El ejemplo empieza por casa.

¿Por qué el Estado no implementa procedimientos y sistemas de información para minimizar la posibilidad de que lo roben? Guillermo SantosCalderón.

Sin duda esta pregunta invita a la reflexión. Desde que Colombia empezó a buscar el liderato en el área de las Tecnologías de la Información, muchos han sido los logros cosechados, Colombia ha ganado un posicionamiento interesante en Latinoamérica y es líder en muchos escenarios específicos como Gobierno Electrónico, penetración de Internet en áreas rurales, programas de capacitación etc.

Sin embargo lo relacionado a Seguridad de la Información, a pesar de ser un frente de trabajo gubernamental plenamente establecido y soportado con normatividad (GEL,CONPES, LEY 1273), ha sido un talón de aquíles para el Estado; fugas de información, pérdida de memorias USB con información vital de lideres desplazados, computadores portátiles sin copias de respaldo con información crítica de Bogóta, etc, ponen al descubierto que no solo hay que hablar de Teoría, hay que ponerla en Práctica.

El Señor Guillermo Santos, habla del porqué no certificarse como entidades del estado en 27001, prácticamente confirma el propósito de este Blog, NO EXISTE una CULTURA en Seguridad de la Información en la cabeza de quienes lideran las organizaciones, el paradigma de que ese temita lo debe manejar TI, no ha dejado permear la mente y conciencia de los que toman decisiones y por ende desde donde empieza el ejemplo en la implementación de buenas practicas que mitiguen el riesgo en Seguridad de la Información y la obtención de los demás beneficios que por añadidura se gestan, el ejemplo del Señor santos es excelente, con seguridad de la información también es factible que no haya Tumbes. Interoperabilidad + Seguridad + Cultura + Accion = Consolidación de E-Gov

Perdidas Millonarias...Sin Robo?

Detienen en España a 2 implicados en ataque informático contra Tous

Dos “hackers” más caen esta semana…, bueno haciendo la revisión a la noticia y tratándose de una importante cadena de almacén de joyas, se inicia una búsqueda para poder comentar dejando una reflexión como en el resto de casos o noticias que se analizan en este espacio, y todo direccionaba a lo mismo, respuesta a incidentes; pero había algo más, y es que en ESPAÑA ya se han tipificado los llamados “Procedimientos para la Protección de las Infraestructuras Críticas”, si bien es interesante, no es de esto de lo que se hablará, sino de algo más curioso, se observa en el contexto de la noticia que “Los análisis de los equipos informáticos constataron que las modificaciones al sistema se estaban produciendo desde dos ordenadores a nombre de esta empresa de servicios, con la cual Tous había puesto fin a su relación contractual en 2010”… BINGO esto sí es de resaltar y las preguntas que se generan son:

¿Qué están haciendo las empresas para protegerse de las entidades con las que han tenido relaciones comerciales o aquellas que hacen tercerización?

¿Será que hacen un estudio de seguridad a estas empresas?

¿A sus empleados?

¿Aparte de las actas o acuerdos de confidencialidad, se toman algunas otras precauciones de protección, se tienen controles para evitar que terceros se vallan al culminar sus contratos con el conocimiento de la información crítica y/o infraestructura de la organización, se hace seguimiento?

Debería poderse contrarrestar o mitigar el riesgo con un procedimiento, si bien es cierto no es fácil estar cambiando direccionamientos en la infraestructura, por lo menos sería bueno revisar los puntos críticos y determinar que se puede renovar… en este caso desde el 2010 fecha en que la firma trabajo, solo  dos años después logran detectarlo... y todo ese tiempo el flujo era aparentemente normal… Entonces ahora tendría que hablarse de “Protocolo para el manejo de Terceros en Tecnología” o algo así, o ¿reestructurar el flujo de información y aseguramiento de la misma periódicamente con las implicaciones que esto tiene? El Rol de Proveedor o Contratista se puede entonces transformar en el de ¿Enemigo? Por cierto no hubo robo solo manipulación de información que genero pérdidas, que beneficio para los Hackers o quien los paga, la competencia quizás?