Totes les metodologies existents parlen de forma similar dels actius a protegir, respecte un conjunt d’amenaces a través de l’explotació de certes vulnerabilitats, així es pot associar un risc, en base a una probabilitat d’ocurrència de l’amenaça i un impacte sobre l’actiu. Però per la gent del NIST hi faltava alguna cosa. Van incorporar una nova variable i la van anomenar: la motivació. El valor d’aquesta variable ve determinat per l’interés que suscita explotar una vulnerabilitat sobre un actiu.

Aquest concepte ha tornat a mi recentment gràcies a una conversa interessant amb en José Nicolás Castellano d’Andubay, un bon company de professió. Comentàvem, els fets ocorreguts amb posterioritat al moviment del #15M, quan un grup de hackers van atacar de forma planificada i organitzada a un conjunt d’organismes i empreses. Era el naixement d’una nova generació de hackers informàtics, els hacktivistes, si bé aquest terme és va publicar per primer cop cap allà l’any 2006, és ara quant n’està tenint un ressó important, gràcies especialment a la nova era 2.0.

Aquests grups amb anonymous al capdavant, han decidit fer la guitza a aquells organismes i empreses que culpen de la situació econòmica actual. Sense entrar a valorar la ideologia dels grups, el que és cert és que amb ells han nascut noves amenaces per a les organitzacions.

La motivació que pot tenir algú per atacar l’organització que protegim és important. I més enllà de totes les mesures tècniques i organitzatives –les quals s’han demostrat insuficients- s’ha de fer alguna cosa més.

Els Comitès de seguretat de les organitzacions se’ls hi ha girat feina, i calen accions de contramesures complementaries.  Si ens centrem en la variable de la motivació i com reduir-ne el seu valor se’ns obre -sense cap mena de dubte- un conjunt nou i diferent d’accions reductores del risc.

La comunicació externa és important, però insuficient, s’han de fer reformes internes a les organitzacions i millorar la seva consciència social, i que aquesta sigui visible de forma clara. Aquestes contramesures -que ben implementades redueixen el risc d’atacs sobre les organitzacions, reduint-ne la motivació- tenen un cost, en aquest cas moltes d’elles directe sobre el compte de resultats i el repartiment dels dividends.

Però també a nivell intern, perquè les estadístiques segueixen indicant que un percentatge d’atacs importants provenen de dins de les organitzacions. Millorar la gestió de les relacions laborals, amb mesures reals de conciliació familiar o en participació també dels beneficis i no només patir les retallades durant les pèrdues, també són contramesures que redueixen el risc d’atacs contra els actius a protegir.

Sempre podem invertir més i més en tecnologia, és una bona opció a més de necessari, no en tinc dubte. Però la seguretat així com la qualitat és transversal a l’organització i n’hi ha altres camins també efectius. La seguretat és una actitud i s’ha de treballar en tots els àmbits organitzatius i no descarregar-ne tota la responsabilitats a un petit equip humà de tècnics en seguretat informàtica. Però cal entendre que la seguretat corporativa  està lligada també a la reputació de l’organització, a la seva consciència social, la visió del negoci  i els  valors amb els quals actúa dins la cuyuntura econòmica actual.

Per acabar m’agradaria fer unes reflexions, deia la Princesa Leia al Gran Moff Tarkin:

• “Quants més planetes vulgueu esclafar, més se us escaparan de les mans”.

Els grups de hacktivistes seguiran actuant, i com vaig sentir en una conferència de seguretat, els “bons” treballen 8 hores el dia per un sou, però els “dolents” treballen per objectius. Això els proporciona un avantatge, no se si petit o gran, però un avantatge.  La cultura de la por, les represàlies o accions correctores poden no ser suficients i difícilment aconseguiran dissuadir als hacktivistes dels atacs.

Reformes reals poden aconseguir reduir el risc d’atacs, però  no obstant, les empreses hauran de seguir estant alerta, perquè seguiran havent-hi grups organitzats que no actuen per aquests motius,  i la motivació no és la única variable que està en el joc.

També es reafirma el fet que els comitès de seguretat han de ser multidisciplinars, i que totes les àrees organitzatives han de participar i involucrar-se . Potser és el moment que el fort compromís de la direcció sigui molt més ferm que l’assignació d’un pressupost per la seguretat.

Com sempre quan parlem de seguretat i de gestió de riscos, s’haurà d’avaluar si el cost de les contramesures és menor que assumir el risc de patir un atac exitòs. A quin costat de la balança hi recaurà el pes ?

Referències:

• NIST: Institut Nacional d’estàndards i tecnologia del departament de comerç del govern dels estats units
• NIST-800-34 es pot aconseguir de forma gratuïta a Internet a aqui.

Recentment ens hem adherit a la Xarxa d’emprenedors i emprenedores Onion. La Xarxa Onion va néixer a Sabadell fa prop de tres anys i mig amb la voluntat de crear un espai per a la col·laboració com a estratègia clau de consolidació i creixement dels seus membres.

h2c, amb la voluntat d’integració dins el teixit empresarial on desenvolupa el seu negoci intentarà aportar el seu gra de sorra, perquè el teixit empresarial de Sabadell i del Vallés creixi.

Què és fer armaris? Endreçar, veure que tenim al fons, veure que podem aprofitar i que cal llençar per fer espai a coses més útils, i també reformar coses que encara poden fer servei amb petits canvis…

Estic segur que, si heu fet armaris alguna vegada, us heu emportat petites o grans sorpreses, i que, el que creieu que us trobaríeu varia de forma substancial amb la realitat.

Buscar aquell abric que pensàveu que havíeu guardat i recordar que l’havíeu donat a la tia

Francis fa dos hiverns, o trobar un parell de botes, que us pensàveu que ja no hi eren, i que us estalvia passar per Sabatots Sebastià a fer una despesa que no us venia de gust fer.

Tot això traspassat al món de l’empresa i amb el temps que corren els grans pressupostos s’han acabat i no s’aborden grans projectes a no ser que en determinin la supervivència de l’organització. Si ens endinsem en les infraestructures TIC i els departaments d’informàtica, podem dir que actualment es compleixen les condicions per fer armaris. I això és el que proposem: fer armaris per  saber on estem (i no on creiem), optimitzar els recursos disponibles amb la inversió mínima i, ja posats, planificar el futur.

És un bon moment per treure una foto de la nostra realitat. També  és un bon moment per analitzar quina és la realitat organitzativa, el nivell de compliment legal, la formació de la organització a tots els nivells, i el nivell de seguretat real i la maduresa de la nostra gestió dels serveis TIC, així com fer petits passos per endinsar-nos en el món de les bones pràctiques o el compliment normatiu.

És bon moment per petits canvis que generin beneficis a curt termini sense comprometre inversions futures.

També és el moment per posar en solfa tot allò que no acabem mai, implantació de normes i processos, programes de conscienciació dels usuaris dels nostres sistemes i repassar el perquè fem les coses d’una manera determinada, i si aquesta manera de fer segueix acomplint els objectius pels quals va ser establerta.

Aqui es on recau el valor de la bona gestió del CIO i del CISO que es demostra en aprofitar aquests moments difícils i de poques inversions per maximitzar l’eficiència i l’eficàcia dels equips i treuren el màxim rendiment amb la mínima inversió. Apuntalant la feina dels ultims anys amb un base solida, i permeten que la gestió  de serveis pugui adquirir un grau de maduresa notable.

En aquesta epoca, on hi ha una important decriment de nous projectes, Un CIO experimentat és capaç de veure una oportunitat d’assolir nous objectius en benefici del negoci basats, no tant en grans reformes, sino en la millora de petits aspectes que fins ara no s’han contemplat però que són igualment importants. Així, arribat a aquest punt és, on el CIO ha de buscar recursos per treure temps per revisar, endreçar i avaluar tot allò que s’ha fet els darrers anys, propossar millores i preparar-se pel futur.

Si voleu fer armaris us ajudem,  som professionals i és la nostra feina.

L’ITIL Expert Certificate emés per la OGC és probablament una de les certificacions més reconegudes del sector. Esperem que amb els coneixaments adquirits i consolidats podem ajudar de manera més eficient als nostres clients.

Fa relativament poc temps vam estar ajudant a una empresa del sector industrial. Hem de reconèixer que ens agrada voltar per les fàbriques i que ens expliquin el procés de producció, sempre s’aprèn alguna cosa. Doncs mentre que ens estaven ensenyant les instal·lacions ens van explicar el procés d’adaptació d’unes de les seves darreres adquisicions, unes bàscules de líquids automàtiques.

És curiós com les bàscules calculen el temps que l’aixeta ha d’estar oberta per deixar passar liquid segons lo plena que està la cisterna i la densitat del líquid, amb una pesada prèvia per tal d’obtenir la quantitat de líquid que és necessari. Aquest procés pot semblar obvi que requereix d’un periode d’aprenentatge de la bàscula i el sistema.

I aquí és on comença la història. Després de tres mesos d’ús del nou sistema, el sistema no havia aprés res, i es va començar a investigar, fins que es van adonar que els operadors de la fàbrica, acostumats a les pesades manuals, van veure que las bàscules sempre pesaven de menys en la primera pesada, i després rectificaven en una segona pesada. Això era una pèrdua de temps així que per millorar la productivitat, amb un peu eixacaven la bàscula per donar menys pes en la primera pesada, i així queia més liquid de cop. Evidentment la voluntat dels operaris era bona, millorar la productivitat, però van aconseguir lo contrari, ja que el sistema no era capaç d’aprendre.

Si traslladem aquesta historia a la seguretat de la informació en podriem treure tres conclusions:

La primera: L’usuari sempre és capaç de fer un ús imprevist del sistema, que no contemplem i que per tant no controlem ni monitoritzem.

La segona: La fase de conscienciació i de formació és molt important. Quan es modifica alguna cosa que afecta a l’usuari és necessari explicar-li, perquè si no els resultats poden ser imprevisibles. (algú hauria d’haver explicat als operaris que el sistema era capaç d’aprendre)

La tercera: Una mesura de seguretat que és incomoda per l’usuari o li impedeix fer la seva tasca de forma òptima, força a l’usuari (sense necessitat de tenir mala fe) a intentar saltar-se-la, buscant portes de darrera.

I aquí en aquest segon efecte és un resideix el perill real. Tenim una mesura de seguetat, que creiem que ens protegeix d’alguna amenaça concreta, i que per tant ja no la contemplem. I resulta que no es fa servir, incrementant d’aquesta manera el risc global de la organització.

I d’aquí en traíem dues recomanacions: Evitem mesures de seguretat incomodes per l’usuari, i si és inevitable fem una bona tasca de conscienciació en materia de seguretat, i sobretot monitoritzem les mesures de seguretat i avaluem la seva eficiència. Perquè la seguretat no està tant en implantar mesures, si no en monitoritzar-les.

Totes ens semblaven suficientment importants, i es mereixen estar en el primer post, així que farem un popurri.

Quan algú s’engresca en un projecte empresarial hi han tantes coses a fer, i tants són els dubtes, i encara més en la situació actual, on encara que convençuts del nostre model, sovint ens trobavem afligits pel desànim general que la realitat que vivim avui ens contagiava.

Però hem estat molt afortunats. El recolzament del nostre entorn ha estat total, no tan sols en allò referent a la feina que hi ha hagut darrera de la preparació del projecte; com l’assessoria jurídica, el model comptable, la constitució de la societat, el disseny de la imatge corporativa, la web, el material de promoció, el pla d’empresa i la definició dels nostres valors empresarials. Sobretot ens considerem afortunats per l’ànim que contínuament em estat rebent de tota aquesta gent, els feedbacks continuus amb tot allò que anàvem produint, la visió que des de fora ens ha fet aprendre tant.

La quantitat d’energia que hem rebut ens ha empés cap endavant de tal manera que ha sigut inevitable que ara estem aquí. Disposats a donar-ho tot per un model diferent i fresc, engrescador i entusiasta on ens hem marcat un alt nivell d’excel·lència que esperem poder mantenir fidel, i garantir allò que anem cercant: la satisfacció del client, creiem que així podrem respondre a la confiança dipositada en el nostre projecte.

Em començat a caminar amb la ferma convicció, que hi ha diferents formes de fer les coses, és per això que remarquem constatment el nostre concepte de petit taller, allunyat de la producció masiva i en cadena de projectes. On més enllà de “clients” estem cercant socis que comparteixin la nostra manera de fer, per tal d’aportar el valor que més de quinze anys d’experiència en el sector són capaços d’aportar.

Creiem que el coneixament està per compartir-lo, ja que és la millor manera d’enriquir-se com a persona, i/o com a professional. I que intentar retenir-lo ens empobreix. En aquest sentit hem creat aquest espai blocaire per tal de compartir amb vosaltres -els lectors- les nostres experiències. Volem que aquest espai pugui servir també com a punt d’intercanvi, per això us convidem a deixar les vostres opinions en cada un dels nostres petits articles.

Esperem que us agradi, tant el projecte, com el nostre espai.

Voliem presentar el nostre projecte i filòsofia a tota la xarxa; perquè hi ha formes diferents de fet les coses i des de petits tallers es poden realitzar projectes importants. L’experiència i el coneixament no sóns exclusivitat de gran empreses, i  mitjançant un treball més proper i personalitzat al client s’obtenen resultats que s’adapten millor a les necessitats i problemàtiques de cada un dels clients.  Aquesta és la nostra filòsofia i ens dedicarem amb la passió d’aquells que estimen la seva feina per tirar-la endavant.