Si bien el ámbito de la seguridad compromete muchas disciplinas y prácticas diferentes (usar passwords no triviales, restringir accesos a directorios, actualizar antivirus regularmente, proteger equipos críticos en salas de servidores), uno de los ámbitos más frecuentemente afectados por la pseudo seguridad tiene que ver con los equipos de comunicaciones (switches, firewall, equipos inalámbricos, etc), los cuales sirven como puerta de acceso y medio de transporte a los datos de nuestras redes. Estos equipos usualmente no entregan las prestaciones de seguridad mínimas, no porque no sean capaces, sino más bien porque no han sido activados debido al desconocimiento de la tecnología, la complejidad de configuración, la incapacidad de advertir amenazas o de reconocer vulnerabilidades.

Una verdadera necesidad

Lamentablemente es muy común observar equipos muy sencillos que parecen firewalls, pero que no lo son, protegiendo los accesos a Internet de muchas Pymes. También es muy común advertir el uso de equipos inalámbricos sin medidas mínimas de encriptación y/o autentificación de usuarios. Basta con pararse en cualquier edificio de altura y comenzar a "detectar" la gran cantidad de señales de redes inalámbricas con encriptación básica, fácilmente vulnerable por cualquier iniciado. Esta práctica resulta similar al instalar puntos de red en la puerta exterior de nuestras empresas para que cualquier persona que pase se conecte a la red. Tal vez una persona pase por allí, se conecte con un equipo portátil y sólo use la red para navegar en Internet. Pero no debe olvidarse que esa persona podría tener un virus en su computador e infectar nuestros equipos, o utilizar nuestra red para enviar correos spam o para atacar a un tercero, haciéndonos parecer a nosotros como culpables.

La pregunta de fondo es ¿De qué sirve contar con switches, firewalls o equipos inalámbricos que soportan mecanismos y protocolos de seguridad como VPN, 802.1x, WPA, AES, TKIP y varios otros, si ni siquiera han sido activados y configurados adecuadamente?

Muchos piensan que sus redes no son atractivas para un hacker y por eso estiman que la seguridad no es una necesidad para ellos. Sin embargo, esto encierra varios errores conceptuales, ya que los ataques más comunes no son protagonizados por hackers sino por empleados o usuarios regulares de la red. Por otro lado, el objeto del ataque no es necesariamente robar información, sino usar nuestro servidor de correo para enviar spam y, de paso, registrar a nuestra empresa como un emisor de correo spam o simplemente generar tráfico inútil que bloquee nuestra red o conexiones a Internet, impidiéndonos enviar correos, usar la red y trabajar normalmente.

Casi todo el mundo reconoce que las tecnologías avanzan rápidamente, que surgen nuevos protocolos, aparecen nuevas amenazas y se descubren vulnerabilidades. Por lo mismo, y para evitar ser víctimas de algo tan común como un virus, casi todos actualizan regularmente sus antivirus. Sin embargo, pueden pasar meses desde que instalaron un firewall sin que nadie lo actualice o revise la configuración del mismo, pese a que diversos fabricantes desarrollan y hacen públicas nuevas versiones de firmware, muchas veces sin costo adicional para sus clientes.

La solución a esto no es estrictamente técnica; es un cambio de actitud que nos lleve a mirar la red de una forma más integral, a aceptar y reconocer que las amenazas no están sólo en el servidor, y a entender que las medidas de protección que se deben tomar no son tan complejas como parecen.