La fragilidad de la seguridad informática: ¿Qué pasa cuando una emergencia nos obliga a cambiar los procedimientos de un día a otro?

Noe Mendez
Subdirector de Tecnologías de Información en Grupo HYCSA. Ingeniero en Sistemas por el Instituto Tecnológico Autónomo de México. Profesional con 20 años de experiencia. 

Si bien dentro de nuestro medio (Informático) la mayoría tratamos la seguridad como un tema muy importante y prioritario, para la mayoría de las empresas donde laboramos o somos propietarios la pandemia nos puso de cabeza a cambiar y ajustar procesos de un día a otro. Pero, pasado el susto ¿Qué lecciones aprendimos de esta emergencia? Tal vez necesitábamos una sacudida así para entender la fragilidad de  la seguridad informática. De pronto, los procedimientos de conexión remota y toda la arquitectura que esta conlleva fueron insuficientes, me atrevo a decir que en la mayoría de empresas independientemente.

Lo que antes era un puñado de personas con acceso a la VPN de la empresa, se convirtió de un día a otro en que casi el 90% de los empleados necesitaban conectarse al centro de datos para realizar las actividades más cotidianas. Obviamente ni en el mejor de los casos se contaba con enlaces, firewalls o licencias suficientes para cubrir la demanda pero ¿y qué tal la seguridad informática?

Hoy, los negocios cambian las reglas de operación de manera muy rápida. Una de las fortalezas de la tecnología es la capacidad de adaptarse a los cambios y reglas de negocio, para eso precisamente está el área de sistemas, creando aplicaciones por módulos que facilitan cambiar rápidamente su flujo de operación y un sinfín de procedimientos y procesos que nos permiten la agilidad de operar. 

Sin embargo ¿esto es seguro? (y me refiero al hacerlo de emergencia). Lamentablemente, nos dimos cuenta que NO. 

Regularmente, una política de acceso vía VPN depende del área que lo solicita, la autorización de auditoría, mesa de control compliance (cualquiera de estas que evalúa el riesgo) y el área de TI que -además de ejecutar- crea las políticas de seguridad para que el usuario en cuestión acceda solo donde debe y bajo ciertas condiciones.

Si a esto, que implica cierto tiempo para su autorización y pruebas, lo combinamos con la urgencia de conexión para los usuarios, el resultado realmente puede ser aterrador:

Equipos que se conectan a nuestra red sin un análisis ni protección de riesgos adecuado. Si bien  podríamos tener habilitada esta auditoría, no cumplirá -en la mayoría de los casos- con las políticas cotidianas de seguridad. Estoy escribiendo esto con escalofríos y  no tengo COVID.

Afortunadamente, la mayoría de las empresas salieron y salimos bien libradas de esta pandemia, pero ahora el reto sigue siendo tener una estructura de operación remota lo suficientemente robusta para que cada empleado pueda conectarse a las aplicaciones y archivos locales de forma remota cuando sea necesario.

Cuando lo realizamos con tiempo no debería ser complicado: 

• Los enlaces de hoy pueden ser escalables por horas, días y meses; así podemos aumentar el ancho de banda solo cuando se requiera. 
• La infraestructura de Red como firewalls o switch tampoco serán un problema. La mayoría dispone de paquetes de licencias para conexión remota a un costo muy accesible.
• Lo que nos tomará más tiempo será la creación de políticas y reglas de acceso para los diferentes perfiles de conexión. En este caso, recomendaría generar una matriz de permisos para que de esta se generen los diferentes perfiles de conexión y de seguridad.

Este es el rubro más importante dentro de nuestra infraestructura de conexión remota, además podríamos generar perfiles que si bien no se utilizaran en el momento estarán creados en caso de contingencia.

• Por último, tomaría en cuenta las diferentes opciones de inicio de sesión como tokens y USB keys para los usuarios de mayor jerarquía, administradores de aplicaciones y key users

En resumen, creo fervientemente que una experiencia -buena o mala- nos deja áreas de oportunidad que podemos explotar y aprovechar para futuras ocasiones. 

Finalmente, lo que no nos mata nos hace más fuertes.

Encuentra vacantes de empleos TI en nuestro portal de trabajo

Vacantes Recientes

Senior

Business Analyst

Remoto

7-9 años de experiencia

SQL

None

None

None

None

None

Intermediate

Operations Specialist

Remoto

4-6 años de experiencia

SQL

None

None

None

None

None

Senior

Quality Manager

Remoto

7-9 años de experiencia

None

None

None

None

None

None

Senior

Senior Platform Engineer

Guadalajara, México

Híbrido

7-9 años de experiencia

Python

Ansible

Linux

None

None

None