Sergio Salazar Pacheco
Es costumbre buscar la mayores soluciones, para los problemas más pequeños, no se acostumbra a pensar que la solución más simple podría ser la más certera. Esto se aplica en la seguridad de TI, donde las empresas son pirateadas fácilmente, ya que no realizan las cosas simples que podrían estar haciendo, aunque se trate de datos.
La respuesta a por qué tantas empresas y defensores de computadoras no permiten que los datos dicten sus defensa reside en la falta de enfoque. La prioridad de muchos es competir por la atención de los defensores, cuando las solución podría estar a su alcance, inclusive podría ser más barata, rápida y fácil.
Entre las razones que causan ésta falta de interés se encuentran:
-Las amenazas de seguridad son exorbitantes
Existen alrededor de 15 amenazas nuevas por día, eso se convierte en aproximadamente 5,000 y 7,000 amenazas al año. Cada día los usuarios se exponen a más amenazas de las que se pueden proteger.
-Las amenazas publicitarias llaman más la atención que las amenazas serias
En muchos casos, la publicidad enfocada hacia amenzas menores o una publicidad llamativa, toman la atención de los usuarios, dejando de lado amenazas serias. La sobrevaloración que se le da a las diferentes amenazas, cambió el enfoque de cuales son más importantes.
Un ejemplo claro es Meltdown y Spectre, dos de las mayores amenazas a nivel cibernético, no reciben la atención merecida. Estos malwares impactan casi todos los microprocesadores populares, permiten al atacante manejar de manera invisible la computadora, y en muchos casos es necesaria la instalación de softwares y firmwares para la protección del dispositivo. En muchos casos la única opción viable es la compra de una nueva computadora.
El problema reside en que muchas personas no hacen el esfuerzo por defender su dispositivo, y no se informan. Casi ningún consumidor es capaz de instalar un parche de firmware, lo que causa eventualmente una vulnerabilidad en millones de unidades. Cada amenaza importante que surge, el usuario supone que su proveedor o dispositivo se encargará de instalar un parche para evitar su contagio.
-La deficiente inteligencia de la amenaza causa un desvío
La misma inteligencia de amenazas (TI) de muchas de las empresas no informa de manera correcta a su empresa sobre las amenazas que acechan. TI debe analizar cuales son las amenazas que tengan mayor probabilidad de afectar a los usuarios, y capacitar a los mismo sobre dichas amenazas.
-El cumplimiento no siempre va de la mano con las prácticas más seguras
En muchas ocasiones la preocupación por el cumplimiento invita a que se realizen acciones poco seguras. Un caso de esto son las políticas, reglamentos y requisitos legales impiden la utilización de contraseñas que se consideran recomendadas. Lo anterior se ejemplifica con los sitios web que no permiten contraseñas de más de 16 caracteres (consideradas seguras), pero obligan la utilización de caracteres especiales cuando las investigaciones han demostrado que este tipo de símbolos no son seguros.
-Saturación de proyectos
Los proyectos en curso de las empresas juegan un papel importante en la inseguridad de las mismas. Cada proyecto está diseñado para proteger las computadoras y dispositivos de la empresa. El problema es que muchos de estos proyectos no se encuentran terminados, y la saturación en el desarrollo de los mismos conlleva a un retraso e implementación ineficiente.
-Los proyectos favoritos no siempre son los más importantes
Toda empresa tiene sus proyectos preferidos, aquellos que buscan realizar de la manera más pronta, pero eso no significa que sean los de mayor relevancia. Muchas veces se acostumbra a tomar a los mejores miembros de un equipo en concreto para que trabajen en dicho proyecto, dejando descuidada la seguridad del proyecto en que trabajaban.