¿Es demasiado complicada la seguridad “informática”? (Sí)

Algunos años trabajando en una empresa de seguridad física me han provocado una cierta deformación profesional, pero ya antes me sorprendía la inocencia de las personas y empresas. Por ejemplo:

• Los que se anotan el PIN de la tarjeta en la propia tarjeta.

• Los que se anotan todas las contraseñas (o usan la misma para todo) en el mismo sitio.

• Los que cuando entran a casa solo cierran de golpe y no le dan, aunque sea una vuelta a la llave.

• Los que dicen en el bar, a voces, que se van de vacaciones quince días.

• Los compañeros que en las empresas contestan al teléfono (a alguien que no conocen), ¿fulanito?, no estará hasta el mes que viene, se ha ido al Caribe.

• Los que dejan la llave de seguridad puesta en la grúa.

Todo es opinable, pero creo que estas actitudes son debidas a la falta de cultura de la seguridad. ¿Cuáles son las posibles razones?

Quizá somos (en una inmensa mayoría) gente de pueblo hasta hace dos generaciones, y en los pueblos (ya se sabe) no cerramos con llave, dejamos la puerta abierta, etc.  También puede ser que con tanta tecnología nos estemos haciendo más estúpidos.

¿Y por qué no ayudamos a cultivar esa cultura de seguridad? Evidentemente esto tenemos que hacerlo de manera que nos puedan entender. A un usuario “avezado”, con ciertos conocimientos de seguridad, puede resultarle sencillo entender el por qué de tanto PIN y tanta contraseña, pero el usuario de a pie no lo entiende. Y al final lo que no se entiende pierde interés .

Voces (todas ellas) más autorizadas que yo han hablado en este blog sobre lo difícil que es explicar (y que nos entiendan) lo que hacemos los que trabajamos en una empresa que se dedica a la Seguridad de la Información, o seguridad informática para el usuario de a pie. Los que no somos informáticos lo explicamos fácil; en mi caso digo que “protegemos los activos de las empresas contenidos en sus bases de datos” y me quedo tan ancho. Creo que (otra vez) no me entienden pero al menos ya me dejan cenar tranquilo.

Algo pasa; hemos de reconocer que no sabemos, no queremos o no podemos transmitir bien, lo que me recuerda un razonamiento de D. Fernando Abril Martorell (vicepresidente del gobierno en la Transición) que mantenía este diálogo con los empleados que querían explicarle algo sin conseguirlo:

Y seguía con su razonamiento:

A partir de esta “conversación”, está claro que:

Llegados a este punto sólo encuentro una respuesta: no explicamos bien y como consecuencia no nos vendemos bien; nos cuesta convencer al empresario-dueño-usuario, que ya de entrada no se fía mucho de esos que dicen que nos van a atacar con ordenadores. Entonces, ¿por qué no nos entienden? ¿Quién es el culpable? No hay culpable. Lo que hay es una falta de cultura de seguridad y más concretamente de seguridad de la información. Por lo tanto, no nos queda otra que aprender a vender esa cultura. Y si conseguimos encontrar una forma de explicarla ese empresario-dueño-usuario desplegará sus antenas, nos escuchará y (nos compre o no) la pondrá en práctica, con lo que todos saldremos ganando.

Veamos un ejemplo concreto. Mal empezamos si para cada acceso, para cada banco, para cada administración, para el correo, para comprar entradas, para pedir cita, etc. (y en aras de la seguridad), le decimos al empresario-dueño-usuario que utilice unas claves y usuarios distintos. Esto le obligará a utilizar unos cincuenta datos distintos al día lo que no es muy cómodo que digamos. Es como si le digo a mi mujer que vamos a dar un paseo y para salir de casa he de abrir y cerrar veinte cerrojos. Al final o no salgo o mi mujer dimite o no cierro comme il faut.

¿Qué hacemos entonces? Propongo que pensemos en casos de éxito, p.ej. la seguridad física. Antes de 1980 casi nadie, a excepción de los bancos, tenía seguridad física y ahora hasta los gatitos y perritos la tienen. El volumen de negocio ha aumentado exponencialmente y el sector facturó en 2011 más de 3.233 millones de euros (Aproser-Cinco Días).

¿Por qué? ¿Qué pasó? Pues que se hicieron avances importantes en tecnología, en telecomunicaciones, etc., pero sobre todo SE HIZO FÁCIL: tres sensores que pueden ser inalámbricos, (mínimo exigido por la ley), un teclado y una sirena. Activación, un sencillo código y un uno. Desactivación, el mismo código y un dos, hasta el punto de que incluso puede hacerse con un mando a distancia. Y encima hay una regulación y una normalización que (aún siendo compleja) se llega a entender, porque por lo menos EXISTE y se puede leer.

Esto me sirve para dejar caer algunas preguntas:

• Si trasladáramos alguno de esos planteamientos a nuestra seguridad informática, ¿servirían?
• Si pensáramos en un procedimiento sencillo de activación, ¿sería factible?
• Si exigimos/escribimos/proponemos una legislación a imagen y semejanza de la existente en seguridad física, ¿nos ayudaría?
• Si incidimos en la divulgación, que nunca sobra, de lo que pasa y lo que podría haber pasado de no estar nosotros vigilando la seguridad, ¿aumentaría la cultura de la seguridad?

Podría ser. Claro que siempre podemos hacerlo difícil y morir de éxito.