"Aquello que no te mata... debería hacerte más fuerte" ;)
InfoSecMan Blog
Prueba Conseguida (o la Carrera de las Certificaciones)
26 February 2009Hoy me ha llegado. Lo estaba esperando, la verdad, con ganas e impaciencia. Esta tarde recibí el mensaje comunicándome que desde hoy tenía la certificación CGEIT (Certified in Governance of Enterprise IT).
Esta certificación culmina un pequeño reto que hace un año nos planteábamos mi gran amigo Nacho y yo: conseguir las certificaciones de ISACA en el periodo de tiempo más corto posible.
Hasta ese momento habíamos orientado inicialmente nuestras certificaciones a los temas más técnicos (probablemente a causa del mercado del que procedíamos), primero con certificaciones de fabricantes, y más tarde viendo claramente la ventaja de las certificaciones independientes, comenzando hace unos años ya con la hoy famosa ISO 27001 (en aquel entonces BS7799) y “emigrando” a obtener el Lead Auditor en tierras anglosajonas, al igual que las de SANS Institute (GIAC) orientadas a auditoría (GSNA, GIAC Systems & Network Auditor, GAWN, GIAC Assessing Wireless Networks, o SSP-GHP, Stay Sharp Google Hacking & Defence).
Siguiendo esa evolución vimos como una opción clara la certificación CISSP (Certified Information Systems Security Professional) por ser muy completa, de alto nivel y muy valorada internacionalmente. Nacho continuó con CEH (Certified Ethical Hacker) y a mí me picó la “curiosidad” 😉 de la Continuidad de Negocio, obteniendo el título de BS25999 Lead Auditor.
Fue en ese momento (Febrero de 2008) cuando nos planteamos el objetivo de conseguir CISA y CISM de inmediato (y ya por el camino, surgió CGEIT). Puesto que no es posible presentarse a ambos exámenes en la misma convocatoria (como bien sabréis son el mismo día, a la misma hora, en el mismo sitio), priorizamos en ese momento CISA para Junio y CISM para Diciembre… y procedimos. Aprobamos ambos en las convocatorias correspondientes y llegado el punto, ¿por qué no aplicar para el CGEIT?
El resto ya lo sabéis. Hoy veo cumplido el objetivo de hace unos meses, la verdad, con gran satisfacción… y con cierta inquietud. ¿Y ahora qué? 😛 Mi mujer y mi hija dicen que me tome un descanso, pero como me conocen ya suponen que será complicado.
Creo que parte de mis reflexiones se van leyendo por aquí y podéis ver que estoy buscando temas interesantes que desarrollar. Incluso me estoy planteando estudiar cosas totalmente distintas, como Psicología (organizacional) o algo en ese sentido… pero tengo que meditarlo y poner en la balanza lo que me aporta y lo que me cuesta (¿un análisis de riesgos? 😉 ).
En todo caso, los que mañana se encuentren conmigo (en Gijón será esta vez), saben que están invitados, al menos, a un vermouth 🙂 Para los que no coincidamos, vaya desde aquí una invitación “virtual” para la próxima vez que nos veamos.
… y… ¿con qué me recomendáis seguir?
Por cierto, ¿qué opináis de las firmas “egocéntricas” (como este post 😉 ) como la siguiente y que se ven tanto en foros internacionales? (a mí me parecen totalmente fuera de lugar 😛 )
Samuel Linares
CGEIT, CISA, CISM, CISSP, BS25999 & BS7799 Lead Auditor, GSNA, GAWN, SSP-GHD, CNE, CNA, JNCIA-FW, CCSA, CCSE, SCNA, SCSA, Experto Universitario en Protección de Datos…
Siempre he preferido este otro tipo:
SL 🙂
(los galones mejor que nos los pongan otros, no nosotros mismos) 😉
3 Comments » | Posted in Curiosidades, Mercado, Profesion, Sociedad | del.icio.us |
Security Interim Management
18 February 2009El concepto de Interim Management no es algo realmente novedoso en el mercado, ya que se lleva utilizando en todo el mundo con cierto éxito especialmente en las áreas de gestión. Como su nombre indica, se trata de “Directivos Interinos”, esto es, profesionales de muy alto nivel de cualificación y muchos años de experiencia que prestan sus servicios a compañías que, debido a una situación excepcional (por ejemplo por importantes cambios en la misma, nuevos retos o estrategias en la organización, relevo de la dirección en algún área o necesidad de conocimiento y experiencia muy avanzada, no existente dentro de la compañía), necesitan temporalmente de la figura de un directivo (por perfil y capacidades de liderazgo, experiencia, etc.) experto que gestione esos cambios de la forma más eficiente y sea capaz de transferir ese conocimiento y experiencia en esa área a personal directivo local a la organización, llegando incluso a “mentorizar” ese personal en algunos casos durante determinados periodos de tiempo.
Este tipo de servicio es especialmente interesante en situaciones donde deba manejarse adecuadamente la gestión del cambio, donde los directivos o gestores existentes carezcan de ciertas habilidades en determinadas áreas o departamentos o donde se requiera un “empuje” decisivo a un determinado departamento que, tras ser analizado, parece complicado conseguir con los recursos existentes.
En los últimos tiempos vengo asistiendo en determinados foros a situaciones en las que este tipo de servicio puede ser la solución a “enquistamientos” en la forma de trabajar de determinadas áreas (podemos centrarnos ahora en la de seguridad), a la promoción y puesta en valor de estas áreas y a la transferencia de conocimiento y experiencia a directivos de seguridad que, en la mayoría de los casos, el día a día frenético y la búsqueda de obtención de resultados a corto plazo, no les permite elaborar y abordar una visión estratégica que se alinee a medio y largo plazo con los requisitos del negocio (en muchos casos el árbol no nos deja ver el bosque…).
En compañías con un nivel de madurez medio/bajo en seguridad en las que es muy complicado contar con recursos destinados en exclusiva a este campo y por tanto con unos niveles de capacitación en el mismo altos y en las que habitualmente la Dirección de TI tiene que asumir simultáneamente el rol de la seguridad (quedando así relegada a un segundo plano en muchos casos), el uso de un servicio de “Dirección Interina de Seguridad” (Security Interim Management) puede aportar importantes valores a la compañía principalmente mediante la objetividad, alineación estratégica con el negocio, transferencia de conocimiento y establecimiento de procesos adecuados que eleven el nivel de madurez de seguridad de la organización.
¿Habéis utilizado en algún momento este modelo? ¿Lo veis adecuado en determinadas situaciones?
3 Comments » | Posted in Curiosidades, Mercado, Normativas, Profesion, Tecnologias | del.icio.us |
Sistemas Tolerantes
12 February 2009De un post a otro, y de ése a otro blog, con unos cuantos saltos, he llegado a un par de artículos que me han dado bastante que pensar y que plantean unos conceptos extremadamente “simples” y a la vez, brillantes.
Dejadme únicamente que enumere algunos conceptos:
- Sistemas Autoregenerativos.
- Sistemas Tolerantes a Intrusiones
- Sistemas de Información “Supervivientes” y “Asegurados Orgánicamente”
- Aplicaciones de Internet Tolerantes a Fallos Accidentales y Maliciosos
- Entornos Distribuidos para Disponibilidad Perpetua de Sistemas de Información Seguros
- Supervivencia Inherente basada en Componentes
- Tolerar intrusiones a través de Reconfiguraciones de Sistemas Seguros
- …
Sí, estamos hablando de lo que se entiende por Sistemas Tolerantes a Intrusiones. Sistemas que además (o en lugar) de prevenir las intrusiones, las toleran y son capaces de lanzar o asegurar ciertas acciones o mecanismos para asegurar su correcto funcionamiento aún en el caso de haber sido comprometidos. Sencillo y brillante a la vez, ¿verdad?.
Con el poco tiempo que he echado un vistazo en Google he visto que ya se está trabajando en esta idea/concepto desde hace más de 10 años, sin embargo (quizás soy yo el ignorante), no he visto alusión a este concepto ni en productos en el mercado ni aplicación del mismo en soluciones de seguridad habitualmente. ¿Vosotros?
Lo más actualizado que he visto es un Workshop que se celebrará en Lisboa en Junio de este año sobre Avances Recientes en Sistemas Tolerantes a Intrusiones, donde dicen que se habrán de temas como:
* automatic recovery and response techniques
* hardware and software virtualization for IT
* leveraging social computing networks for resiliency
* threat of botnet herds and surviving them
* survivability and information assurance in the Cloud
* use of Byzantine fault-tolerant algorithms in IT
* biologically inspired defenses
* diversity and failure independence
* evaluation of IT systems
* theoretical limits of IT
* real world case studies
Insisto, me parece realmente interesante y curiosamente, he de decir que al menos despierta en mí curiosidad y novedad (lo que me alegra muchísimo, como ya sabéis los que leísteis mis reflexiones sobre si no había nada nuevo en el mercado de la seguridad hace algo más de un mes).
Si este concepto pudiese aplicarse a todos nuestros sistemas, ¿cómo cambiaría el escenario actual?. Y si lo aplicásemos a los equipos personales ¿dónde quedaría el malware, el phishing, etc.?… no hablemos ya de su aplicación en Sistemas Industriales o SCADA…
Incluyo a continuación algunos enlaces para posterior investigación. Espero que os sean de interés:
http://en.wikipedia.org/wiki/Intrusion_Tolerance (Definición en la Wikipedia)
http://www.di.fc.ul.pt/tech-reports/02-6.pdf (Artículo Introductorio muy interesante de 2002)
http://www.tolerantsystems.org/ (Recopilación de trabajos en USA. Interesante y hasta sospechoso…)
http://www.navigators.di.fc.ul.pt/it/ Introducción a la Tolerancia a Intrusiones
http://wraits09.di.fc.ul.pt/ 3rd Workshop on Recent Advances on Intrusion-Tolerant Systems
No Comments » | Posted in Curiosidades, Documentos, Tecnologias | del.icio.us |
Falta de Alineación de la Industria de la Seguridad
10 February 2009Estamos comenzando el año y como siempre, aparecen multitud de noticias sobre las “tendencias” para el nuevo ejercicio. Lo más “popular” del año pasado, el top ten de las vulnerabilidades, de los profesionales, de las empresas, de las facturaciones, etc. Lo cierto es que en algunas ocasiones no podemos evitar sentirnos como Bill Murray en la película “Atrapado en el Tiempo” en la que vivía una y otra vez el mismo día (el día de la marmota).
Más malware, más antivirus, antispam, anti-todo, más phishing, más vulnerabilidades, más parches, más dispositivos, más controles de acceso, más máquina, más velocidad… pero no siempre más innovación, especialmente en el reconocimiento del estado de nuestro mercado de la seguridad se refiere y el ofrecimiento de soluciones y servicios que sean aplicables a la gran mayoría de nuestras empresas (no solo a las más grandes).
Todos pensamos en nuevos estándares, métricas, innovación tecnológica, firma digital, Firewalls, IPS, prevención de fuga de información, etc. Son los temas habituales en congresos y encuentros de nuestra industria. Sin embargo, esto es totalmente necesario, pero no suficiente. Todos estos avances son muy adecuados y necesarios, pero aprovechables en el corto/medio plazo únicamente por una minoría de organizaciones cuyo nivel de madurez en seguridad es elevado, mientras que la gran mayoría de compañías en nuestro país adolece de las medidas más básicas de seguridad y necesitan llegar a esas cotas de forma mucho más comprensiva y paulatina.
No nos engañemos, debemos ser realistas y sobre todo, conscientes. Las necesidades y concienciación en seguridad de la mayoría de las compañías de nuestro país dista mucho de la imagen que muchos de nosotros tenemos en nuestra mente e incluso podríamos asegurar (basándonos en nuestra propia experiencia y muestreo del mercado existente) que de la imagen que en muchos casos vemos reflejada en estudios y encuestas de distintas organizaciones. Y no hablamos únicamente de microempresas o autónomos, estamos hablando de grandes corporaciones de cientos y miles de empleados que carecen de las más mínimas medidas de seguridad, no digamos ya de un gobierno de TI adecuado o de un programa de gestión de la seguridad correspondiente.
La falta de alineación de la industria de la seguridad que en muchos casos existe con la situación real de la gran mayoría de compañías hace que se produzcan paradojas como la que ya hace unos meses quisimos transmitir en el Segundo ENISE en León: que a una multitud hambrienta les estemos ofreciendo en muchos casos hamburguesas de caviar, lo que no sólo no palia su hambre, sino que en muchos casos produce graves indigestiones.
Quizás sea el momento de coger distancia y observar desde una perspectiva realista nuestro tejido empresarial. Quizás así seamos capaces de ofrecer servicios que cubran las necesidades reales de la mayoría de nuestras compañías y, por tanto, elevar el nivel global de madurez de seguridad de nuestras organizaciones. ¿Es mejor tener 50 compañías con un nivel de madurez muy alto y 10.000 muy bajo o 5.000 con un nivel de madurez medio? ¿Qué repercusiones tendría este incremento en el nivel de madurez global en el mercado y resultados de los distintos vectores de ataque existentes hoy en día como el phishing o el malware? Son estas preguntas abiertas que, nos tememos, no tendrán respuesta en el corto o medio plazo.
Desde nuestra más humilde aproximación, hemos pretendido aportar un pequeño grano a la montaña necesaria, planteando una alternativa puente en este sentido entre el incumplimiento total de las compañías con niveles de madurez de seguridad bajos y las implantaciones metodológicas más tradicionales de la gestión de la seguridad mediante estándares como ISO 27001 o COBIT, a través de la metodología IS2ME: Information Security to Medium Enterprise (Seguridad de la Información a la Mediana Empresa).
IS2ME (más información en www.is2me.org) surge pues, como un método de implementación de la seguridad de la información en las medianas empresas y empresas con un nivel de madurez en seguridad medio-bajo que conjuga por una parte, las necesidades de cumplimiento y desarrollo de un sistema de gestión de la seguridad de la información según estándares internacionalmente reconocidos, y por otra, la obtención de resultados a corto plazo que permiten disminuir el riesgo que este tipo de organizaciones están asumiendo, proporcionando a su vez prontos resultados a la alta dirección.
[Artículo publicado en el número 29 de Febrero de 2009 de la Revista Auditoría y Seguridad, puedes descargar el artículo completo en PDF aquí]
1 Comment » | Posted in Mercado, Normativas, Profesion, Sociedad | del.icio.us |
Análisis de Riesgos, ¿Para Qué? (Otras Opiniones)
3 February 2009El post de hace unos días buscando un poco de polémica sobre la necesidad de un análisis de riesgos en todas las ocasiones ha despertado cierto interés en otros foros paralelos a este blog donde otros profesionales han manifestado distintas opiniones y reflexiones al respecto que, para ampliar la reflexión, incluyo a continuación (previa aprobación por parte de los autores correspondientes).
¡¡Muchas gracias a todos por las excelentes aportaciones!!
———-
De: Rodney López <rlopez@vertice.cu>
Fecha: 15 de enero de 2009 13:48
De: Christian B. <christianx@gmail.com>
Fecha: 15 de enero de 2009 13:52
Desde mi punto de vista, el principal problema de las pymes con lo que
respecta a la seguridad es el pensamiento arcaico de
problema-solucion, es decir, cuando sucede una catastrofe se le busca
la solucion y se establece un parche para evitar que vuelva a suceder
ese problema especifico. No seria mejor, que se implementaran medidas
para evitar este tipo de situaciones en un primer lugar?
Un analisis de riesgo, como bien haces el paralelismo con un analisis
medico a un paciente, solo va a servir si el paciente confia en el
diagnostico, respeta al doctor y cree en que las soluciones que el
medico puede brindarle van a ser de ayuda. A que voy con esto? Que hay
una.. “incompatibilidad” entre las pymes y el sector de IT. A medida
que el tiempo avanza, cada vez mas empresas empiezan a apoyarse en las
nuevas tecnologias, migracion de formas de trabajo hacia bases de
datos, sistemas de facturacion virtual, camaras por ip, fax virtuales,
voip, cientos de cosas diferentes, pero cuantas de ellas luego
invierten para asegurar esa infraestructura? Cuantas invierten parte
de su presupuesto en mejorar esto? O contratar personal para su
correcto mantenimiento?
Palabras como planes de contingencia o similares son desconocidas y
hasta en algunas es mala palabra porque significan dinero adicional en
bueno, nada tangible (Excepto seguridad fisica, que dentro de todo
esta mas aceptado). Personalmente, creo que el principal problema es
la falta de interes y una mentalidad bastante cerrada ante la
tecnologia, y todos deben conocer algun caso de problemas que hayan
sido causados en una organizacion por esta actitud.
Saludos, Christian Ariel Benitez (I’m not Borghello damn it!!!, jaja :))
———-
De: Rodney López <rlopez@vertice.cu>
Fecha: 15 de enero de 2009 13:57
De: Samuel Linares <samuel.linares@gmail.com>
Fecha: 15 de enero de 2009 14:15
SL
De: Rodney López <rlopez@vertice.cu>
Fecha: 15 de enero de 2009 14:20
De: VESTER TOMAZIN, DANIEL <dvestert@ypf.com>
Fecha: 15 de enero de 2009 14:56
Saludos
Daniel
———-
De: Tirso Hernandez <tirso@netminds.com.mx>
Fecha: 15 de enero de 2009 17:02
Antes que otra cosa les envío un cordial saludo.
Déjenme comentar que en general estoy de acuerdo en lo expresado por Rodney.
Sin embargo yo creo que habría que hacer algunas apreciaciones al respecto para dejar más claro este asunto.
Primero, el termino PyME (pequeña y mediana empresa) aplica para empresas con un número pequeño de empleados (existen varias clasificaciones pero en general podríamos decir que más de 25 y menos de 250), pero en este grupo de empresas hay las que apenas generan los recursos necesarios para sobrevivir y las que ganan muchísimo dinero y que por lo tanto tienen muchísimos recursos para invertir.
Por otro lado hay manufactureras que tienen procesos productivos como base de sus riqueza y cuentan con poca infraestructura informática (informática en el sentido de información) ya que solo tienen nómina y contabilidad como bienes informáticos, hay también empresas que tienen como su bien más preciado la información con que trabajan (por ejemplo los despachos de profesionales (contadores, abogados, etc.) además existen muchos tipos más.
En este contexto vemos que si bien es posible generalizar, también es necesario conocer bien el o los sectores a los que pertenecen nuestros clientes.
Por otro lado un análisis de riesgos contempla factores que son muy particulares como la situación geográfica y los riesgos ambientales, sociales, etc., por lo que la generalización total sería, desde mi punto de vista, peligrosa y poco práctica.
Como siempre quedo a sus órdenes y en espera de sus comentarios.
Saludos a todos.
ATENTAMENTE
Tirso Hernández
———-
De: Gustavo Rodriguez <rodriguez.gustavo@gmail.com>
Fecha: 15 de enero de 2009 19:15
———-
De: Edson Pizarro C. <proyecto.uap@gmail.com>
Fecha: 16 de enero de 2009 7:36
Estimados
Noto interesante el tema del Analisis de Riesgos, pero como lei en un comentario pocas empresas analizan lo que en verdad quieren proteger, siempre reaccionan tardiamente a soluciones inmediatas (parches) a la seguridad.
Quiza por tema de presupuesto ya que muchas veces es dificil aceptar que el area involucrada en resguardar la informacion no cuenta con los conocimientos adecuados con esto no quiero juzgar a nadie pero la alta gerencia no trata de capacitar al personal que tiene a cargo la labor de resguardar la info.
Los tiempo cambian y no solo es necesario la seguridad Fisico.
saludos
edson
———-
De: Carlos Suarez <csuarez@alpat.com.ar>
Fecha: 16 de enero de 2009 13:09
Estimados, muy bueno el debate.
Me sumo con mi humilde opinión.
El hecho de prevenir una perdida de información/producción o accidente, esta relacionado a la estructura de mantenimiento a mi entender.
Mantenimiento preventivo, para evitar la reparación/Mitigación;
Una vez ocurrido el hecho in fortuito demandaría mantenimiento correctivo.
Siendo este último el de mayor índice de existencia en la mayoría de las empresas.
Si el análisis de riesgo es efectivo se traza un plan de ejecución de mantenimiento preventivo, justamente para evitar el riesgo; esto, bajaría el índice de tareas correctivas que generalmente (pero no siempre) consumen mas recursos y generan una perdida o baja en la línea de producción.
Es por esto a mí entender, el análisis de riesgo, una herramienta muy valorable para toda empresa. Y este a su vez, único según el caso.
No se puede analizar el riesgo de todas las partes funcionales de una empresa, o, mejor dicho, si se puede analizar pero no podemos pretender una efectividad del 100×100 en el análisis, en muchos casos interviene el factor humano (desde siempre imprevisible), también pueden afectar situaciones externas a la empresa.
Como en todos los casos entra en juego el factor costo-beneficio, a veces la medida correctiva es mas “barata” que poner en marcha un plan de: análisis de riesgo + oportunas medidas preventivas.
Un cordial saludo.
Carlos
———-
De: Javier Hernández™ <javier.hernandez.ar@gmail.com>
Fecha: 16 de enero de 2009 13:15
Excelente forma de ver las cosas.
———-
De: Christian B. <christianx@gmail.com>
Fecha: 16 de enero de 2009 20:10
No creo que sea unicamente un tema de costos, muchas empresas tienen
los recursos para mejorar su infraestructura pero lo ven como un
“costo” y no como “inversion”, asi que se deja como esta hasta que es
inevitable que pongan plata por cierta catastrofe. Aparte al ser una
pymes, esos recursos no son taan abundantes asi que si deciden
invertir, lo hacen en otros campos (Como sueldos y bonos! Jjajajja).
Saludos
———-
De: Cristian Borghello | www.segu-info.com.ar <segu.info@gmail.com>
Fecha: 17 de enero de 2009 19:44
Hola,
Muy buen debate. Acaba de salir el Boletin 128 de Segu-Info y en el
mismo se hace un resumen del mismo:
http://www.segu-info.com.ar/boletin/
Quiero aclarar 2 cosas:
– El articulo original de 4 partes pertenece a Adrían Palma de bSecure
y fue publicado en diciembre en nuestro Blog:
http://blog.segu-info.com.ar/2008/12/anlisis-y-evaluacin-de-riesgos-en.html
– En el Boletin se trascribieron partes de la conversación que se
mantuvo aquí. Si se encuentran errores, los mismos me corresponden 🙂
Creo q esta metodología de trabajo y posterior publicación podría
emplearse posteriormente para enriquecer los contenidos de cualquier
articulo. Q opinan ?
Saludos
Cristian
———-
De: Samuel Linares <samuel.linares@gmail.com>
Fecha: 17 de enero de 2009 20:05
Christian, me alegro que la polémica os haya gustado 🙂
Interesante cuestión… Creo que la clave de la pregunta es la omisión (intencionada?) de una palabra. Es necesario siempre realizar un análisis de riesgos FORMAL? No, por supuesto. Todos hacemos análisis de riesgos sin darnos cuenta, continuamente. Si hay muchas personas a punto de morirse, todos somos conscientes de que el activo son las personas, la amenaza la muerte, y el valor final del riesgo es muy alto. Extremo. Y no necesitamos un análisis formal para saber que ese riesgo es el primero que hay que atajar, nuestra propia intuición, sentido común o como queramos llamarlo es quien “hace el trabajo por nosotros”, en lugar de ser nuestra parte más analítica y racional.
En cualquier ámbito de nuestra vida, y la seguridad no es una excepción, funcionan las quick-wins. Acciones “pequeñas”, “baratas” y a menudo sencillas y obvias cuyo efecto es un beneficio grande. Y para aplicarlas no hace falta realizar un análisis de riesgos formal (aunque si lo pensamos bien, para poder valorar ese beneficio hemos tenido que analizar la situación negativa que soluciona, y por lo tanto en mayor o menor medida habremos analizado sus riesgos, aunque sea cualitativamente y en una fracción de segundo).
Y para terminar, esa identificación previa de las carencias generales, como bien dices, no deja de ser un análisis de riesgos (carencias de seguridad que identificamos como “graves”). En defnitiva, que lo que no es necesario hacer siempre es un análisis de riesgos formal, porque en realidad los análisis de riesgos no los podemos evitar, aunque sean intuitivos.
————-
… y mi contestación:
Samuel January 16th, 2009 11:26 am
Totalmente de acuerdo. Has entendido exactamente lo que quería transmitir (y lo que omitía intencionadamente jeje).
Gracias por el comentario Joseba, como siempre.
Gracias a todos por vuestros comentarios!
Un abrazo,
SL
———-
De: Mauro Graziosi <mgraziosi@gmail.com>
Fecha: 19 de enero de 2009 12:24
Samuel:
Ahora que se habla de análisis de riesgo FORMAL estoy en un 100% de acuerdo para aplicación en las empresas de menos de 20 equipos, en especial de las de menos de 5 equipos.
Ocurre frecuentemente en nuestra empresa que al realizar un análisis de riesgos inicial nos encontramos con realidades prácticamente similares en un 99% de los casos, motivo por el cual notamos realizamos el mismo proceso una y otra vez obteniendo los mismos resultados.
De la misma manera notamos que las acciones a realizar para asegurar estas microempresas son las mismas ya que ellas tienen todas los mismos problemas básicos.
Voy a dar algunos ejemplos prácticos para microempresas:
En general empiezan teniendo problemas porque los equipos informáticos son adquiridos de distintos comercios y cada comercio configura los equipos de diferente manera, luego llega la hora de los inconvenientes con estos (ya sea de hardware o software) por lo que son atendidos por más de una empresa o particular para solucionar sus problemas. Como se basan en problema-solución, entonces si tienen muchos virus se instalan muchos antivirus (he visto hasta 4 antivirus con monitor funcionando al mismo tiempo).
En la empresa se acostumbran a este tipo de soporte, de manera tal que los equipos nunca están a un 100% de su performance y mucho menos de seguridad. Entonces, salvo que el equipo no funcione se sigue usando. Cuando se llama al servicio informático esperan una respuesta inmediata (que en el 99% de los casos no la tiene porque no existe un compromiso de ninguna de las partes).
Cuando ocurren problemas vinculados con la rotura de algún disco se dan cuenta que la información estaba unicamente en los puestos de trabajo y que nunca se realizó un backup de la información, que todos acceden a la información compartida en todos los puestos con permisos totales (inclusive el malware).
Y así sucesivamente vemos que muchas empresas están en la misma situación y que inclusive pasan por los mismos estados de inseguridad-seguridad a medida que maduran.
Creo que un análisis general de los riesgos de un sector es útil, porque al fin y al cabo, sería útil para que se puedan compartir experiencias generales sobre sectores con problemas similares y permitir asegurar muchas microempresas que no son alcanzadas por las grandes consultoras, pero que no por eso tienen o causan problemas de seguridad a diario.
Saludos
———-
De: Samuel Linares <samuel.linares@gmail.com>
Fecha: 17 de enero de 2009 20:05
Interesante cuestión… Creo que la clave de la pregunta es la omisión (intencionada?) de una palabra. Es necesario siempre realizar un análisis de riesgos FORMAL? No, por supuesto. Todos hacemos análisis de riesgos sin darnos cuenta, continuamente. Si hay muchas personas a punto de morirse, todos somos conscientes de que el activo son las personas, la amenaza la muerte, y el valor final del riesgo es muy alto. Extremo. Y no necesitamos un análisis formal para saber que ese riesgo es el primero que hay que atajar, nuestra propia intuición, sentido común o como queramos llamarlo es quien “hace el trabajo por nosotros”, en lugar de ser nuestra parte más analítica y racional.
Y para terminar, esa identificación previa de las carencias generales, como bien dices, no deja de ser un análisis de riesgos (carencias de seguridad que identificamos como “graves”). En defnitiva, que lo que no es necesario hacer siempre es un análisis de riesgos formal, porque en realidad los análisis de riesgos no los podemos evitar, aunque sean intuitivos.
———-
De: Mauro Graziosi <mgraziosi@gmail.com>
Fecha: 19 de enero de 2009 12:24
Samuel:
Y para terminar, esa identificación previa de las carencias generales, como bien dices, no deja de ser un análisis de riesgos (carencias de seguridad que identificamos como “graves”). En defnitiva, que lo que no es necesario hacer siempre es un análisis de riesgos formal, porque en realidad los análisis de riesgos no los podemos evitar, aunque sean intuitivos.
———-
De: Alvaro Vanni <avanni@ama.com.uy>
Fecha: 19 de enero de 2009 13:57
Para: forosi@googlegroups.com
De: Mauro Graziosi <mgraziosi@gmail.com>
Fecha: 19 de enero de 2009 13:11
Para: forosi@googlegroups.com
Alvaro:
2009/1/19 Alvaro Vanni <avanni@ama.com.uy>Certificar ISO <-> microempresa… Me parece que estamos hablando de realidades MUY distintas…
Una microempresa, que no solo es pequeña por cantidad de equipos sino por la experiencia en tecnología no puede estar más lejos de lo que es una certificación.
No se está tratando de decir que NO hay que hacer análisis de riesgo, simplemente que no es necesario un análisis de riesgo FORMAL en empresas u organizaciones con características muy similares (en especial empresas muy, pero muy pequeñas). Siendo el objetivo hacer un análisis más general de un sector en particular, haciendo foco en un efecto vacuna, donde lo que se pretende es no perder tiempo en una actividad donde los resultados más importantes ya son sabidos de antemano.
Para una empresa donde deba certificar es indispensable un buen análisis de riesgo a conciencia, eso no es lo que se discute.
Creo yo, que tal cual como insisten Nacho y Samuel con IS2ME que sigue habiendo falta de entendimiento de la mayoría de los profesionales de seguridad informática y las microempresas…
Observación: 175 x $$$ la hora = valor irreal para una microempresa. Obvio que sería mucho menos el tiempo para una microempresa, pero de todas formas si se pretende atacar a ese mercado dudo que se pueda realizar algo de esta manera…
De: Javier Hernández™ <javier.hernandez.ar@gmail.com>
Fecha: 19 de enero de 2009 13:13
———-
De: Mariano Mileti <mariano.mileti@gmail.com>
Fecha: 19 de enero de 2009 17:58
Me detengo 2 minutos en esto último que hace referencia al primer renglón de lo que escribí.
Uno sin hacer un análisis cuando llega a una PYME y ve (al pasar) que de servidor tienen una PC común, no hay estabilizador, el “servidor” es la PC del jefe, el sistema que utilizan esta programado por un pasante de 1er año de la facultad o en algún sistema obsoleto (que anda mal y todo el mundo se queja), la red esta montada sobre cables pasados por el costado de los escritorios (muchas veces junto con la cadena de zapatillas que alimenta varias PC’s), en fin… millones de ítems que a simple vista (sin ser necesario un análisis profundo) llevan a que a uno no le haga falta hacer un “análisis de riesgos” ya que las medidas a tomar en esa situación son standard.
Pero ojo… uno no hizo un análisis profundo, no hace falta si uno ve que la PC de escritorio del jefe es el servidor y que si el sistema que hay en esa PC se compromete la empresa funde (cosa que sucede mas seguido de lo que uno cree), uno YA SABE que es necesario ubicar el sistema en un servidor dedicado el cual TIENE que tener respaldo. Pero al NOTAR eso, uno ya hizo un análisis y evaluó que era la primera acción necesaria.
En resumen…
No es que no sea necesario hacer un análisis de riesgos. Sino que nos alcanza (y muchas veces nos sobra) un diagnostico rapido a la hora de analizar una PYME promedio.
Ya si uno en una primera medida no “nota” los riesgos mas comunes uno realizara uno detallado.
Mariano Mileti
De: Samuel Linares <samuel.linares@gmail.com>
Fecha: 19 de enero de 2009 18:11
Para: forosi@googlegroups.com
De: Tirso Hernandez <tirso@netminds.com.mx>
Fecha: 19 de enero de 2009 18:58
Permítanme un comentario, creo que cuando llegas con un cliente y te contrata para que te hagas cargo de la seguridad de su información, lo menos que puedes hacer es cumplir con sus expectativas y ayudarlo de la mejor manera posible.
Estoy de acuerdo en que debemos de ser cada vez más formales en este tipo de actividades, recordemos que como profesionales de la seguridad, debemos de basarnos cada vez más en procesos identificados, mapeados y mejorados, a fin de establecer políticas y procedimientos que aseguren hasta donde sea posible preservar la integridad, confidencialidad y disponibilidad de la información.
Si no hacemos un levantamiento de los riesgos a que está expuesta la información de nuestros clientes ¿cómo lo protegeríamos? ¿o de qué?
Yo creo que este tema es personal de acuerdo a lo que cada uno cree que un profesional de la Seguridad de la Información debe o debería de hacer.
Personalmente realizo el análisis siempre, algunas veces más o menos profundo de acuerdo a las circunstancias, pero siempre lo hago.
Recordemos que hay algunos riesgos que aparentemente están fuera del ámbito informático y que no siempre los tomamos en cuenta, pero que en la realidad amenazan la integridad, confidencialidad o disponibilidad de la información de las organizaciones, y estos también deberían ser evaluados y mitigados por los profesionales de la seguridad.
saludos
———-
De: Alvaro Vanni <avanni@ama.com.uy>
Fecha: 19 de enero de 2009 20:04
———-
De: Ojeda Knapp, Martin <martin.chile@gmail.com>
Fecha: 19 de enero de 2009 19:07
Defínase Riesgo cualquier instancia que pueda afectar la integridad, confidencialidad, disponibilidad de la información la cual esta contenida en diferentes medios incluso en las cabezas de los empleados. Aquí está la gran piedra de tope pasando por este punto ya se puede hablar de análisis de riego.
Para mi primero hay que definir qué información es confidencial y cual es importante para el negocio día a día y que sistemas los soportan ya que proteger toda la información es titánico y poco práctico.
Una vez acotado esto los riesgos se manifiestan solos, una vez identificado buscar las mejores prácticas para mitigarlos.
Información general
La herramienta emplea un enfoque holístico para la medición de su postura de seguridad para temas que abarcan tanto: personas, procesos, y la tecnología. Las conclusiones son, junto con la orientación prescriptiva y recomendación de los esfuerzos de mitigación, incluyendo enlaces con más información para la industria de la orientación adicional. Estos recursos pueden ayudarle a ser consciente del mantenimiento de herramientas y métodos específicos para cambiar la postura de seguridad de su ambiente de TI.
Al cargar sus datos de la solicitud puede recuperar los datos disponibles más recientes. Para poder ofrecer esta información comparativa, tenemos clientes, como el añadir su información. Toda la información es estrictamente confidencial y ninguna información personal será enviado de ninguna manera. Para obtener más información sobre la política de privacidad de Microsoft, por favor visite:
http://www.microsoft.com/info/privacy.mspx.
———-
De: Alvaro Vanni <avanni@ama.com.uy>
Fecha: 19 de enero de 2009 20:51
De: Suscripcioneslistas <suscripcioneslistas@yahoo.com.ar>
Fecha: 20 de enero de 2009 12:10
Carlos
Quieras o no siempre estas haciendo un análisis de riesgo, un “diagnostico” lo que diferencia es el nivel de detalle.
Cuando uno habla de PYME hay millones de cosas que no se aplican a la hora de trabajar, seria absurdo en muchos casos hacer un análisis de riesgo detallado, la mayoría de veces primero que nada seria impagable para una PYME promedio (aunque seria una excelente inversión…. o eso al menos es lo que digo cuando me llaman :P), en un segundo nivel veríamos que el 50% de las soluciones a aplicar al análisis de riesgo son imposibles para una PYME por el costo que conlleva y por ultimo los factores de mayor riesgo se pueden ver sin ser necesario un análisis profundo.
Desde mi humilde punto de vista, un buen análisis de riesgos es aquel que comprende la dirección de la empresa y no el que solo entiende el consultor que realiza la adaptación o el auditor que la visa. Si no lo entiende el dueño del negocio, mal vamos (por mucho que el susodicho análisis de riesgos sea la leche de completo a todos los niveles).
Saludos.
Bea
———
Beatriz ha dado en el clavo, nadie mejor que la dirección para realizar un análisis de riesgos de su empresa. De hecho, y por esto se planteaba este asunto, todos los directivos hacen (al menos los buenos) análisis de riesgos en sus tareas diarias, la clave es que los realizan de forma intuitiva sin utilizar métodos formales. Debido a esto nos planteábamos: ¿merece la pena utilizar las metodologías tradicionales en el entorno pyme?
———
¿Por qué digo que el análisis de riesgos es pura subjetividad?. Por lo siguiente:
Podemos utilizar la metodología y/o aplicación que queramos, más o menos compleja, potente, etc. Al final lo que tenemos que valorar son los siguientes aspectos:
– Valor de nuestros activos
– Impacto de una incidencia en el negocio
– Nivel de amenaza
– Nivel de vulnerabilidad de nuestros sistemas
La valoración de cualquiera de los dos primeros aspectos la deben realizar personas con el suficiente conocimiento de la organización y del entorno empresarial. La valoración de los dos segundos, personas con conocimientos de sistemas y del entorno tecnológico.
La labor del consultor es, apoyándose en una metodología, aportar su conocimiento y experiencia para ayudar a que estas valoraciones se realicen de la forma más correcta posible.
Todo esto no lo acabo de discurrir ahora al hilo de esta discusión, os adjunto una diapositiva de mi charla en sobre Análisis de Riesgos en ENISE I – 2007 donde ya apuntaba este problema.
Saludos
2 Comments » | Posted in Curiosidades, Mercado, Metricas, Normativas, Profesion | del.icio.us |
Puesta en Marcha del Equipo de Seguridad M45
30 January 2009[Nota de Prensa]
M45 es el nuevo equipo de profesionales de la Seguridad de la Información que teniendo como motor el Cluster de las Tecnologías de la Información y las Comunicaciones en Asturias (www.clustertic.net) se ha establecido con el objetivo de formar un marco de servicios de seguridad de alto nivel proporcionado por profesionales cualificados, formados, certificados y con experiencia.
Este nuevo equipo supone la evolución natural de la iniciativa de creación de un equipo de profesionales de la seguridad que en 2005 lideró el Cluster TIC y que con la colaboración de AENOR y la financiación parcial del Instituto de Desarrollo Económico del Principado de Asturias (IDEPA), culminó en la titulación de 18 profesionales especialistas en seguridad situando a Asturias a la cabeza de España en números relativos, en cuanto a número de profesionales titulados, y la segunda, después de Madrid, en números absolutos y la certificación ISO 27001 de numerosas empresas asturianas. A raíz de esa iniciativa se crearon diversas empresas dedicadas a la seguridad en el Principado de Asturias cuyos profesionales, unidos a otros venidos recientemente de entornos multinacionales son los que forman hoy el equipo M45.
M45 es un equipo multidisciplinar y multiempresa integrado por 14 profesionales con un alto nivel de capacitación y certificaciones en distintas áreas de la seguridad de la información, entre los que se encuentran expertos en gestión y auditoría, como CISA, CISM, Auditores Jefe ISO 27001, BS 25999 y licenciados y expertos en derecho de las tecnologías de la información, además de tecnólogos con numerosas certificaciones técnicas como CISSP, CEH o GIAC, y certificaciones en distintos fabricantes y dispositivos de seguridad.
Dada la especialización de sus integrantes en todas estas áreas, los servicios ofrecidos por el equipo M45 vienen marcados siempre por una visión global y estratégica de la seguridad en todos sus aspectos, materializándose en 6 líneas conductoras que definen su catálogo: Cumplimiento y Legislación, Estandarización y Normalización, Gestión y Operación, Diseño de Soluciones y Arquitecturas, Servicios Tecnológicos, y Formación y Capacitación. Este equipo tiene un ámbito de actuación nacional en organismos públicos y empresas privadas inicialmente, aunque no se descarta un posible desarrollo internacional a medio plazo dado su potencial crecimiento.
M45 está compuesto por profesionales de las empresas Chipbip, Contein XXI, Futuver, Grupo Intermark, Legalprotect, Neosystems, Obice, Satec, Sigea y Vorago y sus gerentes son Samuel Linares (Director de TI y Seguridad de la Información de Grupo Intermark) y Francisco Menéndez (Socio Director de Contein XXI). Pueden contactar con el Equipo M45 en la dirección m45@clustertic.net (o proximamente en su web www.clustertic.net/m45 ).
No Comments » | Posted in Mercado, Profesion | del.icio.us |
1st Security Blogger Summit 2009
28 January 2009El próximo miércoles 3 de Febrero (la semana que viene) se celebrará en Madrid el 1st Security Blogger Summit 2009 organizado por Panda Security que contará con numerosos participantes de nivel como Bruce Schneier, Steve Ragan, Andy Willingham o Byron Acohido entre otros. Una iniciativa muy interesante y una oportunidad para que muchos de los que escribimos sobre estos temas podamos ponernos caras y charlar un rato en persona.
Asistiré al evento, que comienza a las 18:00h, por lo que si alguno de vosotros tiene pensado asistir, no dudéis en interceptarme… antes de que me exceda con el vino 😉
A continuación incluyo textualmente la descripción del evento que recogen en su página web:
The 1st Security Blogger Summit, es la primera edición de una serie de encuentros internacionales sobre Seguridad Informática. Está organizado por la multinacional española Panda Security y su objetivo es el de reunir a los principales expertos en nuevas tecnologías y seguridad informática, incluyendo profesionales, periodistas y, especialmente, bloggers.
En los debates que se llevarán a cabo durante el evento se tratarán temas tan importantes como las últimas tendencias en Seguridad Informática, las estrategias de protección contra el cibercrimen y las últimas legislaciones gubernamentales para combatir la delincuencia en Internet.
La cita tendrá lugar el próximo 3 de febrero en la Sala de Columnas del Círculo de Bellas Artes, en Madrid. Allí se llevará a cabo una mesa redonda que agrupará a los líderes del sector de la seguridad en Internet. En ella participarán importantes especialistas internacionales en seguridad como: Bruce Schneier, gurú y nº1 mundial sobre temas de Seguridad, Steve Ragan responsable de la sección de Seguridad en The Tech Herald, Andy Willingham, Profesional IT del Sector Financiero y autor del blog Andy IT Guy y Byron Acohido, periodista tecnológico de USA Today. Además, también estarán presentes en esta mesa redonda prestigiosos profesionales españoles como Josu Franco (moderador), Corporate Customer Unit Director de Panda Security, Ero Carrera (Chief Research Officer de Collaborative Security en VirusTotal – Hispasec), Antonio Ortiz co-fundador de Weblogs SL y redactor de ERROR500 y Javier Villacañas, Redactor Jefe de la Cadena COPE y fundador de “ A Todo Chip” un blog en el que ofrece a diario, desde febrero de 2007, noticias sobre la actualidad tecnológica.
Para ver lista actualizada de Ponentes pulse aquí.
Se trata de una oportunidad única para intercambiar impresiones con los mejores profesionales del sector. Si deseas asistir a este evento, tan sólo tienes que rellenar el siguiente formulario de inscripción.
No Comments » | Posted in Eventos, Mercado, Profesion, Sociedad, Tecnologias | del.icio.us |
Continuidad de Negocio en Infraestructuras Críticas
27 January 2009Como algunos de vosotros sabéis, procuro pasar algunos fines de semana en una casita en las montañas de Boal (Asturias), donde surgen algunas de las ideas que luego aparecen aquí o en mi vida profesional y personal.
Escribo este texto precisamente desde ese lugar tras llevar más de 90 horas sin suministro eléctrico, con un bolígrafo, sobre un cuaderno cuadriculado y a la luz de una vela, toda una novedad para mí (afortunadamente) ya que en algún caso he sufrido cortes de suministro en la ciudad, pero nunca más allá de las 2 o 3 horas en el peor de los casos. (Evidentemente, he transcrito el texto al medio electrónico tan pronto he llegado a un lugar con “luz”).
Mi pregunta o reflexión en este caso es: En pleno año 2009 (Siglo XXI), ¿es admisible que una compañía de suministro eléctrico deje sin servicio a varios miles de clientes (según las noticias en los medios de comunicación) durante casi 4 días? ¿Dónde están los planes de continuidad de negocio?, ¿La respuesta a incidentes?, ¿la comunicación con los medios y sus clientes?
Deste este espacio llevo ya un tiempo hablando de la necesidad de asegurar las infraestructuras críticas y los sistemas industriales, áreas estas del mercado que por el momento no están recibiendo el tratamiento adecuado en nuestor país.
En Estados Unidos, por ejemplo, existen normativas y legislación de obligado cumplimiento en este sentido como el “Critical Infrastructure Information Act” de 2002, o los estándares de Protección de Infraestructuras Críticas (CIP) del “North American Electric Reliability Council” (NERC), entre otros.
En España, hasta donde sé, no existe nada parecido (aún), nininguna iniciativa que se aproxime. Hacer algo es necesario. Debemos proteger nuestros sistemas industriales e infraestructuras críticas si no queremos afrontar problemas más graves que los existentes. Debemos aplicar los mismos principios de la seguridad que aplicamos a nuestros activos de información u otros sistemas de “propósito general”: Confiencialidad, Integridad y, evidentemente, Disponibilidad. Que no funcione un servidor de correo o se difunda su información por la explotación de alguna vulnerabilidad puede ser grave, pero que se deje sin suministro eléctrico o de agua a miles de personas (o millones en el peor de los casos) o que una grúa de descarga de carbón deje caer 10 toneladas sobre unos trabajadores en lugar de sobre un camión, lo es mucho más. Debemos proteger la seguridad de nuestros datos y nuestra información, pero por encima de todo, la seguridad de las personas.
Estoy seguro que muchos de vosotros tenéis en mente muchos más supuestos de incluso mayor gravedad: redes nacionales de distribución, centrales de producción energética, etc. No, no es ciencia ficción. Es posible y puede ocurrir (y de hecho está ocurriendo aunque no se publicite demasiado). Otro tema a investigar, ¿verdad?.
Está claro que la naturaleza y sus caprichos suelen superar en muchos momentos los peores escenarios de continuidad de muchas compañías, pero mi pregunta es ¿existen al menos esos escenarios? ¿BS 25999 puede ser una base interesante para todas las compañías? ¿Que hay de una normativa o legislación de obligado cumplimiento para sistemas críticos o industriales?
Ya para finalizar, no quería perder esta oportunidad para “agradecer” a mi empresa suministradora, “E.ON España”, por dejarme más de 90 horas sin “luz” y darme la oportunidad de reflexionar sobre estos temas tan interesantes…
2 Comments » | Posted in Continuidad de Negocio, Curiosidades, Mercado, Normativas, Sociedad, Tecnologias | del.icio.us |
Amenazas Externas e Internas
21 January 2009El pasado número de diciembre de ISSA Journal ha venido cargado de contenidos realmente interesantes que en cuanto tenga un hueco intentaré comentar aquí. Ese número venía dedicado a las “Amenazas Internas” y tiene artículos muy interesantes sobre ingeniería social y otras consideraciones más aplicables a las personas que a la tecnología. Muy interesante. Ya os iré contando.
En todo caso, sólo quería dejar aquí una pequeña reflexión (y sí, también vamos a hablar aquí del día Obama):
¿Cómo es posible que a las corporaciones, empresas, etc. les cueste tanto entender que no sólo deben protegerse contra las amenazas externas (con medios tecnológicos, etc.) sino que deben tener muy en cuenta a las amenazas internas?
Y digo esto, porque según parece (y ayer me dí cuenta) el juramento del cargo de VicePresidente de Estados Unidos incluye en su texto de forma explícita desde 1789 que “defenderá la Constitución de los Estados Unidos contra todos los enemigos, externos e internos“. Parece claro y obvio, verdad? Sin embargo en el mercado empresarial no se está aplicando como debiera.
El texto original completo (me gusta especialmente la última frase: “que Dios me ayude!” 😛 ):
“I, A— B—, do solemnly swear (or affirm) that I will support and defend the Constitution of the United States against all enemies, foreign and domestic; that I will bear true faith and allegiance to the same; that I take this obligation freely, without any mental reservation or purpose of evasion; and that I will well and faithfully discharge the duties of the office on which I am about to enter. So help me God.”
1 Comment » | Posted in Curiosidades, Eventos, Ingenieria Social, Sociedad | del.icio.us |
Análisis de Riesgos, ¿para qué?
15 January 2009Descubro en los últimos días algunos posts interesantes sobre análisis de riesgos, destacando por su síntesis y claras ideas el de Joseba Enjuto titulado “¿Funcionan los Análisis de Riesgos?” que comenta muy bien Javier Cao.
Pues bien, de la mano de mi gran amigo Nacho Paredes (semilla origen de la reflexión) me permito lanzar aquí una cuestión para libre dicusión que quizás cree cierta controversia:
¿Es necesario siempre un Análisis de Riesgos?
Esta cuestión dentro del “pensamiento clásico” puede sonar como una llamada al anticristo, una pregunta de alguien que comienza en esto de la seguridad y no tiene ni idea, o incluso una locura, ya que probablemente la mayoría de los “encuestados” contestaría con un rotundo y sonoro SI, POR SUPUESTO.
Pues bien, permitidme que, ya que siempre me gusta hacer analogías, haga una con algo parecido en medicina. Un análisis de riesgos no deja de ser una especie de diagnóstico médico de un paciente para conocer qué necesidades o problemas tiene y cómo tratarlos de la forma más adecuada. Ante un paciente, probablemente cualquier médico asegure que es totalmente necesario realizar un diagnóstico para poder afrontar un proceso de mejora adecuado.
¿Pero qué pasaría si tenemos un grupo numeroso de pacientes con las mismas carencias que ya conocemos de antemano? Por ejemplo, una vecindad que ha estado bebiendo agua con altos índices de plomo, o un poblado en Africa que lleva en situación de inanición meses o años. ¿La situación de todos esos pacientes no sería muy similar en lo más crítico (sus carencias)? Si esa población es numerosa (por ejemplo de 1000 personas o de 1 millón), ¿qué es más lógico si queremos mejorar el nivel de salud general en el menor tiempo posible (antes de que haya más muertes)?, ¿identificar las carencias comunes a todos los pacientes y quizás hacer un muestreo de la salud de 10 de ellos o realizar un diagnóstico personalizado de los 1000 o del millón?. Probablemente todos estemos de acuerdo que en este caso, el diagnóstico personalizado de los 1000 pacientes no ofrecería ventajas importantes respecto al otro escenario, sino más bien retrasaría la mejora del nivel global de salud e incurriría en mayores costes (de todo tipo, desde vidas humanas hasta de profesionales de la medicina).
Vayámonos pues ahora a nuestro campo. La seguridad. ¿Existe algún colectivo de organizaciones con carencias comunes y muy identificadas similares a las que planteábamos en la analogía anterior?. Sí, yo creo que sí: las PYMES (y algunas organizaciones con niveles de madurez similares, pero dejemos ese caso para otro día).
Sabemos que más del 95% del tejido empresarial está compuesto por estas empresas, es decir tenemos una cantidad importante y sabemos además cuáles son sus principales carencias. Incluso con un pequeño estudio o muestreo podemos asegurar cuáles son sus carencias con más de un 90% de efectividad por grupos de empresa o nichos (por tamaño, por ejemplo las micropymes, o por sector).
Si queremos mejorar el nivel general de la seguridad en un grupo de este tipo de empresas (por ejemplo de 10.000 🙂 ), ¿cómo lo conseguiremos de manera más eficiente? ¿incorporando el proceso de análisis de riesgos en todas y cada una de ellas o identificando de forma previa sus carencias generales (siii, un análisis de riesgos general de aproximación) y dedicando más recursos a elevar su nivel de seguridad… a curarlos?
Dejo abierta la pregunta, mi respuesta ya la intuís.
Por tanto, ¿Es necesario siempre un Análisis de Riesgos? No, no siempre. 🙂 … al menos como estamos acostumbrados a realizarlos…
Se abre la veda 😉 (Gracias Nacho por la idea!)
3 Comments » | Posted in Curiosidades, Normativas, Profesion, Sociedad | del.icio.us |
Últimos "tweets" en InfoSecManBlog
- Genial la música ;) @Pmartin_izertis: @InfosecManBlog Genial Café Central 3 years ago
- #offtopic Enjoying good latin jazz with Pepe Rivero, El Negron, Inoidel Gonzalez & Georvis Pico @Cafe Central (Madrid) http://t.co/glFLMhyb 3 years ago
- FYI: @Security_REC: Security Job: Director NERC Cyber Security Solutions sndts.co/7334fb51d9a946… #security 3 years ago
- “@rmogull: “@securosis: New post: Time to Play Nice with SCADA Kids bit.ly/VIagfh” > from @gattaca“ 3 years ago
- +1000 @cibercrimen: Los alumnos creen que van a aprender de mi y se equivocan. Ya tengo unas ideas para aprender todos 3 years ago
Últimas entradas
- Resumen Semanal desde Twitter (2013-06-07)
- Resumen Semanal desde Twitter (2013-05-31)
- Resumen Semanal desde Twitter (2013-05-24)
- Resumen Semanal desde Twitter (2013-05-17)
- Resumen Semanal desde Twitter (2013-05-10)
- Resumen Semanal desde Twitter (2013-05-03)
- Resumen Semanal desde Twitter (2013-04-26)
- Resumen Semanal desde Twitter (2013-04-19)
- Resumen Semanal desde Twitter (2013-04-12)
- Resumen Semanal desde Twitter (2013-04-05)