Invertir en el personal, la mejor opción para prevenir intrusiones de seguridad

Por: Jayson Street

Coautor de Dissecting the Hack: The F0rb1dd3n Network (La piratería bajo lupa: la red olvidada),

Dispone de la mejor tecnología y del mejor diseño de implementación posibles para proteger a su empresa de las legiones de amenazas que rodean el exterior del perímetro de la red. Sin embargo, seis meses después, se encuentra sentado frente al CEO intentando explicarle por qué una parte de la base de datos de clientes de la empresa ha salido de las instalaciones en una llave USB tras haber sido descargada por alguien que se hacía pasar por un empleado.

“Si cree que la tecnología puede resolver sus problemas de seguridad, entonces es que no entiende ni los problemas ni la tecnología”.

Esta afirmación del gurú de la seguridad Bruce Schneier es tan popular en el mundo de la seguridad, que se ha convertido en un tópico. Pero porque es totalmente cierta. Los profesionales de la seguridad instalan sistemas, capas de protección, mecanismos de supervisión y, a pesar de todo, continúan produciéndose incidentes.

Cuando esto ocurre, a menudo echamos la culpa a la insensatez de los usuarios. Los profesionales de la seguridad que piensan de esa manera requieren un nuevo punto de vista: no es suficiente con ajustar las reglas de detección de intrusiones, actualizar los sistemas IPS y las firmas antivirus o aplicar parches a los sistemas. Sus oficinas están repletas de «sistemas» humanos de prevención de intrusiones a los que hay que formar, responsabilizar y estimular.

Formar

He trabajado en bancos en el pasado y he visto cómo forman a su personal para hacer frente a los robos. Si un individuo entra en una sucursal con un pasamontañas en la cabeza y entrega al cajero una nota exigiendo dinero en efectivo, todos los empleados saben exactamente lo que deben hacer. De hecho, reciben entrenamiento sobre cómo reaccionar adecuadamente en ese tipo de situaciones.

Pero si entro en la misma sucursal y me identifico como empleado de la compañía eléctrica, es probable que pueda pasar al otro lado de la ventanilla con el pretexto de verificar los «continuos problemas de baja tensión en el inductor secundario». (Mi excusa no tiene por qué tener sentido). La mayoría de los bancos no enseñan a sus empleados a reaccionar frente a ataques de ingeniería social de este tipo.

Su tarea es enseñar a su personal lo que tiene que hacer. Después de todo, se trata de gente inteligente; no ocuparían el puesto que ocupan si fueran incapaces de aprender, y esta sería sencillamente otra competencia que tendrían que asimilar. ¿Le preocupa que pueda llevar tiempo? La actualización de las firmas antivirus en todos los servidores lleva tiempo. La aplicación de parches a sus sistemas operativos lleva tiempo, así como el ajuste de las firmas de sus sistemas de prevención de intrusiones.

Pero ¿dedica tiempo a la formación de sus sistemas de defensa más importantes, sus empleados? Olvidarse de los empleados no difiere mucho de dejar en el centro de datos un nuevo sistema de prevención de intrusiones con la misma firma con la que se adquirió hace un año.

Imaginemos una situación perfectamente real: tras semanas invertidas en comparar soluciones de distintos proveedores, realizar tests de sistemas mediante pruebas de concepto, obtener la aprobación para realizar la compra y llevar a cabo las instalaciones necesarias, finalmente dispone de un flamante nuevo sistema de prevención de intrusiones (IPS) en el centro de datos.

Una de las mejores formas de preparar a los empleados frente a ataques de ingeniería social es invitarles a hacerse la siguiente pregunta: «¿forma parte esta situación de mi rutina de trabajo diaria?». En mi ejemplo del banco, la compañía eléctrica no envía empleados directamente a las sucursales. Normalmente, llamarán a la central y fijarán una cita con el personal de mantenimiento.

La lección más importante que debe transmitirles es que tienen derecho a equivocarse. Ponga a su disposición las herramientas para informar sobre las actividades sospechosas. Necesitan un número de teléfono de emergencia y una cuenta de correo electrónico a los que se preste atención inmediata o de lo contrario dejarán de utilizarlos.

Cuando reciba un alerta o un mensaje, agradezca a la persona que le informó del incidente. Incluso si recibe una falsa alarma, exprésele su agradecimiento. Insista en el hecho de que necesita datos para hacer su trabajo. La seguridad funciona mejor cuando la gente nos informa de que algo no parece normal. Y cada «gracias» supondrá un nuevo ajuste de los sensores de los sistemas humanos de prevención de intrusiones de su empresa.

Responsabilizar

La descripción de la tarea de cada empleado debería incluir una declaración relativa a la seguridad de la información. Independientemente de la función que alguien desempeñe en su empresa, cada individuo está implicado de alguna forma en la protección de la información de la empresa y de los clientes. Desde la orientación a nuevos empleados a la formación anual sobre el contenido de la intranet de la empresa, recuerde a todo el mundo la importancia de este trabajo desde todos los puntos de vista. Asimismo, recuérdeles que forma parte de sus responsabilidades. El equipo de tecnología no puede garantizar la seguridad por sí solo. Ni tampoco el equipo de cumplimiento de normativas. La protección de la empresa es responsabilidad de todos.

Estimular

Imponer la aplicación de una directiva no es algo negativo. Dar muestras de un autoritarismo excesivo no aporta nada, ni tampoco insistir en el hecho de que una persona ha cometido un error. El enfoque más eficaz consiste, por ejemplo, en recompensar al empleado si constata que aplica de manera eficaz las buenas prácticas de seguridad. También se puede incluir una nota de elogio en el boletín informativo de la empresa relativa a un empleado que se preocupó por hacer las cosas bien.

Hay dos formas de llevar a cabo inspecciones que persiguen el doble objetivo de hacer respetar las reglas y de formar al personal, sin que éstos tengan la sensación de haber sido «pillados». Por ejemplo, los hábitos de seguridad físicos son un requisito fundamental de buenas prácticas de seguridad de la información. Si los empleados tienen el hábito de dejar los ordenadores desbloqueados y las contraseñas escritas en notas adheridas a sus pantallas, dese una vuelta por la oficina y hable con ellos. Tal vez sea preciso establecer un proceso de inspecciones regulares. Pero hágalo abiertamente. Que la gente sepa lo que busca. Felicite a la gente que lo está haciendo bien. Se correrá la voz y los empleados empezarán a adoptar mejores hábitos.

Cuando reciba una alerta automatizada que le informe de una acción de respuesta de su sistema antivirus (que se espera que esté configurado de antemano), haga acto de presencia rápidamente. Asegúrese de que todo el mundo sabe que el equipo de seguridad es informado de los eventos de este tipo. Explique a los empleados de qué manera llega el malware a sus ordenadores. No solo estará hablando a la persona que generó la alerta de malware, estará hablando a todos a los que esta persona les va a comentar su experiencia con el equipo de seguridad.

No estamos cerca de ver el fin de los ataques de ingeniería social y de otras intrusiones. Un día conoceremos el ataque a los sistemas de una empresa de defensa, otro la fuga de datos de un proveedor de seguridad. Si profundiza un poco, se enterará de que no fue la tecnología la que falló. Fueron las personas. ¿Fallaron porque fueron insensatas? ¿Fueron poco inteligentes? ¿O fue alguien que abandonó a esos trabajadores (y a sus clientes) al no prepararlos adecuadamente para esos ataques de ingeniería social? La forma de evitar esa situación es formar, responsabilizar y estimular los hábitos de seguridad que su equipo necesita para sobrevivir en este mundo lleno de amenazas.

Recuerde, su «equipo» es toda su empresa. Enhorabuena, seguro que no se había dado cuenta que disponía de una plantilla tan amplia. Ahora, aprovéchela.

Fuente: High Results.

---