jueves, 13 de abril de 2017

Análisis de riesgo y Ransomware VI. Errores comunes


La participación de personal de diversas áreas de la organización es fundamental para tener un análisis que se ajuste a la realidad de la organización. Sólo la participación con opiniones diversas y no necesariamente técnicas minimizan errores de juicio. 

Un error común que muchos ejecutivos de sistemas y seguridad cometen es asumir que el daño se limita al laptop o computador infectado. Sin embargo, nada es mas lejos de la realidad.

Si la victima del ataque es un administrador de un sistema informático el impacto del ataque puede ser gravísimo. Por ejemplo, si el sistema en cuestión es un sistema de almacenamiento conectado en red (NAS), entonces el daño causado por un administrador con un equipo contaminado puede extenderse a todos los datos almacenados de una empresa.

Como se puede dilucidar, un análisis con una errónea identificación de condiciones iniciales tendrá recomendaciones que pueden inducir a costosas consecuencias. Es en esta fase que la inclusión de diversas áreas del negocio provee su mayor valor. Solo la experiencia y el conocimiento colectivo de personal diverso permitirá identificar correctamente el impacto de Ransomware.

Además, el afinamiento del análisis solo ocurre cuando se realiza continuamente. Un análisis único simplemente será papel escrito muerto con recomendaciones que la organización nunca aplicará. En su etapa inicial, el análisis posiblemente requiera la participación de personal en intervalos semanales. En la medida que la práctica madure, el equipo de análisis puede incrementar el intervalo de reuniones.

Es infortunado que muchos departamentos de sistemas en Latinoamérica aun estén abrumados por el soporte técnico y dediquen poco tiempo a la identificación de escenarios negativos que pueden poner en peligro a la organización; y como consecuencia no tienen planes de defensa adecuados contra los diversos ataques que las organizaciones modernas sufren. Sin embargo, nunca es tarde para iniciar el primer análisis.