Hablemos de Seguridad
Si le preguntamos sobre aspectos de seguridad a un administrador de sistemas de una empresa X (políticas, planes de contingencia, impacto en la organización, etc, etc) posiblemente obtengamos diversas respuestas. Desde el desconocimiento y confesión de inexistencia de alguno de esos aspectos, pasando por profesionales con las manos atadas por el ajetreo laboral cotidiano y llegando a los que están muy conscientes de la problemática y que toman cartas en el asunto.
Ahora bien, si alguna de estas preguntas se las hacemos a un usuario de la organización, lo más probable y en un alto porcentaje sera que exprese “¿lo que?”. Y no solo si le hacemos preguntas especificas del área. Si le preguntamos si conoce los riesgos de aceptar adjuntos de personas desconocidas, o si se fijan al momento de poner datos personales o de la organización en un sitio si el mismo posee alguna medida de seguridad que le de alguna garantía de que sus datos no pasaran a formar parte de la mercancía de algún vendedor de datos, la expresión seguirá siendo similar.
Es verdad que cada área tiene sus círculos de interés y por supuesto, no se pretende que los usuarios sean expertos en aspectos de seguridad. Pero existe una gran desinformación entre los mismo y esto a la corta o a la larga producirá problemas que impactarán en los sistemas de información de la organización, con el consecuente dolor de cabeza para el administrador, el directorio y los propios empleados.
En AltoSec nos tomamos una sana costumbre desde hace tiempo que nos ha dado buenos frutos para la realización de nuestra actividad. Charlar con los Usuarios sobre temas de seguridad. Si, así de simple. Esta actividad que en principio la realizamos a nuestros clientes como agregado a nuestros servicios de consultoría y gerenciamiento de sistemas y seguridad se transformo luego en un servicio en si mismo.
Los motivos para que el servicio cobrara vida propia se debió principalmente por el hecho que generalmente no se realiza esta actividad en las organizaciones. En las empresas que poseen áreas especificas en materia de seguridad podrá ser una actividad común, pero en la PYME donde existe un administrador de sistemas que además de los servidores tiene que hacerse cargo de los sistemas de gestión y de solucionar los problemas técnicos de los usuarios, no es algo tan común.
Además de esto, existen otros factores. Podemos rescatar un par de ellos que en principio, nos damos cuenta, son más factores psicológicos que técnicos.
- Se le cree más a un externo que al encargado del área. La noción es. “Si han pagado para que venga gente a hablarme de esto, la cosa va en serio“.
- Los encargados de sistemas generalmente no tienen tiempo para dedicar a tareas de conscientización de los usuarios y recurren a terceros para esto. Además, y aplicando el primer ítem, piensa que le darán más importancia que si él es el que organiza la reunión.
La metodología que adoptamos es pactar con el cliente una cantidad de horas, dependiendo de la cantidad de usuarios y los tiempos disponibles, para así organizar grupos de personas y charlar con ellos previo haber realizado un relevamiento sobre los servicios propios de la empresa. En las reuniones solicitamos contar con el responsable del área sistemas, si existe, para que se pueda ver que somos apoyo a su gestión y no un reemplazo de la misma. Él es quién tendrá luego que quedarse trabajando en la empresa.
Las temáticas pueden ser variadas. Pueden ser dirigidas únicamente a los servicios sistémicos de la organización o cubrir aspectos más generales. Todo dependerá del análisis previo que realizamos y las inquietudes de la empresa.
Lo importante de este tipo de experiencias es que los resultados son muy alentadores. Los usuarios salen de las reuniones conociendo aspectos que antes desconocían y teniendo más cuidado hasta en la simple tarea de aceptar un archivo adjunto.
Para nosotros, la tarea tiene los mismos frutos que tenían en el principio. Nos permite estar más tranquilos con respecto a las actividades de los usuarios y logramos que se ganen más aliados para evitar problemas de seguridad. La gestión de la seguridad interna se hace más manejable lo cual redunda en un nivel de seguridad más alto al ser detectadas más contingencias en etapa temprana y no cuando todo está comprometido.
Tengan por seguro que una vez que se hayan dado las charlas contaran con un aumento en los reportes de actividades sospechosas que antes pasaban desapersibidas, o mucho peor, no solo eran sospechosas y tenían éxito en comprometer a la organización.
Comments Off 