Muchos CSO ignoran la realidad de las amenazas actuales

A Richard Ramírez se le recuerda en todo el sur de California por el terror que generó a principios de los años 80.  A este asesino en serie, que murió en prisión a principios de este mes, se le conocía como el “acosador nocturno”, y era conocido por la facilidad con que entraba en las casas de sus víctimas.  Pero él no forzaba las puertas y entraba, ni rompía las ventanas o escalaba chimeneas, simplemente se colaba en las casas por puertas sin cerrar o ventanas abiertas de par en par. Muchos de sus crímenes los realizaba además en las cercanías de autopistas para facilitar una rápida huida.

Lo que es muy interesante destacar de las víctimas de Ramírez, es que aunque toda la ciudad estaba al tanto de que había un asesino en serie suelto, la gente seguía dejando sus ventanas abiertas de par en par y las puertas sin cerrar.
¿Qué hace que la gente sea tan laxa y permisiva en un caso de peligro conocido y omnipresente?.

Es lo que podemos denominar síndrome de “eso no me ocurre a mí”.  Es lo opuesto al efecto de la “seguridad de los grandes números”.  Es cuando la gente cree que en una situación tan enorme, ellos no pueden ser el objetivo, porque “en una gran ciudad con miles de casas y cientos de miles de personas, seguro que nadie va a parar en mi casa y elegirme precisamente a mí”.  Y eso es lo que hizo Ramírez.

Pasemos ahora a la actualidad y a las amenazas conocidas como Advance Persistent Threats (APT), que son un peligro claro y omnipresente. Hay muy pocas personas de negocios o profesionales de las TI que no hayan oído hablar de los hackers chinos que atacan nuestros sistemas y roban información valiosa a través de las APT. Mandiant publicó información sobre las APT por primera vez en su informe de M-trends de enero de 2010. En el último informe Mandiant APT1 indica una amplia campaña de espionaje, orquestada por un grupo basado en China, que se remonta hasta 2006. De hecho, según este informe, este grupo tuvo acceso a las redes de sus víctimas una media de 365 días al año.

Y todavía, frente a este peligro, seguimos teniendo muchas ventanas y puertas abiertas.  La última evaluación de Mandiant indica que el número medio de días que los hackers están en la red hasta que son detectados, es de 243 días.  Sistemas sin proteger, cuentas privilegiadas inadecuadamente protegidas, confiar en anti-virus como toda seguridad, todos estos son ejemplos de ventanas abiertas y puertas que permiten que un atacante entre fácilmente en la red y tome toda la información valiosa que desee.

Y estos atacantes no sólo es que accedan a nuestros sistemas, sino que vuelven vez tras vez y saquean a voluntad. El informe APT1 revela que estos atacantes regresan a las redes de sus víctimas periódicamente durante meses o años, robando información valiosa de negocio como informes de nuevas tecnologías, nuevos procesos de fabricación, planes de negocio, precios, etc. Y las puertas estaban abiertas, las ventanas estaban abiertas y los atacantes entran en nuestras “casas” corporativas a voluntad. Para terminar la historia, podríamos haber puesto un cartel de bienvenida.
Como con Richard Ramírez, conocemos la amenaza, somos conscientes del peligro, pero ¿cuántos de nosotros hacemos algo al respecto?. ¿Vamos por nuestras “casas” corporativas buscando las ventanas abiertas y cerrando las puertas o nos escondemos detrás de la fachada de “eso no me va a pasar a mí”?

La fachada del “no me va a pasar a mí” sólo funciona hasta que alguien te ataca, y entonces ya es demasiado tarde para hacer algo.