Security Xperts

SI1-119

SECURITYXPERTS
Original del profesor Fernando Aparicio Varas del IE Business School.
Versión original de 26 de septiembre de 2002. Última revisión, 21 de enero de 2008. (R.L.)
Editado por el Departamento de Publicaciones del IE. María de Molina 13, 28006 – Madrid, España.
©2002 IE. Prohibida la reproducción total o parcial sin el permiso escrito del IE.

Febrero de 2002 no era elmejor momento para emprendedores necesitados de capital. La purga
de empresas punto.com sirvió para ahuyentar a la mayoría de los fondos especializados en la
financiación de alto riesgo. Los tiempos en los que las inversiones en empresas tecnológicas de
reciente creación no paraban de crecer no tenían visos de volver a corto plazo, y los fundadores
de SecurityXperts necesitaban de unacantidad elevada para ofrecer un servicio competitivo en la
última fase de su proyecto: la gestión externa de la seguridad de la información.
Joaquín Castillejo, su director general, era consciente de la oportunidad que se había abierto en el
mercado ante la falta de personal especializado que pudiera concentrarse en servicios
profesionales de seguridad. Sin embargo, numerosos interrogantes secernían sobre el futuro.

UNA SEMANA EN LA VIDA DE UN RESPONSABLE DE SEGURIDAD
Juanjo Márquez madrugó un día más, con pereza y cierto hastío. El despertador le devolvía a una
realidad que le había parecido de pesadilla en la última semana. Mientras se duchaba, rememoró
aquellos días de pánico e impotencia. Ya estaba harto del gesto adusto del CEO de su empresa al
recordarle lo difícil que se habíapuesto este año cumplir el presupuesto de ventas y las
consecuencias que su incumplimiento podría tener en los planes de inversión, especialmente en lo
tocante a las tecnologías de información. Juanjo llevaba gran parte del año tratando de convencer
al CEO de que la soledad del responsable de seguridad no era suficiente para tapar todos los
agujeros que le reclamaba su actividad cotidiana. Unavez más, se le había denegado el
presupuesto para la instalación de un IDS (Intrusion Detection System o Sistema de Detección de
Intrusos)1 que elevaría en gran medida el nivel de seguridad de la empresa.
Juanjo Márquez era un responsable de seguridad de una empresa de tamaño medio en España
(400 empleados y 10.000 millones de facturación). Antiguo responsable de sistemas, había sidonombrado adicionalmente responsable de seguridad a raíz de una serie de sucesos que habían
forzado la necesidad de un perfil especializado en seguridad de la información. El mayor suceso
fue la entrada en la red corporativa de un intruso que se llevó la base de datos de clientes,
incluyendo toda su situación financiera con respecto a la empresa. Lo chocante del robo fue que
no se produjo mediante lasúltimas y sofisticadas herramientas tecnológicas, sino con técnicas tan
efectivas como la llamada ―ingeniería social‖2: alguien, haciéndose pasar por empleado del

1

Un IDS monitoriza los registros de eventos dentro de un servidor o red informática y alerta de posibles
intrusiones/ataques en tiempo real. Hay dos tipos de IDS: los que se dedican a monitorizar actividad sospechosa en
elhost mismo (HIDS o Host Intrusión Detection System) y los que controlan la red buscando huellas de intentos de
ataque, no necesariamente hacia la computadora en la que están alojados (NIDS o Network Intrusión Detection
System).

2

El legendario Kevin Mitnick era descrito por sus colegas como ―tecnológicamente incompetente‖. Sin embargo, es
considerado uno de los mejores hackers de la historiamerced a su dominio de la ―ingeniería social”, técnica que
emplea el engaño y la manipulación para la obtención de datos de autenticación (nombres de usuario y contraseñas)

1

IE Business School
SECURITYXPERTS

SI1-119

Departamento de Informática, llamó a José Salazar, administrativo del Departamento de
Facturación: ―Buenos días, te llamo de Informática. Tenemos un problema con...