¿Es necesario investigar los antecedentes del pasado de los trabajadores IT?

Siguiendo con el tema planteado en un post anterior, leí en un artículo publicado por la revista VarBusiness un artículo donde se muestra claramente lo importante que es hacer esto con personas de IT que manejan información crítica y procesos críticos.

Básicamente el articulo cuenta la historia ocurrida en UBS donde un empleado, molesto por no haber recibido un bono, implanto y ejecuto una bomba lógica en los sistemas de esta empresa, lo que tuvo por consecuencia, que 17.000 trabajadores no pudieran realizar transacciones y 2000 servidores de la empresa dejaran de funcionar, todo esto junto con la perdida de importante información, evento que tuvo costos directos por 3,1 millones de dólares.

También en el articulo se llega a la conclusión a través del análisis de otros casos de la importancia de realizar estas investigaciones de antecedentes tanto al momento de contratar al personal como durante la permanecía en la compañía de manera metódica. Además recomiendan que esto se haga explícitamente y con conocimiento del personal teniendo especial cuidado en que se entienda claramente el por que es necesario hacerlo.

Ojala que esto sea incorporado a las practicas de las empresas pequeñas y medianas en el corto plazo, de lo contrario, mucho me temo que escucharemos de este tipo de caso pronto.

Saludos cordiales,

Alvaro

Seguridad de datos en la empresa tecnológicamente integrada.

Insisto, las empresas pueden tener los mejores software para la seguridad de sus datos, pueden tener los mas caros también pueden tener todo controlado desde el punto de vista técnico, pero si no se fijan en los recursos humanos que tienen dentro de los sistemas y procesos, estos no servirán de nada.

Ejemplos: toneladas de ellos como cuando una empresa se jacta que pueden dar soporte remoto a los computadores, claro tecnológicamente es un problema mas que resuelto desde las funciones que incluyen Windows hasta programas gratis como VNC que lo hacen, pero resulta que quien da el soporte desde un call center o desde el departamento de Informática es un RRHH probablemente mal pagado o por el mínimo o pero aun un outsoucing y este es el eslabón mas débil de la cadena de seguridad. El tiene acceso a todo, incluso el computador del gerente y de la secretaria de este que contiene potencialmente toda la información sensible a la seguridad.

Otro caso empresas altamente competitivas y distribuidas geográficamente tienden a traficar mucha información a través de mail en especial información sensible al negocio, (precios, estrategias de comercialización, contactos con clientes, etc.) a esto agreguen que se externaliza el servidor de correo por que no es una actividad del core del negocio. Es súper fácil para el operador del servidor poner un script para que duplique los correos de algunas personas claves y venderlos a la competencia.

Como por ejemplo los operadores de sistemas de soporte o servicios externalizados tienden a ser muy mal pagados, agreguen a esto que por lo general el chileno medio debe 7,5 veces su sueldo en deudas de consumo ( como media exagerada pero no lejos de la realidad) y agreguen una mercado súper competitivo o ultra competitivo. ¿Que costaría que “alguien” en “algún lugar” ofreciera “algo” para tener la información privilegiada? Como podría ser te pago la deuda de la casa comercial X a cambio de Y

Por esto si bien la externalización de procesos que no están en el core del negocio no deben ser disociados de la seguridad que ello implica, solo una reflexión. Nada de esto es real (jaja)



Saludos cordiales,

Alvaro.

TAG Seguridad Informatica / Gestión de Seguridad / RRHH