Los peligros de tercerizar la seguridad, diría el FBI

(Por El Microsaurio) Tercerizar, la palabra mágica de las empresas que desean pasarle el problema a otro (y de paso, eliminar puestos de trabajo de la planilla de sueldos), a veces puede significar una decisión peligrosa. Por ejemplo, si se terceriza la información crítica de una agencia de seguridad. Sí, otra novela en puerta, arrimá la silla y traete el mate.

Autores de la novela: los muchachos de Antisec, esos que (parece) tomaron la posta cuando el grupo de hackers Lulzsec escuchó demasiado cerca las sirenas de los patrulleros.
Víctimas: algunos servers de la empresa Mantech, dedicados al FBI, de los cuales fueron copiados por los intrusos unos 400 megabytes de datos. Copiados y, como era de esperar, posteados en un website. Donde los vieron algunos miles de personas, incluido un servidor. Lo que yo vi son direcciones de email, no había passwords, pero eso fue lo que se posteó el 1° de agosto. El 29 y el 30 de julio se publicó más información, que afirmo no haber visto (no sea cosa que…)
Como esto ya es cosa repetida, analicemos el fondo de la cuestión. La dirección del FBI decidió en 2010 otorgar un contrato a Mantech International Corporation por 100 millones de dólares, con una duración de cinco años, para proveerles sistemas de comunicaciones… que en estos tiempos significan servidores y otros equipos conectados a Internet. Y parece que la gente de Mantech se olvidó que la Internet es transitada por toda clase de gente, incluyendo hackers, claro.
Ojo, no es cuestión de pensar que quienes tomaron la decisión de otorgar ese laburo se lo dieron a un pichi: como podrás ver en esta página oficial, los de Mantech proveen comunicaciones al Departamento de Estado y al Homeland Security estadounidenses, además de a la NATO.
Oh, ahora que lo pienso, tal vez esa sea la razón por la cual se han conocido fallas en sistemas de comunicación de los aliados euronorteamericanos en Afganistán…

Moraleja: si están a cargo de información crítica y alguien se les acerca asegurando que es necesario tercerizar comunicaciones para bajar costos, tal vez les sirva esta nota para hacerlos reflexionar un poco. Eso sí, lo importante sería mirarlo fijo y decirle “ok, todo bien, si usted se hace responsable de los riesgos…”

Comentarios ínfimos y laterales:
a) mirando la página web de la empresa esa, pude ver que escriben “IRAQ” así, todo mayúsculas, en el mismo párrafo que ponen “NATO”. Pero escriben “Afghanistan” de esta otra manera. ¿Serán tan brutos como para creer que Iraq es una sigla?
b) además ofrecen “servicios de análisis forense de intrusiones informáticas” Todavía estoy sacudiéndome de risa.