Luego de trazar el listado de tareas que un administrador de sistemas debe controlar en su infraestructura, nos detendremos a detallar otros elementos relacionados con la seguridad que se deben revisar. Así es: hay algunas cosas más que también son responsabilidad del sysadmin, y a continuación completamos la lista.
- Inventario de equipos
Tener un control de todo el parque es indispensable para una buena gestión del servicio. Tener una lista con los equipos hasta ahora era relativamente sencillo, pero con la virtualización, el número de equipos crece considerablemente. No solo es importante el inventario, sino el nivel de detalle que necesitamos para realizar nuestro trabajo.
- Política de auditoría interna y externa continua
Si tienes la suerte de poder contratar una auditoría de seguridad cada cierta cantidad de meses eres afortunado, pero esto no es suficiente. Hay que establecer una política de auditoría continua, o lo más continuada posible, para detectar todos los puntos débiles que existieran.
- Inventario de software y versiones
Saber qué aplicaciones se ejecutan en la empresa y su versión actual es necesario, ya que el típico ejemplo de un Adobe PDF Reader no actualizado puede ser el punto de entrada a la infraestructura. Se debe tener todos los servicios que se ofrecen controlados, lo que llamarían CI (elemento de configuración) en el mundo ITIL.
Por ejemplo, un servidor que ejecuta un proceso mediante el programador de tareas. Esto es un elemento que debemos supervisar, y no esperar el "madre mía" cuando ha fallado una ejecución y ese mes no se mandan las nóminas al banco.
- Política de actualización de sistemas operativos
Tener un sistema centralizado de aprobación de actualizaciones para los sistemas operativos. No solo actualizar, sino tener un laboratorio para realizar las pruebas.
- Política de actualización de software convencional
Con "convencional" aquí me refiero a no actualizable mediante Windows Update, por ejemplo. Como decía anteriormente, debemos controlar las versiones que tenemos instaladas, pero sobre todo para poder actualizarlas.
- Políticas de seguridad técnicas para normativa LOPD
La Ley Orgánica de Protección de Datos de Carácter Personal (LOPD) es una ley orgánica española que tiene por objeto garantizar y proteger El tratamiento de los datos personales. Obliga a personas y empresas que dispongan de datos personales a cumplir una serie de requisitos y aplicar determinadas medidas para protegerlos.
En ese sentido, un sysdamin debe revisar el correcto funcionamiento de las típicas medidas de seguridad que nos exige la LOPD como el cambio de contraseñas, su complejidad y longitud, el bloqueo de sesiones, la gestión de archivos temporales, etc.
- Licencias de software
Tener controlado el inventario de licencias de los sistemas operativos y las aplicaciones que se usan también es parte del trabajo del administrador de sistemas.
- Estrategia para BYOD y dispositivos móviles en general
Establecer una estrategia que impida fugas de información en dispositivos móviles y garantizar el cumplimiento de las políticas de seguridad impuestas en la empresa. Por ejemplo, si se pierde el Iphone del jefe, o si se puede navegar por ciertas páginas web desde el portátil de empresa.
- Proxy interno para protección web
Es importante gestionar la navegación de los usuarios dentro de la red para proteger a los mismos de sitios maliciosos, o garantizar el cumplimiento de la política de seguridad de la empresa. Por ejemplo, no en todas las empresas o universidades se puede usar Facebook o YouTube.
- Política empresarial de seguridad
Tus usuarios son el último eslabón en la cadena de la seguridad. Trabajar en la concienciación de la cultura de la seguridad te ahorrará muchos dolores de cabeza, y en ese sentido es importante realizar demostraciones y pruebas, ejemplificar la identificación de campañas de phising y otras posibles amenazas para que todos sepan cómo combatirlas.
Seguro que me dejo en el tintero mucho trabajo relacionado con la seguridad, pero espero que al menos estos términos os ayuden en vuestro trabajo diario como administradores de sistemas concienciados con la seguridad y les sirvan para ordenar su trabajo cotidiano.
