A partir de los análisis de riesgos y las inspecciones realizadas en la universidad, se detectó entre las vulnerabilidades más notables el hecho de que los usuarios podían hacer cambios esenciales en los sistemas informáticos que los tornaban vulnerables.
Los hechos más notables son:
- Cambios en el escenario aprobado para las PC de la UO.
- Instalación de software obtenido de fuentes poco seguras y sin autorización de las autoridades universitarias.
- Modificación en la secuencia de arranque de las PC de la UO.
Para comprender en toda su extensión el problema, es preciso valorar cada una de estas situaciones.
La Dirección de Informatización valoró un escenario básico a establecer en las PC de la UO y que se aprobó en el Plan de Seguridad Informática (PSI) aprobado en enero de 2017 por resolución rectoral, dejando en manos de los máximos directivos de las áreas, la posibilidad de realizar adecuaciones e instalar aplicaciones necesarias para cumplir las tareas relacionadas con la misión de cada dependencia que permitan desarrollar los procesos sustantivos.
Este mandato se establece en el PSI a través de una política que se acompaña de medidas y procedimientos para hacerla efectiva, dejando claro que el escenario de las PC no pueden ser modificado según el libre arbitrio de los usuarios, por la vulnerabilidad que este tipo de acciones genera.
Al descargar software de sitios de terceros como consecuencia de las leyes del bloqueo o por las limitaciones que poseen los software propietarios, con licencias de uso muy costosas, se acude a estas ubicaciones, donde pueden descargarse, pero manipulados por cibercriminales que les introducen códigos maliciosos que provocan que se hagan realidad diversas amenazas. Por ello es una necesidad que antes de instalar una aplicación exista un análisis previo con su cuarentena informática como mecanismo básico de seguridad, paso que hoy no se toma en consideración por muchos usuarios en la institución.
No es noticia para nadie, en que los últimos años el proceso de infección por códigos malignos ha tenido una tendencia al crecimiento a través aplicaciones extraídas de las redes sociales y de sitios de descargas no oficiales, que son desarrollados en muchos casos para este fin, por tanto los programas “libres” que se promueven, pueden ser una fuente de contaminación para crear equipos zombies, puertas traseras o cualquier mecanismo afín para el desarrollo de acciones delictivas en materia de seguridad informática.
En el caso de la secuencia de arranque de las computadoras, es conocido que el setup permite definir desde que ubicación se iniciará el arranque del sistema operativo en la PC, para ello se protege el setup por contraseña, pues además en este se puede definir otras acciones de comportamiento esenciales de la PC.
La permisión de que el arranque se produzca desde un dispositivo externo (memoria flash o disco externo) o desde un disco compacto (CD) o un disco virtual digital (DVD) da la posibilidad de acceder a los datos almacenados en la PC violando los principios de confidencialidad, integridad y disponibilidad de los datos, que son los pilares de la seguridad informática, pues usar otro sistema operativo permite burlar las directivas de seguridad que están diseñadas para proteger la información de ese ordenador y por ende, manipular la información al antojo del violador de la seguridad. Además esto brinda la posibilidad de burlar los mecanismos de seguridad diseñados en el sistema informático de la UO y por ende poner en peligro la red al abrir una puerta a que una amenaza se convierta en incidente.
Estas mismas razones hacen que se otorguen los permisos administrativos a quienes realmente los requieran para laborar a partir de que mantengan una actitud responsable en el uso e instalación de software, pues descargar un programa y su instalación sin el análisis necesario puede considerarse como un proceder negligente e irresponsable por las consecuencias que puede traer para la red UO.
Estos fundamentos son la base de que lo permisos administrativos quedan en manos del personal de soporte técnico y los administradores de la red y para el personal que previa aprobación por razones plenamente justificadas de trabajo requieran de estas prerrogativas, recordando siempre, que utilizar una cuenta administrativa para el trabajo diario en la PC implica dejar al descubierto los puntos clave del sistema operativo y que una falla del mismo al trabajar desde este ambiente, hace mucho más difícil la recuperación ante cualquier incidente vinculado a fallas del mismo.
Es necesaria la reflexión acerca de la necesidad de la actuación responsable de cada uno de los usuarios en el trabajo con las tecnologías de la información y las comunicaciones como bandera para la prevención de incidentes.