Una de las situaciones más recurrentes dentro de las empresas resulta ser la gestión de la seguridad en relación a los usuarios VIP, por ejemplo el dueño de la compañía, gerencias entre otros. En este aspecto se remarcan pedidos exigentes, que van desde la instalación de aplicaciones hasta la protección de información confidencial; entonces, ¿cuáles serían buenas prácticas frente a este escenario?

La charla que vimos en Segurinfo estuvo a cargo de Emiliano Tissera, quien trabaja como consultor para la empresa CYBSEC. Estos consejos resultan interesantes para la administración de usuarios VIP, debido al tipo de información que albergan en sus dispositivos.

El especialista habló a grandes rasgos sobre el panorama que se vive actualmente, distinguiendo dos personalidades bien marcadas en cuanto a administradores de usuarios VIP. Por un lado se encuentran los administradores que se lo toman muy seriamente, con los recaudos y la implementando de políticas y medidas necesarias. Como contraparte, el orador mencionó a las empresas que no les dan ningún tipo de importancia a estos usuarios, sin comprender definitivamente el riesgo que esto conlleva.

Teniendo en cuenta que para este tipo de usuarios las medidas de seguridad suelen dificultar algunas tareas, una de las recomendaciones a tener en cuenta es contar con una red inalámbrica exclusiva para ellos. Esto permitirá mantener aisladas las posibles infecciones en estos equipos.

Tissera señaló que actualmente predominan dos plataformas en las empresas, Mac OS X y Microsoft Windows. También señalo que en el último tiempo Windows se ha vuelto más robusta, mientras que en los últimos meses, OS X y Linux se han visto comprometidos a través de diversas vulnerabilidades masivas tales como Shellshock.

Por otra parte, a la hora de crear políticas de seguridad, es completamente necesario asegurarse de estar a la altura de los requerimientos necesarios para poder implementarlas. Algunos de estos aspectos, que se han vuelto fundamentales, son el firewall y el cifrado de archivos y discos. En este bloque se mencionaron fundamentalmente las opciones que trae por defecto cada uno de estos sistemas operativos, haciendo foco en la importancia de las mismas, para usarlas y prevenir la fuga de información.

Luego de las recomendaciones a la hora de proteger la información, no faltó el paréntesis para remarcar la importancia de las contraseñas robustas.

La presentación también abarcó las centrales telefónicas VoIP y la importancia de cifrar las comunicaciones en las mismas, para evitar la intervención en las llamadas. De la misma forma, hizo mención a cifrar tanto dispositivos móviles, como utilizar aplicaciones en los mismos para cifrar las comunicaciones punto a punto, inclusive las llamadas.

Recomendó no agregar cuentas corporativas en dispositivos móviles personales, mucho menos si estos están “rooteados”. Debido a que root es el súper usuario con todos los privilegios, ante la infección de algún tipo de amenaza, esta tomaría los permisos haciendo muy difícil la tarea de erradicarlo. De todas formas, hay ciertas prácticas que se pueden implementar para controlar a súper usuarios en una red corporativa.

Con todo lo visto, se reforzó la idea de formar políticas de seguridad en dispositivos móviles fuertes, adaptadas a la realidad de cada empresa.

Por último, se hizo una importante mención a las aplicaciones de mensajería instantánea para dispositivos móviles. Remarcando las más conocidas actualmente como son WhatsApp, BlackBerry Messenger, Line entre otros, resaltando sus características para tener presentes a modo de comparación, se hizo especial énfasis en la falta de controles.

Desde mi experiencia personal, coincido en que este tipo de personalidades “VIP” suelen representar un desafío a diario. Tal como remarcó Emiliano Tissera, muchas veces no se toma conciencia de los peligros a los que son expuestos estos usuarios, tales como ataques dirigidos o fuga de información entre otros (teniendo en cuenta la información que utilizan), mientras que a veces se responsabiliza al usuario VIP.

Realmente cuando un incidente de este tipo ocurre, es un problema que compete directamente al área de seguridad, ya que son los encargados de velar por la protección de sus usuarios e información. Por eso es recomendable tomar los recaudos necesarios, para que este tipo eventos no ocurran.