La seguridad en sistemas de información es un capítulo de constante actualidad hoy en día, lo que no es en absoluto una buena noticia para ningún cliente, que siente como sus sistemas podrían estar expuestos a riesgos similares a los presentados con frecuencia tanto en los medios de comunicación generales como en los especializados.La continua aparición de vulnerabilidades en los sistemas, noticias de accesos no deseados e incluso vulnerabilidades manifiestas en software ampliamente extendido y crítico para el funcionamiento de internet (servidores de DNS, servidores de web), virus informáticos etc., hacen de la seguridad un área de especial foco para el correcto desarrollo de los negocios en esta era digital. Mas allá del acceso a la información y servicios de un usuario final, la integración de internet en los procesos de negocio de una compañía necesita más que nunca de un grado de fiabilidad y confianza en el medio. Sólo cuando ese grado de confianza se alcanza y se mantiene, podrá disminuirse ese gran inhibidor de desarrollo digital que es la sensación de inseguridad.Paradójicamente, el origen primario y la solución última de estos problemas se encuentra en los propios fabricantes de software, hardware, ISV, etc., desde un punto de vista estríctamente tecnológico. Los productos desarrollados por los fabricantes, expuestos a usos no previstos, pueden presentar una respuesta no deseada, que se explotará como vulnerabilidad hasta que el fabricante no corrija el código que lo originó. El nivel de riesgo de esta vulnerabilidad dependerá de varios factores: popularidad de la vulnerabilidad, impacto y simplicidad.Popularidad: ¿cuántas personas conocen esta vulnerabilidad?Impacto: ¿cómo podría afectar su “explotación” al sistema ?Simplicidad: ¿resulta una tarea minuciosa o sencilla el explotarla ?El problema afecta a toda la industria, tal y como se puede comprobar en fuentes reconocidas como Bugtrack o incluso en estudios más exhaustivos llevados a cabo por el FBI (octubre de 2001) y el prestigioso instituto SANS (Systems Administration, Networking and Security, Institute), determinando las 20 vulnerabilidades más críticas y su distribución por plataformas, concluyendo en la siguiente distribución: 7 vulnerabilidades generales; 6 vulnerabilidades Windows; 7 vulnerabilidades Unix.Si el origen está en la propia industria de TI en su conjunto, la solución última también pasa por la responsabilidad de los fabricantes de software, hardware e ISVs en detectar y corregir las vulnerabilidades de su código en un corto periodo de tiempo, idealmente menor que el tiempo de un hacker en explotar y difundir la vulnerabilidad por cualquier medio.Si algo es claro, es que interesa a todos disponer de un entorno seguro de confianza en el que las empresas puedan desarrollar, extender y mantener sus modelos de negocio, aumentar el alcance de sus productos o servicios, disminuir sus costes de integración etc.Dentro de la estrategia global de Microsoft para la empresa (.Net), la seguridad juega un papel crítico en todos y cada uno de sus componentes. La inversión de Microsoft en seguridad ha ido, en consecuencia, cubriendo los distintos frentes tecnológicos para mantener la confianza de los clientes que utilizan su tecnología como soporte de sus negocios.La inclusión de tecnologías de PKI, Kerberos, IPSec, EFS, Directorio Activo en la base del sistema operativo Windows 2000, o la aparición de nuevos productos destinados a la protección perimetral de redes como Microsoft ISA Server, o destinados a maximizar la disponibilidad de las aplicaciones y sistemas como Microsoft Application Center, o programas como Microsoft Data Center (con estrictos contratos de SLA), etcétera, muestran parte de esa inversión tecnológica.Igualmente, los tiempos de respuesta en la detección, reparación y distribución de las actualizaciones de seguridad han disminuido de forma espectacular, como reflejo de las elevadas inversiones que algunos fabricantes han dedicado en tiempo, dinero y recursos.En Microsoft somos muy conscientes de nuestra responsabilidad como parte importante de la industria, y las inversiones en seguridad han ido, en consecuencia, ofreciendo unos tiempos de respuesta muy cortos en la publicación de updates y herramientas. Así, se han realizado inversiones de más de 100 millones de dólares para el desarrollo de herramientas que ayuden a detectar y corregir vulnerabilidades.Pero hay que hacer más, porque la industria lo necesita. Según datos del CERT (Computer Emergency Response Team), el número de incidentes registrados en el periodo Enero-Septiembre de 2001, excedió en un 60% al número registrado en todo el año 2000. Si se tiene en cuenta que el número de incidentes registrados por el citado organismo es una pequeña parte de los ocurridos realmente (no reportados al CERT por imagen o por simple desconocimiento tanto de la existencia del incidente, como del CERT), estamos ante un problema en aumento que requiere la colaboración de todos para su solución.Es el tiempo de los clientes. Nos interesa la seguridad de los negocios de nuestros clientes. Sabemos que es un problema de la industria de IT y como tal debemos movilizarnos. No nos consuela saber que la actualización que hubiera evitado la distribución de un virus como Nimda o Código Rojo estuviera disponible meses antes. Y si no nos consuela es porque tampoco consuela a los clientes afectados. No es tiempo ya de disputas entre fabricantes. No es tiempo ya de los “40 principales” de la vulnerabilidades, las top ten o las ten top. Partamos de esta tesis: “Las vulnerabilidades en todos los sistemas están aquí para quedarse”. Una vulnerabilidad tecnológica puede ser interpretada como la susceptibilidad de un sistema o producto a sufrir daños ante ataques específicos. Exponer un sistema (hardware, software) extremadamente complejo a un uso no previsto, da como resultado una respuesta no deseada. Desde el momento en el que manejamos el concepto “uso no previsto”, debemos concluir en que las vulnerabilidades no desaparecerán en ningún sistema ni fabricante.Y creo que todos los profesionales de las TI llevamos tiempo viviendo esta experiencia y siendo conscientes de ello.Sabemos perfectamente que la información contenida en estas direcciones no son precisamente “recetas de cocina”:[
http://www.microsoft.com/security][
www-1.ibm.com][
sunsolve.sun.com][
http://www.sap.com/solutions/technology/sapdb/sap_db_patches.htm][
otn.oracle.com][
developer.bea.com][
http://www.iplanet.com/download/patches]etc..Bien, asúmase esta realidad y póngase al cliente en el centro. Es el tiempo de perseguir con ahínco la invulnerabilidad tecnológica de los sistemas de los clientes, y para ello Microsoft trabajará codo con codo con cualquiera en la búsqueda de soluciones, incluidos nuestros competidores. Para ello, queremos facilitar sobremanera la labor de los responsables de seguridad en TI en cuanto al mantenimiento de sus sistemas actualizados y correctamente configurados mediante la aplicación de este programa. ¿Cómo?El enorme esfuerzo de Microsoft en materia de seguridad se ha venido centrando en la celeridad con la que MS pone a disposición de sus clientes el update correspondiente a la vulnerabilidad detectada. Hablamos del Microsoft Security Response Team, probablemente el mejor equipo de la industria del software para dar respuesta a incidencias de seguridad que afecten a nuestros productos. Sin embargo, esa celeridad no ha sido suficiente para evitar que un virus como Nimda haya podido extenderse meses después. Podríamos conformarnos con decir que “es que los administradores deberían tener actualizados sus sistemas en materia de updates de seguridad” o “es que la política de seguridad de las corporaciones infectadas ha sido insuficiente por no haber contemplado una actualización de software eficiente” o que “el fabricante detectó esa vulnerabilidad y tardó 24 horas en crear y distribuir ese update”, etc. Muy bien, y cualquiera de esas afirmaciones pudiera ser cierta, pero la realidad se impone y la realidad es que los sistemas no se actualizan con la celeridad que se debieran. Sabemos que resulta tremendamente laborioso y penoso para administradores y responsables de seguridad el tener que estar pendiente de cuándo un fabricante publica o deja de publicar un update, especialmente cuando éste tiene sistemas multiplataforma etc”.Para ayudar al administrador en la correcta configuración y actualización de nuestros sistemas en Microsoft vamos a pasar de un modelo “Pull” a un modelo “Push”. Es decir, vamos a pasar del “Ven y cógelo” al “Toma e instálalo” “. En castizo: …” si Mahoma no va a la montaña, la montaña va a Mahoma…” . Para ello, extendemos la inversión que hemos hecho en seguridad para completar el ciclo, es decir, para llegar mas allá del anuncio y publicación del update en la web -que es lo que los fabricantes hacemos ahora-, a fin de llegar hasta los sistemas del cliente de forma efectiva.Queremos que como fruto de la aplicación del programa STPP, a los administradores les resulte muy fácil el tener sus sistemas Microsoft correctamente configurados en términos de seguridad, y perfectamente actualizados.¿Para qué? Para que la selección de plataforma Microsoft en sistemas empresariales y de misión crítica sea una decisión cada vez más apoyada y defendida por los responsables de seguridad, como de hecho comienza a suceder con mayor frecuencia. No hay que olvidar que un sistema bien actualizado y configurado resulta casi impenetrable e invulnerable.
hectors@microsoft.com
