Estimados amigos del blog,
Entre viaje y viaje, reuniones, conferencias y compromisos muchas veces a uno le da por pensar. Otras veces me da por comer. Una vez me dio por trabajar pero lo recuerdo vagamente 🙂
El otro día pensaba en como había evolucionado la informática, los servicios TIC en los últimos 10 años. Cuando hablo de empresas y clientes me suelo referir a PYMES porque el tejido empresarial en España está formado mayoritariamente por PYMES.
Cuando leemos información en blogs, artículos, prensa especializada solemos ver el mundo tras el «prisma», las «big four» o de los clientes IBEX 35, pero estos son eso: 40, 50, 80. El resto de mortales trabajamos para empresas pequeñas o medianas.
Dentro de este ámbito, recuerdo hace 10/15 años con la mayoría de empresas con un servidor físico, tal vez dos, con todos los servicios «juntos». Nada de virtualización de servidores y mucho de escritorios o aplicaciones. Quizás si se veía virtualización de escritorio con productos Citrix clásicos, pero no como síntoma de innovación. Los «thin client» y la tecnología de «escritorios ligeros o remotos» es algo VIEJO, del comienzo de la informática.
Recuerdo muchas empresas con servicios de correo externos, correo corporativo en ISP locales o empresas de hosting. Mucho Exchange/SendMail. Siiii !!!! pero también mucha solución externa.
El tema de las aplicaciones seguía los mismos caminos, aplicaciones heredadas o mejor dicho «viejunas», muchas en visual basic 6 aunque se suponía que .net/java iba a cambiar el mundo (claro… y flash…).
Respecto al ámbito de Internet, muchas aún no lo usaban activamente. Empresas/personas que se permitían decir que «no me ha llegado el correo». Muchas empresas sin página web, sin extranet de empleados, y pocos servicios B2B para proveedores/integración y demás. aunque vivíamos en la época del XML/SOAP y demás…
El 2.0 lideraba el mercado. ¿Qué pasaba con la seguridad?. El informático de la empresa, que siempre es muy listo, instalaba en los los equipos AV gratuitos, sin gestión centralizada. En el servidor o servidores NUNCA, esas versiones ya eran de pago y son «más delicadas».
El router del ISP no era muy chulo, pero permitía natear el Vnc o el RDP del servidor para que el informática administrase desde casa los deseos de los usuarios… Malditos usuarios!!! Mucho trabajador de la vieja escuela que tomó la informática como una opción, negándose a ella, y usando argumentos de su incompetencia en recriminaciones hacia los sistemas. «Es que el PC me tiene manía» o que «Excel no sabe sumar».
¿Cómo ha cambiado el panorama actual de este tipo de empresas?
Tengo que reconocer que la «moda» de la virtualización de servidores se consolidó. Veo empresas pequeñas, con sus dos servidores de virtualización, su cabina de discos, sean SAN o las económicas NAS, pero creo que hoy en día el porcentaje de virtualización de servidores es MUY ALTO.
Respecto a la virtualización de escritorio sigue estando la tendencia pro-Citrix vs instalados. No veo mucho repunte de la virtualización de aplicaciones, lo que considero más interesante.
¿Cómo ha cambiado el usuario? ¡Las personas no cambian! El que era un patán con el ordenador, lo sigue siendo. Quizás maneja con mayor soltura las combinaciones de teclas más usadas del ERP, pero ahora usan mas cosas, usa Internet más asiduamente, e Internet no se aprende, se aprende a usar Internet, pero no te lo puedes estudiar entero.
El router del ISP sigue estando ahí, total, a mi nadie me ataca (os aconsejo leer este artículo de lo que pasa en 24 horas en Router) como no lo veo (cosas que ves solo cuando miras) y no veo necesario comprar un Firewall o UTM porque son caros y me van a dar más trabajo. Yo bajando series para los compañeros ya tengo el cielo ganado.
¿Qué pasa con el antivirus? Muchos han sufrido algún incidente de seguridad «serio», pérdida de información o similar. Muchas empresas AÚN siguen con versiones viejas, gratuitas, desactualiadas de firmas, sin gestión, con poco o ningún control sobre el usuario y su capacidad para «eludir el AV» y por supuesto, poca implantación en los servidores.
El uso de Internet en la empresa ha crecido. Cualquier departamento usa B2B sin saberlo, sea pidiendo material de limpieza, recibiendo/emitiendo albaranes, haciendo conciliación bancaria, o usando una extranet para descargar la nómina de la gestoría.
¿Quién no tiene una página web? ¿Quién es el «tontico» que ha pagado por proyecto web en condiciones, si el sobrino sabe hacer páginas bonicas, que hace entre ratos, pero que no mantiene?. Tengo que reconocer que parte de la culpa de esto la han tenido empresas que hacían lo mismo que el sobrino, pero a precio de profesional.
Hemos pasado de usar Internet anecdóticamente, en muchos casos por el gurú de la empresa, el informático, a que TODO está en Internet. La informática ha evolucionado, pero las medidas de seguridad NO. El riesgo ha crecido exponencialmente, por lo que la inversión en seguridad debería experimentar un crecimiento acorde con el aumento de amenazas, PERO NO, crece levemente, en muchos casos NO CRECE.
Seguimos con el pirateo de software, las soluciones del «cuñao» y la falta de concienciación en la empresa, y del INFORMÁTICO.
Los casos de administradores o responsables, que hacen OÍDOS SORDOS ante nuestras recomendaciones es INCREÍBLE. Es lógico. Somos «vendedores» y queremos su dinero, su poder, su control de la empresa… Pero y cuando le dices no que viene el lobo, sino que tiene un lobo matando ovejas, que no lo sabe, y que se va a quedar sin ninguna. ¡Cuando se le reporta un incidente vaya!
Cuando leas revistas o medios especializados, verás que hay empresas usando autenticación biométrica por la retina, o reconocimiento por la cámara del móvil. No hace falta que compres lo último. Leerás que la mayoría de empresas están usando 2FA o segundo factor de autenticación, pero es algo «complejo» y seguro que es «costoso». VALE, lo acepto. Pero post-it, grupos de trabajo, active directory sin cambios de claves, sin complejidad, excel con listados de claves, carpetas comunes, software que basa su seguridad en que el «hacker» no sepa la diferencia entre get-post… Hay niveles.
No te dejes engatusar por las grandes empresas. Estas quieren tu dinero, el dinero del Fortune 500 norte-americano o el Ibex 35 Español, pero eso no quiere decir que no debas prestar atención e inversión en seguridad, en la medida que tus activos y riesgos lo necesiten.
En el próximo artículo os voy a comentar una metodología SIMPLE de Microsoft para evaluación de riesgos activos y riesgos, que te puede ser muy útil de cara a vender proyectos de seguridad a gerencia, si ese es tu problema. Si el problema es tu EGO o tu irresponsabilidad, para eso no hay solución, para eso solo hay tropiezos.
Espero que te haya gustado el artículo y que reflexiones sobre él. Te animo también a que comentes qué opinas, cómo has visto el cambio de IT/Seguridad. Pero sobre todo, gracias por leernos.