Da buen trato a tus empleados

Es un muy buen consejo. Es muy conocido en los ámbitos de seguridad informática la acción del "factor humano". Un gran porcentaje de las acciones en contra de los sistemas de una organización son producidas por los empleados disconformes, esto es una realidad.

Así que es muy conveniente dar buen trato a tus empleados que manejan los sistemas de tu organización, no vaya a ser que tengas un Lin exitoso.

¿Quien es Lin?, se preguntarán...

En 2003, Andy Lin, de 51 años de edad, era administrador de sistemas Unix en Medco Health. Cuando comenzaron los rumores de absorción de esa empresa por parte de Merck, Lin pensó que podía perder su empleo, por lo que introdujo una bomba lógica en el sistema, es decir, un código oculto destinado a activarse el día de su propio cumpleaños: 23 de Abril de 2004.

Debido a un error de programación, la bomba de Lin no funcionó, de modo que la reparó y reprogramó para activarse el mismo día pero del año siguiente (2005), y eso a pesar de que los temores de Lin al despido no se vieron confirmados.

No obstante, en enero de 2005 un colega de Lin investigaba un error del sistema cuando descubrió la bomba, lo que volvió a frustrar el ataque, esta vez definitivamente. De haber tenido éxito, la bomba lógica de Lin hubiera destruido datos sanitarios críticos en 70 servidores...

Lin ha sido juzgado anteayer y se ha declarado culpable. Se enfrenta a una pena máxima de diez años de cárcel y un cuarto de millón de dólares de multa (unos 175.000 euros).

La sentencia se conocerá el próximo 8 de enero.///(publicado por kriptopolis, fuente: Computer World).

Cuando al dañino se lo tiene adentro

Una interesante nota de la revista Wired informa que cientos de credenciales .gov fueron encontrados volcados en "Hacker Públicas".  comienza diciendo que "no es ninguna sorpresa que los empleados públicos descuidados usan sus direcciones de correo electrónico .gov para inscribirse en todo tipo de cuentas personales".

Pero cuando esos servicios de terceros, inseguros, son violados por hackers, y si, esos empleados fueron tan tontos como para reutilizar sus contraseñas .gov. La nota también señala que un descuido de éstos puede ofrecer una puerta trasera en agencias federales.

Pueden leer la nota en: "Hundreds of .Gov Credentials Found In Public Hacker Dumps". Wired - Security 24/06/2015. Una lectura recomendada-

El factor humano limita la gestión efectiva de la seguridad. Una realidad que obliga a mirar permanentemente como se controla al personal.

Sobre las redes sociales

Como muchos el tema de las redes sociales en algún momento llamó mi atención, y hasta he participado de un par de ellas, pero como tengo cierta naturaleza a tratar el porque de los porque, me puse a indagar entre los que considero con cierta experiencia en el tema y allí surgio mi desconfianza a esas "redes sociales", "¿herramientas?" de dudosa utilidad pero de fácil manipulación para quien lo controle.

Como ya lo han señalado en algunos ámbitos, hemos llegando a un punto en el que Internet, nos ha dado una falsa imagen de privacidad. Existen un puñado de empresas que tienen en su poder información personal de millones de personas, y no son pocos los que indican que no existen las suficientes garantías de que esa información permanecerá en privado.

El exceso de confianza en los usuarios ha hecho que éstos suban todo tipo de información, inclusive información sensible. Hay que tener en cuenta que es mucha la gente que está a la pesca de esa información. Para ejemplo, hace unos días se informó que "la compañía de recursos humanos Randstad advirtió que el uso de las redes sociales online, cada vez más extendido, puede convertirse en un arma de doble filo a la hora de conseguir un puesto de trabajo".

"Así, subrayó que las empresas pueden acceder a los perfiles publicados por los candidatos en estas redes y ver sus fotos, detalles de su vida personal y comentarios, pudiendo encontrar información que influya en el proceso de selección". Publicado por iProfesional.com - Management.

De idéntica manera, se conoce que los "caza víctimas" para hechos delictivos tienen puestas sus miras en la información subida en esas "redes sociales". Los más audaces delincuentes informáticos ya han probado atacar estas redes como lo fue desde el sábado próximo pasado el popular servicio de microblogging Twitter, mediante el uso de un virus específico (Word:JS/Twettir.A). El propósito del ataque es desviar al usuario a otro sitio, en un procedimiento similar al tristemente famoso "phishing" de las cuentas del home banking.

Esto no es nuevo, en diciembre pasado, 120 millones de usuarios de la red social Facebook fueron víctimas potenciales de un virus de tipo gusano llamado Koobface que se extendió por el sistema de correo de la red enviando mensajes a los amigos de usuarios infectados, recomendando falsas actualizaciones de programas.

En los ambientes corporativos serios, el tema está siendo observado muy atentamente, ya lo hemos señalado en este blog al referirnos al tema factor humano y seguridad. El hecho es que se están marcando casos donde los empleado abusan del tiempo de uso de estas redes en horarios laborales, además de los casos en que en medio de una "conversación" el empleado liberó información estratégica de la empresa, a sabiendas o por descuido.

El tema da para mucho más, pero no me quiero extender. Me parece que hay información suficiente para entender que el participar en esos sistemas implica ciertos niveles de inseguridad, y está en cada uno correr el riesgo o no. Considero que más allá de ser una manera más de comunicarse, como lo es el correo-e o la mensajería instantánea, no tienen otra utilidad. Me parece muy poco serio utilizarlas en ambientes laborales, creo que aquí las empresas u organizaciones deberán avanzar en el conocimiento de las consecuencias, poner las cosas claras y determinar límites a sus empleados.

Actualización 14-04-2009

En LinkedIn aparecieron perfiles de famosas con links a sitios con malware.-"Afirman contener enlaces para acceder a videos y fotos comprometedoras de actrices y cantantes. En realidad, llevan a los usuarios a portales donde se les ofrecen antivirus falsos". Canal-AR.

Ciberseguridad, mirando hacia adentro

Ayer comenté sobre una noticia en un post que pone énfasis en los controles en relación al "factor humano". Hoy leyendo algunos post en la blogosfera, me acordé de la interesante historia del "bueno" de Bob.

Bob era un desarrollador de software, un programador “inofensivo y tranquilo” de cuarenta y tantos años, que ganaba muy bien, un poco más de de 100 mil dólares anuales, trabajando haciendo que trabajaran por él en una importante empresa relacionada con la “infraestructura crítica” de Estados Unidos. Bob simplemente le pagaba una quinta parte de su salario a unos programadores de una empresa de programación en la ciudad de Shenyang, en el sureste de China, para que hicieran su trabajo.

En ciberseguridad, mirar hacia adentro es vital para prevenir y evitar sorpresas.

Pueden leer la historia de Bob en el post:

• La historia de Bob, el outsourcing y la seguridad informática. 22/01/2013.