¿Trabaja en una oficina de una empresa de tamaño medio o grande? Eche un rápido vistazo a su alrededor y cuente cuantos post-its con claves pegadas al monitor puede ver, o cuantos becarios recien llegados intentando sacar informacion de un sistema que parece que no entienden, señoras de la limpieza que tienen acceso a todo el recinto incluida la sala de servidores o el lugar donde se guardan las cintas de back-up, empleados conectando sus ipods o memorias USBs a los ordenadores. Puertas abiertas para el "hackeo interno" que según un reciente informe de Deloitte se está convirtiendo en la amenaza más seria para las entidades financieras pasando de suponer el 14% de los ataques hace un año al 35% este. A medida que las barreras puestas a los ataques externos aumentan con mayores inversiones en antivirus, firewalls, filtrados de informacion y otros sistemas de seguridad las tácticas de los atacantes están cambiando y cada vez más es un arte de manipular personas y aprovecharse de sus malas costumbres.
Muchas veces cuando se habla de este tema se tiene solo en cuenta a las empresas que trabajan 100% en la red o las entidades financieras, al ser las que pueden sufrir mayores perdidas, pero no son las únicas empresas afectadas. ¿Que empresa no tiene información relevante dentro de sus equipos informáticos? Información sobre clientes, precios, proyectos pendientes de ver la luz... En los últimos meses han aparecido varios casos de empleados que han vendido listados completos de direcciones de correo a spammers, datos de cuentas bancarias y otra información comprometedora. Y mucho mayor es el número que las empresas mantienen en secreto estas violaciones por no asustar a sus clientes, o que simplemente no son detectadas nunca. Incluso se está comenzando a ver el caso de ataques a usuarios individuales a los cuales se les encripta toda la información de su ordenadory se pide un "pequeño rescate" para dejarlo todo como estaba. A lo largo de los últimos cinco años el gasto en seguridad ha crecido anualmente un 20%, sin embargo las perdidas causadas por ataques informáticos siguen aumentando. La batalla no está perdida si embargo, no es necesario desconectar los ordenadores y volver al lápiz y papel, lo que hay que conseguir es cambiar la mentalidad y hacer responsables de la seguridad a todos los empleados de la empresa. Un control de claves tomado con seriedad, explicando la importancia de las mismas, los errores más comunes y como facilitarles la vida a los usuarios. Monitorizando a los trabajadores con mayor riesgo, trabajadores temporales o externos, empleados que están a punto de dejar la empresa, no prejuzgándolos pero si siendo conscientes de su situación, en la que pudiera ser interesante irse con parte de la información de la empresa o sin más hacer daño a la compañía con la que no se ha acabado de la mejor forma. Utilizando sistemas que no solo controlen la salida y entrada de información al exterior si no que monitorizan la actividad, pongamos por ejemplo, que salte una alarma si un usuario que normalmente accede a un par de cuentas de clientes un día se descarga 1.000. Resumiendo, utilizar el sentido común, hacer un análisis minucioso de los riesgos reales, valorarlos y en función de ello plantear las medidas pertinentes, teniendo en cuenta que es ya un problema que atañe a todos y no solo al pobre responsable de informática que no sabe ya que hacer el solo.
Vía | Financial Times (Edición impresa) En el Blog Salmón | Ahora le toca al Banco Popular