| |
Hace unos
meses, dentro de la serie de artículos sobre seguridad en capas, comentaba
que, muchas veces, el eslabón más débil de la cadena de seguridad era el
usuario. La experiencia dicta que la forma más fácil de entrar en un
sistema no es, la mayor parte de las veces, un desbordamiento de buffer o
una inyección de código SQL, sino convencer a un usuario que realice una
acción contraria, no ya sólo a las políticas de seguridad de la empresa,
sino al sentido común.
Esta semana se
conocían los resultados de un experimento que realizó una empresa
británica dedicada a la formación en seguridad en Londres. La tarea fue
muy sencilla. En la calle, unos empleados de la empresa repartían a los
transeúntes (empleados en la mayor parte de las empresas de los
alrededores, bancos y compañías de seguros) un CD promocional. Este CD
contenía advertencias en la portada sobre la necesidad de desconfiar de
software obtenido de sitios no confiables (y una persona repartiendo por
la calle, desde luego, no lo es) y sobre la posible vulneración de las
políticas de seguridad de las empresas al ejecutar software no aprobado.
Como era de
esperar, la curiosidad pudo más que la lógica y muchos empleados
introdujeron el CD, curiosearon y ejecutaron programas dentro de los
ordenadores de la empresa. La compañía que realizó la campaña no da datos
concretos, pero a cualquiera no se le escapa que, seguramente, el
porcentaje ha sido escandaloso. Se puede leer más sobre este hecho en Hispasec.
¿Existe una
solución a estos problemas? Solución final y radical, no. Pero existen
varias medidas paliativas. La medida más clásica en este terreno suele ser
de tipo coercitivo. Se fija una política de empresa clara sobre el uso
permitido de los sistemas informáticos y se establecen castigos contra su
incumplimiento. Si metes software no autorizado, estás en la calle. Sin
embargo, como en todos los modelos de castigo, el daño ya está hecho.
Probablemente sea un buen ejemplo para que el próximo empleado se lo
piense antes de meter el "CD promocional", pero, mientras tanto, nos
enfrentamos a la ardua tarea de eliminar ese troyano de la red, a la
pérdida de datos o, lo que es peor, a que nuestra competencia se haga con
nuestras bases de datos, nuestros proyectos empresariales y los planos del
nuevo producto que tenemos pensado sacar.
Las medidas a
nivel de sistema, aunque más complicadas de instaurar, pueden ser más
efectivas. Hace poco, en una de las listas de correo en las que participo,
surgió el tema. Un administrador de una red, concretamente bajo Windows,
quería limitar los programas que sus usuarios podían ejecutar. Surgieron
varias propuestas, pero una me llamó la atención. En vez de prohibir
ejecutar programas, se crea una lista blanca de los programas que se
pueden ejecutar. Es decir, si en nuestra empresa usamos, por ejemplo,
OpenOffice, Firefox, Thunderbird y un programa de gestión, los usuarios
solo pueden ejecutar esos programas. Existen soluciones para limitar la
capacidad del sistema para ejecutar otros programas, incluso basándose en
hashes de los ejecutables.
No es una
solución perfecta. Por ejemplo, si usamos Word, todavía somos vulnerables
a los virus de macro. Si permitimos el acceso a la web, es posible que un
troyano aproveche alguna vulnerabilidad del sistema o del explorador. Pero
hemos limitado en gran parte los problemas de usuarios ejecutando software
no autorizado.
De todas formas,
estas soluciones siempre tienen que estar complementadas (o ser, en
realidad, un complemento a) por la medida más eficaz: la formación del
usuario. Si el usuario tiene claro cuales son las implicaciones de acceder
a software peligroso, probablemente no intente siquiera llevárselo a la
empresa. Las medidas limitadoras son una barrera final. Es el mismo
usuario el primero que debe ser consciente de su papel en la
seguridad.
Luisma
Miembro de la AIH
Esta obra está bajo una licencia de Creative Commons. |
informativos.info 
Responder a este mensaje