Los 3 errores más comunes a la hora de contratar un servicio externo

Asumir completamente los requerimientos y costes de la prestación de un servicio o bien, contratarlo a un proveedor externo, suele ser una de las decisiones más controvertidas que una organización debe tomar. Pero ¿Qué aspectos inciden con mayor fuerza en la decisión final?, ¿Son estos aspectos realmente, significativos o a menudo se valoran desde una perspectiva errónea?

Las respuestas a estas preguntas están en el día a día, o sino ¿Quién no conoce casos de cancelaciones contractuales antes de que finalice el período estipulado?, ¿Penalizaciones por incumplimiento de contrato?, ¿Hastío de las relaciones cliente-proveedor?, por poner sólo unos ejemplos.

El punto de vista de valoración y las expectativas previas juegan, por tanto, un papel muy importante. Así pues, podemos considerar que en función del enfoque y la expectativa que se asuma, se pueden cometer, frecuentemente, los siguientes 3 errores:

Presupuesto vs Oferta

El presupuesto de gasto (o la necesidad de reducir costes), suele ser un elemento decisorio de peso a la hora de valorar distintas ofertas de proveedores, especialmente, en tiempos oscuros económicamente hablando, como los actuales. Se cumple la máxima: “para que voy a pagar más, si puedo obtener lo mismo por menos”. Si bien es normal y correcto comparar ofertas y prestaciones, el error está en considerar propuestas “supuestamente económicas” para prestaciones “supuestamente de calidad” que acaban siendo superficiales, no disponen de la flexibilidad necesaria para adaptarse a requerimientos cambiantes o a la propia complejidad de la organización.

Contrato legal vs SLA

Muchos contratos de servicios se resuelven a través de una correcta y concreta documentación legal que establece los detalles legales de la prestación que se contrata y las obligaciones de ambas partes firmantes, pero no siempre se acompaña o amplía con el establecimiento de un acuerdo de nivel de servicio (SLA) donde se detallen los requerimientos de servicio y se establezcan tanto el nivel de servicio requerido, como el umbral considerado por la organización para identificar un nivel inaceptable, el marco de trabajo, o el modelo de relación que deberá enmarcar la interacción cliente-proveedor.

En otros casos, sí existen estos acuerdos SLA, pero no son suficientemente claros o incluyen objetivos demasiado ambiciosos que alimentan la expectativa del cliente pero son claramente inasequibles por parte del proveedor, que en ocasiones, acepta “gratamente” el pago de las penalizaciones acordadas, antes que invertir en la mejora de los servicios que presta.

Se cumple la máxima: “el contrato legal me asegura el cumplimiento de todos mis deseos”. El error está en considerar que el contrato siempre cubre mis expectativas de servicio, incluso cuando éstas ni siquiera hayan sido formuladas e incluidas en él.

Seguimiento vs “laisser faire”

Si focalizarse en el presupuesto y no concretar explícitamente los requerimientos y expectativas de servicio son errores comunes, también lo es considerar que por el hecho de contratar un proveedor externo para que proporcione el servicio que necesitamos, no es necesario que “invirtamos tiempo y esfuerzo” en su seguimiento. Se cumple la máxima: “ya saben lo que tienen que hacer. Los hemos contratado para poder dedicarnos a otras tareas”.

Este aspecto está vinculado al punto anterior y es normal que no se tenga en cuenta, si previamente, no se ha tenido en cuenta el establecimiento de un acuerdo de nivel de servicio realista que establezca el marco de control del seguimiento (indicadores de rendimiento, métricas, etc.). El error está en no evaluar periódicamente la prestación del servicio para poder confirmar que sigue siendo adecuada a los requerimientos que nos han llevado a contratarlo.

En conclusión, el error más común es el de no conocer bien la expectativa de servicio, es decir, saber exactamente, qué es lo que se necesita, qué es lo que el proveedor ofrece, qué es lo que se contrata y cuál es el coste real de la prestación, y la estrategia que finalmente, se determine no pueden dejarse a merced de una cuestión de enfoque.

“El pesimista se queja del viento. El optimista espera que cambie. El realista ajusta las velas” (Guillen G. Ward)

Gestión de la Demanda y Proyectos

¿A día de hoy es posible para los ejecutivos de TI ver, en qué proyectos y actividades operacionales deberían estar trabajando, qué porcentaje del presupuesto se destina a los proyectos, los niveles de capacidad de los recursos, y la alineación con las necesidades del negocio?.

Es posible! Gracias a una buena gestión de la demanda y una buena gestión de proyectos.

Los departamentos de TI absorben una demanda creciente con  recursos ajustados. Con estas premisas es difícil responder plenamente a las peticiones del negocio, así como evaluarlas y priorizarlas adecuadamente. Además, los proyectos resultantes no se gestionan adecuadamente en calidad, tiempo y presupuesto. De esta manera el riesgo de que el resultado u oferta final al cliente no concuerde con lo demandado inicialmente es muy alto.

Gestionar la demanda

La Gestión de la Demanda es la encargada en estos casos de redistribuir la capacidad para asegurar que los servicios críticos no se ven afectados o, cuando menos, lo sean en la menor medida posible. Para llevar a cabo esta tarea de forma eficiente es imprescindible que la Gestión de la Capacidad conozca las prioridades del negocio del cliente y pueda actuar en consecuencia.

Una buena gestión de la demanda de la organización:

• Permite que los departamentos de TI puedan enfocar sus recursos y su presupuesto a las prioridades del negocio.
• Consolida y prioriza todos los proyectos con mayor y mejor visibilidad y control, centrándose en aquellos de mayor prioridad cumpliendo los compromisos de nivel de servicio.
• Automatiza este ciclo de vida de la demanda parar alinearse con los procesos de negocio y reducir el tiempo de resolución de las solicitudes asociadas a la demanda de servicios.
• Subsanar  la degradación del servicio por aumentos no previstos de la demanda.

Gestionar proyectos

Tan importante como gestionar adecuadamente la demanda, es realizar una buena gestión de los proyectos resultantes de la misma. De esta manera sabremos en todo momento qué proyectos están centrados en aumentar el valor del negocio, y cuáles en optimizar la prestación de servicios de TI y reducir los costes. Una buena gestión de proyectos permite:

• Medir el progreso del proyecto y los tiempos del mismo: (Integración con diagramas de Gantt, por ejemplo) de forma automatizada, de tal forma que cada vez que un proyecto está programado, se calcula y destaca visiblemente las tareas más importantes. Las tareas se asignan a los recursos de cada usuario.
• Visibilidad financiera: para la toma diaria de decisiones sobre el departamento y sus proyectos, una correcta visualización del rendimiento financiero mediante la recopilación de los costes reales.
• Plan presupuestario: El objetivo es establecer y administrar el presupuesto de TI durante todo el ciclo de vida del proyecto. Los directores de IT obtienen la flexibilidad necesaria para adaptarse con rapidez, a medida que cambian las previsiones de los objetivos de negocio.
• Gestionar los recursos: (actividades estratégicas y operativas en cualquier etapa del ciclo de vida del proyecto). Permite un completo entendimiento de los recursos internos o contratados que se encuentran comprometidos y/o asignados a diferentes tareas o proyectos. De esta manera, los jefes de proyectos pueden responder rápidamente a los cambios con una clara comprensión de los posibles efectos en la capacidad de los recursos y en la priorización de trabajo.
• Automatización: Habitualmente, las empresas tratan un volumen de cientos de proyectos y equipos que se distribuyen geográficamente, a esto se añade la participación de socios externos, subcontratistas y empresas internacionales. Para afrontar este reto, la automatización de los flujos de trabajo en el proceso de gestión de proyectos, permite el control del mismo reduciendo los tiempos de ejecución, el presupuesto, y por ende  los riesgos y costes asociados.

Es prácticamente imposible abordar este tipo de gestión y obtener los beneficios expuestos sin contar con unas herramientas adecuadas. Por ello es interesante acudir al mercado para ver las posibilidades que este nos ofrece. (Project & Portfolio Management).

Cuadrante Mágico de Gartner (soluciones PPM)

Servicios TIC: Equilibrio entre garantía y utilidad

La gestión de servicios TIC es un concepto que se ha convertido en la piedra angular para todos aquellos que nos dedicamos a la prestación de servicios, en cualquiera de sus vertientes.

Mucho se ha hablado sobre cuál es el modelo de gestión más adecuado, cuáles son las mejores prácticas, e incluso si implantar un sistema de gestión introduce demasiada burocracia. Sin embargo, mi intención es hacer una reflexión sobre algo mucho más elemental, pero que considero que a menudo se pierde de vista: el propio concepto de SERVICIO.

Realmente, ¿Qué entendemos por servicio? Son de aquellas cosas intangibles que nos cuesta definir. De hecho la RAE presenta 20 entradas para este concepto, y creo que ninguna de ellas se acaba de ajustar al concepto de servicio TIC. Por ello, prefiero acudir a ITIL®, que define el servicio como “un medio de entrega de valor a los clientes facilitando los resultados que los clientes desean lograr sin la responsabilidad sobre los costes y riesgos específicos”.

El concepto de costes y riesgos específicos es bastante intuitivo, por ejemplo, todos necesitamos un teléfono móvil profesional, pero ninguna compañía decidiría desplegar su propia red de comunicaciones en lugar de contratar el servicio a un operador (no estamos dispuestos a asumir los costes y riesgos específicos de desplegar el servicio).

Sin embargo, ¿En qué consiste la entrega de valor? A nivel conceptual, el valor que se entrega es el hecho que nos diferencia de la competencia, el que hace que el cliente nos perciba como un activo para su operativa y no como un gasto innecesario, y en definitiva, el que hace que nos seleccione a nosotros en lugar de a cualquier otro competidor.

En este punto, es importante aclarar que esta definición es aplicable a cualquier proveedor de servicios, incluso para aquellos cuyo cliente es su propia organización: Al fin y al cabo, la provisión con recursos propios también supone un coste, y todo servicio podría llegar a ser externalizado. Por este motivo, los proveedores de servicios deberíamos analizar si para nuestro cliente los servicios ofrecidos “valen más de lo que le cuestan”.

Cuando explico estos conceptos nuevamente acudo a ITIL® para presentar la composición de valor a través de dos conceptos clave: la UTILIDAD y la GARANTÍA.

Utilidad es qué se provee. La característica de cumplir con un objetivo, es decir, que realmente aporte “algo” a la organización. En caso contrario, ¿Para qué ofrecer este servicio? Y en este sentido, se trata de aportar una de las siguientes características:

• Soportar el rendimiento: supone un rendimiento positivo en las tareas realizadas, o en los resultados obtenidos. Volviendo al ejemplo anterior, la telefonía fija facilitó la comunicación a larga distancia, agilizando así la operativa de las organizaciones.


• Eliminar restricciones: permite realizar una tarea que en caso de no disponer del servicio sería imposible. En el momento de su aparición, la telefonía móvil no aportaba una nueva utilidad (básicamente el resultado era el mismo que la telefonía convencional), sin embargo, eliminó la barrera de tener que buscar un teléfono o una cabina telefónica, la de no poder localizar en cualquier momento a una persona, etc.

Garantía es cómo se provee. Consiste en ofrecer dicho servicio en buenas condiciones, de forma que el cliente pueda confiar en él. Para ello, obligatoriamente deberá cumplir con las siguientes características:

• Suficiente disponibilidad: Imaginemos que la mitad de las veces que intento llamar por teléfono no puedo establecer la conexión. ¿Cómo puedo valorar positivamente este servicio?


• Suficiente capacidad: Si el sonido se interrumpiera constantemente cuando paso por una zona con más personas hablando por teléfono, el servicio resultaría poco fiable.


• Suficiente continuidad: Si en mi casa dejara se tener cobertura durante toda una semana porque ha caído un repetidor de señal, ¿Continuaría confiando en el operador?


• Suficiente seguridad: Por último, si cualquiera pudiera interceptar mis conversaciones, seguramente dejaría de utilizar este servicio para preservar mi intimidad.

Todo ello resulta bastante lógico e intuitivo, sin embargo, a la hora de la verdad, acaba difuminándose. Normalmente el cliente se preocupa por exigir UTILIDAD (pese a que evidentemente también requiere un nivel aceptable de garantía), y son el grupo de desarrollo y los responsables funcionales quienes se focalizan en conseguir dicho objetivo. Como contrapartida, el departamento de sistemas se centra en conseguir la GARANTÍA del servicio. ¿Dónde se rompe este equilibrio? La respuesta es clara: en el momento en que se valoran las restricciones de coste y tiempo. Y en estos casos, normalmente se opta por dar prioridad a la UTILIDAD en detrimento de la GARANTÍA.

Sin embargo la lógica dice que únicamente cuando se cumplen las dos características (tanto la utilidad como la garantía), estamos en condiciones de ofrecer valor al cliente. Luego, la pregunta es evidente: ¿realmente todos los servicios que ofrecemos están aportando valor? Y si la respuesta no está clara, será el momento de hacer algo al respecto …. quizás revisar el catálogo de servicios.

ITIL® es una marca registrada de la OGC (Office of Government Commerce) en Reino Unido, resto de la UE y otros países

Wifi: La amenaza invisible

Las redes inalámbricas o redes wifi están presentes en la mayor parte de las organizaciones hoy día. Es más, muchos comercios, hoteles, bares y restaurantes lo ofrecen de forma gratuita a sus clientes. La moda de las redes wifi abiertas pasó y la gran mayoría ya usan protocolos como los WEP (Wired Equivalent Privacy) o WPA/WPA2 (Wi-Fi Protected Access) para proteger el acceso. La gente se siente segura detrás de contraseñas interminables y complejas de números, símbolos, mayúsculas y minúsculas. Pero ¿estamos realmente seguros? ¿Qué pasaría si alguien pudiera travesar esta barrera de protección?

Crackeo de Wifis

Los protocolos más comunes de cifrado wifi son WEP y WPA/WPA2. El algoritmo WEP se rompió hace años. Por eso, obviando los métodos o detalles técnicos, una red wifi WEP con clientes haciendo uso de ella se tardaría desde segundos (claves por defecto de operador), a una hora como máximo en descifrar. Cuando una contraseña WEP es la única barrera de protección a la red interna la organización tiene definitivamente un problema.

Existen métodos para el crackeo de redes WPA/WPA2, aunque dependen en gran medida de la fortaleza y longitud de la contraseña. Es preferible tomar las recomendaciones típicas sobre políticas de contraseñas y cambiarla cada cierto tiempo.

Algunos de los métodos para conseguir contraseñas WPA/WPA2 agilizan el proceso con el uso de clústers y GPUs, ya que el crackeo se puede realizar offline, es decir, fuera del alcance de la red, una vez capturados los datos necesarios (WPA handshake).

Segmentación e independencia

Otros de los factores que debemos analizar son la información, servicios y recursos a los que pueden acceder los usuarios una vez obtienen acceso. Se debe tener en cuenta por dos razones: por los distintos roles de usuarios que pueden acceder a dicha red y por los usuarios no legítimos que puedan obtener la contraseña (crackers, curiosos, antiguos empleados, etc.).

No es lo mismo un Director General de una empresa accediendo por wifi a los archivos confidenciales de una empresa que un empleado externo o un invitado accediendo a internet. Se debe ser riguroso con el control y acceso a las redes y cuidadoso con la asignación de permisos para los distintos roles de usuario.

Cada vez es más importante diseñar una estructura de red que mantenga una arquitectura con dos o más redes separadas o incluso segmentadas internamente a través de redes virtuales VLANs.

Por otro lado, imaginemos por un momento que alguien de forma fraudulenta o un antiguo empleado accede a la red wifi corporativa. ¿Sabemos con seguridad a qué recursos tendría acceso? ¿Se auditan o monitorizan estas acciones de forma regular? ¿Cuándo fue la última vez que se cambió la contraseña de las redes wifi? La contraseña de la red inalámbrica no puede ser nunca la única forma de protección.

Sniffing de tráfico

Todos los datos/paquetes que se envían por redes inalámbricas, pueden ser interceptados por tarjetas en modo monitor. En los protocolos WEP y WPA/WPA2 los datos interceptados están cifrados, pero en el protocolo abierto (sin contraseña), los datos transmitidos pueden ser capturados y leídos tal como son emitidos.

Lo que mucha gente no sabe, es que conociendo la clave de una wifi puede descifrarse el tráfico entre emisores y receptores. La prueba de concepto siempre sorprende, y el nivel de seguridad al que se está expuesto dependerá del protocolo de red usado. Si se usan FTPS, HTTPS, ssh, nuestros datos siempre estarán más seguros que con los protocolos FTP, HTTP o telnet en los que pueden verse en texto plano datos y contraseñas. En resumen, alguien que supiera la contraseña de la red, no sólo podría campar a sus anchas en la red, sino que podría recopilar credenciales de la organización.

Para estas pruebas de concepto, existen programas como Firesheep (addon de Firefox -http://codebutler.github.com/firesheep/) o Faceniff (Aplicación de Android http://faceniff.ponury.net/) que sorprenden por su facilidad de uso, y por los resultados obtenidos. Existen herramientas de uso más complejo que consiguen resultados más sofisticados y exhaustivos .

Medidas de seguridad adicionales

Existen varias medidas complementarias a una simple contraseña:

• Filtrado de MAC: en grandes entornos puede ser complicado gestionarlo, pero es un método de control simple pero efectivo. Debemos tener en cuenta que existen técnicas sencillas de mac-spoofing (http://www.govannom.org/seguridad/14-wifi-wireless-redes/154-como-hacer-mac-spoofing.html) y también es cierto que algunos Access Point pueden detectar el mac-spoofing. Tal como la contraseña, no puede ser la única medida de seguridad.
• SSID oculta: Medida que sirve básicamente para evadirse del punto de mira de curiosos. Cualquiera con los conocimientos y herramientas necesarias puede obtener fácilmente el SSID (también conocido como nombre de la red). La seguridad por oscuridad se convierte en un sencillo paso más en el crackeo de la red y más cuando el atacante sabe qué se busca.
• SSID distinto: Una medida de seguridad sencilla es renombrar la wifi con un SSID que no identifique la empresa.
• Otras: a medida que crecen las organizaciones, la complejidad de sus redes y la concienciación en la seguridad de la información se usan soluciones más sofisticadas como pueden ser NAC, UAC, Radius o portales cautivos por poner algunos ejemplos. Todas son herramientas que mejoran de forma sustancial la seguridad de las redes inalámbricas.

En Conclusión:

Para evitar la intrusión de usuarios maliciosos y garantizar la confidencialidad de los datos es recomendable seguir las siguientes instrucciones:

• Las redes wifi deben considerar la encriptación WPA2 preferentemente, con una contraseña compleja y larga (mínimo 12 caracteres).
  
• Debe existir una segmentación de red adecuada para los tipos de usuarios que se conectaran a la red inalámbrica.
• Crear una red de invitados separada de la red interna, para conceder únicamente conexión a internet a los proveedores que lo requieran.
  
• No se puede confiar solamente en una contraseña, el uso de más medidas de seguridad es muy recomendable.
• Monitorizar la red y los equipos conectados a ella, ya sea de forma manual o automatizada para evitar ataques.

Es posible que alguno piense que estas medidas son muy básicas, pero nuestra experiencia nos dice que no siempre se siguen estas recomendaciones. Para ilustrarlo, desde nuestras oficinas, se puede ver una red inalámbrica con el SSID que es el nombre de una organización que utiliza una clave WEP. Esperamos por su bien, que sea una red de invitados bien gestionada. Aunque desafortunadamente, creo que eso sería mucho esperar.

Evento Hacking Ético

Los recientes robos de datos de usuarios de la plataforma PSN de Sony y del INTECO, así como las actividades de Anonymous, han puesto en primera página de actualidad el problema de la vulnerabilidad de los sistemas de organización frente a ataques malintencionados.

Esto nos lleva a preguntarnos:

Si le ha pasado a ellos ¿podría suceder también en mi organización?

¿Dispongo de las medidas de seguridad necesarias para evitar un ataque similar?

En caso de que sucediera ¿cuánto tardaría en detectarlo?

¿Nuestra organización puede permitirse ser victima de un ataque parecido?

¿Qué nivel de madurez tiene nuestra seguridad de la información?

¿Cuáles son nuestras vulnerabilidades más críticas?

¿En qué debemos cambiar para mejorar nuestra seguridad?

¿Son efectivas las medidas de seguridad que tenemos implementadas?

Abast Grup y Buguroo (Grupo Ecija Consulting&Security) os invitan a este seminario en el que os mostraremos cómo mejorar vuestros niveles de seguridad.

El evento se realizará mañana día 30 de junio en las oficinas de Abast en Barcelona (c/equador 39-45). Se iniciará a las 9:45 y finalizará aproximadamente sobre las 12:00h. La agenda será la siguiente:

• Café de bienvenida y entrega de documentación


• Charla sobre hacking ético: ¿Cómo?, ¿cuando?, ¿donde? a cargo de David Ortega, Director de Consultoría y Auditoría de TI de Abast Systems


• Demostración práctica de la herramienta Buguroo de análisis de vulnerabilidades en código fuente a cargo de Abel González Lanzarote, Director de Operaciones de Buguroo Offensive Security


• Ruegos y preguntas


• Aperitivo

Para apuntaros podéis llamar al 902 486 901 o inscribiros en www.abast.es/seminarios. Os esperamos.

Monitoriza tu negocio

Hoy en día monitorizar el estado de los servidores, los tiempos de respuesta e incluso el rendimiento de las aplicaciones, no es suficiente. Una monitorización transaccional es un componente clave en la estrategia de la gestión de servicios de negocio que permite a las TI mejorar los resultados de las empresas.

Para tener una correcta visión del negocio es necesario:

• Medir y administrar los procesos críticos para asegurar la obtención de resultados esperados.
• Monitorizar de arriba abajo la tecnología con el fin de integrar a usuarios finales y perspectivas de sistema, dando una imagen clara de la complejidad de la infraestructura que soportan las aplicaciones más importantes para el negocio.

El poder medir la experiencia del usuario final ayuda a solucionar y entender los problemas y requisitos de un departamento de TI. Para ello es necesario ejecutar transacciones controladas de forma repetitiva. Gracias a este control obtendremos datos de rendimiento (tiempo de respuesta) y disponibilidad de las transacciones monitorizadas, acelerando la labor de investigación de un problema y su resolución cuando se detecta.

Cuando los usuarios interactúan con las aplicaciones, sus acciones incluyen una serie de peticiones que interactúan con los componentes tecnológicos (firewalls, switches, routers, servidores, bases de datos,...) que generan respuestas que deben ser validadas y traducidas como tiempo de respuesta y disponibilidad.

Podemos identificar como una correcta monitorización del negocio la que:

1. Se realiza desde múltiples localizaciones (dentro y fuera de los firewalls) obteniendo medidas de disponibilidad y rendimiento.
2. Permite detectar problemas que pueden impactar a los usuarios antes de que éstos queden afectados.

La captura minuciosa de estos datos de forma repetitiva y consistente desde cualquier lugar de la red permite crear una línea base de funcionamiento y tener una visión clara del funcionamiento de las aplicaciones monitorizadas. De esta forma podremos alinear la organización IT con las prioridades de negocio.

Al fin y al cabo se trata de:

• Capturar de forma rápida la actividad en tiempo real de los usuarios, viendo donde se hizo el clic así como las páginas y los errores que percibo o no el usuario.
• Comprender el impacto que tienen en el negocio los incidentes en la disponibilidad del servicio
• Dar la prioridad adecuada para responder a los múltiples problemas en el orden correcto.

Todas estas prácticas darán valor al departamento de TI que proveerá al negocio:

• Una visualización en profundidad de los procesos empresariales.
• Un seguimiento y medida de las transacciones individuales conforme progresan a través de sus cauces de proceso.
• Convergencia entre los sistemas de bajo nivel y monitoreo en la red, y los procesos de negocio de alto nivel.

Por último, hay que proporcionar al negocio de una solución eficaz para reducir el número, duración y gravedad de las interrupciones del servicio. Para ello hay que realizar un análisis para manejar los problemas de manera integral, que podemos dividir en dos ramas:

1. Análisis proactivo: proporciona una visibilidad avanzada en interrupciones en el servicio al mostrar problemas y automáticamente aislar sus las causas del mismo. Esta capacidad permite solucionar el problema antes de que se produzcan impactos en la empresa.
2. Análisis reactivo: En el caso de que se produzca un incidente o problema, el análisis reactivo reduce el tiempo medio de reparación (MTTR).

(MTTR es el acrónimo de las palabras inglesas Medium Time To Repair, o tiempo medio hasta haber reparado la avería).

El mercado actual ofrece herramientas varias para conseguir este tipo de monitorización, pero lo más importante es hacer un análisis del negocio, las aplicaciones y los usuarios, desde un punto de vista de valor para poder medir cada uno de los mencionados de la forma correcta.

Las FAQ del Hacking Ético

Antes de realizar un proyecto de hacking ético, test de penetración o auditoria de seguridad surgen ciertas preguntas comunes que nos gustaría responder. Estas son las FAQ (Frequent Asked Questions) que surgen antes de afrontar un proyecto de este tipo.

¿Porqué realizar una Auditoría de seguridad?

Las razones son muy variadas, aunque las más comunes son: prepararse para auditorías corporativas obligatorias, auditorías de certificación (ISO27000, SOX, Basilea, VISA, etc.), cambios recientes en la infraestructura, comprobar el funcionamiento de nuevos productos tecnológicos, iniciarse en la gestión de la seguridad o un plan director de seguridad, conocer las prioridades de inversión en seguridad, justificar inversiones o proyectos, conocer el riesgo potencial existente, etc.

¿Como se van a ver afectados mis sistemas durante la auditoría?

Para responder a esta pregunta se debe tener en cuenta que nuestro objetivo durante estos proyectos es el de vulnerar la confidencialidad de los sistemas de información de la forma más discreta y sigilosa posible.

La afectación típica que reciben los sistemas, es un ligero incremento de tráfico provocado por los distintos tipos de ataque que en la mayoría de casos es imperceptible. En casos en que el cliente desee realizar algún tipo de prueba específica que pueda comprometer la disponibilidad o integridad de algún sistema concreto, se advertirá y se tomarán las medidas de seguridad necesarias para provocar un impacto controlado.

¿Qué tipos de auditorías de seguridad se realizan?

Hay varias formas de catalogarlas y definirlas. Una forma común es catalogarlas por la red dónde se encuentra el atacante, interna o externa (perimetral). Aunque la categorización que más nos gusta es la siguiente:

• Caja Negra: Se trata de la auditoría en los que el atacante no debe conocer ningún detalle de los sistemas a auditar, sólo información mínima y realiza un ataque externo.
• Caja Gris: En este caso se realiza desde dentro de la organización. Se conecta un portátil a una toma de red, o se accede a un ordenador con un perfil estándar y privilegios limitados.
• Caja Blanca: Este tipo de auditorías se realizan desde dentro de las instalaciones del cliente. Se da a los auditores credenciales válidas y una lista de IPs o de servidores de los cuales se quieren auditar riesgos y vulnerabilidades.
• Aplicación Web: En este tipo de auditoría se revisa la seguridad de una aplicación web específica. Por norma general se auditan los riesgos más comunes, publicados en OWASP Top 10. Es común realizarlas antes de poner en producción la aplicación web, o para auditar su seguridad si ha sido realizado por un tercero.
• Completa: Es una combinación de las anteriores (sobre todo de las 3 primeras), es habitual realizarlas cuando se quiere hacer un análisis general de la seguridad de una organización. Los resultados son muy completos y abarcan muchos ámbitos (webs, arquitectura de redes, DMZ, correo, hardware, software, wifi, configuración, intranet, proxy, firewall, etc.).

¿Qué tipo de ataques se realizan en una auditoria?

Esta respuesta es compleja, ya que dependerá del tipo de proyecto y del sistema a auditar. Si se trata de una aplicación web, se suelen auditar los OWASP top 10. Si es un ataque externo, se probaran escaneos, ataques de fuerza bruta y diccionario, fallos de configuración de hardware y software, errores conocidos, etc. Si es un ataque interno se auditará la seguridad de la plataforma de trabajo, configuración correcta, contraseñas por defecto o compartidas, etc. Se debe tener en cuenta que una de las limitaciones dentro del alcance es la temporal, esto merma las capacidades de algunos tipos de técnicas como es el de fuerza bruta o el análisis de código.

¿Cómo se garantiza la confidencialidad?

En cualquier proyecto, se realizan contratos de confidencialidad, aunque en este caso, no se debe olvidar que se está redactando un “manual de intrusión” en la organización, por lo que los datos son especialmente sensibles. Todos los datos que se recopilan durante la auditoría son encriptados de forma segura tanto durante el transporte como dentro de nuestras oficinas. Sólo el personal que participa en el proyecto tiene acceso a los datos. Una vez finalizado el proyecto, entregados los documentos al cliente, y firmado el acuerdo de cierre, estos son eliminados definitivamente de nuestros sistemas.

¿Cuál es el resultado de este tipo de proyectos?

Se obtiene uno o varios informes de auditoría (dependiendo del alcance) en el que se detallan paso a paso las acciones realizadas por el equipo de auditores señalando las vulnerabilidades y la criticidad de éstas. Según se acuerde se pueden auditar o crear políticas de seguridad, definir planes directores de seguridad, dar formación en seguridad a distintos roles dentro de la organización, etc.

¿Cuáles son las reacciones ante los resultados?

Curiosamente la reacción más habitual en las auditorías de seguridad completas es la sorpresa, aunque hay que diferenciar dos perfiles que son el técnico y el de negocio. El técnico en muchos casos ya conoce algunas de las carencias técnicas, y se sorprende de la criticidad de otras. En algunos casos sale reforzado en su opinión de ser más estricto con la seguridad a nivel organizativo. El perfil orientado a negocio también queda sorprendido ya que en algunos casos no eran conscientes del potencial peligro al que estaban expuestos. Cuando los resultados son muy distantes a lo esperado, crece la focalización en la seguridad de la empresa a nivel técnico y organizativo. Es muy importante dejar claro que el objetivo del proyecto es mejorar la seguridad global y no señalar a nadie.

---

En definitiva, detrás de todo proyecto de hacking ético existe una metodología contrastada de gestión de proyectos que se encarga de que se ejecuten todas las pruebas de forma rigurosa y controlada, hecho que nada tiene que ver con los falsos tópicos existentes sobre la figura del hacker, donde un personaje excéntrico a altas horas de la madrugada trata de acceder a los sistemas basándose en su inspiración, y sin tener en cuenta las consecuencias de sus acciones.