Por: Carlos A. Lozano Vargas

La seguridad informática en México
En México la seguridad informática se resume en herramientas y conceptos de moda como lo son el ethical hacking, ECCouncil, pruebas de penetración a corto plazo y los appliances (instalación, ejecución y obtención de reportes).

La seguridad informática en nuestro país es vista solamente como un medio para aprobar auditorias como la ISO 27002 y no como un elemento angular del funcionamiento organizacional, existe cierto grado de miopía y desconocimiento sobre los beneficios que genera una cultura de seguridad informática. Es más sencillo optar por servicios rápidos e instantáneos que cumplan con las normas gubernamentales.

Hay todavía pocas empresas que realmente profundizan y generan un plan estratégico que analice y detecte las verdaderas vulnerabilidades de sus sistemas, son escasas las instituciones en nuestro país que creen en la importancia de este tema que en otras regiones geográficas es de interés primario en todo tipo de procesos.

No son pocas las solicitudes de empresas que buscan una solución para sus conflictos de seguridad y al acercarse a nosotros nos comentan “me acaban de hackear, solicitamos un servicio de seguridad informática”. Es entonces cuando se elabora un plan integral de seguridad, sin embargo, los clientes al ver el tiempo y el costo de este plan, terminan por solicitar que mejor se restablezcan sus respaldos, sin duda alguna, una medida poco previsora que carece de visión para la evaluación del problema de raíz.

Con la publicación de la ley de protección de datos personales se pudo haber tenido un boom en materia de seguridad informática, pero las empresas no han invertido en la verdadera protección de datos, sino meramente en lo indispensable para aprobar las auditorías gubernamentales.

Retos y barreras
Sin lugar a dudas la falta de oportunidades laborales enfocadas específicamente en la seguridad. Actualmente no son más de 4 ó 5 empresas especializadas en esta rama de la informática.

Falta conciencia en todos los niveles; en la escuela, es necesario actualizar y modernizar los planes de estudios. En la industria sería conveniente conocer las vulnerabilidades de sus sistemas y generar una estrategia integral para resolverlas. Finalmente, con los consultores, sería prudente cuestionar e indagar más en los resultados de las auditorías, pruebas de penetración y demás sistemas de seguridad.

Un reto para nuestro país es contener la fuga de talentos hacia EUA y a Inglaterra, nuestra industria no está preparada y no ofrece a nuestros consultores un campo que los retenga. Todavía se tiene arraigada la creencia de que por tener “x o y” sistema de protección se está completamente protegido, pero claramente esto no es garantía de seguridad, ya que al generar unas sencillas pruebas de penetración uno se percata que los scripts de generación de passwords y servidores se encuentran en las papeleras de reciclaje, incluso las empresas consultoras que instalan estas medidas de seguridad acostumbran a colocar las mismas contraseñas a todos sus clientes, situación que propicia la vulnerabilidad de datos y facilita la acción de hackeo.

Áreas y conocimientos más demandados a corto, mediano y largo plazo
En México indiscutiblemente el IT Governance jugará un papel importante en los próximos años al igual que los temas de Security Awareness y los SID´s. En la parte técnica estamos todavía más alejados, por ahí se perciben ligeros atisbos de crecimiento en el área de análisis forense por la parte bancaria y gobierno (principalmente por temas de inseguridad social y narcotráfico).

¿Qué necesitamos para ser un referente en seguridad informática?
Considero que sería prudente un replanteamiento en 2 niveles:
Educación: proponer que en los planes de estudios se contemplen asignaturas de seguridad informática y no sólo como materias optativas.
Industria: generar conciencia de la importancia de una cultura de prevención en seguridad y no de reparación de daños.

El autor, Carlos A. Lozano Vargas, es especialista en Seguridad Informática, fundador y director del comité técnico de BugCON y CEO de blueMammut. Se le puede seguir en @BelindoFan, en Twitter.