Dropbox demostró que la seguridad en la nube es una asignatura pendiente

Está demostrado que la ignorancia del usuario final es más peligrosa cuando se lo deja “suelto” en la nube. Los admins IT tienen que educar a los usuarios a acercarse cautelosamente al almacenamiento en la nube. Así empieza el artículo que da cuenta del fiasco que le ocurrió a Dropbox, en el que se encontró/demostró que la seguridad en la nube es todavía un asunto a resolver, especialmente para los responsables de tecnología que, empujados por el marketing de las grandes empresas, quieren llevar todo a la cloud. Todo por un usuario lo suficientemente ignorante o ingenuo en materia de elección de contraseñas. Y podría haber sido peor.

En la cadena de la seguridad de la información, el eslabón más débil siempre es el ser humano. Esta frase, por repetida y lugar común, no deja de ser cierta, toda vez que no hay sistema de seguridad, por más sofisticado que sea, que no tiene un punto débil en el usuario.
Más aún en un momento en el que se conoce la noticia de que la biometría que se consideraba la más segura, el reconocimiento del iris, hasta el momento, fue crackeada.
La nota que escribió Ted Samson en InfoWorld hace pocos días, es un comentario a la noticia, que se conoció a comienzos de este mes, según la cual una brecha en la cuenta de un empleado de Dropbox provocó un ataque de spam a los usuarios de este servicio de almacenamiento y compartición en línea.
La historia fue así: un hacker se hizo con unas credenciales de login de algunos sitios. Entre éstas había una de un empleado de Dropbox, que usaba la misma contraseña tanto para el sitio hackeado como para Dropbox. Entrado que hubo el hacker al box de este emplado, descubrió en él un “documento de proyecto que contenía direcciones de email de usuarios”. En poco tiempo estos usuarios recibieron ingentes cantidades de spam proveniente de sitios de apuestas.
Según Samson, esto podría haber sido devastador si, en lugar de sitios de apuestas, el spam hubiese sido de un phishing suficientemente convincente como para inducir al receptor a que revelase su contraseña de Dropbox. O sino, el mensaje incluir un link que pareciese ir a Dropbox pero que dejase “caer” en la compu del usuario algún malware.
La ignorancia del usuario podría ser la responsable de este desatino. Por un lado, por utilizar la misma contraseña en diferentes sitios (más peligroso aún si se reutilizan para sitios personales *y* laborales). Por el otro, por almacenar en su espacio datos sensibles en un documento sin encriptar… o simplemente datos sensibles de cualquier manera. Sin embargo (y esto lo digo yo), el empleado, a priori, no tiene la responsabilidad si desde el departamento de IT o de seguridad de la compañía, no se les baja línea simple y concreta acerca de la seguridad de los datos.
Dropbox anunció que está analizando distintos métodos como para reforzar la seguridad, como factores de autenticación dobles, cambio periódico de contraseñas, sistemas de detección de actividades sospechosas… en fin, todo lo que se les puede ocurrir en materia tecnológica.
Pero mientras tanto, que no se olviden también de la educación y la capacitación. Ninguna de estas medidas de seguridad serán efectivas con un empleado ignorante o “políticas IT internas inexistentes o pobremente desarrolladas”.
En conclusión, si los responsables de IT ya tienen bastantes problemas con BYOD ¿para qué agregarle uno más con la nube?