimiento del GDPR. Al diseñar Enterprise Mobility + Security, Microsoft incorporó funciones de seguridad líderes de la industria para proteger los datos en la nube, incluidas las categorías de datos personales identificadas por el GDPR. Enterprise Mobility + Security puede ayudarle en el proceso de reducir riesgos y garantizar el cumplimiento del GDPR. Entre las obligaciones del GDPR se incluyen detectar qué datos personales mantiene y dónde residen, controlar el acceso y el uso que hacen sus usuarios de los datos personales, establecer controles de seguridad para impedir, detectar y responder a las vulnerabilidades y a los incidentes de seguridad de los datos. Enterprise Mobility + Security ofrece tecnologías de seguridad basadas en identidades que le ayudan a detectar, controlar y proteger los datos personales de los que disponga su organización, desvelar posibles puntos ciegos y detectar cuándo se producen incidentes de seguridad de los datos:
  • Azure Active Directory (Azure AD) le ayuda a garantizar que únicamente los usuarios autorizados pueden tener acceso a sus entornos informáticos, datos y aplicaciones. Ofrece herramientas como Multi-Factor Authentication para conseguir inicios de sesión de alta seguridad. Además, Azure AD Privileged Identity Management le ayuda a reducir los riesgos que entrañan los privilegios de acceso de administrador mediante control, administración y notificación de estos roles administrativos fundamentales.
  • Microsoft Cloud App Security le ayuda a detectar todas las aplicaciones en la nube de su entorno, identificar a los usuarios y el uso que hacen de ellas, y obtener una puntuación de riesgos de cada aplicación. Con esos datos, puede decidir si desea que sus usuarios tengan acceso o no a estas aplicaciones. Cloud App Security ofrece visibilidad, control y protección contra amenazas para los datos almacenados en esas aplicaciones en la nube. Puede determinar su concepto de seguridad en la nube definiendo directrices y empleándolas en las aplicaciones en la nube de Microsoft y de terceros. Por último, siempre que Cloud App Security detecta una anomalía, le envía una alerta.
  • Microsoft Intune le ayuda a proteger los datos que pueden estar almacenados en ordenadores y dispositivos móviles. Puede controlar el acceso, cifrar dispositivos, eliminar datos de dispositivos móviles de forma selectiva, y controlar qué aplicaciones almacenan y comparten datos personales. Intune puede ayudarle a informar a los usuarios sobre sus decisiones de tratamiento publicando una declaración de privacidad y unos términos de uso personalizados. También le ofrece la posibilidad de cambiar el nombre o desconectar dispositivos.
  • Microsoft Azure Information Protection ayuda a garantizar que los datos son identificables y están protegidos, un requisito fundamental del GDPR, independientemente de dónde se almacenen o de cómo se compartan. Puede clasificar, etiquetar y proteger datos nuevos o ya existentes, compartirlos de forma segura con personas de su organización o ajenas a ella, realizar un seguimiento de su uso e incluso revocar el acceso de forma remota. Azure Information Protection incluye también innumerables funciones de registro y generación de informes para supervisar la distribución de los datos, además de opciones para administrar y controlar las claves de cifrado.
  • Microsoft Advanced Threat Analytics contribuye a localizar incidentes de seguridad e identifica a los atacantes mediante tecnologías innovadoras de análisis del comportamiento y detección de anomalías. Advanced Threat Analytics se implementa localmente y funciona con su implementación actual de Active Directory. Emplea machine learning y los últimos análisis del comportamiento de usuarios y entidades para ayudarle a encontrar amenazas avanzadas persistentes y detectar actividades sospechosas y ataques malintencionados realizados por delincuentes informáticos a fin de identificar incidentes de seguridad antes de que causen daños a su negocio.
Para obtener más información, visite nuestra página web de Microsoft Enterprise Mobility + Security. Microsoft Office 365 y el GDPR Al diseñar Office y Office 365, Microsoft incorporó directrices de privacidad y medidas de seguridad líderes de la industria para proteger los datos en la nube, incluidas las categorías de datos personales identificadas por el GDPR. Office y Office 365 pueden ayudarle en el proceso de reducir riesgos y garantizar el cumplimiento del GDPR. Un paso esencial para poder satisfacer las obligaciones del GDPR es detectar y controlar qué datos personales mantiene y dónde residen. Existen diversas soluciones de Office 365 que pueden ayudarle a identificar o administrar el acceso a los datos personales:
  • Prevención de pérdida de datos (DLP) de Office y Office 365 puede identificar más de 80 tipos de datos confidenciales comunes, incluida información financiera, médica y de identificación personal. Además, DLP permite a las organizaciones configurar las medidas que se adoptarán tras la identificación para proteger la información confidencial e impedir su divulgación accidental.
  • Tratamiento avanzado de datos usa inteligencia e información asistida por máquinas para ayudarle a encontrar, clasificar, definir directivas y adoptar medidas para administrar el ciclo de vida de los datos más importantes para su organización.
  • Se puede usar la búsqueda de eDiscovery de Office 365 para encontrar texto y metadatos en el contenido de sus recursos de Office 365: SharePoint Online, OneDrive for Business, Skype Empresarial Online y Exchange Online. Además, eDiscovery avanzado de Office 365 emplea tecnologías de machine learning y puede ayudarle a identificar documentos pertinentes para un tema concreto (por ejemplo, una investigación de cumplimiento normativo) rápidamente y con mayor precisión que las búsquedas tradicionales por palabras clave o las revisiones manuales de enormes cantidades de documentos.
  • Customer Lockbox para Office 365 puede ayudarle a satisfacer las obligaciones de cumplimiento normativo relativas a la autorización expresa de acceso a los datos durante las operaciones de servicio. Cuando un ingeniero de Microsoft necesita tener acceso a sus datos, el control de acceso se extiende a usted para que pueda aprobar dicho acceso. Las acciones emprendidas quedan registradas y tiene acceso a ellas para que se puedan auditar.
Otro requisito esencial del GDPR es la protección de los datos personales contra las amenazas de seguridad. Entre las características actuales de Office 365 que protegen los datos e identifican cuándo se produce un incidente de seguridad de los datos cabe citar:
  • Advanced Threat Protection de Exchange Online Protection contribuye a proteger el correo electrónico contra nuevos ataques sofisticados de malware en tiempo real. También permite crear directrices que impiden el acceso de los usuarios a datos adjuntos o sitios web malintencionados cuyo vínculo se envía por correo electrónico.
  • Inteligencia contra amenazas le ayuda a detectar y protegerse de manera proactiva frente a amenazas avanzadas en Office 365. La información detallada sobre las amenazas, obtenida gracias a la presencia global de Microsoft, el gráfico de la seguridad inteligente y las aportaciones de los buscadores de amenazas informáticas, le ayuda a habilitar rápida y eficazmente alertas, directivas dinámicas y soluciones de seguridad.
  • Administración de seguridad avanzada le permite identificar usos anormales y de alto riesgo, que le alertarán de posibles incidentes de seguridad. También permite configurar directivas de actividad para hacer un seguimiento y responder a las actividades de alto riesgo.
  • Por último, con los registros de auditoría de Office 365 puede supervisar y hacer seguimiento de las actividades de los administradores y usuarios en todas las cargas de trabajo de Office 365, lo que facilita la detección e investigación temprana de problemas de seguridad y cumplimiento normativo.
Para obtener más información, visite el Centro de confianza de Office 365. Windows 10 y Windows Server 2016 y el GDPR Al diseñar Windows 10 y Windows Server 2016, Microsoft incorporó directrices de privacidad y medidas de seguridad líderes de la industria para ayudar a proteger los datos en la nube, incluidas las categorías de datos personales identificadas por el GDPR. Las funciones de seguridad disponibles actualmente en Windows 10 y Windows Server 2016 pueden ayudarle en el proceso de reducir riesgos y asegurar el cumplimiento del GDPR. Un requisito fundamental del GDPR es la protección de los datos personales. Microsoft considera que una seguridad eficaz tiene que ser integral, desde los sistemas de escritorio hasta los servidores en los que residen los datos. Windows 10 y Windows Server 2016 incluyen cifrado, tecnologías antimalware y soluciones de identidad y acceso punteras que le permiten dejar de usar contraseñas y emplear formas de autenticación más seguras:
    • Windows Hello es una alternativa cómoda de nivel empresarial a las contraseñas que emplea un método natural (biométrico) o familiar (PIN) para validar su identidad, por lo que brinda las ventajas de seguridad que ofrecen las tarjetas inteligentes sin necesidad de adquirir periféricos adicionales.
    • Windows Defender es una sólida solución antimalware que funciona desde el primer momento para ayudarle a estar protegido. Windows Defender detecta y le protege rápidamente contra el malware que pueda surgir, y puede contribuir a proteger inmediatamente sus dispositivos en cuanto se observe una amenaza en cualquier parte de su entorno.
    • Device Guard le permite bloquear dispositivos y servidores para protegerlos contra variantes de malware nuevas y desconocidas, así como amenazas persistentes avanzadas. A diferencia de las soluciones que se basan en la detección, como los programas antivirus que necesitan actualizaciones constantes para detectar las amenazas más recientes, Device Guard bloquea los dispositivos para que solo puedan ejecutar las aplicaciones autorizadas que usted elija, lo que supone una forma eficaz de combatir el malware.
    • Credential Guard es una funcionalidad que aísla información confidencial en un dispositivo, como los tokens de Inicio de sesión único, de los accesos aún en caso de que todo el sistema operativo Windows se vea comprometido. Básicamente, esta solución impide el uso de ataques difíciles de defender como “pass the hash”.
    • Cifrado de unidad BitLocker de Windows 10 y Windows Server 2016 ofrece cifrado de nivel empresarial para ayudar a proteger los datos cuando se pierde o se roba un dispositivo. BitLocker cifra totalmente las unidades de disco y flash del ordenador para impedir el acceso a los datos por parte de usuarios no autorizados.
    • Windows Information Protection continúa donde lo dejó BitLocker. Si bien BitLocker protege todo el disco de un dispositivo, Windows Information Protection protege sus datos frente a usuarios no autorizados y aplicaciones que se ejecutan en un sistema. También ayuda a impedir la filtración de datos de la empresa a documentos o ubicaciones de Internet que no pertenecen a su empresa.
    • Máquinas virtuales blindadas le permite usar BitLocker para cifrar discos y máquinas virtuales (VM) que se ejecutan en Hyper-V para impedir que administradores en peligro o malintencionados ataquen el contenido de las VM protegidas.
  • Gracias a Administración "Just Enough" y Administración "Just in Time", los administradores pueden realizar sus funciones y tareas habituales, pero usted puede limitar el ámbito de competencias y el tiempo de actuación de los administradores. Si una credencial con privilegios se ve comprometida, la magnitud de los daños es muy limitada. Esta técnica solo ofrece a los administradores el nivel de acceso que necesitan durante el tiempo en que trabajan en el proyecto.
Para obtener más información, visite nuestra información general sobre la seguridad de Windows 10 y la seguridad de Windows Server 2016.

Preguntas frecuentes

¿Cómo afectará el GDPR a mi compañía? El GDPR contiene muchos requisitos sobre la forma de recoger, almacenar y usar la información personal. Esto no solo se refiere a cómo identificar y proteger los datos personales contenidos en sus sistemas, sino también la forma de satisfacer los nuevos requisitos de transparencia, detectar y notificar los incidentes de seguridad con los datos personales, y entrenar al personal y a los empleados sobre la privacidad. Por todo lo que esto conlleva, no debe esperar hasta la entrada en vigor del Reglamento para prepararse. Debe empezar a revisar ahora sus prácticas de privacidad y administración de datos. El incumplimiento del GDPR puede salir muy caro, ya que las empresas que no cumplan sus requisitos y obligaciones pueden tener que afrontar fuertes multas y daños en su reputación. ¿Qué derechos deben permitir las compañías con arreglo al GDPR? El GDPR ofrece a los residentes de la UE control sobre sus datos personales mediante una serie de “derechos de los interesados”. Esto incluye el derecho a:
  • Tener acceso a la información en un lenguaje sencillo sobre cómo se usan sus datos personales
  • Tener acceso a sus datos personales
  • Solicitar la eliminación o corrección si sus datos personales son erróneos
  • Solicitar la rectificación y eliminación de sus datos personales en determinadas circunstancias (lo que en ocasiones se denomina el “derecho al olvido”)
  • Restringir u oponerse al tratamiento de sus datos personales
  • Recibir una copia de sus datos personales
  • Oponerse al tratamiento de sus datos para usos específicos, como marketing o generación de perfiles
¿A cuánto pueden ascender las multas a las empresas por incumplimiento? Las empresas pueden ser sancionadas con multas de hasta 20 millones de euros o el 4% de su volumen anual de negocios global, lo que sea mayor, por el incumplimiento de ciertos condiciones del GDPR. Otros recursos individuales adicionales pueden aumentar el riesgo si deja de cumplir los requisitos del GDPR. ¿Qué son los datos personales? Los datos personales son toda información sobre una persona física identificada o identificable. No se establece ninguna distinción entre los roles privado, público o profesional de una persona. Los datos personales pueden incluir:
  • Nombre
  • Dirección de correo electrónico
  • Publicaciones en las redes sociales
  • Información física, fisiológica o genética
  • Información médica
  • Ubicación
  • Datos bancarios
  • Dirección IP
  • Cookies
  • Identidad cultural
¿El GDPR se aplica tanto a los encargados como a los responsables del tratamiento de datos? Sí, el GDPR se aplica tanto a los responsables como a los encargados del tratamiento de datos. Un responsable está a cargo de los datos, mientras que un encargado trata los datos a petición del responsable del tratamiento. Los responsables solo deben emplear encargados que adopten medidas para adecuarse a los requisitos del GDPR. Un responsable determina el por qué y cómo tratar los datos personales, mientras que el encargado realiza operaciones sobre los datos personales en nombre del responsable. Según el GDPR, los encargados tienen que hacer frente a obligaciones y responsabilidades adicionales por incumplimiento, o por actuar al margen de las instrucciones proporcionadas por el responsable del tratamiento. Entre las funciones de los encargados del tratamiento se incluyen:
  • Tratar los datos solo como se les ha indicado
  • Adoptar las medidas técnicas y organizativas adecuadas para tratar datos personales
  • Eliminar o devolver los datos personales al responsable
  • Tener permiso para contratar a otros encargados
¿Mi negocio necesita nombrar un responsable de la protección de datos (DPO)? Depende de varios factores identificados en la normativa. Si su empresa tiene que nombrar un responsable de la protección de datos (DPO), el DPO es responsable de informar a los empleados sobre sus obligaciones de cumplimiento normativo, además deberá realizar la supervisión, los cursos y las auditorías que el GDPR estipula. ¿Cómo cambia el GDPR la respuesta de una organización a los incidentes de seguridad de los datos personales? El GDPR cambiará los requisitos de protección de datos y aplicará obligaciones más estrictas a los encargados y responsables del tratamiento de datos en cuanto a la notificación de incidentes de seguridad con los datos personales que supongan un riesgo para las libertades y los derechos individuales. Conforme al nuevo reglamento, el encargado del tratamiento debe notificar al responsable del tratamiento de cualquier incidente de seguridad con los datos personales inmediatamente después de conocerlo sin retrasos injustificados. Una vez que tenga conocimiento de un incidente de seguridad, el responsable del tratamiento debe notificarlo a la autoridad competente en materia de protección de datos dentro de las 72 horas siguientes. Si es probable que el incidente de seguridad suponga un riesgo para los derechos y las libertades de las personas, los responsables también tendrán que notificárselo a las personas afectadas sin demora. Los productos y servicios de Microsoft, como Azure, Dynamics 365, Enterprise Mobility + Security, Office 365 y Windows 10, cuentan con soluciones que le ayudan a detectar y evaluar las amenazas y los incidentes de seguridad, y a cumplir las obligaciones de notificación de incidentes establecidas en el GDPR. ¿El GDPR aborda el cifrado? En el GDPR, el cifrado se considera una medida de protección que convierte los datos personales en incomprensibles cuando se ven afectados por un incidente de seguridad. Por tanto, el uso o no del cifrado puede afectar los requisitos de notificación de un incidente de seguridad de los datos personales. El GDPR también señala el cifrado como una medida técnica u organizativa adecuada en algunos casos, en función del riesgo. Asimismo, el cifrado es un requisito de Payment Card Industry Data Security Standard y forma parte de las estrictas directrices de cumplimiento normativo específicas de la industria de los servicios financieros. Los productos y servicios de Microsoft como Azure, Dynamics 365, Enterprise Mobility + Security, Office 365 y Windows 10 ofrecen un cifrado sólido de los datos en tránsito y en reposo. ¿Cuánto costará el cumplimiento del GDPR? El cumplimiento del GDPR costará tiempo y dinero a la mayoría de las organizaciones, si bien la transición puede ser más sencilla para aquellas que operen en un modelo de servicios en la nube bien diseñado y dispongan de un programa eficaz de gobernanza de los datos. ¿Dónde puedo obtener más información sobre el GDPR? Para obtener más información sobre el Reglamento General de Protección de Datos (GDPR), visite http://ec.europa.eu/justice/data-protection/reform/index_en.htm. Para obtener más información sobre cómo determinados productos de Microsoft pueden ayudarle a prepararse para cumplir con el GDPR, consulte las secciones relativas a Azure, Dynamics 365, Enterprise Mobility + Security, Office 365 y Windows 10.  
]]> Cybersecurity... is here to stay... https://docs.microsoft.com/archive/blogs/hectormontenegro/cybersecurity-is-here-to-stay Wed, 26 Oct 2016 09:11:54 GMT https://blogs.technet.microsoft.com/hectormontenegro/?p=3165 gestión del riesgo y asumir de una vez que el riesgo cero NO existe? ¿Qué la ciberseguridad está aquí para quedarse y nunca será un concepto del pasado?Captura ¿Es tan dramático aceptar esa tesis de partida? En el mundo NO Digital nadie busca la seguridad absoluta, y a cada paso gestionamos casi de forma automática el riesgo, basados en nuestra capacidad, experiencia y entorno social. Coger el coche cada mañana para desplazarnos a nuestro lugar de trabajo implica una gestión del riesgo implícita, casi automática, en la que los beneficios de tal acción se ven claramente superados por las amenazas derivadas del uso del vehículo. Esa decisión estará muy determinada por nuestra capacidad al volante, experiencia como conductor y entorno social (seguro que nuestro análisis de riesgo es distinto si conduces en Madrid o en Hanoy ). El mundo Digital no es muy diferente. La ecuación nos seguirá saliendo indudablemente favorable al uso de la tecnología en nuestros procesos de transformación digital e igualmente saldremos “a conducir”. Pero no deberemos descuidar nuestras capacidades, nuestra experiencia y entorno en nuestro análisis del riesgo, ya sea por nuestros medios propios o por medios ajenos (con mayor capacidad y experiencia) Este ataque parece que ha sido provocado por una red de botnets (miles de dispositivos previamente infectados y controlados para lanzar ataques masivos a un punto en concreto). Ya sabemos que estas redes de Botnets casi siempre han estado protagonizadas por PCs “secuestrados”, pero en esta ocasión los dispositivos “zombies” han sido dispositivos más básicos, como Routers, o elementos típicos del IoT como cámaras de video etc.. El objetivo fundamental han sido los servicios de DNS (resolución de nombres, y probablemente uno de los grandes talones de Aquiles del diseño de internet) de un gran proveedor de internet como Dyn. Pero por lo que voy leyendo, hay muchas circunstancias sobre las que reflexionar:
  1. ¿Por qué el proveedor no tenía protegidos convenientemente sus DNSs cuando hay tecnologías y procedimientos conocidos que le hubieran ayudado? ¿Se consideró y/o protocolizó un escenario de riesgo que contemplara un ataque de esas características a sus DNSs, siendo como son un punto crítico para el servicio? Buena oportunidad de aprendizaje !
  2. ¿Por qué grandes servicios o empresas en internet, grandes clientes y compañías, dependen de la resolución de nombres de un solo proveedor? Algunos clientes de Dyn no han sufrido el ataque simplemente porque tuvieron esa precaución. Ha sido especialmente comentado el cuidado que determinados servicios del mundo del porno, clientes de Dyn, han tenido para poder continuar con su operación habitual.  Ellos si tenían redundados sus proveedores del servicio de DNS, mientras que otros “gigantes” por todos conocidos, sorprendentemente no. Mi buen amigo Miguel Vidal (@mvidallopez) publicaba recientemente esta prueba de lo que digo:
fotoMiguelVidal
  • 3.- La gran mayoría de los elementos infectados en esta red de botnets lo han sido por descuidar las actualizaciones de seguridad. Tienen mucho camino por delante para llegar al nivel de automatización y corrección remota de problemas de seguridad que por ejemplo tienen el mundo Windows. A veces es un fastidio? Si. Pero el resultado es que cada vez resulta más complicado comprometer dispositivos correctamente actualizados y configurados como los basados en Windows 10, y el mundo de los routers domésticos o elementos IoT está a años luz a este respecto en cuanto a capacidades básicas de actualización y corrección de vulnerabilidades.

A este respecto recomiendo leer el artículo de Bruce Schneier sobre estos asuntos donde literalmente dice:

 

“Our computers and smartphones are as secure as they are because there are teams of security engineers working on the problem. Companies like Microsoft, Apple, and Google spend a lot of time testing their code before it's released, and quickly patch vulnerabilities when they're discovered. Those companies can support such teams because those companies make a huge amount of money, either directly or indirectly, from their software­ -- and, in part, compete on its security. This isn't true of embedded systems like digital video recorders or home routers. Those systems are sold at a much lower margin, and are often built by offshore third parties. The companies involved simply don't have the expertise to make them secure.

Even worse, most of these devices don't have any way to be patched. Even though the source code to the botnet that attacked Krebs has been made public, we can't update the affected devices. Microsoft delivers security patches to your computer once a month. Apple does it just as regularly, but not on a fixed schedule. But the only way for you to update the firmware in your home router is to throw it away and buy a new one”

 

Igualmente, los proveedores de servicios de internet en el mundo del consumo, también tienen, como todos, un gran espacio de mejora y poco a poco deberán ir eliminando esas políticas que dejan en manos de usuarios ciertas responsabilidades en materia de seguridad que no deberían, como p.e. el uso de credenciales de autenticación muy débiles y comunes a todos los routers de sus clientes (Admin, 1234 etc..) o establecer la instalación de routers que permitan al menos una adecuada gestión remota de las actualizaciones de seguridad, para evitar lo que comenta Schneier en su artículo (“But the only way for you to update the firmware in your home router is to throw it away and buy a new one”)

Es decir, como bien apunta Bruce Schenier, compañías como Microsoft llevan mucho tiempo marcando el camino hacia una mayor seguridad en todos sus ámbitos, conscientes de que no hay transformación digital posible desde la falta de confianza en la tecnología. Pero es un camino que todos los  participantes de esta “maraña digital” deberán transitar más pronto que tarde, y muy especialmente (aunque no solo, a la vista de lo ocurrido en este suceso) esos players del mundo IoT para los que la seguridad nunca ha sido un factor esencial sino más bien un gasto prescindible y cuyos dispositivos pueden ser hackeados en tres minutos.]]> No es un triunfo de Microsoft. Lo es de la LIBERTAD en Internet https://docs.microsoft.com/archive/blogs/hectormontenegro/no-es-un-triunfo-de-microsoft-lo-es-de-la-libertad-en-internet Fri, 15 Jul 2016 14:27:54 GMT https://blogs.technet.microsoft.com/hectormontenegro/?p=3145 Determinados asuntos nos parecen tan evidentes desde la perspectiva de nuestras democracias, que nos resulta sorprendente que en el mundo, digamos digital, las garantías legales o sociales puedan interpretarse de forma diferente. Y es que aún hay mucho que construir en este sentido. Se suele decir que la legislación va unos pasos por detrás de los avances tecnológicos, lo que por otro lado no podría ser de otra forma, pero lo importante es que asumiendo esa distancia, ayudemos a nuestros legisladores y reguladores a entender y recorrer ese camino con agilidad. MicrosoftEn esta ocasión el progreso ha venido de la mano de la determinación de Microsoft hacia la protección del derecho fundamental a la privacidad de sus usuarios frente a amenazas de cualquier ámbito, ya fueran tecnológicas, políticas o legales. Si bien en lo que respecta a Microsoft, los ámbitos tecnológicos y políticos habían tenido éxitos importantes (cifrado global, gestión de claves etc.. o influencia sobre las políticas de los gobiernos), el avance legal que se acaba de producir, resulta transcendental, y por qué no decirlo, tranquilizador para todos (proveedores y usuarios) desde el momento que podremos disminuir muchas recelos y suspicacias que con frecuencia se introducen en las conversaciones entre clientes, usuarios, en los entornos de Cloud Computing etc.. Es este contexto, explicaré con lenguaje llano (quien quiera entender el detalle legal puede hacerlo aquí) que lo que se ha conseguido es que, después de un largo proceso judicial, la Corte de Apelaciones de los Estados Unidos ha decidido por mayoría:
  1. revertir la negativa de la Corte de Distrito del Distrito Sur de Nueva York a anular la orden (“Warrant”) que obligaba a Microsoft Corporation a entregar el contenido de correos electrónicos almacenados en la República de Irlanda;
  2. anular la orden que declaraba en desacato a Microsoft (Si. Suena feo, o quizá no tanto, pero llevábamos un tiempo en desacato debido a esta negativa); y
  3. modificar la resolución de la Corte de Distrito anulando la orden de entrega de información.
Cuando hablamos de  “defender hasta las últimas consecuencias nuestros compromisos y obligaciones legales” con nuestros clientes, nos referíamos a algo muy parecido a esto. Esto es una gran victoria para los derechos a la privacidad y protección de datos personales otorgando una mayor certidumbre jurídica para todos los ciudadanos, empresas y autoridades. No debe quedar ninguna duda de que no se entrsgarán datos a las autoridades (incluyendo las americanas) en tanto no cumplan con los principios y requisitos legales correspondientes, y que al amparo de esta decisión favorable a Microsoft, la totalidad de la Industria tecnológica encuentra allanado el camino en este sentido.]]>