Solicitamos a nuestros lectores y amigos que compartieran los secretos de TI más sucios que hayan encontrado en el trabajo: mentiras provenientes de zonas grises y aspectos oscuros de la tecnología que otros ni siquiera perciben. Después de organizar los resultados, entregamos estos "secretos" a expertos en los campos relacionados para que los analizaran. Algunos de ellos resonaron con los expertos, pero otros no fueron validados.
Los profesionales de TI a menudo difunden mentiras grises con total naturalidad y juegan con maquinaciones oscuras en los negocios tecnológicos.
Los profesionales de TI a menudo conocen perfectamente las verdaderas causas detrás de los problemas; a veces, ellos mismos son los culpables de causar los problemas.
Solicitamos a nuestros lectores y amigos que compartieran los secretos de TI más sucios que hayan encontrado en el trabajo: mentiras provenientes de zonas grises y aspectos oscuros de la tecnología que otros ni siquiera perciben. Después de organizar los resultados, entregamos estos "secretos" a expertos en los campos relacionados para que los analizaran. Algunos de ellos resonaron con los expertos, pero otros no fueron validados.
¿El poder en manos de los administradores de sistemas es suficiente para convertirse en la pesadilla más aterradora del CIO? ¿Los empleados de TI todavía se llevan equipos de la empresa? ¿Realmente podrían desaparecer nuestros datos almacenados en la nube? ¿Son excesivamente altos los precios que cobran los servicios de soporte técnico?
A través del artículo de hoy, conoceremos las opiniones de los involucrados y de los expertos relevantes.
Primer secreto sucio de TI: los administradores de sistemas tienen agarrada a la empresa por los cabellos.
Esta comadreja de TI se ha convertido en la guardiana del pollo gordo de los datos.
Cualquiera que haya seguido la historia de Edward Snowden ya sabrá el daño que puede causar un administrador de sistemas. Pero incluso los propios profesionales de TI quizás no puedan imaginar el asombroso poder y peligrosidad que posee un administrador sin restricciones.
"Para los profesionales de TI, no existen los secretos", afirmó Pierluigi Stella, CTO de Network Box USA, proveedor de servicios de seguridad gestionados. "Puedo implantar herramientas de sondeo en mi propio firewall para capturar cada paquete de datos que entra o sale de una computadora específica. Puedo ver qué escriben las personas en sus mensajes, qué sitios web visitan, qué publican en Facebook. De hecho, la ética es el único factor que puede evitar que los profesionales de TI hagan un mal uso o abusen de este poder. Los profesionales de TI son esencialmente una versión en miniatura de la NSA que vive entre nosotros".
Esta situación es bastante común, e incluso la mayoría de los CIO ya son conscientes de ello, señaló Tsion Gonen, director de estrategia de la empresa de protección de datos SafeNet.
"Estimo que más del 90% de las empresas enfrentan esta crisis", afirmó. "La confiabilidad de la seguridad empresarial está estrechamente relacionada con el nivel de confianza de los administradores de TI. Es difícil saber con exactitud cuántos administradores de sistemas están abusando de sus privilegios de acceso, pero lo que es seguro es que son suficientes para ocupar los titulares de los periódicos cada semana. Lo más aterrador es que los riesgos de seguridad a menudo provienen de aquellos encargados de asignar los permisos de acceso a los empleados de la empresa".
David Gibson, vicepresidente de Varonis, proveedor de soluciones de gobernanza de datos, también coincidió en que los administradores generalmente tienen la capacidad de acceder a los datos sin que nadie se dé cuenta, pero propuso una cifra relativamente más específica: 50%. Añadió que este problema no solo ocurre con los administradores: la mayoría de los usuarios tienen la capacidad de acceder a más datos de los que su trabajo requiere.
Afirmó que, para resolver este desafío, las soluciones pueden resumirse en dos aspectos: utilizar el modelo de "privilegio mínimo" para reducir la capacidad de acceso de los empleados; y monitorear continuamente a quienes acceden a los datos.
"Las empresas necesitan poder ver qué empleados acceden a qué tipo de datos, a quién pertenecen estos datos y quién ha accedido a cuáles archivos", afirmó. "Sobre esta base, el departamento de TI podrá ponerse en contacto directo con los propietarios de los datos, encontrando un equilibrio entre la reducción de permisos y el mantenimiento de una experiencia de uso aceptable".
Segundo secreto sucio de TI: los empleados probablemente están "haciendo de la empresa su hogar".
Aquellos activos de TI "jubilados" probablemente estén disfrutando de una segunda juventud de maneras sorprendentes.
Los equipos tecnológicos obsoletos rara vez terminan realmente en la basura; a menudo encuentran rápidamente un nuevo hogar. A veces, el "nuevo hogar" coincide con el hogar de los empleados de TI.
"El robo de equipos dados de baja por parte de los empleados no es nada nuevo", señaló Kyle Marks, CEO de Retire-IT, una empresa especializada en fraude relacionado con activos de TI y problemas de cumplimiento de privacidad. "Nunca he conocido a ningún profesional de TI que no se haya apropiado de bienes de la empresa. Para la mayoría de las personas, llevarse equipos ya obsoletos no es gran cosa. Muchos tampoco lo consideran una amenaza a la seguridad: una vez que el equipo se da de baja, lo tratan como algo que pueden desechar a su antojo".
El mayor problema con llevarse equipos del montón de basura o del centro de reciclaje es que es muy probable que aún contengan datos sensibles. Si esos datos llegan a exponerse, podrían causar enormes pérdidas a la empresa, señaló Marks. Por supuesto, incluso si no hay problemas posteriores, este comportamiento en sí ya constituye un robo de propiedad de la empresa.
"El robo y el fraude son situaciones muy graves que muy probablemente puedan provocar incidentes de privacidad a gran escala", añadió. "Si se permite que esta situación se desarrolle, los empleados de TI sin ley podrían llevar a toda la empresa al borde del colapso. Sin embargo, en la mayoría de los casos, los ejecutivos responsables de garantizar que todos los activos sean eliminados adecuadamente (es decir, que se borren todos los datos) suelen ser miembros del departamento de TI. Las empresas necesitan establecer un proceso de 'adquisición inversa' para garantizar que los activos se retiren de sus puestos de trabajo de manera adecuada".
¿Pero todos los empleados de TI extienden sus manos codiciosas hacia el hardware obsoleto? Un profesional senior de disposición de activos de TI que prefirió no revelar su nombre dijo que la situación real dista mucho de la inferencia hecha por Marks.
"No digo que el robo no exista", explicó. "Solo quiero decir que nunca me he encontrado con ningún profesional que tenga un patrón fijo de comportamiento hacia el hardware obsoleto".
También añadió que la mayoría de los equipos que desaparecen se debe principalmente a pérdidas u otras razones difíciles de explicar, como haber sido enviados a un lugar equivocado.
"Esto puede sonar un tanto negacionista; de hecho, muchas empresas se enorgullecen de ofrecer servicios de seguridad con una actitud completamente honesta y confiable, y de mantener su forma de hacer las cosas".
Tercer secreto sucio de TI: almacenar datos en la nube: más peligroso de lo que imaginas.
Si nos enredamos con las disposiciones legales, ningún mecanismo de seguridad en el mundo podrá protegernos.
Almacenar datos en la nube es ciertamente conveniente, pero es muy posible que tengamos que pagar un precio alto por esta conveniencia: en medio de un enredo de litigios legales, nuestros datos podrían desaparecer.
"La mayoría de las personas no se dan cuenta de que cuando sus datos se almacenan en los sistemas de otros en la nube, conviviendo junto a los datos de otras empresas, si la otra parte se ve envuelta en una disputa legal, nuestros datos también pueden verse afectados y verse expuestos públicamente", señaló Mike Balter, director general del grupo de empresas de soporte de TI, CSI Group.
En otras palabras, los datos en la nube de todos podrían verse afectados accidentalmente debido a investigaciones dirigidas a terceros; la mala suerte es la única razón. Una empresa podría sufrir graves pérdidas solo por compartir un servidor con una parte sospechosa.
En enero de 2012 ocurrió un caso típico, cuando las autoridades de Estados Unidos y Nueva Zelanda cerraron el servicio de almacenamiento de archivos MegaUpload de Kim Dotcom. Además de las películas que efectivamente estaban bajo sospecha de piratería, las autoridades confiscaron miles de datos de clientes respetuosos de la ley y se negaron a devolverlos. Hasta el día de hoy, estos pobres usuarios comunes todavía no pueden estar seguros de si sus datos podrán recuperarse.
"El riesgo de que los datos sean incautados es real", confirmó Jonathan Ezor, director de investigación de negocios, derecho y tecnología del Touro Law Center. "Si las fuerzas del orden u otros funcionarios gubernamentales tienen alguna base legal, pueden confiscar dispositivos de almacenamiento o sistemas (en algunos casos especiales puede que necesiten aprobación), y los datos en esos sistemas, sean sospechosos o no, podrían ser privados de ellos. En resumen, cuando los datos de cualquier empresa se almacenan fuera de su control, inevitablemente estarán expuestos a cierto grado de vigilancia, al menos otras personas tienen acceso al mismo hardware".
Para protegerse de esta peor situación, los usuarios deben saber exactamente dónde se almacenan sus datos y qué disposiciones legales aplican en el caso actual, señaló David Campbell, CEO de la empresa de soluciones en la nube JumpCloud.
"Nuestra recomendación es buscar un proveedor de nube que pueda garantizar la ubicación física de los servidores y los datos, como Amazon, para que todos puedan controlar los riesgos desconocidos de manera proactiva", señaló.
Ezor también añadió que cifrar los datos puede evitar eficazmente que quienes obtengan los datos logren interpretar su contenido. Otra buena idea: tener siempre a mano una copia de seguridad de los datos. Realmente no podemos saber cuándo esto podría convertirse en el último salvavidas de la empresa.
Cuarto secreto sucio de TI: los empleados se aprietan el cinturón, pero los jefes emiten cheques sin fondo.
Los de finanzas son los que peor lo tienen.
Para casi cualquier empresa mediana o grande, el proceso de aprobación de compras tiene dos formas de ejecución, señaló Mike Meikle, CEO de Hawkthorne Group, una firma consultora de gestión avanzada y tecnología de la información. Primero está el proceso de compras oficial: lleva muchísimo tiempo y tenemos que pasar por un aro de aprobación tras otro como perritos y gatitos de circo. Además, existe un "carril VIP de diamante" especial, aunque está reservado solo para unas pocas "personas especiales".
"Los ejecutivos de alto nivel tienen su propio canal de compras", explicó. "Para los procesos de aprobación que les tomarían ocho meses a los profesionales de TI, estos ejecutivos suelen completarlos en unas pocas semanas, y esto es una estimación muy conservadora. Yo lo llamo el 'carril VIP de diamante'. En todas las agencias gubernamentales o empresas privadas que he conocido, ninguna ha podido librarse por completo de esta misteriosa vía de compras que solo existe en las sombras".
El proceso oficial está deliberadamente diseñado para poner las cosas difíciles a los empleados, porque no se quiere que gasten el dinero de la empresa, señaló Meikle; claro, a menos que puedan encontrar la manera de acceder al canal secreto. También señaló que, lamentablemente, los CIO a menudo no califican para unirse a este club VIP, lo que significa que las grandes compras tecnológicas a menudo se deciden sin un análisis riguroso de costos o sin considerar la estrategia de TI.
“Salen a almorzar juntos, y los proveedores les susurran dulces palabras al oído; lo que sigue ya todos lo sabemos: se desprenden generosamente de cientos de miles de dólares a cambio de otra solución de gestión de aplicaciones móviles, sin darse cuenta de que la empresa ya tiene una”, dijo indignado. “Ahora tenemos dos soluciones de gestión de aplicaciones móviles: ¿para qué queremos tantas? ¿Acaso se comen?”
Pero no necesariamente es así, según una fuente anónima procedente del ámbito militar y de empresas de la lista Fortune 100. Aunque muchas empresas ciertamente pueden haber evadido el proceso de adquisición estándar, lo que suele estar involucrado son elementos que el departamento de TI necesita urgentemente; se hace así para no perder tiempo en trámites burocráticos.
“Los ejecutivos no técnicos no tienen en absoluto los conocimientos de TI necesarios para tomar grandes decisiones de compra”, añadió. “Si un alto ejecutivo evade el proceso de revisión de adquisiciones, insiste en firmar la orden de compra y exige al proveedor que envíe los productos, entonces todos los errores técnicos posteriores deberían atribuirse a ese tipo mediante mecanismos de rendición de cuentas y trazabilidad. Es como la kriptonita para Superman: su mayor debilidad.”
Quinto sucio secreto de TI: estar en el lado débil de la balanza del soporte al cliente
Los técnicos solo están jugando con scripts
Seguro que esta situación no les resulta ajena: nos comunicamos por teléfono con personal de soporte técnico al otro lado del mundo, pero después de unas pocas palabras nos damos cuenta de que su nivel técnico es insuficiente y de que solo están leyendo un guion. ¿Adivina qué? Lo más probable es que así sea.
“El soporte de TI es un producto básico”, señala Tim Singleton, presidente de Strive Technology Consulting, una empresa de soporte técnico de alta gama que atiende a clientes pequeños y medianos. “La mayoría de las herramientas útiles no cuestan dinero, y los conocimientos que las computadoras exigen al usuario ya no son tan estrictos como antes. La niña de la casa de al lado probablemente tenga tanta capacidad como un experto técnico para resolver los problemas de tu computadora como lo haría una empresa de TI.”
Pero algunos consideran que esta conclusión es demasiado categórica. Si bien algunos problemas simples ciertamente no demuestran la necesidad de un equipo de soporte técnico, el asesoramiento profesional sigue siendo indispensable en problemas complejos, señala Aramis Alvarez, vicepresidente sénior de servicios y soporte de Bomgar, proveedor de soluciones empresariales de soporte remoto de TI.
“Lo inapropiado de llamar al soporte de TI un ‘producto básico’ es que no podemos generalizar todos los problemas técnicos”, dice Alvarez. “Ciertos problemas básicos pueden ser diagnosticados con precisión por usuarios comunes familiarizados con la tecnología, pero no así situaciones más complejas como infecciones de virus. La chica de al lado quizá tenga bastantes conocimientos técnicos, pero al final probablemente cause graves daños a los datos de la computadora.”
Al final, tenemos que pagar un precio aún mayor para reparar el desastre, añade Joe Silverman, CEO de New York Computer Help. Este tipo de problema suele ocurrir cuando las empresas escatiman en tecnología o el departamento de TI interno está sobrecargado.
“En nuestro trabajo diario, descubrimos que muchas organizaciones y departamentos de la ciudad de Nueva York tratan la reparación de computadoras o los puestos de TI de manera descuidada: traen gente de otras empresas, recurren a familiares o reclutan a amigos aficionados”, señala. “A veces los empleados del departamento de finanzas también vienen a resolver problemas informáticos de manera eventual, pero suelen estar demasiado ocupados o carecen de la experiencia suficiente para reparar discos duros, placas base o fuentes de alimentación dañados. Si la red o el servidor colapsan, ¿de verdad piensan depender de un empleado de finanzas para hacer ese trabajo, o prefieren confiar en un ingeniero de redes con veinte años de experiencia?”
Sexto sucio secreto de TI: sabemos mucho más de lo que imaginas
Recopilar datos de forma amplia para dominar toda la información
¿Crees que estás bajo la vigilancia estrecha de la NSA? Comparado con las empresas de marketing de consumo y los corredores de datos, la NSA es en realidad una nimiedad.
El mayor culpable son los casinos, afirma J. T. Mathis, exgerente de base de datos de un casino, quien escribió y publicó “Robo y despojo: a través de la ciudad próspera” basado en su experiencia personal. “Cuando la gente entra a un casino, no solo se juega el dinero: en realidad están arriesgando sus datos personales.” Según las estimaciones de Mathis, la base de datos de marketing de su antiguo empleador contenía más de cien mil nombres de apostadores, activos e inactivos.
“Desde el momento en que pisan un casino, todos sus movimientos son rastreados”, señala Mathis. “Si te sientas frente a una máquina tragaperras, los administradores del casino sabrán tu ubicación exacta, cuántas veces accionaste la palanca y cuántas monedas insertaste; saben que te gusta comer a las 4:30 y que prefieres el plato de langosta. Conocen tus marcas favoritas de cigarrillos y bebidas, y saben si ves pornografía en tu habitación. Y cuando vuelves en verano, detectan de inmediato que la persona que te acompaña no es tu esposa legítima, para que el personal pueda llamarla por su nombre, ‘Cindy’, y no por el nombre de tu esposa, ‘Barbara’.”
Michael Simon, exejecutivo de casinos y profesor actual en la Universidad Estatal de Luisiana, corroboró las declaraciones de Mathis. Pero agregó que la forma en que los casinos recopilan datos no es muy diferente de la de CVS, PetSmart o Amazon.
“La clase de MBA que imparto actualmente se centra en el análisis y la minería de bases de datos, y todas las empresas que hemos investigado recopilan información de los clientes y ofrecen servicios según sus hábitos personales”, dice. Simon, autor de “Mi vida de juego: la perspectiva personal de un ex ejecutivo de casino”, añadió: “Esto se ha convertido en una práctica comercial habitual y no es para nada un secreto inconfesable. Por ejemplo, llevo a mi perro a PetSmart para disfrutar de productos y servicios especiales, y lo que ofrecen sin duda coincide con mis hábitos de consumo; estoy muy satisfecho con ello. Desde otro ángulo, PetSmart en realidad me ofrece de manera muy eficiente lo que quiero, en lugar de perder tiempo preparándome algo que jamás aceptaría, como comida para gatos con descuento o peces tropicales.”
Pero hay una sola diferencia: Mathis fue despedido del casino en mayo de 2012, pero en ese momento aún tenía una copia de la base de datos. Y cuando intentó devolver la copia al casino, tuvo muy mala suerte: se negaron a contestar sus llamadas. Así que, con los datos en su poder, no tuvo más remedio que hablar de esas cosas del juego.
http://developer.51cto.com/art/201311/415064.htm