Lugares de trabajo: Amenazas internas a la seguridad

Lugares de trabajo: Amenazas internas a la seguridad
	VSantivirus No 2269 Año 10, sábado 14 de octubre de 2006 Lugares de trabajo: Amenazas internas a la seguridad http://www.vsantivirus.com/eb-14-10-06.htm Por Emilio Baby emilio@videosoft.net.uy Cuando se trata de amenazas internas a la seguridad en el trabajo, hay dos tipos de empleados: aquellos que dan a entender que saben como hacer las cosas, y aquellos que no tienen la más remota idea de ello. Ambos son igualmente peligrosos. Al presentar su nota principal en la conferencia del IT Compliance Institute, el autor sobre seguridad informática Dan Verton, dijo que una organización de tecnologías de la información, encara una ascendente batalla cuando disminuye la protección de sus activos. Las antiguas defensas perimetrales, se han vuelto inútiles. "Sus programas de seguridad, políticas y procedimientos, están viniéndose abajo miserablemente y ustedes no lo saben," dijo Verton a sus oyentes. "Podrían estar gastando millones en su defensa perimetral, pero resulta que no tienen un perímetro." Verton, autor del libro "The Insider: A True Story", dijo que las compañías necesitan usar tecnología para implementar procedimientos de seguridad que hagan fracasar a las personas de confianza con intenciones maliciosas, y permitan protegerse contra amenazas provenientes de empleados leales que aprovechan un uso negligente de las políticas de la organización. "Las motivaciones criminales de las personas de confianza son obvias," dijo Verton. "Ellos quieren robar información." Así las cosas, hay empleados leales pero desprevenidos, que trabajan en torno a las políticas y procedimientos de seguridad para ser mas eficientes... o para descargar pornografía, exponiendo el sistema a códigos maliciosos que pueden conducir a la violación de la información. Según Verton, las personas maliciosas y con conocimientos, a menudo vienen desde dentro de la propia organización, ningún CIO (encargados de la información), quiere oír eso pero no pueden ignorarlo por más tiempo. "Hay un aspecto psicológico en esos empleados, al cuál usted debe prestar atención," dice Verton. "Son personas que afirman que 'ésta compañía ignora lo que está pasando.' Ellos sienten que son los dueños de su red. Son individuos que están preparados a actuar para cuando usted emprenda una reducción o un despido. Si ellos están en su lista, tiene que considerarlo cuando lo esté planificando." Verton dice que la información debe ser protegida, aún si ella está detrás de un perímetro de protección, como un firewall. Él afirma que las empresas no pueden confiar en controles estrictos de acceso a la información. Los expertos dicen que la estrategia de un estricto control perimetral de seguridad es imposible de mantener. "Usted tiene un promedio de usuarios que son leales, pero ellos está manipulando información que es distribuida de forma íntegra a toda una empresa no protegida." Por ejemplo, ellos pueden usar por comodidad, una cuenta de correo Web para enviar a los clientes información acerca de sus cuentas, aún cuando la compañía pueda tener una política de envío de tal información a través de correo encriptado. Un virus o gusano que penetre el perímetro de seguridad de la organización puede obtener esa información. "Ello hace caer cualquier intento de crear una cultura de seguridad," dice Verton. Verton dijo además, que las organizaciones necesitan políticas efectivas para la seguridad. Esto significa la identificación de la información clave y de los sistemas y dispositivos autorizados de la red. Las organizaciones necesitan documentar y publicar sus políticas y los procedimientos que gobiernen los accesos a la información y su uso aceptable. Él afirma que las organizaciones también deben examinar periódicamente la existencia de accesos inalámbricos o de software no autorizado. Las compañías deben restringir o monitorear activamente el uso del correo electrónico, el protocolo de transferencia de archivos (FTP) y los sistemas de mensajes instantáneos, así como la actualización automática de antivirus, exámenes automatizados de vulnerabilidades y la instalación de parches. Y agrega que las empresas deben también identificar y desactivar todos los procesos innecesarios y automatizar la detección de cambios en las configuraciones de seguridad de los programas. Un ejecutivo del departamento de seguridad de una importante compañía norteamericana, que pidió no ser identificado, dijo que empleados leales y con conocimientos, son un problema creciente como amenaza a la seguridad. Dice que esas personas se han convertido en algo tan común como aquellas con intenciones claramente maliciosas. "El hecho de que la tecnología se haya convertido en elemento imprescindible de los negocios, y que la gente la utilice como parte de sus hábitos cotidianos de trabajo, hace que ellos no piensen cabalmente las cosas que están haciendo, al enviar por ejemplo un correo electrónico con información sensible a un vendedor," dijo el ejecutivo. El analista dijo que la precaución es la clave para cortar las amenazas maliciosas. "La única manera de hacer esto desde el punto de vista de las tecnologías de la información, es poner en claro que está correcto y que equivocado. Eso es lo que nuestra compañía considera público o privado, y ahí es donde están algunas de las mejores prácticas para adherirse." Fuente: Insider security threats: Watch out for the quiet ones http://www.computerweekly.com/Articles/Article.aspx?liArticleID=219038 (c) Video Soft - http://www.videosoft.net.uy (c) VSAntivirus - http://www.vsantivirus.com