Seguridad informática · Diagnóstico y lo básico
Lo básico, revisado en serio, por alguien que no tiene nada que venderle.
Contraseñas, backups, actualizaciones y accesos. Se lleva un panorama claro de dónde está parado y una lista simple de qué arreglar primero.
Nadie lo está apuntando a usted. Eso tranquiliza menos de lo que parece.
Lo que le llega a una empresa de su tamaño casi nunca es una persona que
lo eligió. Es automático, no distingue, y cae sobre quien dejó algo abierto.
O sea que la pregunta no es si usted es interesante. Es si lo básico está en su lugar, y en la mayoría de las empresas nadie lo revisa hace años.
O sea que la pregunta no es si usted es interesante. Es si lo básico está en su lugar, y en la mayoría de las empresas nadie lo revisa hace años.
El incómodo son los backups. Casi todos los tienen. Muchos menos restauraron
alguna vez desde uno, y un backup que nadie probó es una creencia, no un
backup.
Nada de esto es trabajo exótico. Es el mantenimiento que nunca entra en la semana de nadie.
Nada de esto es trabajo exótico. Es el mantenimiento que nunca entra en la semana de nadie.
Qué miramos
Cuatro áreas. Cubren la mayor parte de lo que sale mal.
Cómo se manejan las contraseñas
Dónde se guardan, cuánta gente comparte una, y si el segundo factor está
activo en las cuentas que importan. El correo primero, porque el correo
es por donde se resetea todo lo demás.
Si los backups funcionarían
No si corren. Si alguien probó una restauración, cuánto tardaría, y si
existe una copia en algún lugar al que un ransomware no llegue junto con
todo el resto.
Qué está desactualizado
Sistemas, servidores y esa máquina en el rincón que corre algo que nadie
se anima a tocar. Normalmente hay exactamente una, y normalmente es importante.
Quién puede ver qué
Incluida la gente que se fue. Las cuentas viejas y los usuarios compartidos
son el problema más silencioso de esta lista y el más fácil de resolver
una vez que alguien lo escribe.
Cómo funciona
Tres etapas. Puede parar después de cualquiera, y mucha gente para después de la primera.
Diagnóstico
Una o dos semanas, precio cerrado. Conversaciones y revisiones de solo
lectura, nada corriendo contra producción que pueda tirar abajo un sistema.
Se lleva un panorama escrito de dónde está parado y la lista ordenada de
qué arreglar. Eso es un entregable completo y queda suyo igual.
Lo primero de la lista
Arreglamos los puntos baratos que más compran, que normalmente son unos
pocos días. Si tiene gente de sistemas, esta parte la pueden hacer ellos,
y preferimos darles una lista clara antes que cobrarle por hacerlo nosotros.
Mantenerlo así
Una prueba de restauración y una revisión con calendario, porque todo
esto vuelve para atrás en un año si nadie mira. Chico, aburrido, y la única
parte que hace que las dos primeras valgan algo.
Para quién es esto
Es para usted si
- Dirige una empresa de unas 10 a 200 personas y nadie tiene “seguridad” en el puesto.
- Tiene backups y no está seguro de que alguien haya restaurado desde ellos.
- Un cliente o una aseguradora empezó a hacerle preguntas que no sabe contestar.
- Quiere una respuesta directa y no una recomendación de producto.
Probablemente no, si
- Necesita una auditoría formal de certificación. Es otro oficio y lo derivamos.
- Está en medio de un incidente ahora mismo. Llame a una firma de respuesta, no a nosotros.
Lo que nos preguntan
- ¿Esto es un test de penetración?
- No, y para la mayoría de las empresas de este tamaño un test de penetración es lo primero que no conviene comprar. Le dice cómo alguien podría entrar por una puerta que todavía no cerró con llave. Nosotros miramos si las cerraduras existen, que es más barato de responder y casi siempre es donde está el hueco real.
- ¿Hace falta si somos demasiado chicos para ser un objetivo?
- Nadie está eligiendo su empresa en particular. Ese es justamente el punto: casi todo lo que le llega a un negocio chico es automático y no distingue, y cae sobre el que dejó la puerta abierta. El tamaño lo protege de ser elegido y nada de ser agarrado.
- ¿Qué recibimos en concreto?
- Un panorama escrito de dónde está parado y una lista de qué arreglar, en orden, con una estimación honesta del esfuerzo contra lo que le compra cada punto. Escrito en un idioma que le puede pasar a un gerente que no es técnico. La lista queda suya, haga o no haga el arreglo con nosotros.
- ¿Nos van a decir que compremos mucho software?
- No vendemos productos de seguridad ni cobramos comisiones, así que no hay nada de nuestro lado empujando para ese lado. En la práctica lo primero de la lista suele ser gratis: activar el segundo factor, borrar las cuentas de los que se fueron, probar de verdad una restauración.
- ¿Pueden arreglar lo que encuentren?
- Lo técnico sí, y la lista va a decir con claridad cuáles son esos puntos. Parte de lo que aparece no es un problema técnico sino una costumbre o un contrato con un proveedor, y cuando es así se lo decimos en lugar de cobrarle por esquivarlo.
- ¿Cuánto tarda y cuánto molesta?
- Una o dos semanas, sobre todo conversaciones y revisiones de solo lectura. No corremos nada contra producción que pueda tirar abajo un sistema. Lo que más le va a pedir son unas horas de la persona que sabe cómo se armaron los sistemas.
¿Cuándo fue la última vez que alguien restauró un backup?
Llame a la oficina más cercana. Si sabe la respuesta, probablemente no nos necesite. Sin secuencia de ventas.