Sergio Hernando

Interesante artículo el que nos acerca José Antonio Ruiz Gaona, bajo el título Los 6 peores errores en seguridad.

Dado que José ha traducido y ampliado el artículo original, mejor citar directamente sus comentarios, ya que es una traducción correcta y precisa, y que por tanto, aprovecho para republicar

1. No disponer de una correcta arquitectura de seguridad: La seguridad debe cimentarse sobre una base sólida para que sea realmente efectiva. Una adecuada política de seguridad e -indispensable- un sistema de gestión de seguridad de la información (SGSI) que funcione, son vitales para una correcta defensa.

2. No invertir en formación: Difícilmente se va a poder luchar contra el peligro si no se tiene un conocimiento mínimo de la naturaleza del mismo. Invertir en formación en seguridad garantiza el uso adecuado de los recursos que se dispone para defenderse.

3. Gestión negligente de identidades: Sobre todo para grandes empresas, una inadecuada gestión de identidades genera infinidad de cuentas de usuario para cada aplicación o recurso, generando altos costes de gestión y lo más importante, imposibilitando la aplicación eficiente de las medidas de seguridad. Cualquier administrador de un firewall sufre este problema, gestionando listas de ACL's cada vez mas grandes y menos intuitivas.

4. Ignorar en riesgo interno: Aparte de la posibilidad creciente de que un puesto de trabajo acabe troyanizado desde el exterior, el usuario interno tiene siempre más conocimiento que cualquier atacante externo, además del acceso obvio a los recursos críticos (física y/o lógicamente), y en muchos casos incluso mayor motivación para comprometer la seguridad. Habitualmente se obvia este riesgo, que es la mayor causa de ataques intencionados y negligentes.

5. No proteger adecuadamente las aplicaciones web: La informática ha dado un giro copernicano en los últimos años con la llegada de las aplicaciones basadas en web, tanto o más que el paso de sistemas cerrados a sistemas abiertos de la década de los 90. Ahora parece que todas las aplicaciones deben ser portadas al navegador, y casi siempre son diseñadas sin pensar en la seguridad. Los viejos sistemas de seguridad (firewall clásico) son absolutamente inútiles ante ataques vía web, y son un filón para atacantes que aprovechan un nuevo abanico de posibilidades: Inyeccion SQL, Phishing, XSS,...

6. Adquirir productos supermegacompletos último modelo: "¿no tienes un IPS con IPv6 multihost nivel 7? Mortimer, estás fuera de onda" Comprar productos de moda, o grandes y complejos sistemas de seguridad no es la mejor manera de garantizar la seguridad. Hay que perseguir siempre la mínima inversion con el mejor rendimiento, y sistemas de seguridad con funcionalidades no necesarias o simplemente por encima de requerimientos no son la forma más adecuada y a la larga se volverá en contra, tanto por coste, como por complejidad de utilización.

Parece un resumen muy completo. Quizás deberíamos matizar que el punto sexto no tiene por que ser un error. Comprar la última tecnología no tiene por qué ser malo. Sólo las compras que acarrean descontrol en la puesta de producción son las que realmente provocan brechas en los sistemas.

Yo añadiría un error que puede ser parte del primero, pero que voy a sacar fuera para redundar en él. Cuando la gestión de la seguridad no está alineada con los requisitos del negocio, y por tanto, gestionada por gente a la que le importa todo menos esos requisitos, se suelen incurrir en problemas importantes. Es habitual, por desgracia, que algunas personas con excelente capacitación técnica sólo tengan en mente cuestiones técnicas, y que desoigan cualquier tipo de directriz no técnica. Esta gente, que va a su aire, no aporta nada bueno a la organización, primero porque están rompiendo los principios básicos de trabajo en equipo, y sobre todo, porque nos guste o no, la gestión de seguridad *NO* es la piedra angular sobre la que gira la empresa: es sólo una fracción, que debe estar necesaria y forzosamente en sintonía con los requisitos de negocio de la organización.

Gracias por la traducción Jose !!!