Cada vez son más lo Vendors que ofrecen soluciones basadas en el “Sandboxing” de los usuarios. Esta cosiste en proporcionar a los empleados un ambiente protegido y seguro, donde aprender y cometer errores. Analizamos sus ventajas y desventajas. El objetivo segundario de este ambiente es utilizarlo para mostrar a usuarios con diferente conocimiento de IT, las consecuencias de las amenazas a un sistema.
El concepto de Sandboxing lleva muchos años desarrollándose en la Seguridad Informática. La idea de contar con un ambiente aislado que simula un sistema real en el que se pueden ejecutar programas que potencialmente podrían ser amenazas y comprobar si realmente lo son y cuáles serían sus consecuencias es algo realmente útil. Hemos visto como, con el tiempo, este concepto evolucionó hasta convertirse en una especia de campo de pruebas virtual en tiempo real, que permite analizar el accionar de un archivo de origen dudoso antes de dejarlo entrar o no a un sistema.
“Los empleados son la vulnerabilidad primera y primaria para cada atacante” – Rik Ferguson
La propuesta hecha durante la conferencia de seguridad informática Trend Micro CloudSec 2016 por Rik Ferguson, vicepresidente de investigación en seguridad de Trend Micro, consiste en utilizar estos ambientes para demostrar a los empleados, ya sea que estén especializados en IT o no, cuales son las consecuencias de que abran un archivo adosado a un mensaje de correo electrónico de origen desconocido o bajen un ejecutable de Internet porque les apareció una ventana que los incitaba a ello.
La propuesta es interesante, ya que llega en un momento donde el mayor punto de entrada del malware en general y del Ransonware en particular son los archivos ejecutados sin mala intención por los usuarios. La complejidad de este escenario la completa el hecho de que las nuevas generaciones de recursos humanos de las empresas, no están acostumbradas a cumplir las restricciones que indican las buenas prácticas de la Seguridad Informática, a lo que se suma el hecho de que las capacitaciones regulares exigidas por estos estándares son obsoletas.
Es cierto que debemos tener como objetivo que la Seguridad Informática sea invisible para el usuario corporativo, esté donde esté y sin que importe el tipo de dispositivo con el que está accediendo; pero la realidad indica que las herramientas para lograr este objetivo son cada vez más complejas de configurar y su tecnología mantiene algo de atraso con respecto a la evolución de las amenazas.
“Al colocar a los empleados en un entorno Sandbox, estos pueden aprender, probando y estropeando un entorno protegido”
Una demostración en vivo y en tiempo real de cómo actúa, por ejemplo un malware, puede ser más eficiente como concientización, que un curso que sólo explique los problemas.
“Los empleados son la vulnerabilidad primera y primaria para cada atacante. Al colocarlos en un entorno Sandbox, estos pueden aprender, probando y estropeando un entorno protegido”, comentó Ferguson.
La analogía señalada por el del experto se refiere al Sandboxing de software, donde se permite la ejecución de código potencialmente maligno en un entorno virtual protegido. De esa forma, es posible estudiar las intenciones de los creadores del código antes de permitirse su ejecución en la red corporativa.
Por otra parte, Ferguson recomendó a las empresas desarrollar distintos enfoques de seguridad para audiencias distintas: “si te diriges a una audiencia capacitada en tecnología, con un lenguaje elevado y solemne, rápidamente se desconectarán y te perderán el respeto; ya sea socios comerciales, clientes o tus propios empleados”. A juicio de Ferguson, es necesario elaborar un mensaje preciso, dependiendo de la audiencia del caso. Esto es un factor crítico para tener éxito en materia de seguridad informática.
¿Qué debe tener en cuenta el Canal? Este modelo es una oportunidad para actualizar las Capacitaciones al personal de los clientes y lograr una mayor efectividad en la comunicación de la Concientización, lo que redundará en una disminución de incidentes informáticos.
Compartir nota:
