Empleado descontento

Hace unos días día leía una noticia sobre un ex-empleado que borró la información de su antigua compañía, al parecer furioso con su organización por hacer recibido un informe laboral desfavorable.

Más allá de los típicos comentarios que se puedan hacer al respecto, de los cuales tenemos una buena representación asociados al propio artículo, creo que es necesario prestar atención a algunos aspectos que creo que pueden ser significativos:

• La persona en cuestión parece que tenía problemas de relación inter-personal. Si el hecho ya estaba en conocimiento de RR.HH., como parece, vamos a la segunda derivada. ¿Se habían analizado las posibles consecuencias más allá de el propio hecho? ¿Existía una especial atención al comportamiento de esta persona desde otros puntos de vista, como podría ser el de seguridad de la información?
• Estamos ante una persona con importantes privilegios dentro de la organización, ya que se trata del director de servicios técnicos. Alguien que de hecho tenía que poder realizar las acciones que desarrolló si hubiera seguido formando parte de la organización. ¿Cuál era la estructura de control interno de la compañía? ¿Cómo se supervisaba o auditaba la actividad de las personas con mayores privilegios, que son precisamente las que tienen el mayor riesgo potencial asociado?
• Tras su dimisión se pudo conectar a los sistemas para llevar a cabo las acciones ilegales. ¿Por qué no funcionó el procedimiento de bajas? ¿No hubiera sido necesaria una especial atención dado el perfil del sujeto, de altos privlegios, y las condiciones de la baja, en forma de "dimisión airada"?

El hecho que quiero destacar es que, en este caso, no es que se produjera un fallo concreto en un elemento específico de la organización, sino que la pérdida de casi medio millón de dólares estuvo producida por la concurrencia de fallos de seguridad en distintos ámbitos (seguridad ligada al personal, monitorización, procedimiento de bajas, ...). Es un claro ejemplo no sólo de que los mayores riesgos de seguridad están dentro de casa, sino de que sin una estrategia que trate la seguridad de forma global es probable que aparezcan casos en los que una conjunción de factores de riesgo sean capaces de desencadenar graves pérdidas para la organización. ¿Hubiera sido posible evitar el incidente con un buen SGSI? Yo creo que sí...

Guia basica de adecuacion a la LOPD

Esta semana me he encontrado con un artículo muy sencillo de entender para todo aquél que quiera adecuarse al cumplimiento de la LOPD. El artículo en cuestión se titula LOPD: ¿Una necesidad o una obligación?, y describe de forma secuencial y muy fácil de entender cuales son los pasos que tiene que dar una empresa que vaya a iniciar un proyecto de adecuación a la LOPD. Seguro que no aporta gran cosa a la mayor parte de los lectores de este blog, pero también es seguro que es de gran ayuda para todas aquellas empresas que, con esto del nuevo reglamento, se hayan dado cuenta de que tienen que cumplir la LOPD y no tienen muy claro qué es lo que tienen que hacer en realidad. Sobre todo desde el punto de vista práctico.

La única pega que le puedo poner al artículo es el excesivo tinte comercial que tiene el artículo al final. Estoy de acuerdo en que siempre es mejor contar con una asesoría especializada, sobre todo si la empresa no tiene a nadie con formación específica en estos temas (y me temo que es el caso de muchas PYMEs), pero no estoy de acuerdo con el tinte de exigencia que parece cobrar en el artículo el hecho de contar con una buena consultora como respaldo.

Y al hilo de los párrafos finales del artículo, en los que se señala que la empresa que se quiera adecuar a la LOPD debería exigir una cualificación mínima a la empresa consultora, me gustaría plantear algunos interrogantes. Las exigencias en relación a las auditorías externas que planteaban algunos borradores del nuevo reglamento acabaron desapareciendo del texto final. A día de hoy no existe ningún tipo de requisito ni certificación cuyo cumplimiento sea obligatorio para realizar auditorías de LOPD. ¿Creeis que sería necesario establecer algún tipo de requisito para los auditores de LOPD y/o para las empresas que realizan este tipo de auditorías? ¿Cuál es el nivel de compromiso que se puede exigir a estas empresas? ¿Creeis que estas empresas deberían responder de algún modo por los resultados de dichas auditorías, desde un punto de vista jurídico? ¿Se debería exigir algún tipo de responsabilidad por la "firma" de una auditoría de LOPD, de un modo similar, por ejemplo, al de los arquitectos o ingenieros que firman un proyecto? Seguro que teneis muchas opiniones al respecto, tanto personales como jurídicas. ¿Os animais a contestar? Espero vuestros comentarios...

Publicada ISO/IEC 27005:2008

La semana pasada se publicó la norma ISO/IEC 27005:2008, bajo el título Information technology - Security techniques - Information security risk management. Como dice su nombre, esta norma supone una guía para la gestión de riesgos de seguridad de la información, de acuerdo con los principios ya definidos en otras normas de la serie 27000. Sustituye (y actualiza) a las partes 3 y 4 de la norma ISO TR 13335 (Técnicas para la gestión de la seguridad IT y Selección de salvaguardas, respectivamente), y se convierte en la guía principal para el desarrollo de las actividades de análisis y tratamiento de riesgos en el contexto de un SGSI. Constituye, por tanto, una ampliación del apartado 4.2.1 de la norma ISO 27001, en el que se presenta el análisis de riesgos como la piedra angular de un SGSI, y supone una excelente ayuda para todo aquél que quiera profundizar en el desarrollo práctico de un proceso de gestión de riesgos de seguridad de la información.

En quién confiar?

Poco a poco parece que se van calmando los ánimos después del bombazo informativo que supuso la noticia de que las claves criptográficas SSL de debian eran vulnerables. Después de que nos contaran la noticia y de que nos aclarasen algunas dudas al respecto, probablemente todos habremos actualizado ya nuestras claves y respiraremos tranquilos tras comprobar que nadie ha utilizado la vulnerabilidad para hacerse con nuestros sistemas.



Y ahora, cuando ya ha pasado la ola, es cuando algunos pueden empezar a notar la resaca. Debian era una distribución reconocida, de prestigio. ¿Sigue siéndolo después de este incidente? ¿Se puede seguir confiando en debian? ¿Existen alternativas más confiables? Es posible que este tipo de preguntas le hayan surgido a más de uno (de hecho, en los comentarios de esta versión de la noticia tenemos un buen ejemplo).



Mi punto de vista es que este hecho, o cualquier otro de caracter similar, no debería suponer prácticamente ningún cambio en la opinión que teníamos de un determinado producto software. Que aparezca una vulnerabilidad crítica no es algo excepcional, y que sea explotable remotamente tampoco es tan raro. Ni más ni menos de lo que lo era antes. La probabilidad de ocurrencia existe, no sólo en debian sino en cualquier producto software, y que haya ocurrido una vez no cambia nada. Cualquier código tiene fallos, independientemente de que estén o no publicados. La probabilidad de que existan fallos de esta gravedad depende principalmente del propio producto, de su complejidad, tamaño, características y proceso de "fabricación". Que se publiquen tiene tanto de negativo como de positivo, pero no afecta a la "seguridad" del propio producto, sino a la probabilidad de que se intente explotar.



¿En conclusión? Que si queremos valorar la seguridad de debian, o de cualquier otra cosa, nos olvidemos del incidente de moda. Era tan probable que se incendiase un rascacielos antes de que se quemara el Windsor como después. No debemos dejarnos llevar por nuestra percepción del riesgo. Si hasta el incidente habíamos confiado en ese producto, sería por algo, no? Habrá que pensar en ese motivo, y analizar si sigue siendo válido. Y ojo, que la estadística suele jugar malas pasadas. Que no haya salido un 6 en ninguna de las tiradas de dados que hemos hecho no quiere decir que en la siguiente no pueda salir, ni tampoco que salga una de cada seis veces...

Riesgos del teletrabajo

Desde que leí esta noticia sobre los riesgos de seguridad del teletrabajo para las empresas he estado prestando más atención a las personas de mi entorno, con el fin de descubrir hasta qué punto eran ciertas a mi alrededor las afirmaciones que se hacen en el artículo. Y creo que puedo estar satisfecho de poder decir que mis propias conclusiones no son tan negativas como las del artículo.

Para empezar creo que existe una gran diferencia entre el teletrabajador en casa y el desplazado. El primero, el que se lleva a casa el portátil, normalmente suele limitarse a realizar el mismo uso que en la oficina. Para el resto de actividades ya tiene, en la mayoría de los casos, un equipo propio, tan personalizado y a su gusto que difícilmente prefiere seguir utilizando el equipo corporativo para otras actividades fuera de las laborales. Un caso distinto suele ser el de los teletrabajadores desplazados, que sí pueden utilizar durante dichos desplazamientos ese equipo como sustituto del personal. En esos casos el uso "no profesional" del equipo se incrementa, evidentemente, pero por lo general suele ser un uso "comedido". Vamos, que en esos casos se suele navegar mucho más por webs de noticias y viajes que por páginas pornográficas. Y en general no suele haber tráfico P2P, al menos en la mayor parte de los casos que conozco, sobre todo porque los usuarios no tienen este tipo de programas instalados ni pueden instalarlos.

Otro de los casos que mi pequeño "estudio" tampoco ha corroborado es el relativo al uso de esos equipos por parte de otras personas. Sobre todo por el principio anterior: los que se lo llevan a casa ya suelen tener un equipo propio de uso familiar, y los desplazados suelen tener cada uno su propio equipo y generalmente pocas ocasiones para estar con alguien que no tenga y quiera usarlo libremente.

Lo que sí se suele dar más a menudo es la utilización de redes de acceso a Internet cuyas garantías de seguridad generalmente no se conocen o se pasan por alto. Es más habitual de lo que a mí me gustaría las conexiones a redes inalámbricas sin cifrar o el acceso a internet a través de redes que no cuentan con un simple firewall. Y la verdad es que, frente a esto, poco se puede hacer cuando la frase más habitual es que era "la única red disponible" para acceder a Internet. Probablemente la solución pase por que la propia organización proporcione una vía segura de acceso móvil a Internet, vía modem 3G, por ejemplo, pero si la propia organización no pone medios alternativos, la posibilidad de que estos hechos se repitan parece bastante alta...

Y por último, tampoco he detectado una mayor tasa de apertura de correos electrónicos desconocidos o sospechosos en el caso del teletrabajo que en la propia oficina. La política de seguridad que tenga establecida la compañía de turno, y sobre todo el grado de formación y concienciación de los usuarios al respecto son claves para que esto se produzca, pero en general no he identificado diferencias en estos aspectos entre los teletrabajadores y el resto.

En conclusión, sí que es cierto que el teletrabajo introduce nuevos riesgos en las compañías, pero también es evidente que introduce importantes beneficios si se articula de manera adecuada. Y con unos buenos programas de formación y el establecimiento de las medidas técnicas apropiadas creo que es posible conseguir un entorno de trabajo en el que los niveles de seguridad que se establezcan puedan ser totalmente equivalentes a los dispuestos en las sedes de la organización. Eso siempre que no dejemos de gestionar dicha seguridad. ¿Qué tal un SGSI para tenerlo bien atado? ;-)

A vueltas con los términos

Cuanto más te vas adentrando en el mundo de la gestión (en general) y más fuentes diversas de información vas consultando, más problemático se vuelve eso de definir correctamente aquello de lo que estamos hablando. Sobre todo, si son términos que no sólo no se aclaran suficientemente, sino que mismos términos en entornos distintos pueden significar cosas distintas y, lo que es peor, distintos términos en entornos diferentes pueden tener el mismo significado. Y claro, cuando lo que importa son los detalles el trabajo se puede complicar...

Hoy símplemente quiero aclarar cuatro términos (auditoría, control, gestión y gobierno) que suelo utilizar y que para mí significan cosas distintas. Seguro que todos tienen matizaciones, y si alguien tiene distintos puntos de vista desde ahora le animo a que los critique libremente.

• Auditoría: Para mí es el de "menor nivel" de los cuatro, el más cercano a los niveles operativos. Lo entiendo como una labor de revisión sistemática y exhaustiva, en la que lo que se busca son las "pruebas", las trazas concretas y específicas de las actividades desarrolladas. Si la actividad consiste en repetir 20 veces una misma tarea, la labor de auditoría trataría de verificar que efectivamente se ha repetido esa tarea 20 veces una por una, examinando todos los registros que ha dejado dicha actividad y verificando, además, que su resultado ha sido el correcto. No creo que esta definición sea incompatible con el concepto de auditoría de un sistema de gestión, ya que considero que la coletilla añade todas las matizaciones correspondientes: la selección (y no revisión completa) de trazas, la aleatoriedad de dicha selección, ... De todos modos, no olvidemos que en la auditoría de un sistema de gestión lo que verificamos exhaustivamente es el sistema de gestión, y ahí nunca se permitirá que algún apartado de dicho sistema de gestión queden sin examinar. Lo que sí será permisible es no verificar todos los controles que forman parte de ese sistema de gestión, pero el sistema de gestión en sí mismo deberá ser completamente auditado.
• Control: Yo entiendo este concepto en un nivel superior al de auditoría. Si el anterior era una revisión exhaustiva, este supone la comprobación a modo de check-point de la actividad anterior. Para mí, el control no persigue verificar todos y cada uno de los resultados, sino establecer una tarea de revisión periódica de cierta actividad, con el fin de detectar desviaciones. En un caso ideal esta tarea de control iría ligado a una gestión por procesos, en la que dicho control constituye el parámetro que realimenta al proceso. Podríamos entender el control, visto de otro modo, como la tarea encargada de conseguir una determinada métrica asociada a la actividad en cuestión, y por tanto se podría entender este concepto como la base para el desarrollo de indicadores asociados a la actividad. Y, por supuesto, el caracter táctico u operativo del control iría ligado al caracter de la propia actividad controlada. Creo que es necesario señalar que el concepto de control visto como actividad no cubre completamente la definición que la serie 27000 ofrece en torno a dicho término, ya que en este caso no sólo lo contempla como actividad sino también como medida de caracter técnico, organizativo u operativo.
• Gestión: Este quizás sea el concepto más complejo de definir. No por el término en sí, sino por la dificultad que supone acotarlo y separarlo del control y del gobierno. Yo entiendo la gestión como el conjunto de tareas encaminadas a definir las propias actividades a desarrollar, administrar los recursos asociados a dichas actividades y articular las medidas necesarias para que dichas actividades alcancen los objetivos designados. El control sería una de las partes de la gestión, la de chequeo, y tendría por encima el concepto de gobierno. Considero que el carácter de la gestión es eminentemente táctico, y desde el punto de vista de una gestión por procesos se podría identificar fácilmente asociado a la articulación práctica de un proceso dado.
• Gobierno: Bajo este término yo suelo englobar las actividades de dirección asociadas a un nivel estratégico. Palabras como guiar y dirigir las entiendo íntimamente ligadas a este concepto. Si la gestión articula actividades, administra recursos y trata de conseguir los resultados definidos, el gobierno es quien define el marco de dichas actividades, proporciona o designa dichos recursos y establece los resultados a conseguir. En definitiva, el gobierno sería la dirección estratégica, el componente de planificación de alto nivel en un sistema de gestión. En resumidas cuentas, los aspectos que podríamos encontrar dentro del apartado de compromiso de la dirección de cualquier norma ISO de gestión.

Estas cuatro definiciones, no obstante, no son la panacea. Existen conceptos asociados, mezclas entre ellos, y la posibilidad de encontrárselos articulados en distintos niveles o repetidos en distintos grados de zoom dentro de cada organización. Será labor de cada uno utilizarlos de forma adecuada, y sobre todo requisito imprescindible tener claro qué uso hace nuestro interlocutor de estos cuatro términos si queremos mantener una conversación útil en relación a ellos. Aunque, pensándolo bien... ¿Quién iba a querer hablar de estos temas con otra persona? :-)