Ransomware y los nuevos factores de riesgo en las empresas

Buenas

A raíz de lo sucedido la semana pasada con la aparición de un ataque de ransomware me gustaría dejarles algunas reflexiones desde la perspectiva de alguien que lleva viviendo de la tecnología desde 1986

Primero, tranquilizarles. Estoy convencido que esto no es nada extraordinario comparado con el día a día en una TI, ni estamos ante un apocalipsis zombi. Es más, estoy absolutamente convencido que han sido varios los componentes mediáticos que han alentado esta alarma, haciéndola más viral de lo que se merecía. Recordemos que unir fallo a Telefónica, o mentar a alguien como Chema Alonso, hace subir muchos enteros en la difusión de algo que insisto no es tan anormal, ni tan trascendente, como nos han querido mostrar los medios. Por ejemplo, el famoso Wannacry según las stats propias que manejo, ( y son miles de equipos), tiene un modesto puesto 20 en la detección, bloqueo y limpieza de este tipo de amenaza la semana pasada.

Esto sucedía, sucede y sucederá día a día. No es nada nuevo bajo el sol. ¿No recuerdan las campañas del «virus de la Policía»? Contra ello trabajamos muchos profesionales para sobre todo prevenir antes que curar. A veces se consigue, y otras no, pero les aseguro que hoy en día estamos más seguros que hace unos años. Ustedes seguramente estaban mucho más expuestos, (o lo están todavía), abriendo un PDF, o cuando veían un vídeo en la Web con un Flash, o cuando ejecutaban un juego online con JAVA, que lo están al ransomware. La diferencia la marca sobre todo el uso del sentido común.

En todo caso, desde el punto de vista de alguien que lleva en primera línea del frente de la ciberguerra y siendo un profesional de TI, creo que deberíamos hacer foco en otros puntos para intentar explicar en qué ha cambiado este mundo, y de donde vienen los riesgos.

Por ejemplo, la crisis económica. A estas alturas hemos visto como esta crisis nos ha afectado en muchos aspectos de nuestra vida. En cuanto  a la seguridad en las empresas que utilizan tecnología (100%) no iba a ser diferente. Desde la crisis las grandes empresas, y las pequeñas también, sufrimos recortes en nuestros presupuestos. La seguridad siempre se vio como un plus, no como una necesidad, y por tanto el gasto en TI descendió en ese capítulo y en otros como innovación. Esto hizo que durante varios años las empresas entraran en modo «mantenimiento», y día de hoy, donde los niveles de inversión en estas disciplinas se recuperan muy poco a poco, sean más vulnerables.

Por otra parte, las formas de trabajo han cambiado. Equipos de personas dispersos trabajando en localizaciones (ya sea el propio cliente, su domicilio o cualquier país donde la tecla de obra sea más barata), hacen que las medidas de seguridad basadas en la militarización de las redes locales no sean tan efectivas, puesto que los escenarios a los que están expuestos estos equipos están fuera del control de las empresas que los mantienen. Están más expuestos, sin duda, y no todo el mundo usa protocolos de cuarentena, desinfección o prevención cuando vuelven a su lugar de origen.

El auge del BYOD (Tráete tu propio dispositivo) se ha convertido en muchos casos en «usa tu propio PC» y «usa tu propia aplicación y servicios Web» para desarrollar tu trabajo. Las inversiones en controlar este nuevo paradigma no han acompañado este proceso. Shadow IT, o lo que es lo mismo, los usos incontrolados de todo esto, también traen sus consecuencias, sumando puntos a una situación de riesgo.

En seguridad siempre decimos que una cadena es tan segura como el más débil de sus eslabones. Este eslabón sin duda somos nosotros mismos, los usuarios. En esto de la seguridad, desgraciadamente,  no hemos aprendido mucho. Parece que solo lo valoramos cuando el desastre nos sucede a nosotros, y hablamos de ello, normalmente para burlarnos, cuando sucede a los demás. Nadie está seguro 100%. Recuerden esto. Nadie.

Y sin embargo la herramienta más útil para afrontar cualquier riesgo en la red sigue siendo la más privativa y más barata: El propio sentido común.

Usémoslo

Saludos