El "Factor Humano"

Estimada Familia.

NO me quedé tranquilo en el debate de los Antivirus y el tema del "Factor Humano", (y por no mezclar temas), creo este nuevo.

Como NO me quedé tranquilo, he estado tirando de archivos hasta dar con el que quería.

Se trata de la "GUÍA DE SEGURIDAD DE LAS TIC (CCN-STIC-400)":

---

Descarga desde: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

---

Que dicta:

"El factor humano es el elemento más vulnerable en el marco de la seguridad de las tecnologías de la información y comunicaciones (STIC). La ingeniería social es tan efectiva que raras veces hay que recurrir a un ataque técnico, además constituye el ataque más fácil y menos complejo.
¿Qué es más fácil?... pasar días o semanas probando la robustez de una red buscando sus debilidades con la posibilidad de ser detectado por un sistema detector de intrusos o por el contrario convencer al administrador de la red de que necesitas un acceso a la misma. Un "hacker" amateur se decantaría por la primera opción y atacaría directamente al Sistema, mientras que un "hacker" profesional aprovecharía las vulnerabilidades que presenta la persona.
No todos los ataques con éxito basados en ingeniería social son debidos a la ingenuidad de los empleados, la mayoría de los casos se debe a la ignorancia de buenas prácticas de seguridad y a la falta de concienciación por parte de los usuarios del Sistema. Cuanto más sofisticadas son las tecnologías empleadas para proteger la información, los ataques se van a centrar más en explotar las debilidades de la persona.
El usuario del Sistema constituye el mejor aliado para la seguridad ya que puede detectar problemas y totalizan de largo más de la mitad de la información del Sistema. El problema es que los usuarios necesitan ser formados/mentalizados y hay que saber como hacerlo.
De lo contrario, el usuario se erige como el peor enemigo por el desconocimiento de buenas prácticas de seguridad, por su afán de modificar las cosas y ser un componente inconformista.
Como conclusión, no hay que olvidar que los usuarios son la principal razón para tener un sistema de información pero sin perder de vista que estos constituyen una amenaza significativa y poco considerada. Se percibe que los agentes internos serán responsables de la mayoría de las pérdidas económicas de una Organización sin poder ser anulados de forma completa."

De ahí mi insistencia en que "el Factor Humano es el primer y el último eslabón en la cadena de Seguridad"

Ahora os toca a vosotros. ¿¿Qué opináis??

Saludos Cordiales.

Pues básicamente mi opinión sigue siendo la misma:


Dice una frase "No existe parche para la estupidez humana" y es por todos sabido que es el eslabon mas debil a romperse en una estructura orientada a la seguridad, pero hacer una analogia entre esa realidad y llevarla al nivel de "no usar antivirus" seria algo absurdo, es decir lo antivirus no garantizan tu seguridad, de hecho ningun elemento informático lo hace (IDS, ACL, Firewalls, Antivirus, etc...) En seguridad informatica el objetivo es "minimizar el riesgo" de un ataque, o de una infeccion. Y a medida que se agregan capas de seguridad ese porcentaje va disminuyendo (pero nunca llegara a cero), por ejemplo:


Un equipo corriendo XP des-actualizado,
sin antivirus,
con el firewall apagado y
conectado a una lan inhalambrica que usa WEP
y que en su puerta de enlace tiene el acceso remoto habilitado
y en la silla un usuario sin formacion tecnica ni sentido comun usando una cuenta con permisos admisnitrativos.


Con la descripción anterior las probabilidades de infeccion son muy altas, considerando la cantidad de malware que hay en la red yo diria que el chance de ser cojido es de un 88%, pero si empezamos a corregir una por una "one by one" ese 88 va cayendo hasta llegar lo mas bajo posible:


Actualizamos el sistema operativo a una version mas moderna (windows 8.1) 83%
Instalamos antivirus (de esos que tienen proteccion web, anti-phishing, sandbox, etc..) 78%
Configuramos politicas correctas en el firewall 74%
Habilitamos WPA2-PSK a modo de seguridad en la lan wireless 65%
Apagamos el acceso remoto en la puerta de enlace 60%
Se le obliga a tomar formacion tecnica al usuario 48 %
Se le asigna una cuenta sin permisos administrativos 40%


Fijate que aun haciendo todas esas cosas aun no estamos seguros (nos quedan los 0days, la ingeniería social, la infección por medios extraibles, los ataques DoS, los ataques por diccionarios, etc..) pero indudablemente se necesitan todas las capas de seguridad que se puedan agregar a un entorno.


Saludos por allá bibliotecario.

Yo con estoy deacuerdo con lo anterior expuesto, es obvio que cada medida de seguridad minimiza daños, pero teniendo un buen antivirus, un linux (por tener menos riesgo de virus) pero te instalas todos los programas, cuando te salta una alerta de web en vez de cerrar la web desactivas 20 minutos el antivirus, y eres tan afortunado que siempre eres el visitante 100.000 y te han tocado xbox ps4 bmw a raudales.... pues es obvio que como dice CLOudswX

CitarDice una frase "No existe parche para la estupidez humana"

.


Pd: Ese es mi punto de vista saludos