En efecto el eslabón más débil de la seguridad siempre es el usuario. Me tocó trabajar en un banco poco después que se produjera el típico desfalco millonario de una transferencia fraudulanta hecha desde el banco a una cuenta numerada a Suiza.
Las normas de seguridad que pusieron nos hacían casi imposible trabajar a los informáticos. Sin embargo lo que hizo posible el desfalco, podia poderse volverse a repetir, un jefe con nivel para permitir la transeferencia, dio su password al subordinado que tenia que autorizar. Debido a mil circunstancias que se dan a diario, unas vacaciones, una ausencia por enfermedad, … cualquiera de esos motivos llevan a cualquiera a dar su password a otro compañero y luego vienen las consecuencias imprevistas.
Cosas como llevarse trabajo a casa y mil asuntos derivados del exceso de confianza del usuario, son la causa reales de los fallos de seguridad, muy por encima de hackers y virus.
Simplemente, dejar tu terminal abierto, permite que segundos, alguien introduzca un programita lector de pulsaciones, para descubrir tu password. ¿Quién no ha abandonado su puesto de trabajo montones de veces dejando abierta la sesión?

Que el eslabón más débil es el individuo es una obviedad que siempre ha de tenerse en cuenta. No sólo hay que implantar un sistema de seguridad de la información, hay que gestionarlo. Si en su día se consideró que la información era un activo lo suficientemente importante para crear una función dedicada dentro de una organización, hoy para que esa información siga siendo un activo estratégico hay que dotarla de seguridad y ésta ha de ser gestionada. Efectivamente, no basta con escribirlas.

Separation of duties & Rotation of duties

Saludos

Cuando la seguridad de una empresa se pone en peligro porque un empleado se deje el coche abierto, es un problema de incompetencia de su top management, más que del pobre trabajador.

Es como si el Banco de España le diera las llaves de la caja fuerte a un cajero, y no estableciese ninguna otra medida de seguridad. Si el cajero pierde las llaves, y el Banco de España es desvalijado ¿quién es el responsable?

Muchos en Fidelity Investment “should be fired inmediately”, y no refiero al que se dejó el coche abierto, que entre otras cosas, igual se iba meando, y se metió corriendo en el restaurante a aliviarse, y logicamente no se acordó de echar el seguro.

No se si es el más débil pero si el que provoca más problemas de seguridad. Dentro de este zoo esta el primero el “empleado descontento”. De todas formas, la ingeniería social es uno de los primeros pasos para llegar a la información golosa.
Lo que ahora toca es la valoración de los activos y defender sólo lo necesario para no caer en políticas que no son asumibles por la mayoría. Quizás el mejor ejemplo de esa nueva política que supera a todas las anteriores sera la SRM. Pero aún no llegamos a ello en España. Tenemos aún un problema de seguridad física más que lógica aunque ahora todo huele a esperanza…