Proteja su información

Fabian Zambrano Smith - Gerente de SOC y Servicio al Cliente de Digiware

¿Cómo están considerando las empresas y las personas la Seguridad de la información?

En estos últimos años, sobre todo en el 2009, las empresas ya ven la información como una estrategia, algo que les ayuda a cumplir sus objetivos de negocio. Si hacemos una revisión hacia el pasado era una necesidad por cumplir ante el ente regulatorio, la legislación o para poder estar en bolsa o cumplir la regulaciones y, finalmente, para ser competitivos. Actualmente este concepto ha cambiado y, hoy, las empresas valoran el disponer de la información en tiempo real y de la forma adecuada. Por ello, en la actualidad la Seguridad de la Información está alineada al core del negocio y ha dejado de ser una estrategia exclusiva TI.

¿Qué aspectos deben estar en vigilancia permanente?

No limitarnos simplemente a controlar la navegación a través de los firewall para evitar pérdidas de tiempo y optimizar los procesos de trabajo. Hay que estar atentos de donde provienen las fugas de información, del personal que tiene acceso a la información crítica de la empresa, del lugar donde almacenamos los datos y de los sistemas de protección que garantiza una máxima protección de la información, entre otros. Además, se debe garantizar la continuidad de la operación en los viajes de negocio, ya que estas personas suelen mudar la información y estar expuestas a ataques o robos informáticos.

¿Crees que falta cultura de seguridad en las organizaciones?

Sí. Hoy urge enfatizar este tema y crear planes que ayuden a concientizar a los usuarios en las compañías porque todavía no se vislumbra el impacto de participar no intencionalmente, por ejemplo, en actividades de ingeniería social, a través de los portales sociales, etcétera. Ahora los riesgos de la seguridad de la información se están orientando a los procesos, más ya no a los de infraestructura o plataformas tecnológicas. Por ello, hay que tener mucho cuidado con la información que se dé y a quién se la ofrece, ya sea de forma voluntaria o involuntaria.

¿Cómo percibe usted el incremento de los delitos informáticos?

Hoy, los delincuentes cibernéticos son cada vez más profesionales. Esto como consecuencia de que hacer estas malas prácticas ya no responde a una travesura de tumbarse un portal sino que hoy por hoy el objetivo es el lucro por tanto ya no es una “única persona” sino un “ente”, es decir una comunidad dedicada a realizar estas actividades, que si bien pueden ser similares a una estructura de un crimen organizado, con un diseño de estrategias y objetivos específicos dificulta mucho su detección temprana y solo actuamos cuando identificamos el problema y con frecuencia esto se hace sobre la marcha del hecho. Sin duda, esta actividad se ha convertido en un negocio. Por ejemplo, en Estados Unidos se registra alrededor de 234 millones de dólares solo en fraudes. Una cifra altísima y motivadora para algunos que quieren dinero fácil y tienen capacidad y saben en donde existe la oportunidad de concretarlo.

¿Y la legalidad ya muestra sanciones drásticas al respecto o aún las leyes no son aplicables?

El FBI dice que, lamentablemente, solo el 5% de los delitos de esos 234 millones de dólares son castigados, pese a que la legislación de los EE.UU es muy fuerte en materia de seguridad de la información o delitos contra actividades orientadas hacia la seguridad de la información. Este hecho nos plantea la pregunta de que no es tan sencillo señalar a alguien de forma directa como responsable de un delito como sucede en un hecho físico. Es una situación compleja porque el delito se puede ejecutar desde cualquier lugar y no dejar rastros y, en el caso esto ocurriera no todas las legislaciones lo consideran un delito. Esto es algo que las personas dedicadas a este oficio inescrupuloso lo saben y lo utilizan como recurso de protección.

La seguridad informática involucra agentes internos y externos. ¿De dónde provienen en la mayoría de los casos los hechos fraudulentos?

Si yo quisiera lograr un fraude contra una organización es mucho más exitosa si yo estoy adentro o tengo contacto con el personal IT, porque conoce el proceso, los procedimientos, los controles, etcétera. Es importante señalar que las actividades maliciosas con personal interno son los de mayor impacto y probabilidad de éxito que los externos.

En cambio, los agentes externos están orientados a las actividades de penetración, de ingreso a los sistemas de formas no autorizadas más que lograr hacerlo con personal autorizado y, simplemente, que me dé información por un medio no autorizado a personal no autorizado, eso es más difícil hacerlo desde el mundo externo que hacerlo del mundo interno, entonces, el externo se ha orientado más al acceso sencillo como mecanismos como virus, malware, que permiten luego tomar control de los sistemas remotos por medios permitidos.

¿Cuál es el paso siguiente para ir reduciendo esta actividad ilícita?

Como mencionaba al inicio se necesita mucho del apoyo gubernamental para ayudarnos a crear una cultura no limitada al perímetro o al establecimiento físico de las organizaciones, es decir, darle una mayor importancia a la responsabilidad sobre lo que es seguridad de la información para evitar riesgos. En este sentido, las empresas deben cambiar su postura de pensar que es una obligación o simplemente si esto los ayudará a evitar que caiga sus sistemas de cómputo o les asegurará su crecimiento y continuidad de la operación. Por ello, ya es momento de no limitar el tema en mención al aspecto tecnológico sino darle una cobertura más amplia como lo he expuesto a lo largo de la entrevista. 

¿Las redes sociales de qué forman están cambiando esta cultura de la seguridad de la información?

Las redes sociales están creando un cambio de cultura y lo seguirán haciendo porque tendrán un impacto grandísimo como fue el  surgimiento de la Internet en su momento. Este hecho es inevitable y ya algunas organizaciones piensan que la forma de controlarlo es evitarlo, sin embargo, esto es inevitable porque ya es parte de nuestra cultura.

Finalmente, la tercerización de servicios de seguridad de información va en aumento. ¿Cómo percibe este suceso?

Es un boom creciente, sobre todo, por la crisis financiera que se vivió en el 2009. Creo que es el catalizador más fuerte de la tercerización y yo destaco dos temas en importancia. Primero, la reducción de costos que fue motivador trascendental y, en segundo orden, la experiencia. Por ejemplo, mi organización no es experta ni quiere hacerse experta en defenderse porque su objetivo de negocio es otro, por ello contrato a un tercero que es un experto en el tema, garantizando de esta forma la protección de los datos y la operación del negocio. Hoy todo fluye en segundos y en segundos se requieren soluciones rápidas porque el negocio, también, puede dejar de operar en segundos sino está debidamente protegido.

Fabián es Ingeniero electrónico de la Universidad Autónoma del Caribe y especialista en Telemática de la Universidad de los Andes. Ha desarrollado metodologías para la determinación de Redes Eficientes y Seguras y es el creador de la metodología e infraestructura de Digisoc.