El coste de ignorar 75 céntimos: Por qué la seguridad es una actitud, no un producto
Por fin acabé lo acabé. La verdad antes de contaros un poco lo que tiene que ver con ciberdefensa ha sido denso, está escrito en modo novela sobre los años 80. Así que había hobbies de esa época. Batidos, colchas tejidas, amigos y hippies 😆 todo muy bien descrito así que hubo momentos de duda, comprobar como han ido cambiando las cosas (a veces no tanto) y conocer de donde viene la seguridad informática me picó la curiosidad. Vamos al lío con la si me permitís "reseña"
La seguridad no es un producto que se compra, es una actitud que se implanta. En IT, la diferencia entre una anécdota y una crisis reputacional no la marca tu presupuesto, sino la capacidad de tu equipo para no ignorar lo que "no cuadra", "el que duda", "el que pregunta si debe".
Hay un libro que todo equipo debería conocer: "El Huevo del Cuco", de Clifford Stoll.
No es un manual técnico; es el relato real de cómo un error de facturación de 0,75 $ en un ordenador de Berkeley acabó destapando una red de espionaje de la KGB, también tiene colchas cosidas a mano, política y un montón de organización con siglas 😄
Mientras otros lo hubieran solucionado y seguido con su café, Cliff decidió preguntar: "¿Por qué?".
La tecnología cambia, el factor humano permanece
Cliff trabaja en sistemas Unix y BSD (los cimientos sobre los que se construye la red hoy) y solo utilizo los sistemas porque era un astrónomo bastante mediocre y lo quería mantener ocupado 😆. Aquella intrusión no se detuvo con un software milagroso, sino con tenacidad y llamadas MUCHAS llamadas de teléfono.
En la infraestructura actual, la historia se repite. Un acceso fuera de horario o un comportamiento anómalo en los servidores o endpoints no son siempre "cosas del informático". Son señales que exigen una respuesta proactiva y una mención para vigilarlo.
El dilema de tener el "poder absoluto"
A veces la gente se cree que existe alguna intencionalidad cuando como responsables de la infraestructura, en IT se debe trabajar con la visibilidad total de sus archivos y directorios. Aquí entra la ÉTICA (hablaremos de ella en otros artículos)
Nuestro protagonista Cliff tuvo que monitorizar comunicaciones para salvar el sistema (comprobar otros usuarios, sus horarios, conexiones y permisos). Desde los departamentos de IT se deben tratar datos de los usuarios con el mismo compromiso, solo seguridad. La seguridad nunca debe ser una excusa para invadir la privacidad, sino el escudo que la garantiza.
Lecciones que se deben tener en cuenta
La Curiosidad sobre complacencia: Fomentar equipos que duden de lo "obvio" y se pregunten si debe ser así
Higiene digital: Un hacker de la KGB entró por una "puerta trasera", exactamente igual que sucede hoy con las brechas de seguridad por configuraciones descuidadas o con altos permisos.
¿Tu organización está preparada para investigar esos "75 céntimos" de descuadre o simplemente los borra del balance?
La diferencia entre un susto y una crisis real suele estar en ese pequeño detalle que nadie quiso mirar (¿no soy paranoico veis? 😉 )
Como último párrafo, hacer alusión a las pocas diferencias en la variedad de contraseñas que existían en los años 80 y en la actualidad. Cosa que me preocupa enormemente ⚠️
Member discussion