Leobardo Hern谩ndez Audelo, jefe del Laboratorio de seguridad inform谩tica del centro tecnol贸gico Arag贸n de la UNAM, platic贸 a D铆a Cero los males que aquejan al mundo de la seguridad en M茅xico y el camino que llevan recorrido en el diplomado de seguridad inform谩tica.

聽

鈥淓l laboratorio comenz贸 en el a帽o 2000 y sus objetivos se centran en la investigaci贸n, docencia e informaci贸n de recursos humanos en el 谩rea de seguridad 鈥攍os cuales son muy escasos鈥� ya que falta conciencia en la misma Universidad porque hasta el momento la mayor铆a de carreras relacionadas a comunicaciones, tecnolog铆a o c贸mputo no contemplan asignaturas dedicadas a la seguridad. El primer resultado de la labor que llevamos a cabo desde hace ocho a帽os ha sido la generaci贸n del diplomado en seguridad inform谩tica en Polanco, el cual ha tenido 茅xito continuo. Est谩 dirigido a empresas o profesionales con necesidad de expertise en seguridad y ha representado una contribuci贸n importante a la educaci贸n en seguridad y a la formaci贸n para comprender la seguridad en M茅xico鈥�, explic贸 Hern谩ndez Audelo.

El diplomado tiene capacidad para menos de 10 personas por grupo, dos veces por a帽o. Comprende 240 horas en total, las cuales se distribuyen entre viernes de 4 pm a 8 pm y s谩bados de 9 am a1 pm. No hay m谩s grupos, debido a la carencia de instructores. Aunque llegan con certificaciones de empresas, al ser examinados, no dan cumplen con los requerimientos.

De acuerdo con la visi贸n de Leobardo, la seguridad en las empresas mexicanas ha gozado de un boom, ya que 茅sta ha ido cambiando en sus expectativas y punto de vista. Hasta hace algunos a帽os en las empresas pensaban que la seguridad era un problema puramente tecnol贸gico, que bastaba con un antivirus o un firewall para resolver sus problemas, pero en los 煤ltimos a帽os se han sumado al concierto mundial de la seguridad y finalmente han entendido que la seguridad es una ventaja competitiva, pero para ello deben apegarse a est谩ndares internacionales, los cuales deben cumplirse. El problema es que al interior de esas organizaciones no existen los recursos humanos para cumplir con esa tarea.

Las opciones para las empresas son dos: o contratan a alguien extranjero, forman recursos humanos o tapan los hoyos de seguridad con lo que tienen, lo cual ha sido un rotundo fracaso, ya que sus t茅cnicos que se han dedicado a las tecnolog铆as de la informaci贸n, se meten a un 谩rea que no conocen.

鈥淧or otra parte, las principales universidades del pa铆s no tienen carreras espec铆ficas ni posgrados en seguridad, por lo tanto no hay egresados con el perfil en el tema. Con eso en mente, desde el a帽o 2000, aqu铆 en la UNAM hemos llevado a cabo este diplomado. Hemos pugnado porque las carreras de comunicaci贸n y c贸mputo contemplen materias de seguridad y que pr贸ximamente existan posgrados. Pero a煤n hay mucho por trabajar鈥�, comparti贸 el catedr谩tico.

Hern谩ndez Audelo agreg贸 que hace apenas algunos a帽os la gente com煤n y corriente pensaba que la seguridad era un asunto del gobierno, de las empresas transnacionales o las autoridades militares y estaban muy felices porque la seguridad nacional, no era cosa nuestra. Ahora resulta que el paradigma del c贸mputo, el cual era que tener en una computadora una herramienta para mejorar el desempe帽o en el trabajo y la productividad. Hoy, el usuario no quiere una computadora por el poder de c贸mputo, sino porque se puede conectar a la red y todas las personas quieren estar conectadas, no s贸lo al seno de la PyME, sino en el hogar, desde los hijos hasta los padres y eso ha cambiado la visi贸n de la seguridad que ha dejado de ser gubernamental, institucional o militar, sino que ahora es familiar.

El entrevistado explic贸: 鈥淟a falta de conciencia en la red o en internet es como entrar con los ojos cerrados a una selva desconocida, llena de peligros. El andar as铆 por la vida, permite que se descarguen c贸digos maliciosos 鈥攏o s贸lo virus 鈥� que permiten robos, secuestros, asesinatos, prostituci贸n, tr谩fico de 贸rganos, cr铆menes que antes para llevarse a cabo se necesitaba de hacer una labor f铆sica y la gente no sabe lidiar con eso. El problema reside que a ning煤n nivel, durante la formaci贸n en las escuelas se ense帽a o se imparte la cultura de la seguridad. Por lo anterior, combinado con el af谩n de algunos usuarios por hacer todo desde casa, oficina o alg煤n medio m贸vil se llevan a cabo robos electr贸nicos, desfalcos y fraudes por varios millones de d贸lares en M茅xico鈥�.

Una de las mayores calamidades es que tenemos una entidad regulatoria 鈥攍a Comisi贸n Nacional Bancaria y de Valores鈥� que tampoco cuenta con expertos.

As铆, toman decisiones basadas en ejemplos de otras latitudes, como el token utilizado por algunas instituciones, que a petici贸n de la CNBV fue implantado el a帽o pasado. La seguridad que ofrece el dispositivo es un poco enga帽osa, ya que no permite saber qui茅n est谩 detr谩s de la pantalla. Am茅n que el n煤mero del token puede ser capturado en su transmisi贸n por la red. 鈥淓l a帽o pasado hubieron un par de casos en los que robaron, en uno, mil millones y en otro 20 millones de pesos, pero esa informaci贸n no se hace p煤blica, ya que afecta la imagen y reputaci贸n de las instituciones鈥�, agreg贸 Hern谩ndez Audelo.

Sin embargo 鈥攃oment贸 Leobardo鈥� la mayor铆a de los bancos tienen expectativas de llevar su operaci贸n completa a la red, lo que representar铆a prescindir de toda la infraestructura de operaci贸n y administraci贸n. En el mismo tenor, en caso de robo, para el usuario representa un verdadero calvario desde levantar la queja hasta que su problema se resuelva. En muchos casos la gente prefiere dejar la acci贸n dada la enorme cantidad de esfuerzo y tiempo que se le debe invertir.

鈥淟os bancos tienen que garantizar la seguridad de las operaciones de sus clientes. A la fecha hay bancos que ni siquiera han cumplido con la recomendaci贸n de la CNBV. Eso quiere decir que est谩n jugando a la seguridad. No saben su trabajo, no saben lo que hacen porque no cuentan con expertos que les aconsejen. No tienen conciencia del peligro. Dado que no hay publicaci贸n de cifras a los medios, para ellos no pasa nada. Asegurar esas operaciones representa una inversi贸n fuerte, y es l贸gico que un banco prefiera ganar nueve de cada 10 pesos, no siete鈥�.

En palabras del catedr谩tico, a nivel empresarial las cosas se hacen un poco mejor, por ejemplo, en Grupo Modelo se est谩n haciendo las cosas bien. Est谩n invirtiendo para cumplir con est谩ndares como ISO:17799 y 27001. 鈥淐on el tiempo tendr谩n resultados positivos. Ellos son el mejor ejemplo de que la seguridad es una ventaja competitiva鈥�, se帽al贸.

鈥淧ara lograr un nivel de estandarizaci贸n, se necesita preparaci贸n, ya que existen una serie de cuestionarios que no cualquiera puede responder, as铆 para apegarse al ISO hay que saber qu茅 nos preguntan para poder responder, caso contrario se obtendr谩 un diagn贸stico equivocado y en los resultados puede aparecer que se cumple con todo, cuando en realidad no se cumple nada鈥�, expuso.

Hace algunos a帽os uno entend铆a un hacker o cracker, como el llanero solitario: era alguien entendido del tema y hallaba los puntos d茅biles para colarse en alguna instituci贸n, ya fuera por reto intelectual, por demostrar que era bueno o por darse a conocer. 鈥淓so ha cambiado, dijo Leobardo, hoy las herramientas de intrusi贸n y para ataques est谩n en la red, s贸lo hay que saber d贸nde meterse. As铆, ni帽os bajan aplicaciones y las corren. El programa por s铆 solo emite reportes y explota las debilidades de los sistemas que escane贸. Personas como 茅l, hoy funcionan como soldados para el crimen organizado鈥�.

Tambi茅n el hampa ha dejado de atacar a las grandes empresas por irse a la masa, donde el volumen de vulnerabilidades es mayor. A cambio necesitan una organizaci贸n jerarquizada por unidades o niveles. Donde un coder escribe la aplicaci贸n, en el siguiente nivel distribuyen la aplicaci贸n, despu茅s se busca la manera de mover el dinero a instituciones offshore donde se lava. Pero lo anterior no se podr铆a llevar a cabo, si no fuera por la corrupci贸n al interior de los bancos donde los empleados venden las bases de datos.

Finalmente, Hern谩ndez Audelo dijo que los esfuerzos deben enfocarse en poner los suficientes obst谩culos al atacante para que desista o escoja otro blanco diferente al nuestro.

La misi贸n

鈥淓ste libro es el resultado de ocho a帽os de trabajo en el diplomado. Resume el material que se ha recabado a lo largo de este tiempo. Escrito por Enrique Daltabuit, Leobardo Hern谩ndez, Guillermo Mall茅n y Jes煤s V谩zquez, esperamos que ayude a la gente interesada a que se entere de la situaci贸n鈥�.