BIEN SEGURAS

 ¿Qué ocurriría si una handheld cargada con datos sensibles de la empresa se perdiera? Los productos de encripción están para salvar la contingencia. Por Avi Baumstein

 

Hay que decirlo sin tapujos: la pérdida de laptops está alcanzando proporciones epidémicas. En la recientemente publicada Encuesta 2007 sobre delitos y seguridad en computación, del Instituto de Seguridad en Cómputo (CSI, por sus siglas en inglés) de Estados Unidos, la mitad de los interrogados afirma que al menos una computadora portátil o dispositivo móvil fue robado de sus organizaciones el año pasado.

 

Como una reacción ante esta situación, al menos 37 entidades de ese país ahora exigen notificación cuando alguna información personal ha quedado comprometida. Y a medida que los usuarios se va cansando de tantos y tan repetidos estragos con los datos -todo el mundo tiene algún amigo que ha sido víctima de robo de identidad-, inevitablemente comenzarán a averiguar las prácticas de encripción de las compañías con las que hacen negocio.

 

EN MEDIO DEL CAOS. En julio de 2006, el CIO del Departamento de la Defensa de Estados Unidos, John Grimes, emitió un memorando donde declaraba que todos los datos sensibles almacenados en handhelds y dispositivos móviles debían estar encriptados. En respuesta, el Equipo Tigre de Datos en Descanso (DARTT, por sus siglas en inglés) de la Administración de Servicios Generales (GSA) de dicho país recientemente dio su aprobación a 10 productos de encripción.

En un proceso que Sean Lyons, director federal de Operaciones de SafeBoot Technologies, describe como “el marco más avanzado en criterios de evaluación que haya visto plasmado en una solicitud formal de propuestas”, el DARTT presentó a los fabricantes un conjunto de requisitos técnicos que clasifica como críticos, importantes o deseables. Entre los requisitos calificados como críticos está la verificación FIPS 140-2 (del Federal Information Processing Standard, publicación 140-2), que habla acerca de la capacidad de borrar los datos del dispositivo de forma remota, y entre las características deseables se encuentra el soporte para la suscripción única a Trusted Platform Modules.

Para ser tomados en consideración, los productos deben satisfacer todos los requisitos críticos. Había escasas pruebas de laboratorio formales; en cambio, DARTT se fundó en informes de las agencias gubernamentales que ya habían usado la mayoría de estos productos.

Dicen los profesionales IT que lo único peor que perder una laptop llena de datos sensibles sin encriptar es tratar de manejar una empresa llena de dispositivos encriptados. Por ahora, la gente IT tiene que conjuntar sistemas que resuelven sólo partes del problema, lo cual los pone un poco en medio del caos.

Una compañía, por ejemplo, podría tener un servidor empresarial BlackBerry para el manejo de estos aparatos, y obligar a los usuarios a adquirir Content Protection, que es la encripción de datos incorporada de Research In Motion (RIM), el fabricante de las BlackBerry, mientras que los dispositivos con Windows Mobile conseguirían cierta gestión de políticas a través de Exchange 2003, y otros dispositivos podrían tener encripción a partir de una consola de terceros. Pero además, se podría necesitar otro sistema para manejar políticas y recuperación clave para una suite de disco completo para laptops Windows, al tiempo que la herramienta File Vault, de Apple, cerraría todo en la cuenta del usuario, pero no aplicaciones y bibliotecas del sistema, y no ofrecería administración centralizada.

 

A CUBRIRSE LAS ESPALDAS. Si alguien está en el proceso de optar por un sistema de encripción, debe visualizar 18 meses hacia adelante, pensando en las plataformas que podrían necesitar soporte. La manera más segura de mantener la encripción consistente y manejable es invirtiendo en un producto que maneje la encripción del mayor número de dispositivos móviles e imponga un solo conjunto congruente de políticas. El año pasado, la publicación hermana InformationWeek, hizo una revisión de sistemas de encripción de disco completo, y como signo de que este tipo de tecnologías se está volviendo un buen negocio, SafeBoot, su Editor’s choice, está en proceso de ser adquirida por McAfee.

 

Los dispositivos con datos sensibles deben demostrar que están encriptados. La auditoría es clave para delimitar las responsabilidades. Por fortuna, se trata de una característica que ofrecen todas las suites de encripción administradas centralmente. SafeBoot ofrece incluso auditorías para memorias flash USB encriptadas (lo que es una ventaja, porque el pequeño tamaño de estas memorias hace que fácilmente se pierdan).

 

Con todo, una buena seguridad comienza con políticas completas, y esto es especialmente cierto en la encripción móvil. No hay modo de negar que la encripción de los dispositivos es incómoda para los usuarios. Una política contribuirá a recabar el soporte a nivel ejecutivo, lo que es vital para reducir presiones en contra.

 

Las políticas de la organización deben definir exactamente qué datos requieren ser protegidos y en qué circunstancias, además de limitar la cantidad de datos sensibles almacenada en dispositivos móviles y favorecer el acceso remoto seguro. La meta es impedir que alguien no autorizado accese los datos. Limitar la encripcion a este perfil de la amenaza puede simplificar grandemente el despliegue de un sistema de encripción y mejorar la facilidad de uso.

Los usuarios deberían llevarse consigo datos sensibles las menos veces posibles. Un analista de negocios que estudie las tendencias de compra de los clientes no necesita los números de las tarjetas de crédito en su handheld. Clave para el cumplimiento de la norma: incluir en los sistemas de datos corporativos la capacidad de excluir que los datos sensibles puedan ser exportados o, incluso mejor, dificultar que salgan a un formato portátil.

 

DIFÍCILES DE TRATAR

Los smartphones y PDA pueden resultar más difíciles de encriptar que las laptops. En primer lugar, es difícil introducir contraseñas complejas en teclados diminutos (en particular si son a base de caracteres especiales), pero además la autenticación multifactorial es casi imposible. Esto puede impedir la integración de la autenticación del dispositivo móvil en el sistema de autenticación de la compañía.

El limitado poder de procesamiento de los dispositivos pequeños también implica que el poder de cómputo extra requerido para la encripción cause que estos equipos se vuelvan mucho más lentos, además de que el hecho de que los teléfonos inteligentes siempre estén prendidos obliga a tener mayor cuidado de que la encripción no rompa la funcionalidad. En otras palabras, podría ser una buena idea encriptar la base de datos del calendario, pero si el notificador de la alarma no logra leer las citas porque no se ha ingresado la contraseña, el usuario podría tener problemas.

 

 MUCHAS OPCIONES

 La abrumadora riqueza del mercado de encripción móvil puede volver intimidante la elección de un fabricante de plataformas, pero lo importante es seguir adelante.

 

ENCRIPCIÓN DE DISPOSITIVOS

• Credant Technologies
• GuardianEdge Technologies
• Mobile Armor
• McAfee (SafeBoot Technologies)
• SafeNet

 

ENCRIPCIÓN DE ARCHIVOS

• RSA
• SeguriData
• SkyLock At Rest, de Encryption Solutions
• SecretAgent, de Information Security
• SecureDoc, de WinMagic

 

ALMACENAMIENTO CON ENCRIPCIÓN

• Dell
• Hitachi
• Kingston
• SanDisk
• Spyrus

No hay artículos relacionados