Inseguridad de la información: Retos de “espacios en blanco” y lecciones de “cisnes negros”

Según muchos analistas se viene desarrollando un movimiento en medio de las tensiones mundiales, que advierte nuevos cambios trascendentales en la manera como se mantiene el orden mundial. Un orden generalmente dominado por el poder económico, político y capacidad militar bélica, que posiblemente pronto va a cambiar. Este pronóstico, tiene su base en los eventos que hemos podido verificar en los últimos años, como son ataques informáticos focalizados efectuados por países como China a los Estados Unidos (SEGAL, A. 2012), buscando particularmente activos valiosos de propiedad intelectual y secretos militares estratégicos.

Esta tendencia, que cada vez toma más relevancia y atención por parte de los gobiernos, claramente es una sorpresa predecible, es decir aquellas situaciones que “… cuando se advierten amenazas emergentes, las cuales están sustentadas en información procesada y analizada, basada en los objetivos y tendencias verificadas, y éstas no corresponden al modelo de creencias y valores del que toma decisiones, sencillamente son ignoradas.” (CANO, J. 2008).

En este sentido, mientras los analistas más se esfuerzan por entender el fenómeno en el contexto digital y de las redes sociales, menos capacidad tendrán de advertir condiciones críticas de eventos aún más sofisticados y menos tangibles que generen un escenario diferente de análisis que permita un margen de anticipación de las naciones o empresas frente a aquello que es inesperado. Esto es, como afirma Taleb (pág.107), “… una serie de hechos corroborativos no constituye necesariamente una prueba. …”. Por tanto, cuando de advertir eventos o situaciones que aún no ocurren, los pronósticos de los analistas, poco podrán ayudarnos, dado que si bien cuentan con información suficiente, sus modelos no podrán incluir las condiciones borde que están presentes cuando de entender los flujos de información en internet se trata.

Como consecuencia de lo anterior, hablar de una ciber guerra o que estamos en la primera ciberguerra del segundo milenio, no es necesariamente una predicción o afirmación innovadora, toda vez que muchos estados han incluido esta posibilidad dentro de sus modelos de escenarios de crisis probables, los cuales responden al análisis de información cierta y verificable que les permite anticipar una condición como la mencionada. (LIBICKI, M. 2009) Sin embargo, fuera de este contexto, existen otras múltiples variables que en este momento pueden estar aisladas o no monitoreadas y que cuando menos lo esperemos, tendremos una nueva visión del mundo que conocemos y que puede no necesariamente estar articulada con tecnología.

Mientras estos eventos ocurren, nuestra visión de la seguridad de la información deberá mantenerse en las “aguas profundas de la incertidumbre”, concentrados en la inevitabilidad de la falla, allí donde no importan las probabilidades, sino las posibilidades, el escenario ideal para el analista del seguridad, que renunciando a la zona de confort que le imponen los reportes conocidos, persevera para renovar sus lentes con los cuales “entiende su realidad”.

Así las cosas, como pregunta Taleb, “… ¿cómo podemos conocer el futuro teniendo en cuenta nuestro conocimiento del pasado: o de forma más general, cómo podemos entender las propiedades de lo desconocido (infinito) basándonos en lo conocido (finito)? …” Para encontrar respuesta a este interrogante, el concepto de seguridad de la información no nos permite ahondar con profundidad en la respuesta, pues su capacidad para generar variedad y entender el sistema, es tan limitado como lo que hasta hoy conocemos de la misma. Mientras, pensando por su dual, es decir la inseguridad de la información, podemos encontrar un mundo de posibilidades tan infinito como lo desconocido, pues en últimas, los dos conceptos comparten la sabiduría de la incertidumbre y la inteligencia de lo inesperado.

En razón con lo anterior, hablar de una vocación para ver los nuevos retos de la seguridad de la información, es recabar en propuestas novedosas y provocadoras que nos invitan a escribir en el margen de las hojas, en los “espacios en blanco” de la dinámica de las empresas y descubrir que la realidad es una expresión permanente de eventos no lineales. Así las cosas, Johnson y Taleb nos presentan conceptos alternos para enfrentar la inercia de la realidad y superar nuestras propias reflexiones.

Mientras los “espacios en blanco”, según Mark Johnson, autor del libro Seizing the White space. Business model innovation for growth and renewal, son “el rango de posible actividades que no están definidas o dirigidas por el modelo de negocio actual de la empresa, es decir, las oportunidades fuera de su función de negocio y más allá de sus capacidades actuales, que requieren un modelo de negocio diferente para capitalizarlas”, los “cisnes negros” anota Nassim Nicholas Taleb, en su libro “El Cisne Negro”, es “un suceso que se caracteriza por tener tres atributos: primero es una rareza, pues habita fuera del reino de las expectativas normales, segundo, produce un impacto tremendo y tercero, pese a su condición de rareza, la naturaleza humana hace que inventemos explicaciones de su existencia después del hecho, con lo que se hace explicable y predecible.”

Revisando ambos conceptos, cada autor nos invita a mantenernos atentos a los cambios que ocurren a nuestro alrededor. Nuestro conocimiento del mundo, no puede ser estático y sometido a las reglas de la gravedad de lo aprendido, sino despertar nuestros instintos y sentido del olfato, para poder descubrir aquello que se escribe con letras torcidas, en medio de la cotidianidad con letra imprenta. Mientras la gravedad de la seguridad nos empuja a niveles de certeza conocido, el impulso de la inseguridad nos revela en la sabiduría del error, nuevas formas de aprendizaje.

Si tratáramos de encontrar una vista unificada de los “cisnes negros” y los “espacios en blanco”, podríamos decir, parafraseando a Taleb, que es una búsqueda permanente de no sobreestimar lo que sabemos ni infravalorar la incertidumbre, lo que nos permite mantener una variedad de estados inciertos, movilizando nuestro pensamiento hace el espacio de lo desconocido. Declaración que leída en clave de inseguridad de la información, es una invitación a pensar en los efectos de borde, en las condiciones extremas y en la inevitabilidad de la falla, para encontrar a diario nuevas formas de cuestionar los supuestos de la seguridad y confianza en las organizaciones.

Si bien no podemos vivir o mantener un contexto de confiabilidad de las prácticas de seguridad de la información de una organización sin un mínimo de paranoia bien administrado, tampoco podemos confiar en los “antecedentes que siguen las mismas consecuencias” como afirma Taleb, pues al igual que la incertidumbre, la inseguridad sigue patrones asimétricos de comportamientos, que en el lugar menos esperado, en la relación aún menos indicada, es capaz de elevar nuestra capacidad de atención y proponernos una nueva lección, una condición natural que nos permite saber que no todos los cisnes son blancos.

Referencias

JOHNSON, M. (2010) Seizing the White space. Business model innovation for growth and renewal. Harvard Business School Press.

TALEB, N. N. (2011) El cisne negro. El impacto de lo altamente improbable. Editorial Paidos. 8 reimpresión.

LIBICKI, M. (2009) Cyberdeterrence and cyberwar. Rand Corporation. Disponible en: http://www.rand.org/pubs/monographs/2009/RAND_MG877.pdf

CANO, J. (2008) Cibercrimen y ciberterrorismo. Dos amenazas emergentes. ISACA Journal. Vol. 6. Disponible en: http://www.isaca.org/Journal/Past-Issues/2008/Volume-6/Pages/JOnline-Cibercrimen-y-Ciberterrorismo-Dos-Amenazas-Emergentes.aspx

SEGAL, A. (2012) Chinese computer games. Foreign affairs. Marzo/Abril. Disponible en: http://www.foreignaffairs.com/articles/137244/adam-segal/chinese-computer-games?page=show (requiere suscripción)

3765 Lecciones aprendidas: Más que pecados de obra u omisión

Revisando los resultados de la investigación realizada por la Digital Forensic Association denominada “The Leaking Vault 2011”, encontramos nuevas y renovadas razones para insistir en el estudio y profundización de la inseguridad de la información, como la fuente misma de ideas para continuar asegurando la información en las empresas.

Este estudio analizó más de 3765 incidentes reportados en más de 33 países a nivel global entre el año 2005 y 2010, identificando interesantes hallazgos que nos sugieren marcos de acción para mantenernos cerca de la inevitabilidad de la falla, bien por fenómenos eminentemente tecnológicos como por comportamientos inadecuados.

A continuación mencionamos algunos resultados relevantes del estudio con el fin de plantear ciertas reflexiones que nos permitan intentar acercarnos al fenómeno de la fuga y/o pérdida de la información y entender mejor su asimetría en el contexto empresarial.

• Los vectores más representativos para la pérdida y/o fuga de información son los computadores portátiles, las técnicas de hacking y los documentos impresos.

• Se perfila el web como un nuevo vector para pérdida y/fuga de la información.

• Dejar los portátiles y documentos impresos desatendidos son comportamientos que potencian la pérdida y/o fuga de la información

• No se cuenta con la trazabilidad de los documentos desde que la información se genera hasta su disposición final.

• El malware es la técnica más utilizada para crear entornos que materialicen la pérdida y/o fuga de la información.

• La pérdida de información está generalmente asociada con personal externo o terceros contratados, mientras la fuga de la información, tiene una fuerte asociación con empleados de las empresas.

• Existe un bajo reporte público de las brechas de seguridad (pérdida y/ fuga de información) por parte de las empresas en los diferentes países.

• Se identifica una tendencia de exposición de datos relacionados con registros médicos en la muestra analizada.

• Dentro de los datos que generalmente se exponen con las brechas de seguridad son: Número de seguro social, Número de licencia de conducción, número de la tarjeta de crédito, número de la cuenta bancaria, fecha de nacimiento y datos médicos.

Considerando estos hallazgos retomemos algunas meditaciones que generalmente se detallan en diferentes medios y documentos sobre esta realidad de la pérdida y/o fuga de la información.

El estudio indica que los portátiles, las técnicas de hacking y los documentos impresos son los vectores de ataque más comunes y responsables por más del 90% de los incidentes. En este sentido, sin considerar las técnicas de hacking, son nuestros comportamientos frente al aseguramiento de los portátiles y los documentos impresos, el que genera la mayor vulnerabilidad y oportunidad para que la inseguridad se materialice en diferentes contextos de la realidad organizacional y personal.

Cuántas veces hemos enviado una impresión con documentos clasificados como sensibles o restringidos, cuántas veces hemos dejado el computador portátil desatendido, cuántas veces nos siguen recordando la necesidad de asegurar estos comportamientos y aún continuamos abriéndole posibilidades a los atacantes para que se hagan dueños de la información clave de la empresa o creando el entorno para que, incluso nuestra información personal sea utilizada con fines ilícitos o fraudulentos. Si bien la fuga y/o pérdida de la información no podrá erradicarse por completo, si podemos mantener un umbral cerrado y conocido que nos permita cercar a la inseguridad de la información en terrenos conocidos y claramente abiertos para que la impunidad no sea la protagonista cada vez que se revele un evento de éstos.

Con la alta interacción que tenemos ahora con el WEB y las posibilidades de descarga y carga de información en sitios alternos, la información tiene un flujo inesperado y muchas veces no controlado que genera brechas de seguridad que pueden llegar a comprometer el buen nombre de la empresa o la persona. Tómese un momento para pensar qué pasaría si información de un nuevo producto, o una nueva patente se expone en un sitio en internet y es accedida por terceros sin autorización. Qué pasaría si fotos comprometedoras, que tenemos al interior de nuestros equipos, fuese transportada y expuesta sin nuestra autorización en un perfil de facebook. Estas y otras situaciones nos deben mantener alerta y consciente del aseguramiento de la información y de los protocolos que ésta debe seguir cuando se autorice su movimiento dentro o fuera del dominio de la organización o persona.

De otra parte, los atacantes, sabiendo que las personas son susceptibles de movilizar cuando aparecen nuevos servicios, atractivas ofertas en internet y, sobre manera propuestas de acceso a información privilegiada con pocas exigencias, desarrollan a través de código malicioso estrategias y entornos que buscan tener el control de la máquina o dispositivo de almacenamiento de información con el fin de acceder sin autorización a información personal o corporativa. Esta técnica se aprovecha, nuevamente y en gran medida, de nuestros comportamientos inadecuados frente a la protección de nuestros equipos portátiles o de escritorio. La falta de higiene informática es una de las responsable del gran número de infecciones y plagas informáticas, que pasan entre otras por botnets, gusanos, software espía dado que tenemos una “falsa sensación de seguridad” pues al conectarnos a internet creemos que no somos objetivo de interés de los intrusos, cuando en realidad es todo lo contrario.

Es muy revelador encontrar que la pérdida de información está asociada con los terceros de confianza de la empresa. Con frecuencia encontramos acuerdos de confidencialidad firmados con los contratistas a los cuales poco se les hace seguimiento o auditoría, generando espacios de incertidumbre en el manejo mismo de la información sensible de las empresas. Si bien es importante tener estrategias contractuales para mantener la responsabilidad del tercero frente al manejo de la información, cobra mayor relevancia poder  incluir dentro del modelo de seguridad de la información de la empresa la forma como las empresas contratistas deben darle tratamiento a la información y asegurar el seguimiento y aplicación de las directrices que sobre el particular se den.

De otra parte, se anota que la fuga de información se presenta con mayor frecuencia relacionada con el personal interno de la empresa. Este hallazgo nos habla de muchas posibilidades para analizar. Por un lado, podemos pensar en los aspectos éticos y de cumplimiento de los empleados, elementos propios de la lealtad empresarial, no necesariamente asociados con consideraciones legales, sino de identidad corporativa. Por otro, una falta de consciencia de los empleados de la empresa frente al manejo de la información y sus implicaciones; frente a su personal y con sus grupos de interés. Por tanto, si bien las organizaciones adelantan esfuerzos ingentes para incorporar la cultura de riesgos en el tejido social empresarial, se hace necesario insistir en la comunicación del valor de la información como activo estratégico de las corporaciones y elemento fundamental para soportar la ventaja competitiva de la empresa.

Si bien, en los países desarrollados se viene dando una tendencia por revelar las brechas de seguridad que se han presentado en las organizaciones, como una forma de responsabilidad social y empresarial con sus clientes, en nuestros países en vía de desarrollo, no logramos despegar del todo para seguir esta buena práctica. Por el momento, los reportes de incidentes de seguridad se conocen por “chismes” o “comentarios de pasillo” que se filtran en conversaciones con terceros en los sitios menos indicados: ascensores, restaurantes, filas de acceso a bancos, salas de espera, en general en sitios públicos o por descuidos de pantallas de computadores sin filtros de privacidad que exponen un “secreto” de alguna empresa o persona.

Como bien nos dice la sabiduría popular: “no hay nada oculto entre cielo y tierra que no se llegue a saber”, si debemos establecer los canales oficiales para que la información fluya de la manera más adecuada, en el contexto indicado y sin juicios de valor, para que se informe conforme se es requerido y con los detalles necesarios. No se trata de esconder lo que ha ocurrido, sino de entregar de la mejor forma la información para continuar avanzando en las estrategias de aseguramiento de la información en los procesos de negocio de las empresas.

Ver en un informe internacional que en el análisis de los incidentes se encuentra en la mayoría de las ocasiones información relacionada con datos médicos es realmente inesperado. Estamos acostumbrados a que las brechas de seguridad expongan datos corporativos, secretos industriales o elementos claves de estrategias de empresas, pero que en su mayoría sean datos relacionados con los registros de los galenos sí que es novedad. Esta tendencia en los países desarrollados se explica por la alta relación que existe de estos datos con el acceso a información complementaria de la persona: cuentas bancarias, estados de préstamos, pago de impuestos, identificación personal, entre otras, que son claves para establecer estrategias de suplantación y generar fraudes a nombre de terceras personas.

Si bien lo anterior nos debe llamar la atención frente a los efectos que esto tiene en la vida de las personas, estamos a tiempo para que en nuestras economías emergentes se tomen las medidas requeridas frente a la protección de datos personales, como una primera iniciativa que asegure y fortalezca las prácticas de seguridad y control frente al tratamiento de esta información. Así mismo, sea esa la motivación para que cada uno de nosotros continúe aprendiendo que la información es un activo esencial de nuestra relación social en el siglo XXI y la moneda fundamental de nuestra interacción en un mundo interconectado y abierto como lo es internet.

El informe no indica con detalles aspectos relacionados con las redes sociales, móviles (ahora tabletas, dispositivos de lectura, entre otros) o computación en la nube como otros drivers para las brechas de seguridad de las empresas y las personas, sin embargo es claro que estos tres elementos son parte de los nuevos vectores de la pérdida y/o fuga de la información, pues al estar en permanente movimiento y sin un aparente control, el ciclo de vida de la información no tendrá elementos suficientes para mantener la trazabilidad de las operaciones o tratamiento que se le haga a ésta, dejando la puerta abierta a inesperados eventos que ya empiezan a manifestarse en el mundo actual.

En consecuencia, este estudio, que de manera exhaustiva y formal revela tendencias que intuitivamente conocíamos, nos pone de manifiesto que la ecuación de la inseguridad se conjunta alrededor de la información, la inevitabilidad de la falla y los medios informáticos, con un multiplicador o inhibidor fundamental como son los comportamientos humanos.

En este sentido, que todas estas lecciones aprendidas de los 3765 incidentes puedan empezar a modificar el ADN corporativo de la cultura de las organizaciones frente al tratamiento de la información y nos haga a cada uno de nosotros sensibles a los movimientos de nuestra maestra la inseguridad, para que nuestros próximos “pecados” frente uso de la información, bien sean de obra u omisión, sean un nuevo comienzo para pensar diferente y superar las rutinas defensivas propias de aquellos que “buscan culpables” y no nuevas oportunidades para aprender.

Inseguridad de la información: Maestra en la ciencia de la protección de la información

Conforme avanzamos en el desarrollo de esta nueva década del segundo milenio, notamos con preocupación que no estamos capitalizando las lecciones que la inseguridad de la información nos ha impartido con suficiente ilustración y detalle. La inseguridad de la información nos ha demostrado que existen elementos tanto en las personas, como en los procesos y en la tecnología donde puede actuar y renovar nuestro entendimiento de la protección de la información.

Avanzar en una propuesta de una “ciencia de la seguridad” (STOLFO, S., BELLOVIN, S. y EVANS, D. 2011) o en una “ciencia de la protección de la información” (COHEN 2011) es profundizar en los terrenos de la formalidad académica y científica para encontrar allí mejores referentes que nos permitan superar una posible vista artesanal de nuestro proceso de toma de decisiones frente a los retos de la inseguridad en las organizaciones.

Siguiendo los argumentos de STOLFO, BELLOVIN y EVANS (2011), hablar de una ciencia requiere al menos revisar tres elementos fundamentales: sistematización y generalización del conocimiento, desarrollo de leyes universales para hacer predicciones confiables y, conducción de investigaciones para verificar hipótesis y elaborar experimentos. En este sentido, los retos propios de la seguridad de la información se ven avocados a pasar por el filtro de la ciencia, para procurar tener mejores elementos de juicio y así formalizar nuestras acciones, de tal forma, que no sea solamente nuestro instinto o mejor estimación la que prime, sino una profunda revisión de los impactos y consecuencias de los análisis de las situaciones a asegurar, la que afine los criterios de toma de decisión de los analistas de seguridad de la información.

Si bien a la fecha, existe mucho conocimiento acumulado en los temas de seguridad de la información que nos permiten hablar en dominios específicos de temáticas como los son seguridad en redes, gestión de la seguridad, análisis de vulnerabilidades, arquitecturas de seguridad, entre otros, continúan apareciendo temas novedosos como son entre otros seguridad en la nube, seguridad embebida en dispositivos, geolocalización, que nos permiten seguir pensando y soñando con nuevas posibilidades para continuar construyendo la disciplina de la seguridad de la información. (COSTELLO 2011)

Bien dice un practicante de la seguridad, militante de la academia y de la industria, Bruce Schneier, que “en teoría existen sistemas seguros, pero en la práctica no”, denotando que mientras en los diseños y ecuaciones formales, es posible probar la confiabilidad de la seguridad de la información, asegurando la mayor certeza de sus propuestas; una vez se pasa a la aplicación de los mismos, la inevitabilidad de la falla se hace presente en la operacionalización de éstas, dado que en el mundo real, las condiciones no son igualmente replicables a las consideraciones teóricas que sustentan los conceptos. En este sentido, tener leyes universales que nos permitan un comportamiento predecible en seguridad, es enfrentar las mejores estimaciones matemáticas, con las condiciones inesperadas de una realidad llena de efectos colaterales y condiciones disímiles.

Lo más frecuente que se observa en seguridad es el desarrollo de investigaciones y experimentos controlados y no controlados, como la fuente primaria de reflexiones y propuestas para encontrar respuestas a nuestras preguntas, o mejor aún, como la estrategia para plantearnos mejores interrogantes. En este sentido, la seguridad de la información es una búsqueda permanente de un “grial” esquivo y deseado, que si bien todos saben que es inalcanzable, hacemos todo lo que está a nuestro alcance para experimentar, así sea de manera momentánea, un poco de su luz y de sus enseñanzas sobre la protección formal y confiable de la información en cualquier contexto.

Sin embargo, como bien anota COHEN (2011), los científicos o los hombres de ciencia son humanos y cómo seres vivientes, se equivocan, por tanto, la ciencia hace lo mismo. En este sentido, alcanzar confiabilidad de la disciplina científica en seguridad de la información, es entrar en un círculo vicioso donde tanto el hombre como la ciencia, se contaminan mutuamente para producir o generar un resultado que esperamos sea “seguro”, “confiable” y “libre de errores”.

Así las cosas, avanzar en una ciencia de la protección de la información, es reconocer que la inseguridad de la información es la maestra y educadora de los practicantes y académicos; es decir, aquella realidad que induce un aprendizaje, promueve la generación de mejores preguntas y encontrar nuevas respuestas; estimula el pensamiento independiente entre sus estudiantes, suscita la innovación, la creatividad y los retos intelectuales. (ACKOFF 2011)

Si lo anterior es correcto, no es suficiente que continuemos sencillamente comprendiendo los avances tecnológicos y su adecuada implementación en las organizaciones, sino cuestionando las diversas variables y condiciones de las corporaciones, para hacer de la seguridad de la información una forma de repensar la empresa y sus procesos, no como una meditación basada en un discurso restrictivo, sino como aquello que cada uno de nosotros entiende, cuando de cuidar un activo se trata.

En este sentido, FENZ, PARKIN y VAN MOORSEL (2011) aciertan cuando detallan que desarrollar un modelo de conocimiento en seguridad de la información requiere considerar, entre otros elementos, aquellos que hacen referencia a los aspectos sociales, tecnológicos y de negocio, como base para encontrar en el ejercicio de toma de decisiones de los gerentes de seguridad de la información, la información, las relaciones y la prospectiva necesaria para identificar patrones de acción que les permitan estar más cerca de las causas y no solamente de la experiencia de las consecuencias de las fallas.

Por tanto, desarrollar una ciencia de la protección de la información, exige como bien anota el profesor COHEN (2011), un encuentro con las disciplinas sociales y del comportamiento humano asociados con la protección de los activos, como fuente misma de nuestro entendimiento de la complejidad propia de las relaciones entre la tecnología y los procesos de la organización, donde los individuos son la parte activa de éstas, frente a las vulnerabilidades y fallas propias de los artefactos tecnológicos.

Finalmente, considerando y aceptando que la inseguridad de la información es nuestro mejor aliado para crear el futuro, mantenga su vista afinada en el camino y sus señales, para continuar haciendo la diferencia en el ejercicio permanente y renovado de lanzarnos en las “aguas profundas” de la incertidumbre y creer que siempre es posible ir más allá de los datos que representan las propiedades de los objetos y sus eventos, y alcanzar en la sabiduría del error, la forma anticiparnos cada vez más a los retos de la inevitabilidad de la falla.

Referencias

COSTELLO, T. (2011) 2011 IT Tech and strategy trends. IEEE IT Professional. January/February.

FENZ, S., PARKIN, S. y VAN MOORSEL, A. (2011) A Community Knowledge Base for IT Security. IEEE IT Professional. May/June 2011

STOLFO, S., BELLOVIN, S. y EVANS, D. (2011) Measuring Security. IEEE Security and Privacy. May/June 2011

COHEN, F. (2011) Toward information Science protection. Disponible en: http://all.net/Talks/2011-06-15-Keynote-Toward-IP-Science.pdf (consultado: 14-08-2011)

ACKOFF, R. (2011) Differences that make a difference. Triarchy Press.

Las nuevas posibilidades para el cibercrimen: el desafío de un ecosistema tecnológico

Los gerentes de seguridad de la información deben reconocer que ahora se encuentran en un ecosistema tecnológico, donde terceros hacen parte de su ecuación de seguridad y continuidad, dado que grandes jugadores como Microsoft, Google, Amazon, entre otros, hacen parte de los elementos fundamentales de la malla de interacción y operación que no deben descuidar so pena de encontrarse con pérdidas de la eficiencia de la operación y compromisos, posiblemente, de sus datos frente a la demanda de servicios crecientes en las organizaciones. (MATHER, T., KUMARASWAMY, S. y LATIF, S. 2009)

De otra parte, con el creciente uso de las redes sociales, los ambientes tridimensionales (second life) y las interacciones comerciales vía internet, se advierte un tráfico de información e intereses ocultos de terceros para identificar información de carácter financiero útil para alimentar redes criminales, que articuladas en contactos con operadores internacionales, son capaces de generar avanzados y sofisticados ataques con programas espías o códigos móviles a través de los navegadores de uso común sin despertar sospechas entre los cibernautas. Un escenario donde el dinero real, circula y se usa en un mundo virtual, generando una confusión evidente que pierde los límites entre lo que se vive en un ambiente simulado y las transacciones virtuales con flujo de autorizaciones de patrimonios reales.

El cuadro de la ciberdelincuencia en los próximos 10 años se expande con una tendencia que desde hace más de cinco años se viene desarrollando, apalancada en programas zombies que toman control de las máquinas de los usuarios, generalmente fruto de lo que podríamos denominar una pobre higiene informática, haciéndolos vulnerables a las trampas y artilugios de los desadaptados informáticos. Si bien, estas acciones de redes de programas “zombies” denominadas “botnets”, se ha manifestado con importantes ataques a infraestructuras de diferentes partes del mundo, se prevé que estas mismas posibilidades, se extiendan en un concepto semejante al de computación en la nube, generando nuevas posibilidades más profundas y menos rastreables, que podríamos denominar “fraude como servicio”.

Esta nueva tendencia del “fraude como servicio” es una estrategia de la criminalidad organizada que busca ofrecer al mejor postor las redes y posibilidades de interrupción o penetración masiva de infraestructuras o sitios, con el fin de llevar a cabo importantes ataques que muestren las nuevas capacidades de los delincuentes informáticos para ser un brazo armado de la ilegalidad del mundo real, ahora en el mundo virtual, donde las zonas de monitoreo y control son limitadas y donde pocas veces, las naciones llevan sus acciones con alcance trasnacional, pues saben de las barreras y diferencias jurisdiccionales que las restringen.

Complementario al escenario anterior, el fuerte desarrollo de las comunicaciones móviles y el empoderamiento de las personas con mayor capacidad de cómputo en sus manos, nos movemos rápidamente hacia el concepto del “locker digital en la nube”, cuya llave será el dispositivo móvil que podamos tener: iphone, ipad, smart phones, entre otros, lo que hace que los datos y la información personal comience a migrar a sitios diversos en la infraestructura dispuesta en internet, sin un aparente control por parte de sus dueños, retando a los proveedores de servicios para desarrollar buenas prácticas de seguridad y control que permitan aumentar la confianza de sus clientes frente a las amenazas constantes de pérdida de confidencialidad y/o disponibilidad de dicha información.

En consecuencia, una falta de atención a las amenazas de seguridad en un ambiente abierto e interconectado, crea un vector de ataque impredecible, que articulado con una “confianza inusual” de los jóvenes de ciudadanos digitales en los medios informáticos, establece un tejido oculto y desafiante que mimetiza a los atacantes, creando un ecosistema paralelo y dependiente donde los cautivos usuarios serán objeto de acciones indeseadas o en el peor de los casos, actos que atenten contra su integridad física. (COUNCIL OF EUROPE 2007, CANO, J., CAVALLER, V. y SABILLON, R. 2008)

Al tener un colectivo de visiones en un espacio prácticamente infinito como lo es internet, podemos tener grandes beneficios como alto niveles de transparencia y responsabilidad por lo que se hace o deja de hacer, pero de igual forma, una puerta para abandonar y evadir cualquier investigación (CANO, J. 2009) que trate de llegar a la verdad. Por tanto, construir una visión de seguridad global o al menos local, exige la creación de un espacio de confianza psicológica y tecnológica, que motive en los participantes, la aplicación de prácticas que limiten las acciones de los terceros no autorizados.

Por tanto, si queremos alcanzar un resultado evidente en la gestión de la inseguridad de la información y lucha contra el cibercrimen, debemos entender la brecha entre nuestra realidad y la visión deseada en un ecosistema tecnológico sano, resiliente y autocontrolado, para construir de esta forma, una ruta de medios ajustados con la exigencia de la inevitabilidad de la falla y la pasión por un fin, que no es otra cosa que “sobreponernos a nosotros mismos, descubrir las virtudes de otros y potenciar nuestros talentos y dones” y así poder responder con oportunidad, cuando nuestros maestros “la inseguridad y el cibercrimen” nos presenten una nueva lección.

Referencias

MATHER, T., KUMARASWAMY, S. y LATIF, S. (2009) Cloud Security and Privacy. O’Reilly.

CANO, J., CAVALLER, V. y SABILLON, R. (2008) Cibercrimen y ciberterrorismo. Dos amenazas emergentes en un contexto global. (2008) Memorias del I Congreso Nacional de Inteligencia. Universidad Rey Juan Carlos. Madrid, España.

COUNCIL OF EUROPE (2007) Cyberterrorism. The use of internet for terrorist purposes. Counter-terrorism Task Force. Council of Europe Publishing.

CANO, J. (2009) Computación Forense. Descubriendo los rastros informáticos. Editorial AlfaOmega.

Inseguridad de la información: Confusión de fines y perfección de medios

Recientemente revisando el libro de Chris Lowney, denominado “Vivir Heroicamente” se identifica una frase que claramente describe una estrategia para comprender la dinámica de la seguridad de la información en los últimos diez años: “Albert Einstein observaba que nuestra era podía describirse acertadamente como una en la que hay "perfección de medios" y una "confusión de fines”.

Durante esta primera década del siglo XXI los encargados de la seguridad de la información han confundido los fines de la seguridad con los medios para alcanzarla. Prueba de ello, es la preponderancia que ha tenido la tecnología sobre las personas y los procesos organizacionales. Si bien, se ha observado claramente iniciativas que privilegian la formación de individuos en los temas de seguridad de la información, la magia de las tecnologías de seguridad de la información ha ocupado a la industria, particularmente en el aseguramiento de los perímetros tecnológicos de las empresas, ahora más porosos que antes.

En este sentido, se observa un amplio perfeccionamiento de las tecnologías, haciéndose más sensibles y afinadas con los cambios dinámicos del ambiente y con mayores índices de efectividad frente a las nuevas amenazas y fallas. Sin embargo, el fin último del aseguramiento de la información nos se percibe, ni se avizora como se quisiera tanto en las organizaciones como en las personas.

Las empresas al transformar los medios (las tecnologías de seguridad) en los fines de la estrategia de seguridad de la información, confunden y desdibujan los esfuerzos sistémicos para comprender la inseguridad de la información en la dinámica de la empresa, privilegiando las fallas de seguridad de las máquinas, perdiendo el horizonte de experiencias y expectativas de las acciones y hábitos cotidianos de las personas.

Al privilegiar los medios sobre los fines, la inseguridad se apodera de la arrogancia del analista de seguridad para demostrarle que sus “fierros tecnológicos” sólo representan una parte de su ecuación y que tarde o temprano deberá reconocer que no ha visto el bosque y que los solos árboles no tienen la respuesta al desafío del aseguramiento de la información.

Cuando el analista de seguridad entiende que el fin último es el aseguramiento de la información en la realidad de la persona (como prácticas) y procesos de negocio de las empresas (sistemas de gestión y control), la inseguridad advierte la activación de la inteligencia estratégica que se inicia para desentrañarla de los diversos escondites, de sus diferentes máscaras y disfraces, que si bien no logrará conocerlos todos, si tendrá las bases o patrones para continuar avanzando en el reconocimiento de ésta.

Cuando los responsables de la seguridad de la información se concentran apasionadamente en los fines de la protección de la información, se activa la destrucción creativa que desequilibra a la inseguridad; se reinventan de manera continua la seguridad y se desvanece la “falsa sensación de confianza” que ocupa a los conformes y tradicionalistas de la seguridad, que entienden ésta como medio y no como fin.

Si queremos alcanzar un resultado evidente en la gestión de la inseguridad de la información, debemos entender la brecha entre nuestra realidad y la visión deseada, para construir de esta forma, una ruta de medios ajustados con la exigencia de la inevitabilidad de la falla y la pasión por un fin, que no es otra cosa que “sobreponernos a nosotros mismos, levantar a quienes nos rodean y potenciar nuestros talentos y dones” y así poder responder con oportunidad, cuando nuestra maestra “la inseguridad” nos presente una nueva lección.

Referencias
LOWNEY, C. (2010) Vivir heroicamente. Ed. Norma.