La débil seguridad de los «Help Desk» se origina por la falta de capacitación, los procesos desorganizados y el “excesivo servicio»

Nueva investigación patrocinada por RSA identifica que la ingeniería social encabeza la lista de amenazas para la seguridad en las mesas de ayuda

Caracas, Venezuela, 24 de julio de 2013 – RSA, la División de Seguridad de EMC (NYSE: EMC), anunció hoy los resultados de un nuevo informe realizado por el Instituto SANS que analiza las amenazas y los problemas de privacidad que enfrentan los»Help Desk» en la actualidad. Con la participación de más de 900 profesionales de TI de todo el mundo, la encuesta sobre seguridad y privacidad en Help Desk de 2013 realizada por el Instituto SANS identifica las vulnerabilidades más habituales de la mesa de ayuda y ofrece orientación destinada a ayudar a las organizaciones a abordar estos temas críticos. Los resultados de la encuesta incluyen los resultados de los procesos, los procedimientos y los comportamientos del personal de Help Desk de las organizaciones que generan posibles repercusiones sobre la seguridad de la empresa.

En general, los usuarios se ponen en contacto con las mesas de ayuda para solicitar asistencia para abordar problemas habituales de TI, como restablecimiento de contraseñas y problemas de conectividad y aplicaciones. A menudo, el desempeño de los empleados de Help Desk se mide en función de la velocidad con la que atienden a las personas que llaman y resuelven sus problemas. Lamentablemente, en muchos casos, la seguridad no desempeña un papel importante en el proceso y, en consecuencia, los Help Desk se han convertido en un punto de entrada no planeado para los hackers y los miembros del personal interno malintencionados que intentan obtener acceso a recursos empresariales confidenciales.

La mayoría de los encuestados (69 %) identificó la ingeniería social como la mayor amenaza para la seguridad de los Help Desk.  Sin embargo, la mayoría de las organizaciones todavía emplea información personal básica, como el nombre, la ubicación y el número de ID del empleado, para verificar las identidades de las personas que llaman a la mesa de ayuda; y dicha información se puede utilizar fácilmente por un impostor.  Asimismo, muchos empleados de la mesa de ayuda omiten los controles de seguridad en un esfuerzo por brindar más servicios a las personas que llaman.

Además del componente humano, la falta de capacitación, herramientas y tecnología también desempeña una función clave en la seguridad general de un Help Desk. Más del 51 % de los encuestados afirman que tienen un enfoque moderado hacia la seguridad del Help Desk como parte de sus controles de seguridad empresariales integrales, pero no se centran necesariamente en las capacitaciones ni en incorporar tecnologías adicionales para las actividades diarias.  Como la mayoría de los presupuestos se determina en función de la cantidad de usuarios a los que se presta servicios, en vez del costo por llamada o, incluso, del costo de las posibles violaciones de seguridad, puede resultar extremadamente difícil establecer el retorno de la inversión (ROI) para los nuevos procesos, la capacitación adicional y las herramientas para brindar asistencia técnica diaria.  Los resultados adicionales incluyen lo siguiente:

• 44 % de los encuestados ubicaron la verificación de los usuarios que llaman como una amenaza mucho mayor en comparación con los usuarios de autoservicio (11 %).
• Solo  10 % de los encuestados indicaron que sus prácticas de seguridad son sólidas.
• Casi 43 % de los encuestados no computan el costo de un incidente de seguridad al establecer el presupuesto de Help Desk sino que, por el contrario, los presupuestos se determinan en función de la cantidad de usuarios.

Help Desk sigue siendo el método preferido de los empleados para resolver problemas de TI básicos.  Su finalidad esencial consiste en brindar un mejor servicio para los usuarios y, en consecuencia, el personal de Help Desk puede tener privilegios excesivos, lo que la convierte en un objetivo atractivo para los ingenieros sociales y los hackers técnicos que intentan acceder a las redes.  Para cerrar la brecha de las vulnerabilidades de la mesa de ayuda, las organizaciones deben rediseñar su enfoque para cumplir los requisitos de practicidad para los usuarios, al mismo tiempo que les brindan protección contra las amenazas. Las prácticas recomendadas incluyen lo siguiente:

• Opciones de automatización y autoservicio para los problemas habituales de los usuarios, como restablecimiento de contraseñas, para ayudar a reducir los errores y las vulnerabilidades que conllevan a la consecución de violaciones y robos de datos.

• Capacitación sólida y continua para el personal de Help Desk a fin de que aprendan cómo detectar posibles ataques de ingeniería social y cómo actuar ante ellos.
• Herramientas avanzadas que aprovechan fuentes de datos dinámicos y nuevos métodos de autenticación a fin de identificar con mayor precisión a los usuarios y sus ubicaciones.

Sam Curry, Profesional de Tecnología, RSA, División de Seguridad de EMC

“En varias ocasiones, la mesa de ayuda es la primera línea de defensa contra violaciones; por ello, protegerla debería ser tan importante como cualquier otra función crítica de negocio.  La nueva mesa de ayuda debe lograr un equilibrio de seguridad mejorada y practicidad para el usuario final que integre la seguridad directamente en el proceso mediante la incorporación de tecnologías para la automatización y la autenticación a nivel empresarial, además de capacitación continua a fin de reducir los errores humanos”.

Acerca de RSA

RSA, la División de Seguridad de EMC, es el principal proveedor de soluciones de seguridad, riesgo y administración de cumplimiento de normas para la aceleración del negocio. RSA ayuda a las principales organizaciones del mundo a alcanzar el éxito solucionando sus retos de seguridad más complejos y confidenciales. Entre estos retos, se incluyen la administración de los riesgos de las organizaciones, la protección de la colaboración y del acceso por medio de dispositivos móviles, la comprobación del cumplimiento de normas y la protección de ambientes virtuales y de nube.

Mediante la combinación de controles importantes para los negocios en verificación de identidad, encriptación, administración de claves, SIEM, prevención de pérdida de datos y protección contra fraudes con funciones GRC líderes del sector y servicios de consultoría sólidos, RSA ofrece visibilidad y confianza a millones de identidades de usuarios, las transacciones que estos realizan y los datos que generan. Para obtener más información, visite www.EMC.com/RSA.