Noticias

El servicio de información ARDÁN, de la Zona Franca de Vigo (ZFV) en su afán por generar conocimiento y contribuir al desarrollo de la economía y del tejido empresarial de Galicia, viene desarrollando desde el año 1995, una línea de investigación con la que se pretende identificar y reconocer la excelencia en la empresa gallega. El servicio trata de identificar, a través del análisis y difusión de las Buenas Prácticas Empresariales, aquellas empresas que presentan un alto grado de desempeño en determinados parámetros de su actividad, mediante la creación de los indicadores de mejores prácticas empresariales.

Inprosec ha obtenido el Indicador Ardán Empresa Global 2018. Este indicador indica que Inprosec presenta valores elevados en magnitudes directamente relacionadas con el proceso de internacionalización, como pueden ser clientes extranjeros, países a los que exportamos, establecimientos en el exterior y personal dedicado al proceso de internacionalización.

El próximo 21 de Noviembre, de la mano del AMTEGA, participaremos como ponentes en la Jornada de CiberSeguridad #PemeSegura.

Esta jornada se celebrará el Edificio CINC de la  Ciudad de la Cultura, en Santiago de Compostela y tratará sobre la gestión de la ciberseguridad en las pequeñas empresas, tocando varios aspectos  como el nuevo reglamento de protección de datos (Adenda) , nuevos servicios de seguridad (Tarlogic)  y la seguridad en entornos industriales (Balidea), así como los incidentes de Seguridad (Inprosec) y la recuperación frente a desastres (Ultreia).

Este evento está orientado a Gerentes y responsables de seguridad, así como a cualquier profesional que tenga interés en abordar el impacto de la ciberseguridad  en la competitividad de las organizaciones.

Puedes encontrar más detalles sobre el programa e inscribirte aquí

Ha finalizado la  segunda jornada del Evento GRC 2018 celebrado en Praga. Nuestros compañeros de Inprosec han asistido a numerosas ponencias y podido conversar con los grandes expertos del sector, en las que se han tratado temas de actualidad y tendencias de futuro.

Los principales protagonistas de las dos primeras jornadas han sido la nueva versión GRC 12 (que está disponible desde el 21 de septiembre), así como la apuesta de SAP por los entornos Cloud, tal y como  puede ser SAP Cloud Identity Access Governance (que es el equivalente al módulo Access Control en la nube y que SAP está desarrollando en paralelo a GRC)

Otros puntos que han destacado son la evolución de Single Sign-On,que ahora es mucho más sencillo de implementar y se integra con prácticamente todos los tipos de sistemas, y la disponibilidad de Two-Factor Authentication para acceder a las aplicaciones SAP.

SAP GRC ( Governance, Risk, and Compliance) es un módulo especializado de SAP que se ocupa de todo tipo de riesgos en instancias SAP. Utilizado por las compañías líderes a nivel mundial, ayuda tanto a la gente de TI proporcionándole herramientas de gestión, como a la gente de Negocio al darles visibilidad directa sobre el estado de los conflictos en los sistemas y los riesgos existentes.

Entre los días 16 y 18 de Octubre, los asistentes tendrán a su disposición más de 90 Ponencias y sesiones formativas, así como 13 casos de éxito  (62 ponentes), además de contar con la presencia de numerosas empresas presentando las novedades sobre productos relacionados con SAP,

Esperamos que la experiencia de la última sea tan positiva como lo han sido estas dos.

Tras haber asistido años anteriores tanto al evento de las Vegas como en Europa, estaremos de nuevo en el evento SAP GRC Europe. Este año, Praga será la ciudad elegida para alojar este evento.

SAP GRC ( Governance, Risk, and Compliance) es un módulo especializado de SAP que se ocupa de todo tipo de riesgos en instancias SAP. Utilizado por las compañías líderes a nivel mundial, ayuda tanto a la gente de TI proporcionándole herramientas de gestión, como a la gente de Negocio al darles visibilidad directa sobre el estado de los conflictos en los sistemas y los riesgos existentes.

Entre los días 16 y 18 de Octubre, los asistentes tendrán a su disposición más de 90 Ponencias y sesiones formativas, así como 13 casos de éxito  (62 ponentes), además de contar con la presencia de numerosas empresas presentando las novedades sobre productos relacionados con SAP, destacando las nuevas actualizaciones y RoadMap de SAP Access Control, SAP  Process Control y SAP Risk Management, así como el impacto del Reglamento Europeo de Protección de Datos y tendencias en Ciberseguridad

Sin duda, como todos los años, esperamos sacar una experiencia muy positiva. Os mantendremos informados de todas las novedades relacionadas con este evento.

El pasado lunes 1 de octubre, el Comité Ejecutivo de Business Factory Auto (BFA) ha seleccionado los 20 proyectos empresariales para participar en la tercera edición de BFA, entre los cuales se encuentran nuestra división de Ciberseguridad Industrial,  Inprosec Auto.

El Comité, integrado por representantes de la Xunta de Galicia, el Consorcio de la Zona Franca de Vigo, Groupe PSA y CEAGA, ha seleccionado a Inprosec Auto como invitado a participar en la fase de consolidación con otros 6 proyectos con los que ha coincidido en la pasada edición en fase de aceleración, además de 3 nuevas iniciativas que se incorporarán en esta fase.

• CIN ADVANCED SYSTEMS GALICIA – Spin-out de CIN Advanced Systems.
• EFIMOB EV CHARGE – Spin-out de Efimob Efficient Solutions.
• EZHIRE – ON-DEMAND CAR DELIVERED – Spin-out de Ezhire Technologies.
• IIÔR: INDUSTRIAL INTERNET OF ROBOTS – Spin-out de Ledisson A&IT.
• INPROSEC-AUTO – Spin-out de Inprosec.
• KALEIDO AUTOMATION SERVICES – Spin-out del Grupo Kaleido.
• MUUTECH MONITORING SOLUTIONS – Startup.
• NORLEAN MANUFACTURING & PRODUCTIVIDAD S.L. – Several Companies spin-out de Soltec Ingenieros y OPF.
• SIMAXSU – Startup.
• WEARHEALTH – Spin-out de Wearhealth UG.

Esta tercera edición será, sin duda, la más internacional ya que, de los 20 proyectos seleccionados entre fase de aceleración y consolidación, hay un proyecto de Dubái y otro de Alemania. Además, fuera de la comunidad gallega, participará un proyecto del País Vasco.

En esta convocatoria se ha producido un récord de participación, ya que se presentaron 62 proyectos de 9 países distintos (España, Portugal, Francia, Alemania, Hungría, Rumanía, Lituania, Taiwán y Dubái), todos ellos relacionados con la transformación digital. Desde Inprosec, queremos dar las gracias al Comité Ejecutivo de BFA por confiar de nuevo en este equipo y esperamos que esta nueva fase sea tan positiva como lo ha sido la anterior.

El equipo de Inprosec Auto ha estado en el encuentro “La Voz de la Industria”, celebrado el pasado 20 de septiembre en Vigo y organizado por el CCI (Centro de Ciberseguridad Industrial), y que ha supuesto un punto de encuentro para el intercambio de información, experiencias y relaciones con los expertos involucrados en Galicia en el ámbito de la ciberseguridad.

Esta jornada ha tenido lugar en el Hotel Pazo Los Escudos de Vigo dónde, a lo largo del día, se han llevado a cabo diversas intervenciones de interés para los profesionales de la ciberseguridad industrial.

Tras una serie de ponencias, se llevó a cabo un panel de debate sobre “Experiencias con los proveedores de ciberseguridad protegiendo entornos industriales” de la mano de compañías como Check Point, Tecdesoft, TEGRA (Telefónica y Gradiant) y en el que ha podido participar uno de los miembros de nuestro equipo de Inprosec Auto, Alejandro Alonso.

En el debate se han tratado temas como la problemática de mezclar los entornos IT y OT por parte de los proveedores de ciberseguridad, ya que las soluciones de IT generalmente no sirven para los entornos de OT por tratarse este último de un entorno de producción más crítico para la organización por las pérdidas que puede suponer un fallo en el mismo.

Otro de los asuntos debatidos ha sido acerca que se contraten los servicios de ciberseguridad a los propios fabricantes e integradores de OT en el que prácticamente todos los ponentes han coincidido: en fábrica no se disponen sistemas de un único fabricante, cada tipo de máquina suele ser de un proveedor distinto, por lo que no sería trazable tratar los incidentes si para cada fabricante existe un punto de acceso remoto para el equipo de asistencia, además de la poca transparencia que ello implica.

Pasado el ecuador del debate, se han planteado los nuevos retos que supone la ciberseguridad en el escenario en el que los ámbitos IT y OT conviven, así como las tecnologías necesarias para proteger dicho entorno. Aquí se han tratado tanto temas técnicos como puede ser la segregación de redes IT y OT, monitorización activa de sistemas de fábrica, etc. así como la importancia de la formación y concienciación de todos los empleados implicados dentro de la propia organización.

Ya para finalizar el panel, se debatió acerca de qué servicios de ciberseguridad se deberían externalizar en el ámbito de OT y cuáles se deberían gestionar de manera interna, en el cual surgieron diversas opiniones desde que todos los servicios se deberían gestionar por organizaciones ajenas, hasta que todos ellos deberían poder gestionarse por miembros de la propia de la compañía.

La Séptima Edición del Foro de la Ciberseguridad de ISMS Forum tuvo lugar el pasado 20 de septiembre en el Círculo de Bellas Artes de Madrid.

Junto con numerosos profesionales de la seguridad de la información y la ciberseguridad, nos hemos involucrado para analizar y debatir sobre el futuro ya presente de la ciberseguridad en las organizaciones-Los principales puntos que se han visto en este evento han sido:

1. Gobierno y gestión de la Ciberseguridad
2. Autenticación (Authentications)
3. Competencias digitales y concienciación
4. Integración y orquestación del ecosistema de seguridad corporativo y cómo enfocarlos.
5. Independencia de los datos y Uso Ético de la información

La sesión contó con las intervenciones especiales de Rogier Holla (CERT-EU), Paolo Passeri (Hackmageddon), y Maria Bada (Oxford Martin School) , Raj Samani (McAfee) y Roberto Baratta (ABANCA) entre otros, así como con la representación del Instituto Nacional de Ciberseguridad (INCIBE).

Esperamos que la experiencia haya sido tan positiva para el resto de los asistentes como lo ha sido para nosotros. Si quieres saber más, puedes encontrar el programa completo  aquí.

BFA (Business Factory Auto) es una iniciativa promovida por la Xunta de Galicia a través de la Axencia Galega de Innovación (GAIN), el Instituto Galego de Promoción Económica (IGAPE)  y la Sociedad Gestora de Entidades de Inversión de Tipo Cerrado (Xesgalicia); la Fundación Clúster de Empresas de Automoción de Galicia (CEAGA), GROUPE PSA, el Consorcio de la Zona Franca de Vigo (CZFV) y Vigo Activo Sociedad de Capital Riesgo SA.

La iniciativa BFA supone la aceleración y consolidación de aquellos proyectos surgidos para dar respuesta a necesidades del sector de automoción. Con ello, quiere convertirlos en empresas sólidas, viables, innovadoras y escalables que puedan aportar valor al sector.  Es por ello que, tras el éxito de Inprosec Auto en su fase de aceleración del pasado año, hemos decidido presentar nuestra  candidatura a esta fase de consolidación.

Inprosec Auto ha demostrado que tiene capacidad técnica para ofrecer soluciones a los problemas de ciberseguridad en el sector. En esta pasada fase de aceleración hemos definido nuestro portfolio de servicios y además, hemos consolidado la auditoría de ciberseguridad a entornos industriales.

Gracias al apoyo recibido por BFA y CEAGA  y sobre todo, la gran acogida que ha tenido entre nuestros clientes y colaboradores, , ha hecho que descubramos y adaptemos nuevas vías de negocio actualmente en desarrollo como puede ser la asesoría de ciberseguridad a código fuente. Esto es un gran avance, no solo para los sistemas de control industrial en los que ya se centra sino también para el ámbito del coche conectado.

Un automóvil, a día de hoy, tiene más de treinta unidades electrónicas, mini ordenadores y puede tener hasta cien millones de líneas de códigos lo que hace que los agujeros de seguridad sean cada vez más numerosos. Esta cifra aumenta aún más si nos centramos en el vehículo conectado. De igual manera, los sistemas de control industrial (ICS) han visto como entornos de fábrica y de oficina confluían y cada vez estaban más interconectados lo que ha provocado un considerable aumento de las vulnerabilidades en industria y que antes solo existían en el entorno de oficinas.

Desde Inprosec Auto queremos dar respuesta a  estas necesidades, mejorando día a día nuestros  servicios sobre los que dará una mayor visibilidad con la ayuda de iniciativas como la de BFA.

El 11 de  de septiembre en el Parador de Santiago, en colaboración con SAP España y SCL Consulting hemos organizado el evento “Optimizar la gestión de Riesgos, cumplimiento normativo y la seguridad con soluciones SAP GRC”, el primero de este tipo que tiene lugar en Galicia. En este evento se vieron las principales tendencias en gestión de riesgos, cumplimiento y gobierno corporativo (GRC) y como el software de gestión de riesgos permite automatizar los procesos e integrar el cumplimiento normativo en la estrategia, planificación y ejecución global de la compañía.

Iago Fortes Caramés, CEO de Inprosec, realizó la introducción al evento, dando paso a Víctor Artola, Experto en Soluciones GRC, que presentó a los asistentes las principales aplicaciones específicas de SAP en materia de Governance, Risk and Compliance (GRC). Tras esta exposición, José González Lázare, Consultor Senior en Inprosec, trató uno de los principales temas de actualidad, la ciberseguridad, enfocada a los sistemas ERP SAP y como podemos saber si estos sistemas están seguros y cuales pueden ser sus puntos débiles.

Dspués de una pausa para el café y networking, Alejandro Dominguez, director TI en SCL, retomó la sesión presentando las soluciones que ofrece SAP para la nueva normativa Europea de protección de datos (GDPR), que culminaron David Torres Izquierdo, presentando las principales funcionalidades más usadas en SAP GRC Access Control (Control de Accesos en SAP) y Process Control (Control de procesos, procedimientos y políticas) y un Caso de Éxito Real de implantación de SAP GRC en uno de los clientes de Inprosec.

Este evento ha sido bien acogido por los asistentes, especialmente la presentación del Caso de éxito, ya que les ha permitido ver en primera persona los beneficios y aplicaciones que tienen las herramientas GRC . Queremos dar las gracias a los asistentes por la acogida y a todos  los colaboradores por su aportación.

Como cada trimestre, analizamos las  las notas de seguridad publicadas por  SAP, en este caso, analizaremos las del segundo trimestre de 2018.

Tenemos 1 nota crítica (Hot News) en este trimestre (publicada en Abril y actualizada en Junio) una actualización de una nota crítica a resaltar, y 6 de nivel alto, a la que añadiremos una nota del nivel medio, la más crítica de Mayo para la revisión en detalle de 9 notas.

• Destacar que la nota más crítica (CVSS 9.8) está relacionada con el componente “SAP Business Client”.
• Además tenemos dos actualizaciones de notas críticas (una sobre la anterior y otra de CVSS 9.1) y solo una nota alta que pase del 8 (CVSS 8.4). El resto de notas están por debajo de esta valoración.

Tenemos un total de 45 notas para todo el trimestre, 18 menos que el pasado trimestre, (32 de los patch Tuesday, 1 más que el pasado trimestre):

• En Abril se han publicado un total de 16 notas (12 en el Security Notes Tuesday – 9 nuevas y 3 actualizaciones de notas anteriores).
  • Este mes tenemos una “hot new” (crítica) con un CVSS muy alto, de 9.8, el más alto del año, relacionada con el “SAP Business Client”. Esta misma nota recibe una actualización dos meses más tarde (Junio).
  • Por otro lado tenemos 4 notas de criticidad alta (High Priority) siendo una la aclaración de la actualización de otra, es decir en total 3 notas altas a destacar, con CVSS entre 7.3 y 7.5.
  • Este mes el tipo más predominante es “Missing Authorization Check” (4/16 y 1/12 en patch day).

• En Mayo se han publicado un total de 15 notas (10 en el Security Notes Tuesday – 9 nuevas y 1 actualizaciones de notas anteriores).
  • En este mes no existen ni “hot news” (críticas) ni notas de criticidad alta (high priority). En efecto, excepto una nota de nivel bajo, el resto son todas de nivel medio.
  • Solo detallamos la nota de mayor riesgo/criticidad, que tiene un CVSS de 6.5 relacionada con el componente “SAP Internet Graphics Server (IGS)”, que permitiría a un atacante la carga de cualquier archivo malicioso. Precisamente para este componente existen un total de 4 notas de las 15 del mes.
  • Este mes los tipos más predominantes son “Missing Authorization Check” (3/15 y 1/10 en patch day) y “Denial of Service” (3/15 y 3/10 en patch day).

• En Junio se han publicado un total de 14 notas (10 en el Security Notes Tuesday – 5 nuevas y 5 actualizaciones de notas anteriores).
  • En este mes no existen “hot news” (críticas) nueva, pero se actualizan 2 notas críticas (una de Abril 2018, ya mencionada e incluida en este informe). La otra nota “Hot News” actualizada es de noviembre de 2016 (2357141) con un CVSS de 9.1.
  • Existen también un total de 4 de criticidad alta (high priority), todas del Patch Day, siendo una actualización de nota previa y de las tres restantes destacando una de SAP Business One con un CVSS de 8.4.
  • Este mes los tipos más predominantes son “Cross-Site Scripting” (3/14 y 1/10 en patch day) y “Remote Command Execution” (3/14 y 1/10 en patch day).

El detalle completo de las notas más relevantes es el siguiente (en inglés):

1. SAP Business Client has a security vulnerability (2622660): This note bundles multiple vulnerabilities. The bugs concern vulnerabilities in web browser controls that are used to display pages in SAP Business Client 6.5 PL5. Web browser controls are programmable building blocks that software developers use to embed web pages in their applications. Depending on the vulnerability, attackers can exploit a Memory corruption vulnerability for injecting specially crafted code into a working memory which will be executed by the vulnerable application. This can lead to taking complete control of an application, denial of service, command execution and other attacks. This fact has a negative influence on business processes and business reputation as a result. Install this SAP Security Note to prevent the risks. Updated in June 2018 (“If this note has been already implemented, then there is no action required.” Manual steps only have usability impact and no security implications). CVSS v3 Base Score: 9.8 / 10
2. SAP Business One has an Denial of Service (DOS) vulnerability (2587985): An attacker can use Denial of service vulnerability for terminating a process of a vulnerable component. For this time nobody can use this service, this fact negatively influences on a business processes, system downtime and business reputation as result. The bug actually exists in Apache, and is introduced by the use of Apache as a HTTP server in the Business One service layer. The bug allows an attacker to cause a segmentation fault by carefully sending a specific sequence of request headers to the server. A segfault happens when a program tries to read or write a memory location it is not supposed to. A segfault will crash the program. In this case, the segfault can be generated due to the absence of sufficient user input validation in the Apache function ap_get_token(). This function is allowed to search past the end of its input string causing a buffer overread. Install this SAP Security Note to prevent the risks. CVSS v3 Base Score: 7.5 / 10
3. SAP Visual Composer has a Code Injection vulnerability (2552318): Update a previous Security Note (2376081). Depending on the code, attackers can perform different actions: inject and run their own code, obtain additional information that must be hidden, change or delete data, modify the output of the system, create new users with higher privileges, control the behavior of the system, or can potentially escalate privileges by executing malicious code or even to perform a DOS attack. Install this SAP Security Note to prevent the risks. CVSS v3 Base Score: 7.4 / 10
4. Improper Session Management in SAP Business Objects -CMC/BI Launchpad/Fiorified BI Launchpad (2537150): Business Objects (BO or BOBJ) is SAP’s suite of front-end applications which allows customers to effectively process and visualize business intelligence data. The BOBJ vulnerability in this note causes existing user sessions to remain active even after their passwords have been changed. After applying the Support Package Patches mentioned in the note, password changes will be preceded by an alert warning the administrator for the termination of active sessions for the user whose password was changed. On successful password change, active sessions will then be terminated. Updated in June 2018 (“This note will be modified periodically based on web browser updates by respective vendors.” Any time SAP updates this Security Note, you need to do it too.). CVSS v3 Base Score: 7.3 / 10
5. SAP Internet Graphics Server (IGS) has a security vulnerability (2615635): An attacker can upload any file, use Cross-site scripting vulnerability for injecting a malicious script into a page. Reflected XSS feature is necessary to trick a user – he or she would make the user follow a specially crafted link. In terms of stored XSS, malicious script is injected and permanently stored in a page body, this way user is attacked without performing any actions. The malicious script can access all cookies, session tokens and other critical information stored by the browser and used for interaction with a site. The attacker can gain access to user’s session and learn business-critical information, in some cases it is possible to get control over this information. In addition, XSS can be used for unauthorized modifying of displayed site content. Install this SAP Security Note to prevent the risks. CVSS v3 Base Score: 6.5 / 10
6. SAP Business One has an Information Disclosure vulnerability (2588475): An attacker can use Information disclosure vulnerability for revealing additional information (system data, debugging information, etc) which will help to learn about a system and to plan other attacks. Install this SAP Security Note to prevent the risks. CVSS v3 Base Score: 8.4 / 10
7. SAP Internet Sales has a Remote Command Execution (RCE) vulnerability (2626762): An attacker can use a Remote Command Execution vulnerability for unauthorized execution of commands remotely. Executed commands will run with a same privileges of a service that executed a command. An attacker can access to arbitrary files and directories located in a SAP-server filesystem including application source code, configuration and critical system files. It allows to obtain critical technical and business-related information stored in a vulnerable SAP-system. Install this SAP Security Note to prevent the risks. CVSS v3 Base Score: 7.5 / 10
8. SAP Internet Sales has a Denial of service (DoS) vulnerability (2629535): An attacker can use Denial of service vulnerability for terminating a process of vulnerable component. For this time nobody can use this service, this fact negatively influences on a business processes, system downtime and business reputation as result. Install this SAP Security Note to prevent the risks. CVSS v3 Base Score: 7.3 / 10
9. Update to Security Note released on November 2016 Patch Day: OS Command Injection vulnerability in Report for Terminology Export (2357141): Update to a note affecting SAP BASIS, Versions – 7.31, 7.40, 7.50, 7.51, 7.65, 7.66. CVSS v3 Base Score: 9.1 / 10

Enlaces de referencia del CERT del INCIBE en relación a la publicación de las notas para los 3 meses de este trimestre:

• https://www.certsi.es/alerta-temprana/avisos-seguridad/actualizacion-seguridad-sap-abril-2018
• https://www.certsi.es/alerta-temprana/avisos-seguridad/actualizacion-seguridad-sap-mayo-2018
• https://www.certsi.es/alerta-temprana/avisos-seguridad/actualizacion-seguridad-sap-junio-2018

Otras referencias, en inglés de SAP, Onapsis y ERPScan (en orden: Abril->Junio):

• https://blogs.sap.com/2018/04/10/sap-security-patch-day-april-2018/
• https://www.onapsis.com/blog/sap-security-notes-april-%E2%80%9818-testing-assumptions
• https://erpscan.com/press-center/blog/sap-cyber-threat-intelligence-report-april-2018/
• https://blogs.sap.com/2018/05/08/sap-security-patch-day-may-2018/
• https://www.onapsis.com/blog/SAP-Security-Notes-May-18-Hidden-Plain-Sight
• https://erpscan.com/press-center/blog/sap-cyber-threat-intelligence-report-may-2018/
• https://wiki.scn.sap.com/wiki/pages/viewpage.action?pageId=495289255
• https://www.onapsis.com/blog/SAP-Security-Notes-June-18-critical-rereleased-notes
• https://erpscan.com/press-center/blog/sap-cyber-threat-intelligence-report-june-2018/