Seguridad informatica

La difícil tarea de la seguridad informática. Análisis de un caso en una organización típica salteña.
* Lic. Fredi Aprile
faprile@copaipa.org.ar
Ing. Sergio Appendino

sappendino@copaipa.org.ar
Ing. H. Beatriz P. de Gallo

bgallo@copaipa.org.ar

LA HISTORIA
La información procesada, almacenada y consultada por los medios tecnológicos actuales es un recurso más de cualquierorganización. En este contexto, la jefatura de una empresa ha confiado en una persona, el Lic. Juan Seguro, la responsabilidad de la seguridad informática. Antes de asumir esta tarea, él había ingresado al organismo como analista y programador de sistemas, pero siempre se había manifestado interesado en la seguridad informática por su tesis de graduación y algunos cursos e investigaciones que estabarealizando. Después de dos años de asumir la tarea, Juan se enfrentó con un serio problema: la seguridad de la información es un concepto nuevo en la empresa y por lo tanto observa que existe una “Falta de conciencia generalizada sobre la seguridad de los datos por parte de todos los usuarios”.

La falta de conciencia en la seguridad de los datos es un problema presente en cualquier empresa o institución.LA INVERSIÓN

La magnitud de los riesgos asociados en materia de seguridad informática involucra la inversión de nuevas tecnologías y de recursos humanos. Cada pedido de presupuesto a los niveles superiores debe argumentarse el doble que en las otras actividades. Sin embargo la inversión se aprobó inmediatamente luego que la página institucional fue hackeada, o aquella vez en que un virusparalizó a toda la organización bloqueando el acceso a los sistemas y al uso de los servicios. ¿Juan deberá esperar que suceda otro incidente de seguridad para que se aprueben nuevas inversiones?

¿QUÉ DEBEMOS PROTEGER?
Existe abundante información en la empresa. Ante la consulta de Juan de qué información debe proteger, la respuesta de todos los gerentes es “Todo se debe proteger”. Juan pensó ensu momento que sería lindo también que su casa estuviese protegida con policías de seguridad en todas las puertas, alarmas, sistemas de vigilancia, investigadores, etc. pero este costo es más elevado que su propia casa. Lo mismo sucede en cualquier organización, es imposible proteger absolutamente todo o proteger información que por su característica es pública. Por ello se debe definir cuales sonlos activos a proteger, cómo clasificar la información, qué dato es público, qué información es privada o sensible, quienes deben/pueden acceder.

¿Quién tiene la responsabilidad de definir que información es crítica y sensible y definir sus accesos?. ¿Quien es realmente el dueño de los datos?

LA DIFÍCIL TAREA DE LA SEGURIDAD INFORMÁTICA. ANÁLISIS DE UN CASO ORGANIZACIÓN TÍPICA SALTEÑA.Página 2

EN

UNA

USO DE INTERNET
¿Debe permitirse el uso del chat y del correo electrónico personal?

Se contrató para toda la organización el servicio de Internet, pero por cuestiones de seguridad se limitó el acceso solo a páginas autorizadas y libres de riesgos. A los dos días de implementar esta política, sufrió serios reclamos de los gerentes en el sentido de que se estaba limitandoel uso a la información. ¿Debería permitir el uso libre de Internet?. ¿Bajo que condiciones?

SOFTWARE

Y LICENCIAS DE USO

Después de realizar un análisis de toda la red, Juan detectó numerosos programas instalados vía Internet, mails o medios removibles en la mayoría de los equipos. Por ello se encargó de desinstalar todo y bloquear las futuras instalaciones por una cuestión de seguridad,compatibilidad con los sistemas de la organización y debido a que la mayoría de esos programas no contaban con las licencias legales de uso. Al día siguiente fue acusado con todos los términos posibles que se pueda imaginar por parte de los empleados y gerentes, ya que no podían escuchar música, los protectores de pantalla desaparecieron, no se podía instalar nada, no podían chatear con otros...