Le haces “el favor” a alguien que te pide que le imprimas algún documento, y, tiempo después te llega una investigación que no entiendes cómo y por qué llegó a ti. Tu estás con la seguridad de no haber hecho nada mal, pero sin siquiera pensarlo, lo que se imprimió en tu equipo si fue algo ilegal, y en la impresión se dejó un rasgo prácticamente invisible que permite ubicar a tu equipo como el dispositivo donde eso se imprimió. En pocas palabras, el rastro apunta a ti, a pesar de que tu no hayas tenido la intención de hacer nada malo.
¿Cuáles el problema?
En principio, ya no podemos pensar que debemos de preocuparnos por los datos únicamente, también es relevante saber quien y en qué se usó tu infraestructura.
Las impresoras (principalmente a color), las redes, las cuentas de usuario, los dispositivos, todo deja una huella.
Y en específico en las impresoras, esas marcas indican el número de serie del equipo en muchas de ellas, por ejemplo. Esa información en una investigación forense podrá rastrear el origen de impresión de los documentos, por lo que no controlar quien y para qué imprimen algo puede ser un problema que te involucre a ti sin siquiera saberlo.
Cómo ha cambiado todo
Antes el riesgo era determinar quien accedía a la información, hoy esto se ha complicado a tener el riesgo de identificar quién usa tu capacidad operativa, donde en una cadena de valor se difunde o comparte ese riesgo sin ser considerado en un principio.
Ejemplos de cómo ha cambiado todo
- Prestar el Wifi: Puede ser el origen de ataques y/o descargas maliciosas o ilegales que pueden ser rastreadas por su IP al dueño del Wifi sin saber que se usó para algo ilegal, donde tu red es tu identidad digital.
- Correo reenviado: El mensaje fue un plagio o algo ilegal, y tu sin pensarlo lo reenvías, siendo originador de un mensaje ilegal o fraudulento o de robo de propiedad intelectual.
- Firmar documentos digitales: Sin pensarlo lo haces y contenían información falsa o fraudulenta, pero al formarlo tu amparas eso.
- Equipo prestado: Se hacen accesos ilegales o se usan para algún crimen implicando a la empresa que es dueña del equipo y a quien lo usa.
- Transferencias “de favor”: Personas se prestan como intermediarios de un fraude financiero sin saberlo.
Como se puede apreciar, el problema no es ayudar. El problema es no tener trazabilidad ni control de lo que era el fin último de lo que se estaba haciendo.
Aquí se aprovecha la “buena voluntad” de las personas provocando un riesgo operativo que no se puede administrar ni controlar.
¿Cómo se traduce todo esto dentro de una empresa?
Al hacer caso a lo comentado anteriormente se observan impactos en los siguientes puntos entre los principales:
- Cumplimiento: interno y con el resto del ecosistema de negocios
- Auditoría: Se tienen nuevos parámetros y hallazgos antes no detectados
- Reputación: Como resultado de tener en cuenta que acciones aparentemente inocentes pueden impactar al negocio
- Responsabilidad legal: Se evitan problemas serios que ni siquiera se tenían contemplados
Con esto se puede ver que no solo es importante la protección de datos, por igual es importante proteger las capacidades y herramientas que pueden afectar a la empresa sin siquiera pensarlo.
Conclusión
Hoy no se necesita ser culpable para ser el punto de partida de un problema. La confianza sin control no es algo noble, es en realidad una vulnerabilidad.
Vivimos ya en un mundo hostil, y lo importante por ello es anticiparse y no ser el chivo expiatorio de algo que nunca se buscó.
Mpolishuk's Blog 