Llegamos a ustedes gracias a:



Reportajes y análisis

ESET: Una solución se tiene que adaptar

[17/04/2012] No cabe duda que la seguridad es uno de esos temas de los cuales nunca se puede dejar de hablar. Las estadísticas de cada año nos recuerdan cuan vulnerables somos -el incremento de los ataques nos dice eso- son todos los años un campanazo que nos alerta a no bajar la guardia.
Otro de esos campanazos es el ESET Security Day en Perú, una reunión réplica de otras que se desarrollan en otros países de América Latina, que sirve de reunión para que ESET no solo nos muestre la cantidad de ataques que las organizaciones han sufrido el año anterior, sino también su propuesta para mitigar los daños que pueden producir esos ataques. La cruel honestidad de las empresas dedicadas a la seguridad nos dice que eso es a lo que podemos aspirar, a reducir las consecuencias de los ataques, pero no a una seguridad al 100%.
Veamos que otras cosas nos dijeron aquel día.
Las soluciones y los problemas
Las exposiciones se iniciaron con la presentación de Óscar Gutiérrez, product manager de Startlabs, la firma representante de ESET en el Perú. Gutiérrez comenzó señalando algunos detalles con respecto al evento. De él nos dijo que comenzó el año pasado y que superó ampliamente las expectativas que se tenían con respecto a la reunión.
Óscar Gutiérrez, product manager de Startlabs, la firma representante de ESET en el Perú.
En aquella ocasión el evento se desarrolló en 13 países -incluido Perú- pero ahora se realizaría en 16 países y 17 ciudades, siendo Ecuador el país que contaba con dos ciudades sede (Quito y Guayaquil). Sin embargo, el tour comenzaba en el Perú y concluiría el 17 de octubre con la presentación en Uruguay.
El evento serviría como forma de proporcionar información sobre seguridad, tendencias, recomendaciones, networking, y por supuesto, las soluciones de ESET. De hecho, Gutiérrez señaló que en esta oportunidad los productos que se iban a mostrar serían el ESET Endpoint Security y ESET Remote Administrator.
Dicho esto, Gutiérrez cedió su lugar a Raphael Labaca, coordinador de Awareness & Research de ESET quien ofrecería la ponencia La importancia de la Gestión de la Información de las Empresas. Con la exposición de Labaca se ingresó de lleno en la materia de la seguridad.
Labaca mostró los resultados de algunas encuestas realizadas por la propia ESET en las que se veía que la pérdida de datos constituía la mayor de las preocupaciones de las empresas (61%), seguida de cerca por el malware (55%) y la vulnerabilidad del software (48%).
Lo extraño, de acuerdo al ejecutivo, es que cuando se ven los resultados de otra de las preguntas de la encuesta se puede apreciar que solo un 9% de los encuestados afirma haber tenido algún incidente de robo de información, el equivalente a la pérdida de datos.
Hay una desigualdad notoria entre ambas cifras, aunque en el caso del malware los números son más cercanos, pues un 49% de los encuestados afirma haber tenido algún incidente con el malware.
Por tanto, el código malicioso junto con la pérdida de datos se constituyen en las dos mayores amenazas para las empresas.
El problema es que nos dicen que la fuga de información es un problema técnico, mientras que el malware es un problema humano, señaló el expositor.
Pero ambos en realidad son problemas técnicos y humanos a la vez, aclaró Labaca.
Entonces, existe una inconciencia de parte del ser humano con respecto a estos problemas, y también se produce una actitud incorrecta frente a ellos en las empresas.
El planteamiento correcto es atacar estas amenazas tanto en el plano tecnológico como en el plano educativo.
En el campo tecnológico es muy fácil querer establecer una receta, pero Labaca sostiene que no todas las soluciones son para todas las empresas. La solución se tiene que adaptar.
Y en el campo educativo se tiene que educar a los usuarios, a todos los usuarios que tienen acceso a la información, incluso si se trata de un gerente, ya que los gerentes también comenten errores.
Lo extraño, nuevamente, es que de acuerdo a las encuestas un 90% de los que las respondieron señalaron que la educación del usuario es esencial, pero no todos ellos habían realizado algún tipo de actividad educativa.
Un tercer campo es la gestión. La tarea es importante ya que en la gestión recae la responsabilidad de hacer que todo lo que se dice en el campo técnico y educativo en realidad se haga.
El mayor error es hacer planeamiento de seguridad porque la seguridad no tiene principio ni fin, es un proceso, señaló Labaca.
¿Cuál es el problema de las organizaciones? Que han crecido mucho y por tanto se hace más difícil controlarlas. En la actualidad todos los miembros de una organización pueden conectarse desde diversos lugares. Y además estas mismas personas comparten su información en las redes sociales.
Se debe, entonces, realizar un análisis de riesgo en el que se determine qué se puede perder (información de la planilla, derechos de autor, etc.) y tomar las medidas necesarias.
Y para ello es necesario un cambio radical en las empresas. Labaca propuso algo que hasta el momento es poco común en las organizaciones, al menos entre las empresas peruanas: un área o persona encargada de la seguridad, pero que no sea de TI -pues no puede ser juez y parte- y, mejor aún, que se encuentre sobre TI en el organigrama.
Esa sería le medida de gestión que debería acompañar a las medidas tecnológicas y educativas. Este triple enfoque es lo que Labaca propuso para enfrentar el problema de la seguridad.
Las herramientas
Luego de Labaca, se realizó una fascinante demostración de un ataque real a un servidor corporativo. Héctor Jara, root secure de ESET, desarrolló la demostración en la cual, mediante un malware, pudo ingresar a un servidor -obviamente ya determinado, sin el fin de dañar a ninguna organización- y descargar prácticamente todos los archivos que deseaba.
Mostró las herramientas que se pueden conseguir en Internet para incluso dejar de lado a los antivirus al momento de realizar su ataque y poder retirar la información sin que este software lo detecte o detenga.
La raíz de las vulnerabilidades es la ausencia de procesos de gestión de parches o vulnerabilidades, sostuvo en su intervención.
Luego de su la participación de Jara fue el turno de María Florencia Martín, channel manager para Cono Sur y Perú de ESET.
La ejecutiva presentó su exposición Gestiones su Negocios con las Soluciones de ESET y, obviamente, se trataba de presentar la parte comercial del evento.
En esencia se trataba de presentar su nueva línea de productos para ambientes corporativos: ESET Endpoint Security y ESET Endpoint Antivirus.
Estos productos continúan con la tradición de soluciones iniciada con la línea Business Edition de ESET NOD32 Antivirus y ESET Smart Security. Ambos productos cuentan además con ESET Remote Administrator 5, que permite la gestión centralizada de la seguridad de todos los equipos de la red. Además, ESET Endpoint Security incluye firewall, control web, y filtro antispam.
Entre las principales características de ESET Endpoint Antivirus se encuentran: el control de dispositivos. Éste permite controlar el uso de ciertos tipos de dispositivos en los equipos de la empresa a través de la definición de políticas, bloqueo de la ejecución o la creación de listas de medios de almacenamiento permitidos en base a su número de serie.
También se tiene un control de accesos web. Éste brinda al administrador la capacidad de reglamentar políticas de uso aceptables de Internet y filtrar sitios web en más de 140 categorías.
Finalmente, se tiene el rollback de base de firmas o módulos de programas. Éste permite retroceder la actualización de la base de firmas o módulos de programa a una versión anterior e incluso congelar las actualizaciones a pedido del administrador.
Estas exposiciones fueron algunas de las que se desarrollaron aquel día y, sin duda, nos dicen mucho de lo que la seguridad requiere en la actualidad.
Jose Antonio Trujillo, CIO Perú