Seguridad corporativa

No existe actualmente un estándar acabado que detalle para las empresas los procedimientos a seguir para asegurar la infraestructura tecnológica que poseen. La seguridad por sí misma, no es un producto, si no un conjuntos de procesos y procedimientos en constante cambio para adaptarse a las nuevas particularidades de los cambiantes entornos tecnológicos.

¿Por qué cambiantes? Los usuarios de las redes corporativas son migrados de Windows XP a Windows Vista o incluso a sistemas GNU/Linux o algún otro sistema operativo para satisfacer necesidades particulares. Por ejemplo, se ha abierto una nueva sucursal del negocio en una localidad remota geográficamente que necesita acceso a recursos internos de la oficina central (bases de datos, registros de clientes). O, el uso de dispositivos capaces de transportar enormes cantidades de datos (que podrían ser sensibles para la empresa) se han masificado - como las memorias flash y las computadoras portátiles.

Debido a la necesidad de garantizar la estabilidad de la plataforma tecnológica y que continúe operativa incluso en caso de desastres (incendios, tormentas, ataques masivos en caso de guerra convencional o incluso en caso de guerra atómica). Vale decir acá que Internet nació como proyecto de investigación avanzado del Departamento de Defensa de los Estados Unidos de América [1] y tenía como uno de sus objetivos que la conectividad de las redes de computadoras no se viera interrumpida por un desastre en algún punto particular de la red.

Viendo todo el bosque y no solo el árbol al que algunos se han acercado, la seguridad corporativa tiene como propósitos que estos elementos no se vean afectados:

• Confidencialidad
• Integridad
• Disponibilidad

No siendo afectados, se garantiza la disponibilidad de datos y servicios. Esto haciendo referencia a la triada CIA [2] cuyo enfoque también es cuestionado [3].

Así, el término confidencialidad hace referencia a que los datos solamente sean conocidos por aquellos usuarios debidamente autenticados (José es quien dice ser, las pruebas biométricas, huella dactilar o identificación retinal lo han identificado positivamente como José) y autorizados a tener acceso al archivo del cliente X ubicado en Chinandega. Entendiendo por autorizado como "José (que ha sido debidamente identificado) tiene acceso al archivo del cliente X ubicado en Chinandega". Puede implementarse Redes Privadas Virtuales [4] para proteger la confidencialidad e integridad de los datos entre dos puntos remotos. La disponibilidad depende de la condiciones de la red entre todos los puntos que unirían las redes locales remotas.




Integridad se refiere a que los datos no sean alterados en su almacenaje o durante el envío, tránsito o recepción.

Disponibilidad, es más comprensible, los datos deben estar disponibles para cuando el cliente solicite o el personal deba consultarlos.

Para enumerar, los servicios de seguridad que deben proveerse a las corporaciones son:

• Autenticación
• Autorización
• Monitoreo
• Auditoría

En la mayoría de ambientes en nuestro país, sino en todos, la autenticación está basada en el par nombre_de_usuario/clave_de_usuario sin ningún protocolo criptográfico habilitado. Es decir, cualquiera, con solo el conocimiento de cómo se instala un programa, dentro del perímetro del usuario que intenta iniciar una sesión para tener acceso, por ejemplo, a un servidor de archivos puede lanzar un analizador de tráfico y capturar la pareja nombre_de_usuario/clave_de_usuario. Una autenticación diferente, basado en certificados de seguridad [5] puede ser usada pero también implica una complejidad mayor para la implementación dentro de la empresa.

La autorización en la mayoría de los entornos ni siquiera está considerada como un elemento importante; basta nada más que el usuario que intenta acceder a un recurso particular que ya ha sido identificado provenga de cualquier dirección de nuestra redes internas. Los accesos también pueden determinarse por rangos de direcciones ip, por una sola ip, por los campos del certificado de seguridad [5]. Es muy usual que cualquier usuario con una computadora portátil se acerca a nuestros enlaces inalámbricos se conecte a ellos y con ello a nuestra red y a nuestros recursos que están abiertos normalmente a todas las redes internas [6].

Hay que mencionar la insuficiencia o inexistencia total de sistemas automatizados de monitoreo dentro de las empresas que notifiquen de ataques en progreso o de anomalías en el comportamiento del tráfico en la red o de intentos de inicio de sesión fallidos o inicios de sesión fuera de horas de trabajo o en horas inusuales. No hay - al menos en mi apreciación empírica del estado del arte en mi país - una conciencia clara en los administradores de sistemas y administradores de red de que los sistemas de monitoreo ayudarían a decrementar las estadísticas de incidentes de seguridad. Incluso, los programadores tampoco se preocupan de las buenas prácticas de programación y no existe un diálogo de equipo entre desarrolladores y administradores sobre la implementación de los sistemas informáticos que incluyan consideraciones de seguridad para los sistemas informáticos empresariales y para los sistemas de servidores en los cuales descansan las aplicaciones y servicios empresariales. Una configuración mínima podría ser:



La auditoría es un tema ligado también al tema de monitoreo. La mejor analogía es hacer referencia a las auditorías contables que se realizan. Se debe verificar que cada registro de error o de advertencia, para poner un ejemplo, sea debidamente evacuado para reportar la naturaleza de la falla, notificarla y repararla de acuerdo a planes de contingencia.

Claro, parte de la temática de seguridad es el análisis de riesgos y la creación de planes de contingencia.

Teniendo experiencia, conocimientos y habilidad en todos los aspectos referidos acá, espero que este artículo ayude a crear conciencia sobre la necesidad de establecer como un propósito de las empresas, el establecimiento de estándares de seguridad corporativos.


[1] http://en.wikipedia.org/wiki/Darpa
[2] http://en.wikipedia.org/wiki/CIA_triad
[3] http://en.wikipedia.org/wiki/Parkerian_hexad
[4] http://en.wikipedia.org/wiki/Vpn
[5] http://en.wikipedia.org/wiki/Public_key_certificate
[6] http://en.wikipedia.org/wiki/Local_area_network