How Telefónica collaborates with the GSMA to define a project use case scenarios using lean startup”?

martes, 29 de septiembre de 2015

The entrepreneurs of startups were the first ones to adopt the Lean Startup method when Eric Ries published in 2011 his book The Lean Startup. Big companies like Telefónica were soon enough the next ones to apply Lean Startup. Now we have witnessed how an industrial forum like the GSMA (GSM Association), the Personal Data Program in particular, adopts a hypothesis validation model to build successful products and services.

Use case in industrial forums and standardization bodies are generally defined by the forum members without market validation, and then, following a waterfall model, the technical solution for those use cases is defined.

Mobile Connect 

Telefónica has been deeply involved in the Mobile Connect project since February 2014. Mobile Connect is a GSMA cross-operator proposition to simplify people’s digital lives, offering a simple and safe identification service that offers the user total control over their privacy. The authentication is significantly more secure than typical username/password schemes as access to the account is secured via the user’s mobile device.

The Lean Startup methodology is a pilar of our innovation process since 2012, hence all our innovation projects apply this methodology. Consequently, Mobile Connect has been developed following the Lean Startup method.

Lean Startup is basically the combination of Steve Blank’s Customer Development methodology and Agile Development. As we have been applying Agile Software Development since 2006 at Telefónica (specifically in Telefónica R&D), our engineers, and in particular those that have experience as scrum masters, are the ones that have adapted themselves best to Lean Startup.

Due to the deep experience with agile that the Mobile Connect team has, the Customer Development iterations were perfectly synchronized with the Agile Software Development cycles. This allowed us to design the fastest and cheapest prototype needed in each iteration to validate, or invalidate, the project hypotheses.

Also, the Mobile Connect innovation project team at Telefónica considered the use cases defined hypothesis that needed to be validated in the market before building the solution. Therefore, they got out of the building to have face to face conversations with potential customers. In fact, after carrying out 42 interviews their first hypothesis around the customer segment proved to be wrong, so they had to pivot to another customer segment.

The team focused on the problems the customers had and then on how could Mobile Connect solve these problems according to the customers’ needs and feedback. What’s more, during this process customers really interested in the service and willing to pay for it were identified and involved in the process.

Thus Lean Startup helped identifying and defining the use cases based on clear evidences and validated learnings around the customers. As a consequence, the Personal Data Program has created workgroups that organise sessions with different service providers to identify and understand the painful problems they are facing in order to work on solutions around those problems.

A successful way to transfer an innovation project to the business unit

One of the biggest challenges we face at big companies is how to successfully transfer an innovation project to the business or product units. Actually this is something we have had the opportunity to discuss with several companies in different innovation forums and also in last year’s Lean Startup Conference in San Francisco, and there is a general agreement on that.

The most delicate moment in the life of an innovation project is when it is time to scale up and get transferred into a business unit or product line. Having stakeholders in the business unit or product line is critical, but not enough to make a successful transition.

In our experience those innovation projects that apply Lean Startup survive better to that transition because they are in a position to bring to the table tangible credibility in the form of validated market traction and even customers.

In the case of Mobile Connect we have been able to transfer successfully to the business unit the innovation project for its deployment and commercialization. In fact, this solution is going to be deployed in Argentina, Spain, Mexico and Peru this autumn and more countries are coming next year.

Moreover, the way we have done this transfer has also been different: we have not only transferred the product but also the team plus prospective customers.

This has allowed us to transfer not only the knowhow of the product, the product development knowhow and the customers, but also the complete business model knowledge as well as the market contacts and the experience achieved by the team during this time. That is, who are the customers, how should the solution be commercialized, the way to get to the customers, the pitch, the sales process, etc.

In other words, we have transferred what one of our external mentors, Mario López de Ávila, calls the complete “product toolkit”.

Besides, all the aforementioned evidences and knowledge about both the market and the customers as well as the contacts network has enabled us to smoothly transfer the team of R&D engineers to the business unit. Because that knowledge they brought to the business unit has given this team of technical people credibility among their new colleagues.

Latch y el Internet de las Cosas: Integración práctica con Arduino (I)

lunes, 28 de septiembre de 2015

Cinco de la tarde de una calurosa tarde de verano cualquiera. A María le ha costado un buen rato que el pequeño Adrián se durmiera después de comer y cuando por fin todo estaba tranquilo... ¡ding, dong!... ¡ding, dong!

¡buag, buag!... ¡buag, buag! —el bebé comienza a llorar desconsoladamente.
— ¡Manolo!, mira a ver quién ha llamado a estas horas, que yo voy a dormir al niño. ¿Y no podrías hacer algo con ese timbre?
— Claro que sí cariño, ahora mismo hago que el timbre pida autorización antes de sonar mediante un pestillo virtual que puedas controlar desde la tablet.
— ¿Eh? vale, vale... pero no lo dejes todo lleno de cables; y por favor, no te electrocutes —exclama María.

Si la respuesta de Manolo resulta inverosímil, es porque aún no somos conscientes de lo que nos depara el futuro; un mundo donde cualquier objeto estará conectado a la red.

Acuñado en el MIT, Instituto de Tecnología de Massachusetts, el término Internet de las Cosas, IoT del inglés "Internet of Things", representa la revolución en las relaciones entre los objetos y las personas, incluso de los objetos entre ellos mismos, ya que todos estarán conectados a la red, accesibles, y ofreciendo información en tiempo real.

Aunque cada vez está más cerca la digitalización del mundo físico, menos del 1% de los objetos están hoy conectados. Se calcula que en 2020, entre 22.000 y 50.000 millones de dispositivos accederán a Internet con el fin de proporcionar información, servicios y aplicaciones inteligentes sin precedentes.

Según Hans Vestberg , CEO de Ericsson, las repercusiones serán considerables: "Si una persona se conecta a la red, le cambia la vida. Pero si todas las cosas se conectan, es el mundo el que cambia".

La revolución del IoT acaba de comenzar, pero las grandes empresas llevan años preparándose. Intel, el mayor fabricante de circuitos integrados del mundo, tomó partido hace tiempo con sus revolucionarios dispositivos x86 Galileo compatibles con Arduino, y ahora con la novedosa Edison, ponen la vista en los wearables llevando al extremo la miniaturización del sistema embebido con su tecnología Quark de segunda generación. Un dual-core x86, corriendo Linux, compatible con Arduino y cabiendo en a la palma de la mano. Toda una declaración de intenciones.

Microsoft arrancó en 2014 su iniciativa Windows on Devices con el objetivo de acercar Windows a los pequeños dispositivos; y hoy ya es una realidad con una versión de Windows 10 para Raspberry Pi, o la reciente certificación con Arduino, publicando dos librerías Open Source: Windows Virtual Shield que permite a Arduino acceder a los datos recogidos por los sensores de un teléfono equipado con Windows Phone, y Windows Remote Arduino que permite enviar de forma inalámbrica comandos a Arduino desde un sistema Windows 10.

Después del estrepitoso fracaso de Android@Home en 2011, Google compró en enero de 2014 Nest Labs por 3.200 millones de dólares. Fundada cuatro años antes por dos ex-empleados de Apple para desarrollar dispositivos de domótica inteligente, solo disponían de dos productos: un termostato y un detector de humo. Hasta el pasado mes de junio cuando presentaron el sistema de video-vigilancia Nest Cam, ya con Android; alimentando aun más la polémica por el uso que Google podría hacer con la información sobre la vida de los usuarios, obviada por Eric Schmidt en The Guardian.

Sin ir más lejos, la publicación especializada en tecnología Computer Business Review (CBR) incluye a Cesar Alierta, presidente de Telefónica, entre las cinco personas más influyentes en el campo del Internet de las Cosas por su liderazgo en la apuesta de Telefónica en este ámbito, destacando las soluciones de M2M y la plataforma de tecnología abierta basada en Arduino Thinking Things.

Más allá de los dispositivos, que son las cosas, el otro integrante del IoT es Internet. La red, donde están apareciendo multitud de Servicios Web que dan sentido al IoT permitiendo explotar todo su potencial. Basados en robustos protocolos abiertos como REST o MQTT, servicios web como iobridge.com, ubidots.com, thingspeak.com, temboo.com, o los madrileños de carriots.com, todos con posibilidad de uso gratuito, junto con otros proyectos de software libre como EasyIoT, nos permiten conectar nuestras cosas a la red y formar parte de esta revolución.

Manolo es un visionario, adelantado a su tiempo, pero no por mucho, ya que la solución Latch de ElevenPaths implementa el segundo factor de autorización que está proponiendo, y al tratarse de servicio web, puede ser consumido desde cualquier tipo de dispositivo de forma sencilla, con medios que todos tenemos ya a nuestro alcance, gracias a su API estándar y abierta.



Una integración básica IoT de Latch solo requiere un Arduino UNO convencional y un complemento para su conexión a Internet, como el diminuto módulo WIFI ESP8266, que se puede encontrar por menos de 5 euros. Así, cuando menos lo esperamos, aparece la oportunidad de jugar con Latch y Arduino en el mundo físico.

El las próximas entradas aprenderemos a montar, desde cero y con un punto de vista totalmente técnico, este esquema:




Latch y el Internet de las Cosas: Integración con Arduino (II)
Latch y el Internet de las Cosas: Integración con Arduino (III)
Latch y el Internet de las Cosas: Integración con Arduino (IV)
Latch y el Internet de las Cosas: Integración con Arduino (V)
Latch y el Internet de las Cosas: Integración con Arduino (y VI)


Jorge Rivera
jorge.rivera@11paths.com

SAVE THE DATE: Security Innovation Day 2015

miércoles, 23 de septiembre de 2015



Acompáñanos en esta tercera edición de nuestro Security Innovation Day. Te esperamos el 8 de octubre a las 15:00 horas en el Auditorio de Telefónica, Madrid, localizado en el Edificio Central de Distrito Telefónica.

Comparte una tarde con nosotros y conoce de primera mano el portfolio de seguridad de ElevenPaths y Telefónica creado para dominar la seguridad de tu negocio digital.

Además, este año “llévate puesta” tu camiseta Latch. ¡Conseguirla es muy fácil! Sólo tienes que enseñarnos en tu llegada al evento, tu app Latch y al menos dos servicios a los que les hayas echado el pestillo. Puedes latchear tu cuenta Acens, tu cuenta Cajamar, tu cuenta Tuenti o incluso tu inicio de sesión en tu Windows. Descubre también otros servicios integrados con Latch.

Agenda

15:00: Acreditación

15:30: Bienvenida

• Amenazas más grandes significan necesidades más grandes.
• El control de tu identidad digital está en tus manos.
• Decisiones de seguridad que pueden salvar tu negocio.
• Data Protection in the Cloud Era.
• ¿Me vas a creer a mí o a tus propios ojos? El dilema de la seguridad gestionada.
• Preventing Data Breaches.

19:00: Cóctel

Consulta el detalle de la agenda en: securityinnovationday.elevenpaths.com

El aforo es limitado, te recomendamos que te registres lo antes posible.

¡Regístrate ahora!

Evil FOCA es ahora Open Source

martes, 22 de septiembre de 2015


Es para nosotros un placer anunciar que ahora Evil FOCA es Open Source. Desde su creación, hemos recibido multitud de comentarios y feedback muy positivo sobre cómo estáis usando Evil FOCA o cómo os gustaría mejorarla. Miles de personas descargan la herramienta cada mes.

Aun cuando Evil FOCA siempre ha sido gratuita, ahora queremos dar el siguiente paso: Evil FOCA es ahora OpenSource licenciada bajo la GNU Public License 3.0. Está disponible en nuestro repositorio GitHub: https://github.com/ElevenPaths/EvilFOCA

Nuestro principal objetivo al hacerla Open Source es que la comunidad pueda mejorar y mantener Evil FOCA como una de las mejores herramientas de pen-testing de red. Por favor, visitad nuestra web para poder conocer más sobre ello.

¿Qué es y qué hace Evil FOCA?

Evil FOCA es una herramienta para pentesters y auditores de seguridad que tiene como finalidad poner a prueba la seguridad en redes de datos IPv4 / IPv6.

La herramienta es capaz de realizar distintos ataques como:

  • MITM sobre redes IPv4 con ARP Spoofing y DHCP ACK Injection.
  • MITM sobre redes IPv6 con Neighbor Advertisement Spoofing, Ataque SLAAC, fake DHCPv6.
  • DoS (Denegación de Servicio) sobre redes IPv4 con ARP Spoofing.
  • DoS (Denegación de Servicio) sobre redes IPv6 con SLAAC DoS.
  • DNS Hijacking.

Automáticamente se encarga de escanear la red e identificar todos los dispositivos y sus respectivas interfaces de red, especificando sus direcciones IPv4 e IPv6 y las direcciones físicas a través de una interfaz cómoda e intuitiva.

Dentro de los ataques de MITM (Man in the middle) en IPv4 e IPv6 Evil FOCA contempla las siguientes técnicas:


  • ARP Spoofing: Consiste en enviar mensajes ARP a la red Ethernet, normalmente la finalidad es asociar la dirección MAC del atacante con la dirección IP de otro equipo. Cualquier tráfico dirigido a la dirección IP de la puerta de enlace predeterminada será erróneamente enviado al atacante, en lugar de a su destino real.
  • DHCP ACK Injection: Consiste en que un atacante monitoriza los intercambios DHCP y en un determinado punto de la comunicación envía un paquete para modificar su comportamiento. Evil FOCA se encargará de convertir el equipo en un servidor DHCP falso en la red.
  • Neighbor Adverticement Spoofing: El principio de este ataque es el mismo que el de ARP Spoofing, la diferencia radica en que IPv6 no trabaja con el protocolo ARP, sino que toda la información se transmite a través de paquetes ICMPv6. Existen 5 tipos de paquetes ICMPv6 utilizados en el protocolo de descubrimiento y Evil FOCA se encarga de generar ese tipo de paquetes, colocándose entre el gateway y la víctima.
  • Ataque SLAAC: El objetivo de este ataque es poder hacer un MITM cuando un usuario se conecta a Internet a un servidor que no tiene soporte para IPv6 y que por lo tanto es necesario conectarse usando IPv4. Este ataque es posible debido a que Evil FOCA se encarga de la resolución de nombres de dominio una vez situada en el medio de la comunicación, y es capaz de transformar las direcciones IPv4 en direcciones IPv6.
  • Falso DHCPv6 server: Este ataque consiste en que el atacante se hace pasar por el servidor DCHPv6, respondiendo a todas las solicitudes de la red, repartiendo direcciones IPv6 y un DNS falso para manipular el destino de los usuarios o denegar el servicio.
  • Ataque de denegación de servicio (DoS): El ataque DoS es un ataque a un sistema de equipos o red que causa que un servicio o recurso sea inaccesible para sus usuarios. Normalmente provoca la pérdida de la conectividad de la red por el consumo del ancho de banda de la red de la víctima o sobrecarga de los recursos computacionales del sistema de la víctima.
  • Ataque DoS en IPv4 con ARP Spoofing: Este tipo de ataque DoS consiste en asociar una dirección MAC inexistente en la tabla ARP de una víctima, con esto se consigue queel equipo en el cual se ha modificado la tabla ARP sea incapaz de conectarse a la dirección IP asociada a la MAC inexistente.
  • Ataque DoS en IPv6 con ataque SLAAC: En este tipo de ataque se genera una gran cantidad de paquetes “router advertisement” destinados a uno o varios equipos, anunciando falsos routers y asignando una dirección IPv6 y puerta de enlace diferente para cada router, colapsando el sistema y haciendo que los equipos no respondan.
  • DNS Hijacking: El ataque de DNS Hijacking o secuestro de DNS consiste en alterar la resolución del sistema de nombres de dominio (DNS). Esto se puede lograr por malware que invalide la configuración de un equipo TCP / IP para que apunte a un servidor pirata DNS bajo el control de un atacante, o por medio de un ataque MITM, siendo el atacante el que reciba las peticiones DNS, y encargándose él de dar respuesta a una consulta DNS específica para dirigir a la víctima a un destino específico seleccionado por el atacante.

Evil FOCA is now Open Source


We are really happy to announce that Evil FOCA is now Open Source. We have received lots of comments and feedback about how you are using Evil FOCA, or how you would like to improve it; thousands of people are downloading Evil FOCA in a monthly basis.

Although Evil FOCA has always been free of charge, now we want to make the next step: Evil FOCA is now Open Source released under the GNU Public License 3.0. It is available in our GitHub repository: https://github.com/ElevenPaths/EvilFOCA

Our main objective with the Open Source release is that the community will be able to improve and keep Evil FOCA one of the best networking pen-testing tools. Please check our Evil FOCA’s website in order to know more about it.

What is Evil Foca and what is it able to?

Evil FOCA is a tool for security pentesters and auditors whose purpose it is to test security in IPv4 and IPv6 data networks.

The tool is capable of carrying out various attacks such as:

  • MITM over IPv4 networks with ARP Spoofing and DHCP ACK Injection.
  • MITM on IPv6 networks with Neighbor Advertisement Spoofing, SLAAC attack, fake DHCPv6.
  • DoS (Denial of Service) on IPv4 networks with ARP Spoofing.
  • DoS (Denial of Service) on IPv6 networks with SLAAC DoS.
  • DNS Hijacking.

The software automatically scans the networks and identifies all devices and their respective network interfaces, specifying their IPv4 and IPv6 addresses as well as the physical addresses through a convenient and intuitive interface.

Within the MITM (Man in the middle) attacks in IPv4 and IPv6 Evil FOCA considers the following techniques:

  • ARP Spoofing: Consists in sending ARP messages to the Ethernet network. Normally the objective is to associate the MAC address of the attacker with the IP of another device. Any traffic directed to the IP address of the predetermined link gate will be erroneously sent to the attacker instead of its real destination.
  • DHCP ACK Injection: Consists in an attacker monitoring the DHCP exchanges and, at some point during the communication, sending a packet to modify its behavior. Evil FOCA converts the machine in a fake DHCP server on the network. 
  • Neighbor Advertisement Spoofing: The principle of this attack is identical to that of ARP Spoofing, with the difference being in that IPv6 doesn’t work with the ARP protocol, but that all information is sent through ICMPv6 packets. There are five types of ICMPv6 packets used in the discovery protocol and Evil FOCA generates this type of packets, placing itself between the gateway and victim.
  • SLAAC attack: The objective of this type of attack is to be able to execute an MITM when a user connects to Internet and to a server that does not include support for IPv6 and to which it is therefore necessary to connect using IPv4. This attack is possible due to the fact that Evil FOCA undertakes domain name resolution once it is in the communication media, and is capable of transforming IPv4 addresses in IPv6.
  • Fake DHCPv6 server: This attack involves the attacker posing as the DCHPv6 server, responding to all network requests, distributing IPv6 addresses and a false DNS to manipulate the user destination or deny the service. 
  • Denial of Service (DoS) attack: The DoS attack is an attack to a system of machines or network that results in a service or resource being inaccessible for its users. Normally it provokes the loss of network connectivity due to consumption of the bandwidth of the victim’s network, or overloads the computing resources of the victim’s system.
  • DoS attack in IPv4 with ARP Spoofing: This type of DoS attack consists in associating a non-existent MAC address in a victim’s ARP table. This results in rendering the machine whose ARP table has been modified incapable of connecting to the IP address associated to the non-existent MAC.
  • DoS attack in IPv6 with SLAAC attack: In this type of attack a large quantity of “router advertisement” packets are generated, destined to one or several machines, announcing false routers and assigning a different IPv6 address and link gate for each router, collapsing the system and making machines unresponsive.
  • DNS Hijacking: The DNS Hijacking attack or DNS kidnapping consists in altering the resolution of the domain names system (DNS). This can be achieved using malware that invalidates the configuration of a TCP/IP machine so that it points to a pirate DNS server under the attacker’s control, or by way of an MITM attack, with the attacker being the party who receives the DNS requests, and responding himself or herself to a specific DNS request to direct the victim toward a specific destination selected by the attacker.

Who are you going to believe, me or your own eyes? The dilemma of managed security

viernes, 18 de septiembre de 2015

Organizations are facing a context of increasingly complex IT threats jeopardizing the everyday development of production processes. We are referring to persistent advanced attacks, zero-day threats, industrial espionage, hacktivism, etc. and at the same time the need to play by the rules (legislation and regulations) in security matters.

The challenge for organizations is to balance the tough demands of production processes and the management of the increasing complexity of threats with the intelligence and scaling required in each case. This makes necessary, not only the deployment of tools to deal with these threats, but also to have security experts or to outsource this service to specialized third parties that have trained staff and the appropriate tools to manage their security. The problem in this case is that organizations lose visibility and control over their own security.

At ElevenPaths, we believe that it is possible to go one step further in this never-ending cat-and-mouse game. The outsourced “traditional” security management is based on the operation of security tools such as firewalls, antivirus software, intrusion detectors, etc., and a SIEM (Security Information and Event Management) as a tool for collecting and correlating events generated by these security tools. The SIEM detects and alerts the operator when a security incident takes place, but the organization loses visibility of its own security and immediacy to respond.

The new approach to outsourced security management should enable the organization to have an immediate knowledge of the incident and a unified view of its security, allowing also an immediate and accurate response to the threats and the minimization of their impact on the business. This solution should also integrate both the information from all the tools used in the organization itself and external information. The organization should also benefit from a comprehensive and collective knowledge that enables it to anticipate incidents that are already happening or have happened to others.

The first step is to improve the incident detection by SIEMs. SandaS processes information received by SIEMs with a set of proprietary algorithms that detect activities that may go unnoticed for SIEMs.

The state-of-the-art dashboard enables the organization to access real-time data on its security and monitor the status of its security by the minute and how it is being managed.

Detecting an incident is not enough, a standardized classification and criticality assignment is necessary. The criticality level can be customized through SandaS according to the organization’s specific context and the affected elements. Moreover, it automatically notifies the relevant actors in that context for a more agile and efficient processing and resolution. It can even automatically execute resolution or remediation actions, thus optimizing resources.

SandaS is supported by multiple components of the ElevenPaths security platform, such as the Big Data processing framework Sinfonier, which enables the integration of internal and external sources, such as external events detected by other cybersecurity services. This allows for potential incidents to be detected faster and as closely as possible to the organization context, as well as the prevention or reduction of their impact.

Moreover, the most innovative feature of SandaS is its collaborative approach. With its global scale and the large volume of data that it handles from a variety of sources, it gets a comprehensive knowledge of suspicious evidence across its network. Thanks to this intelligence, it infers potential threats, immediately detects incidents that are already taking place and, above all, prevents them from happening in those organizations where they have not yet materialized.

To complete this view of security management, it would be required to link it to the business. It is necessary to assess the risk that threats and vulnerabilities pose for the business, as well as being able to manage the compliance with the many regulations, standards and policies. This enables us to make better decisions on the management of incidents and the definition of processes, procedures and policies for preventing and managing incidents.

This is why we have recently expanded our solution with GRC (Governance, Risk and Compliance) capabilities through the acquisition of the GesConsultor platform, which integrates into our family of products as SandaS GRC.

To find out more about the tool, check out the following video:



In upcoming posts we will get into more details on the functionality offered by the various components of SandaS and SandaS GRC which are offered through Telefonica’s Managed Security Services.

¿Me va a creer usted a mí o a sus propios ojos? El dilema de la seguridad gestionada

martes, 15 de septiembre de 2015

Las organizaciones se enfrentan a un contexto de amenazas informáticas cada día más complejo que pone en riesgo el normal desarrollo de los procesos productivos. Nos referimos a ataques avanzados persistentes, amenazas de día cero, espionaje industrial, hacktivismo… y al mismo tiempo la necesidad de cumplir con «las reglas del juego» (legislación y regulaciones) en materia de seguridad.

El reto para las organizaciones es equilibrar las exigentes demandas de los procesos productivos y la gestión de la creciente complejidad de las amenazas, haciéndolo con la inteligencia y escala requerida en cada caso. Esto obliga no sólo al despliegue de herramientas que permitan gestionar estas amenazas, sino también a disponer de profesionales expertos en seguridad o bien externalizar este servicio a terceros especializados, que dispongan del personal capacitado y las herramientas adecuadas para la gestión de su seguridad. El problema en este caso es que la organización pierde visibilidad y control sobre su propia seguridad.

En ElevenPaths consideramos que es posible ir un paso más allá en este eterno juego del gato y el ratón. La gestión “tradicional” de la seguridad externalizada se basa en la operación de herramientas de seguridad como cortafuegos, antivirus, detectores de intrusiones, etc. y de un SIEM como herramienta de recolección y correlación de los eventos que generan esas herramientas de seguridad. El SIEM detecta y avisa al operador cuando se produce algún incidente de seguridad, pero la organización pierde visibilidad de su propia seguridad e inmediatez a la hora de responder.

El nuevo enfoque de la gestión externalizada de la seguridad debería permitir a la organización tener un conocimiento inmediato de los incidentes, así como una visión unificada de su seguridad, que permita una respuesta también inmediata y a la escala de la amenaza, que minimice el impacto en el negocio. Esta solución además debería integrar tanto la información obtenida de todas las herramientas desplegadas en la propia organización, como la información externa a la misma. Así mismo, la organización debería beneficiarse de un conocimiento global y colectivo que le permita anticipar incidentes que ya le están ocurriendo o le han ocurrido a otros.

El primer paso es mejorar la detección de incidentes que realizan los SIEMs. SandaS procesa la información que reciben los SIEMs con un conjunto de algoritmos propios que permiten detectar actividades que pueden pasar desapercibidas para estos.

El portal de última generación permite a la organización la visualización en tiempo real de la información relevante de su seguridad, y hacer un seguimiento minuto a minuto del estado de su seguridad y de cómo se está gestionando la misma.

No es suficiente con detectar un incidente, sino que es necesario categorizarlo de una forma homogénea y asignarle una criticidad. SandaS permite personalizar el nivel de criticidad según el contexto específico de la organización y los elementos a los que afecta. Además, notifica de forma automática a los actores relevantes en ese contexto, para un tratamiento y resolución más ágil y eficiente. Incluso puede ejecutar automáticamente acciones de resolución o remediación, lo que permite optimizar recursos.

SandaS se apoya en múltiples componentes de la plataforma de seguridad de ElevenPaths, como es el framework de procesamiento Big Data Sinfonier que le permite la integración de fuentes internas y externas, como eventos externos detectados por otros servicios de ciberseguridad. Esto permite detectar más rápidamente, y de forma más ajustada al contexto de la organización, posibles incidentes y prevenir o reducir su impacto.

Además, la cualidad más innovadora de SandaS es su enfoque colaborativo. Gracias a su escala global y el gran volumen de datos que maneja de muy diversas fuentes, obtiene un conocimiento global de indicios sospechosos en toda su red de actuación. Esta inteligencia le permite inferir amenazas potenciales, detectar inmediatamente incidentes que ya están ocurriendo y, sobre todo, prevenir que estos incidentes ocurran en aquellas organizaciones donde aún no se han materializado.

Para completar esta visión de la gestión de la seguridad sería necesario vincularla al negocio. Es necesario valorar el riesgo que suponen amenazas y vulnerabilidades para el negocio, así como ser capaces de gestionar el cumplimiento de las múltiples regulaciones, normativas y políticas. Esto nos permite tomar mejores decisiones sobre la gestión de los incidentes y la definición de procesos, procedimientos y políticas para prevenir y gestionar incidentes.

Por ello, recientemente hemos ampliado nuestra solución con capacidades de GRC (Governance, Risk and Compliance) a través de la adquisición de la plataforma GesConsultor, que se integra en nuestra familia de productos como SandaS GRC.

Echa un vistazo al vídeo y descubre más sobre la herramienta:




En próximas entradas daremos más detalles de las funcionalidades que ofrecen los diversos componentes de SandaS y SandaS GRC, que se ofrecen a través de los servicios de Seguridad Gestionada de Telefónica. 

ElevenPaths acquires Gesconsultor (Gesdatos), the leading Governance, Risk & Compliance platform Spain

lunes, 14 de septiembre de 2015


  • GesConsultor will be offered internationally as part of Telefónica’s security services portfolio.
  • The platform enables organisations to support business strategy, improve operating performance, mitigate operational risks and ensure regulatory compliance.
  • GOVERTIS (recently rebranded and previous owner of GESCONSULTOR /GESDATOS), will become Premium distributor and provide special consultancy services.

          Madrid, 14 September 2015.- ElevenPaths, innovative security solutions specialist for Telefónica, has acquired technology from GesConsultor the leading Governance, Risk & Compliance (GRC) platform in Spain - including its Gesdatos privacy module. This platform manages the legal requirements for safety and risk management of an organisation, in a unified and efficient way, integrating and orchestrating its key processes around three strategic areas: Corporate Governance, Risk Management and Regulatory Compliance.

With the integration of GesConsultor, ElevenPaths enriches its portfolio of Managed Security services to provide a GRC solution using its own technology, which will have a high growth potential and which it previously covered using third party solutions. To this end, the company has incorporated the solution development team into its workforce.

This solution will be sold as part of Telefónica’s security services offer through all local operators, and via its Premium Distributor, GOVERTIS (the newly rebranded founding company behind the GesConsultor platform), along with other specialised services as the solution rolls out, in full compliance with international standards and best practice.

There are currently more than 10,000 organisations which are managed via the Regulatory Compliance platform, and more than 180 associate partners using the solution. It has been widely implemented in Spain and is now expanding into Latin America.

The solution helps organisations in the public and private sectors, which are currently facing enormous challenges, in the running of their production and support processes. They must ensure their safety, properly manage risk, comply with internal policies and obligations imposed on them by legislators, regulators and customers, and direct the whole organisation to meet the objectives set. This requires the use of tools which will enable them to manage these needs, and requires professional experts who will use these tools in a way as to transform the organisation.

The solution provides the following high-level functions:
  • Enterprise Architecture Modelling, offering a true representation of the organisation, providing the level of detail required for Risk Management and Regulatory Compliance, and to specify organisational structures, information systems and the infrastructure required to operate them, for services and business processes.
  • Centralisation of Information on Regulatory Compliance, in order to manage the governing measures arising from multiple requirements of the legislative (Organic Law on Data Protection, the Spanish Security Guidelines, the Spanish Interoperability Guidelines, Critical Infrastructure, etc.), international standards (ISO 27001, ISO 27002, ISO 20000, ISO 22301, PCI-DSS, etc.), and industry regulatory frameworks or the organisation's own.
  • Risk Management, incorporating a risk processing engine based on ISO 31000 with full support for frameworks such as ISO 27005, NIST SP 800-30 or COBIT 5 for Risk. In addition, it has a specific module for the MAGERIT methodology, aligned with National Security Guidelines and Critical Infrastructure legislation based on the PILAR application.
The acquisition allows ElevenPaths to enhance its solutions with GRC capabilities, which will now be integrated into its family of products as SandaS GRC.

For further information: 

ElevenPaths compra Gesconsultor (Gesdatos), la plataforma líder en España en sistemas de gestión y cumplimiento normativo


  • GesConsultor se comercializará internacionalmente como parte de la oferta de seguridad de Telefónica.
  • La plataforma permite a las organizaciones soportar su estrategia de negocio, mejorar el desempeño operativo, mitigar los riegos operacionales y asegurar el cumplimiento regulatorio.
  • GOVERTIS (nueva marca de la compañía que anteriormente era la propietaria de GESCONSULTOR / GESDATOS), será distribuidor Premium de los productos y prestador preferente de los servicios de consultoría derivados.

          Madrid, 14 de septiembre de 2015.- ElevenPaths, la empresa especializada en el desarrollo de innovadoras soluciones de seguridad de Telefónica, ha adquirido la solución tecnológica GesConsultor (incluyendo su módulo de privacidad Gesdatos), la plataforma líder en España para Sistemas de Gestión y Cumplimiento Normativo (GRC- Governance, Risk & Compliance-), que gestiona de forma unificada y eficiente los requisitos legales, de seguridad y riesgos de una organización, integrando y orquestando sus procesos clave en torno a tres dominios estratégicos: Gobierno Corporativo, Gestión del Riesgo y Cumplimiento Regulatorio.

ElevenPaths integrará GesConsultor en su portfolio de soluciones de Seguridad Gestionada enriqueciéndolo. De esta forma ofrecerá una solución de tecnología propia en el área de GRC de alto potencial de crecimiento y que antes cubría con soluciones de terceros. Para ello, ha incorporado a su plantilla al equipo de desarrollo de la solución.

Esta solución se comercializará como parte de la oferta de seguridad de Telefonica en todas las operadoras locales de la compañía y a través del Distribuidor Premium, GOVERTIS (nueva marca de la empresa creadora de la plataforma GesConsultor), junto con servicios especializados en el despliegue de la solución de forma totalmente alineada con estándares y las mejores prácticas internacionales.

Actualmente hay más de 10.000 organizaciones gestionadas a través de la plataforma de Cumplimiento Normativo y más de 180 partners asociados utilizando la solución. Se encuentra ampliamente implantada en España y ya ha iniciado la expansión en Latam.

La solución ayuda a las organizaciones del sector privado y público, que se enfrentan hoy en día a enormes retos mientras ejecutan sus procesos productivos y de soporte. Deben velar por su seguridad y gestionar adecuadamente el riesgo, cumplir con las políticas internas internas y las obligaciones que les son impuestas por legisladores, reguladores y clientes, y orientar toda la organización a alcanzar los objetivos establecidos. Esto obliga al despliegue de herramientas que permitan gestionar estas necesidades y a disponer de profesionales expertos que las conviertan en transformadoras para la organización.

La solución proporciona las siguientes funcionalidades de alto nivel:
  • Modelado de arquitectura empresarial, para reflejar la organización de forma fiel, al nivel de detalle requerido para la Gestión del Riesgo y Cumplimiento Normativo, detallando para los Servicios y Procesos de Negocio las estructuras organizativas, Sistemas de Información y la Infraestructura requerida para su operación.
  • Centralización de la información de cumplimiento normativo, gestionando los controles derivados de múltiples Fuentes de Requisitos: Legislativos (LOPD, ENS, ENI, Infraestructuras Críticas,…), estándares internacionales (ISO 27001, ISO 27002, ISO 20000, ISO 22301, PCI-DSS,…), así como marcos regulatorios sectoriales o propios de la organización.
  • Gestión de riesgo, incorporando un motor del Riesgo basado en ISO 31000 con pleno soporte a marcos como ISO 27005, NIST SP 800-30 o COBIT 5 for Risk. Adicionalmente, dispone de un módulo específico para MAGERIT con soporte al Esquema Nacional de Seguridad y la legislación sobre Infraestructuras Críticas basado en PILAR.
ElevenPaths amplía su solución con capacidades de GRC a través de esta adquisición, que se integra en su familia de productos como SandaS GRC.

Para más información: 

Mobile Connect: el nuevo estándar en autenticación digital

martes, 8 de septiembre de 2015



Los operadores de telefonía móvil ponen el futuro de la autenticación digital en nuestras manos y en la de nuestros clientes. Los consumidores ya no tendrán que crear y gestionar varios nombres de usuario y contraseñas porque la solución de autenticación e identificación que se está desarrollando empleará el nombre de usuario móvil o el número de teléfono móvil del abonado y la información contenida en la tarjeta SIM segura.

¿Qué es Mobile Connect? 
Mobile Connect es una iniciativa de la GSMA (Global System for Mobile Communications Association) válida para distintos operadores que permite a los usuarios autenticarse en aplicaciones de terceros mediante una cuenta de usuario vinculada a su número de teléfono móvil. El proveedor de autenticación de Mobile Connect es el operador de red móvil del usuario y la autenticación es más segura que la que ofrecen los esquemas normales de nombre de usuario y contraseña porque el acceso a la cuenta se asegura a través del dispositivo móvil del usuario.

Los desarrolladores o proveedores de servicios, como minoristas digitales, instituciones financieras, proveedores en línea u organismos públicos, pueden usar el servicio Mobile Connect en sus aplicaciones para autenticar a los usuarios. Mobile Connect ofrece varios niveles de seguridad para la autenticación que van desde el acceso a sitios web con un nivel de seguridad bajo hasta la autenticación muy segura para operaciones bancarias. De esta forma, el proveedor de servicios o desarrollador puede elegir el nivel que mejor se adapte a su aplicación.


Telefónica (impulsa y lidera a través de ElevenPaths), junto con otros importantes operadores de telefonía móvil, el desarrollo de “Mobile Connect” participando activamente en varias iniciativas multioperador en Europa y Latinoamérica.

En qué consiste
Si pensamos en la cantidad de aplicaciones y sitios web que utilizamos habitualmente y para los que necesitamos un nombre de usuario y una contraseña, nos damos cuenta de que cuanto más utilizamos los servicios de Internet, más datos de acceso tenemos que recordar. Con Mobile Connect, ya no se necesitan contraseñas ni nombres de usuario, lo que facilita enormemente el acceso. Si se accede a través de las redes sociales, también se puede prescindir de contraseñas pero a muchos usuarios les preocupa que se utilicen sus datos personales sin su permiso. Con Mobile Connect, no se facilita información a los proveedores de servicios sin el consentimiento del usuario, así que el acceso es más privado.

Con Mobile Connect, la autenticación se realiza a través del teléfono móvil en vez de proporcionar información personal. De esta forma, la autenticación es más segura y privada.

Mobile Connect es la nueva forma de acceso segura, sencilla y privada.





Cómo funciona
La tecnología de Mobile Connect se basa en OpenID Connect, una tecnología ampliamente adoptada. El operador proporciona autenticación para el sitio web y no se comparte información personal sin el permiso del consumidor.

La arquitectura lógica de Mobile Connect reutiliza muchos de los activos del operador e incorpora unos pocos componentes nuevos para proporcionar Mobile Connect.


En el siguiente diagrama se ilustran los principales componentes lógicos que habrá que proporcionar para la implementación de servicios Mobile Connect o que se verán afectados por estos servicios.



La GSMA colabora con importantes operadores de telefonía móvil a nivel global y también lo hace a nivel nacional con un amplio conjunto de actores del ecosistema como, por ejemplo, organismos públicos, bancos y minoristas para ayudar a implementar soluciones de identidad digital mediante móviles.

Visita gsma.com/personaldata para mantenerte al día de los últimos avances en Mobile Connect, la solución de acceso universal y segura.

Introducing Mobile Connect – the new standard in digital authentication



The Mobile Operators hold the future of digital authentication in our hands, and so do our customers. The consumers will no longer need to create and manage multiple user names and passwords as the authentication and identification solution being developed will use the subscriber’s mobile phone number or mobile user name and information contained in the secure SIM card.

What is Mobile Connect? 
Mobile Connect is a GSMA (Global System for Mobile Communications Association) cross-operator proposition where users can authenticate with third party applications via a user account linked with their mobile phone number. The authentication provider for Mobile Connect is the user’s mobile network operator, and authentication is more secure than typical username/password schemes as access to the account is secured via the user’s mobile device.

Service Provider and/or Developers, such as digital retailers, financial institutions, online providers or governments, can use the Mobile Connect service on their applications to authenticate users. As Mobile Connect offers various levels of security for authentication, ranging from low-level website access to highly-secure bank-grade authentication, the Service Provider/Developer can choose the one most suited to its application.


Telefónica (lead by ElevenPaths as part of the Global Security Unit), along with other leading mobile operators, is pioneering the development of “Mobile Connect”, participating actively in several multioperator initiatives in both, Europe and Latam regions.

How does it look like?
Just think how many websites and applications you use regularly for which you need a user name and password. The more we use the Internet services, the more log-in details we have to remember. With Mobile Connect, there’s no need for passwords or usernames, making logging in so much easier. Although logging in through social networks can remove the need for passwords, many people worry their personal information will be used without their permission. With Mobile Connect, no information is made available to service providers without the user’s consent, making logging in more private.

With Mobile Connect, you are authenticated through your mobile phone, rather than through personal information. This makes authentication in safer and more secure.

Mobile Connect is the new simple, secure and private way to log-in.





How does it work?
The technology behind Mobile Connect is built on the widely adopted technology of OpenID Connect. Authentication is provided by the operator to the website with no person information shared without the consumer’s permission.

The Mobile Connect Logical Architecture reuses many of the Operator assets and introduces a small number of new components in order to deliver Mobile Connect.


The following diagram illustrates the key logical components that will need to be provided for, or impacted by, the deployment of Mobile Connect services.



The GSMA is working with leading mobile operators globally and in-county with a broader set of ecosystem players, such as governments, banks and retailers, to help roll out mobile-enabled digital identity solutions.

Visit gsma.com/personaldata to keep up to date with the latest developments in Mobile Connect, the secure and universal log-in solution.