Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
30/08/2013
Els serveis d'assistència són un punt dèbil de la seguretat TI
Els servicis d’assistència s’han convertit en un punt d’entrada per als atacants que busquen accedir a recursos empresarials confidencials, pel fet que els empleats ometen els controls de seguretat en un esforç per brindar més servici a les persones a què telefonen, segons revela una enquesta de RSA.
RSA ha publicat els resultats d’una enquesta realitzada per l’Institut SANS entre més de 900 professionals encarregats d’oferir servicis d’assistència, de la qual cosa es desprén la falta de controls de seguretat d’este tipus de servicis.
En general, els usuaris es posen en contacte amb els servicis d’assistència i sol·liciten ajuda per a resoldre problemes habituals de TI, com ara restabliment de contrasenyes i problemes de connectivitat i aplicacions. Sovint, el rendiment dels empleats del servici es mesura en funció de la velocitat amb què atenen les persones, per la qual cosa, en la majoria dels casos, la seguretat passa a un segon pla. En conseqüència, els servicis d’assistència s’han convertit en un punt d’entrada no planejat per als hackers i els membres del personal intern malintencionats que intenten obtindre accés a recursos empresarials confidencials.
Segons l’enquesta, el 69 % dels enquestats va identificar l’enginyeria social com la major amenaça per a la seguretat dels servicis d’assistència. No obstant això, la majoria de les organitzacions empra informació personal bàsica, com el nom, la ubicació i el DNI, per a verificar les identitats de les persones que telefonen al servici d’assistència; una informació que pot ser utilitzada fàcilment per un impostor. Així mateix, molts empleats del servici ometen els controls de seguretat en un esforç per brindar un millor servici a les persones a què telefonen.
A més del component humà, la falta de capacitació, de ferramentes i de tecnologia també influïxen en la seguretat dels servicis d’assistència. Més del 51 % dels enquestats afirmen que tenen un enfocament moderat cap a la seguretat del servici d’assistència com a part dels seus controls de seguretat empresarials, però no se centren a formar els empleats ni a incorporar tecnologies addicionals per a les activitats diàries. Només el 10 % dels enquestats va indicar que les seues pràctiques de seguretat són sòlides.
A la vista d’estos resultats, RSA assenyala que, per a tancar la bretxa de les vulnerabilitats del servici d’assistència, les organitzacions han de redissenyar l'enfocament per a complir els requisits de practicitat per als usuaris, alhora que els brinden protecció contra les amenaces. Per a això se’ls recomana l'ús d’opcions d’automatització i autoservici per als problemes habituals dels usuaris, com a restabliment de contrasenyes; proporcionar una formació sòlida i contínua al personal del servici d’assistència, a fi que aprenguen a detectar possibles atacs d’enginyeria social i saber actuar davant d’ells, i incorporar ferramentes avançades que aprofiten fonts de dades dinàmiques i nous mètodes d’autenticació, a fi d’identificar amb més precisió els usuaris.