Hola soy David Marquina, CTO de Encora y hoy os voy a hablar de un tema de ciberseguridad que está en boca de todos: el modelo de trabajo IT.
Spectre y Meltdown: vulnerabilidades de 2018
Como todos sabéis, el comienzo de este 2018 ha sido bastante movido a nivel de ciberseguridad. Comenzábamos el año con las vulnerabilidades Spectre y Meltdown, que afectan a la mayoría de los procesadores que podemos encontrar en el mercado. De hecho, pensaba escribir un post acerca de su mitigación, pero hacerlo a día de hoy, es un ejercicio de incertidumbre.
Y lo es. Apesar de que los parches han sido publicados a principios de enero, actualmente no sabemos ni conocemos el impacto real en el funcionamiento de los sistemas. O bien, sí que lo sabemos por experiencias personales y concretas, pero no hay ningún comunicado oficial al respecto por parte de los fabricantes.
Incremento de recursos
En Encora hemos experimentado un incremento en las necesidades de recursos de CPU de un 10% (aproximadamente) en los servidores de propósito general y de un 20% en aquellos destinados a funciones de BD.
Éstos son porcentajes aproximados, ya que hay equipos en los que el incremento de uso puede ser mucho mas ostensible y en otros, prácticamente imperceptible.
Y todo esto, sin hablar de las numerosas incompatibilidades que los antivirus más habituales en el mercado han mostrado con estos parches.
La Ciberseguridad y el modelo de trabajo IT
El resumen de todo esto es: parchear contra estas vulnerabilidades es algo necesario y que no se puede olvidar en el tiempo. Pero debe ser analizado y preparado conscientemente para evitar sorpresas inesperadas.
Sin embargo, mi intención con este post, va mucho más allá. Las últimas alertas sobre vulnerabilidades críticas que nos han afectado, deben hacer que nos planteemos nuestra forma de trabajar en los departamentos IT, si es que no lo habíamos hecho previamente.
Como sabéis, en muchas áreas de IT, se vive en el concepto de «apagar incendios» e ir por detrás en el día a día, cuando deberíamos realizar un 90% de tareas preventivas vs 10% de reactivas.
Es por ello, que es básico hacernos las siguientes preguntas y analizarlas para mejorar nuestro funcionamiento a nivel de ciberseguridad:
- ¿Tenemos una política de aplicación de parches de seguridad mensuales?.
- ¿Tengo un soporte con los fabricantes de las aplicaciones que usamos para poder validar con ellos estos parches? ¿Un entorno de test válido?
- La responsabilidad de aplicación y validación de updates, ¿tiene una persona o equipo asignado dentro del departamento?
- ¿Hay alguien del área o equipo de seguridad que supervise que estamos protegidos frente a vulnerabilidades?
- ¿Tengo alguna protección o capa de defensa adicional?
- ¿Recae la ciberseguridad de mi infraestructura sobre un único fabricante?
- Mis soluciones de ciberseguridad, ¿están enfocadas y son válidas para las amenazas de hoy en día?
La respuesta a estas preguntas, creo que son claves para que veamos de una forma sencilla y básica como estamos protegidos frente a problemáticas de este tipo, así como la capacidad de reacción de nuestro departamento IT.
Éste, probablemente sí que tiene unos objetivos claros y está correctamente dimensionado, no sólo tendrá la suficientemente capacidad de reacción, si no que probablemente, ya haya reaccionado de forma autónoma.
Prevención vs reacción es la clave para poder enfrentarnos a las necesidades de seguridad tecnológica que se nos plantean, tanto a día de hoy, como en el futuro más cercano.
Igualmente, si pensamos en la Ley de Protección de Datos Europea o GDPR, que entra en vigor en Mayo de este año, veremos que tiene una orientación muy similar a lo que os he tratado de transmitir en este post.
Conclusiones sobre la ciberseguridad y el modelo de trabajo en los departamentos IT
Recordad, es fundamental no sólo evitar los incidentes de seguridad, sino estar preparados para cuando sucedan y controlarlos en la mayor medida posible!
Si necesitáis ayuda en vuestra empresa con temas de Ciberseguridad, no dudéis en contactar con Encora. Os llamaremos y hablaremos sobre vuestra problemática.
