Tópicos y mitos de la Seguridad Móvil

En los últimos tiempos se ha generado una gran atención sobre la Seguridad de los dispositivos móviles. Es natural la preocupación, debido a que la presencia de los Smartphones en las empresas es algo habitual e imprescindible en muchos casos, para la productividad personal o incluso para desarrollar eficientemente algunos procesos de negocios más que otro tipo de terminales informáticos.

Ahora bien, ¿Cuáles son las características particulares a tener en cuenta en la Seguridad de los Dispositivos móviles? ¿En qué se diferencia de las medidas de Seguridad habituales que se toma con otro tipo de terminales o de enlaces? ¿Es verdad que estamos ante una amenaza grave para las organizaciones? ¿Debemos reducir la exposición de nuestros empleados y clientes a la movilidad por estos riesgos?

Particularidades de la Movilidad

Por definición, el dispositivo móvil (Smartphone, Tablet o Phablet) está más expuesto que los terminales fijos a riesgos físicos.  Un equipo fijo está protegido físicamente por la medias de seguridad de las instalaciones donde se encuentra.  Un dispositivo móvil está sujeto a muchos más riegos: extravíos, hurtos callejeros, accidentes.  Estos son mucho más habituales que en los terminales laptop por varias razones: son más fáciles de robar, muchos equipos tienen un alto valor de reventa y son, en general, mucho más frágiles. 

De hecho, la ENISA (Agencia Europea para la Seguridad de Redes e Información), dice que el principal riesgo que corre el usuario de Smartphone es el de pérdida de información por robo o extravío.(https://www.enisa.europa.eu/activities/Resilience-and-CIIP/critical-applications/smartphone-security-1/top-ten-risks). 

Si observamos los otros dos riesgos altos que identifica la ENISA  no tienen que ver con la tecnología Smartphone:

•             Filtrado de información por un mal uso involuntario por parte del usuario

•             Captura de datos por una mala reposición o reciclado de equipos

Es decir, no importa que la tecnología sea más o menos segura. La propia movilidad entraña mayores riesgos y hay que mitigarlos como tales. Tampoco es un elemento novedoso, esto ya se había descubierto hace años con las comunicaciones militares.

El robo de Smartphones en algunas ciudades alcanza proporciones alarmantes y es una de las actividades más lucrativas de los ladrones callejeros: en la foto una Web para combartir los robos en el subterráneo de Buenos Aires.

 

Para la época de la I Guerra Mundial, los equipos de comunicaciones eran grandes y pesados y estaban ligados a una ubicación física.  Una estación telegráfica o central telefónica estaba limitada por el recorrido de sus cables, una estación de radiotelegrafía necesitaba de suministro eléctrico, antenas y operadores especializados. Por eso estaban lejos de las líneas del frente de combate y, por la misma razón, eran fáciles de proteger con tropas, búnkeres y otras medidas.  A la línea de frente se llegaba con mensajeros humanos y a veces por medio de animales (palomas o perros entrenados).

Es algo parecido a lo que ocurría con los equipos comerciales antes de la aparición de la telefonía móvil. A principios de los ´90 me tocó ver como los equipos comerciales de una empresa de consumo masivo en Argentina se reunían diariamente en "sacas". ¿Que era una "saca"? Era un punto de reunión prefijado entre el jefe de la zona y los vendedores (normalmente un bar o restaurante), con teléfono, donde el equipo se reunían ponía en común los pedidos y los transmitía telefónicamente a la central.  Y donde el jefe daba las pautas de los días siguientes a los vendedores.

Cuando se pudo comenzar a miniaturizar los equipos de comunicación por radio, en los años ´30, estos empezaron a acercarse a las "líneas de frente", logrando una comunicación más directa y más rápida con los centros de comando.  La disponibilidad de radio pasó a ser un elemento de ventaja sobre las técnicas más antiguas.  Algo así como el advenimiento de la telefonía móvil e Internet, para la fuerzas de campo en las empresas.

Pronto la radio pasó a ser utilizada por todo tipo de fuerzas móviles: vehículos terrestres militares, aviones, barcos, submarinos y unidades de infantería. Se usaba la radio para todo.  Pero esta creciente movilidad tenía como contrapartida que ya no era tan fácil proteger los equipos de comunicaciones.  Estaban por todas partes y era mucho más fácil extraviarlos o que fueran capturados.

La captura de un equipo u operador de comunicaciones en el frente implicaba dos riesgos: (1) la divulgación de los mensajes ya decodificados y en poder del operador, (2) el acceso a los "libros de claves" para codificar mensajes y (3) el uso del equipo/operador de comunicación apresado para decodificar nuevos mensajes (o incluso enviar mensajes falsos).   Es por esto que, antes de caer en poder del enemigo, la principal obligación de los operadores era destruir los equipos, mensajes y libros de claves (en algunos casos, hasta eliminar al propio operador, como se puede ver en la película Windtalkers).

Sin embargo, pese a los riesgos, nadie dejó de utilizar los equipos móviles de radio. Por el contrario, su uso se hizo cada vez más frecuente.  Las medidas mencionadas anteriormente, por supuesto, reducían la exposición, pero no podían garantizar que ningún equipo fuera capturado y sus secretos divulgados.De hecho, se complementaron con otras estrategias, a saber:

• Una de las principales estrategias que aplican instituciones militares y de inteligencia es la clasificación de la información según su nivel de sensibilidad, es decir según el daño potencial que puede causar su revelación.  De acuerdo con esta clasificación, la información más sensible (ergo, la más potencialmente dañina) debe tener una circulación mucho más restringida. Es decir, limitar el número de copias y retransmisiones, utilizando para esto los medios más seguros y el mayor nivel de protección (esto podía excluir directamente el uso de las radios portables).
  
• Otra estrategia es la fragmentación de la información.  La información no se transmite en forma integral desde la cúpula de las decisiones político/militares.  Cada nivel retiene una parte de los datos y transmite hacia abajo sólo lo que cada unidad subordinada debe saber estrictamente. De esta forma, si se pierde información en la línea de frente, que estos sólo tengan un impacto directo en el ámbito táctico de esa unidad.
  
• Para mitigar el problema de que alguien pueda acceder a descifrar mensajes utilizando equipos, claves u operadores perdidos, la principal estrategia es cambiar códigos y claves con frecuencia.  Adicionalmente, disponer de mecanismos de doble autorización o doble codificación (que requieren la coordinación de más de un operador) para poder acceder a ciertos mensajes.  Por otro lado, se entrenaba a los operadores para disponer de alguna señal o marca que indicara que, en caso de ser capturado, se estaba enviando el mensaje bajo coacción.

De esta experiencia podemos extraer algunas políticas prácticas para un programa de seguridad corporativo:

• Analizar y clasificar los datos según su sensibilidad.  Los más sensibles deben, por definición, escasos.  Si estamos clasificando gran cantidad de datos como, "sensibles" seguramente no estamos midiendo bien el posible impacto de su divulgación. 
• Dar acceso a datos sensibles sólo al personal imprescindible. El número de personas con acceso a los datos más sensibles debe ser muy limitado.
• El personal debe estar adecuadamente entrenado y concientizado para limitar la difusión y el número de copias de los datos sensibles en su nivel de responsabilidad.
• Depurar/Eliminar todo dato sensible cuando ya no sea útil o no tenga ninguna finalidad.
• Establecer mecanismos de doble autenticación para el acceso a datos y procesos críticos (como Fórmulas/Diseños de Producto, Órdenes de Pago, etc).  Que no se pueda acceder, si no interviene una segunda persona responsable de autorizar un acceso o transacción.
• Cambiar claves con frecuencia y establecer mecanismos para protegerlas sin que se generen copias de "ficheros de claves", para lo cual ya existen muchas soluciones.

Niveles de clasificación de la información en el Reino Unido antes y después de 2014
Gráfico de Bobrayner bajo licencia Creative Commons

http://creativecommons.org/licenses/by-sa/3.0/legalcode

(¡Cuidado !  A veces la clasificación de la sensibilidad de la información no es tan evidente, como se indica en este ejemplo, relacionado con Big Data, pero también con un mal análisis de "sensibilidad")

Como podemos ver, si aplicamos estos principios en el marco de un Plan Director de Seguridad de la Información, la mayor exposición de los datos por la pérdida o extravío de equipos móviles se mitiga mucho (aunque la seguridad perfecta no exista).  Al menos, no aumenta el riesgo en una medida que nos haga desistir de usar estos dispositivos en nuestras operaciones de negocios. 

¿Quiere decir esto que no debemos utilizar ninguna tecnología de Seguridad en rspecial para proteger los equipos móviles? No necesariamente.  Estas medidas son las primordiales para prevenir los principales riesgos, como señala la ENISA.  Sin embargo, hay algunas tecnologías específicas que permiten mejorar aún más la seguridad (que perderán eficacia si no forman parte de una programa como el mencionado).  Enumeraremos las más comunes y eficaces:

• Borrado remoto: la mayoría de los sistemas de gestión de movilidad para empresas, facilitan la posibilidad de realizar un bloqueo y un borrado automático del equipo, reduciendo la posibilidad de que los datos puedan ser leídos por personas no autorizadas.
  
• Antivirus/Antimalware: los sistemas operativos móviles están siendo invadidos cada vez más por virus y malware,  que pueden causar trastornos como el re-envío de datos que el usuario guarde en el dispositivo (claves, números de tarjeta) hasta el bloqueo de terminales o aplicaciones, causando un problema de pérdida de productividad.  Es necesario disponer de alguna capa de protección de este tipo.  Los fabricantes apelan a diferentes estrategias al respecto.
  
• Políticas de descarga de aplicaciones: una de las vías más peligrosas para la seguridad del móvil es el proceso de descargas desde una tienda abierta como Google Play o Apple Store.  Actualmente, un móvil corporativo puede configurarse para aceptar o rechazar determinadas descargas de aplicaciones, evitando también aplicaciones maliciosas o que puedan poner en riesgo el equipo (por ejemplo, informando la localización de una persona cuando ésta deba ser confidencial).

En síntesis, en mi opinión no hay motivo para limitar nuestra exposición en el "mundo móvil", son muchísimo mayores las ventajas que los riesgos. El empleo masivo de la tecnología de Smartphone no agrega mayores desafíos a una organización que cuente con una adecuada planificación de Seguridad de la Información, que incluya un detallado análisis de la sensibilidad los datos y un adecuado programa de sensibilización y formación del personal, sobre todo entre quienes manejen información más sensible. Por supuesto, hay algunas medidas adicionales que se pueden tomar para mitigar contigencias y mejorar la productividad, pero son accesorias al Plan Director de Seguridad. 

Lecciones de Big Data Analysis en la guerra de Malvinas

Como sabemos, el paradigma del Big Data o, más precisamente, Big Data Analysis, ha pasado a ser en los últimos años un elemento estratégico para las empresas, dadas las enormes capacidades que brinda de aprovechar la actual "explosión de datos", para crear nuevas fuentes e ingresos, obtener ventajas competitivas y optimizar los procesos operacionales.

Existiendo consenso alrededor de este hecho, el principal problema que se plantean las empresas es: ¿Cómo empezar? ¿Qué cambios tecnológicos, de procesos y organizativos derivan de la implementación de un programa de Big Data en una compañía? Alrededor de este problema se ha generado una creciente industria de servicios de consultoría, formación, herramientas, libros y otros.

Realmente, no es que no hubiera fundamentos al respecto.  La mayoría de los programas de Big Data actuales se basan en las metodologías, más o menos estandarizadas, que se utilizaban para los proyectos de Business Intelligence o Data Mining, que vienen de los años ´90.  Actualmente, muchos especialistas trabajan en adaptar estas metodologías para aprovechar herramientas recientes (como Hadoop) y, sobre todo, encontrar formas de obtener resultados más rápido o, por lo menos, más alineados con el margen temporal de que disponemos para el análisis de datos sea realmente relevante.

Existen, accesibles por Internet, múltiples ejemplos de metodologías para impelementar programas de Big Data, propuestos por diferentes expertos y empresas de consultoría y formación. Cada uno tiene sus matices y ventajas, pero no vamos a centrarnos en ellos en detalle.  Un ejemplo de intento de aportar mejoras al enfoque de Gestión de Proyectos de Big Data, lo podemos ver aquí en el trabajo de Tifani Crawford, publicado por el PMI, pmisv.org/.../1028-tiffani-crawford-presentation.

Pero, por simplificar, asumamos que las metodología de Data Mining son adecuadas para iniciarse en el campo y entender luego la evoluciones de los últimos años.  Un punto de partida puede ser Cross Industry Standard Process for Data Mining, (CRISP-DM), un modelo de procesos que surge de una síntesis, realizada en base a encuestas por el gran Gregory Piatetsky-Shapiro, uno de los pioneros de la disciplina, autor del primer libro canónico en 1991, "Knowledge Discovery in Databases (AAAI/MIT Press, 1991), que leíamos todos en esa época.  La otra metodología, aunque menos usada, es SEMMA (Sample, Explore, Modify, Model and Assess), desarrollada por el  SAS Institute, pero esta está orientada a los negocios.

Metodología CRISP-DM
Gráfico de Kenneth Jensen (https://creativecommons.org/licenses/by-sa/3.0/legalcode)

La metodología CRISP-DM prevé 6 fases secuenciales, con una posible iteración a partir de resultados de las "muestras" evaluadas (flecha de evaluación a Business Understanding).  

La primera fase es bastante evidente, consiste en definir los objetivos que se pretenden lograr desde el punto de vista del negocio (generar más ingresos, mejorar en un grado la fidelidad o satisfacción del cliente, etc) y luego definir el problema en términos de "minería de datos" (o big data analytics), y un plan preliminar diseñado para alcanzar los objetivos. En este punto no se requiere realmente un conocimiento especializado, más allá de los beneficios de la tecnología, y cualquier persona de negocios con un mínimo de formación debería alcanzarlo.

Actualmente, este punto resulta más fácil de abordar desde el punto de vista del benchmarking. Existen ya cientos de ejemplos que utilizan esta tecnología para lograr ventajas competitivas y generar nuevos negocios.  Por supuesto, todavía surgen ideas creativas o variantes a partir evoluciones en los mercados, la disponbilidad de datos y de la tecnología.  Es el terreno de los entrepreneurs o intrapreneurs pero, sobre todo, para el que recién se inicia es importante analizar la experiencia de los que ya hicieron un camino y, afortunadamente, hay muchos ejemplos en los que apoyarse.

La fase 2 es más compleja y requiere comenzar a dominar algunas técnicas que vienen del mundo de la estadística, de la lógica, de la inteligencia artificial y de machine learning.  Como decíamos en otro post (http://gestionyti.blogspot.com.es/2015/06/big-data-los-origenes.html), muchas de estas técnicas son muy antiguas (como la regresión), pero es necesario conocerlas y saber cuáles son las ventajas y desventajas de cada una de ellas.

Otro aspecto particular a entender muy bien son los propios datos.  Generalmente no existe un mundo perfecto donde recibimos conjuntos de datos bien estructurados, completos, relevantes, consistentes entre si y sin errores.  Por el contrario, apenas empecemos a buscar una utilidad práctica nos damos cuenta que nos faltan datos relevantes, que hay un porcentaje de errores difíciles de detectar, que hay cientos de atributos irrelevantes, etc. Para el análisis de los datos es importante contar con dos buenas condiciones de partida: conocimiento del campo, técnicas estadísticas y una dosis de sentido común.

No es un atributo necesariamente de un informático o un programador. Un buen ejemplo de análisis de datos y de esta combinación de habilidades se puede extraer de la guerra de Malvinas en 1982, mucho antes de que se elucubraran los términos de Data Mining o Big Data.  En dicho conflicto uno de las principales desventajas de las FF.AA. argentinas era no disponer de información de reconocimiento aéreo (o satelital) acerca de la ubicación de la flota británica, mientras que la Royal Navy tenía a su disposición los satélites militares de la OTAN, que podían establecer con precisión y en un tiempo adecuado la situación de cada unidad argentina.

Sin embargo, Argentina formaba parte del consorcio Landsat, que proveía a los países firmantes de información satelital meteorológica (con horas de delay respecto del barrido).  El Administrador de la plataforma, EE.UU., evaluó que la baja resolución de las fotos y el delay de entrega, hacía inviable que esta fuera usada con fines militares, así que, a pesar de alguna duda inicial, autorizó que se siguieran sumistrando las imágenes, como se ve en el documento desclasificado abajo. 

Efectivamente, extraer datos de inteligencia relevantes de estos datos era una misión prácticamente imposible. La Fuerza Aérea Argentina, la cual recibía los informes meteorológicos, se enfrentaba a un problema típico de análisis de datos: lo que recibían no era completo, no llegaba a tiempo ni tenían el grado de exactitud (resolución en este caso, necesaria).  Podía ser que tuvieran decenas de blancos factibles "invisibles" ocultos en un mar de millones de pixeles satelitales.

Foto satelital de baja resolución de las Islas Malvinas
Ejemplo de lo que recibían analistas fotográficos para buscar barcos enemigos

Sin embargo,contaban con Cora S., una licenciada en Astronomía y experta en análisis de fotografías satelitales.  En el libro "Relaciones carnales: la verdadera historia de la construcción y destrucción del Misil Condor II", Eduardo Barcelona y Julio Villalonga, se relata someramente la solución a este problema.

[...a Cora “se le ocurrió que con los 80 metros de rango de definición que nos habían dejado en el satélite los norteamericanos se podía buscar algo en la zona del conflicto: podía existir la posibilidad que detectáramos a los barcos ingleses. La idea era que si mandábamos una onda de rayos infrarrojos al satélite y rastreábamos la zona alrededor de las islas podíamos localizar la estela de las naves, porque las turbinas calientan el agua. De acuerdo con el calor que detectáramos podríamos inferir a que distancia del lugar estaba el buque que había pasado por allí, porque relacionándolo con el grado de temperatura que observáramos, sabríamos cuanto tiempo hacía que había pasado por el lugar. Era como mirar por el ojo de la cerradura un cuadro de dimensiones fantásticas. Pero esa genialidad dio resultado y varias de las operaciones que hizo la fuerza, y en las que se hundieron barcos ingleses, fueron un éxito por eso”

Cora había encontrado la manera de darle significado a los escasos datos que tenía, utilizando los tres elementos que mencionamos antes:

- sentido común (de irradiar las imágenes del satélite con rayos infrarrojos debe dar como resultado una imagen térmica)

- conocimiento especializado del campo (las turbinas producen variaciones de temperatura en el agua y son visibles en una imagen térmica, y el agua luego va volviendo a la temperatura ambiente normal, dejando una "huella" térmica)

- métodos estadísticos (extrapolar las coordenadas de la ubicación de los barcos, tomando como base las distancias y trayectorias, para completar los huecos)

Conseguiendo predecir con exactitud la ubicación de los buques británicos lo que llevaría a los pilotos a sus blancos.  Cabe aclarar que en este caso, la precisión era fundamental dado que los aviones sólo tenían autonomía para permanecer unos pocos minutos sobre el área de ataque, no podían dar vueltas buscando blancos (además de que esto aumentaba su vulnerabilidad).  Aunque encontrar el blanco era sólo la primera parte (aunque fundamental) del problema.

Imagen de la cineametralladora de un avión argentino atacando a una fragata  británica en vuelo rasante
Nótese el reguero de disparos en el agua

En definitiva, antes de tomar decisiones precipitadas es necesario analizar adecuadamente los datos en su contexto y contar con el expertise adecuado en las disciplinas mencionadas. A veces, es posible "obtener petróleo" a partir de datos aparentemente incompletos y podemos no darnos cuenta de ello.

El rol de los empleados en la Seguridad de la Información

En un viaje a Bogotá en abril de 2014, el equipo de Reporte Digital me invitó a participar de uno de sus informes sobre temas de Seguridad de la Información, junto con mis colegas Raquel Pérez Serrano, Alicia Fuertes y Eduardo Parra.  De ahí salió este video, donde me preguntaron sobre las principales amenazas que sufrían las empresas en este campo y cómo enfrentarlas.

Me pareció especialmente muy bien enfocado que se centraran sobre el rol de los empleados no especializados en Seguridad o en IT, muchas veces olvidado en la actual vorágine de información sobre nuevas ciber-amenazas  (y sus correspondientes contramedidas), que es un elemento fundamental en cualquier Plan Director de Seguridad Informática.

http://reportedigital.com/seguridad/empleados-proteccion-informacion-deben-saber-empresas/.