El Espionaje Corporativo es sin duda un mal que tienen que vivir miles de empresas competitivas, preguntándose los altos ejecutivos cómo hicieron estos espías para robarse información confidencial de la empresa habiendo un entorno de seguridad en el mismo.
En el mercado global y altamente competitivo de nuestros días, quienes deben afrontar una toma de decisiones en el ámbito empresarial, requieren unas sólidas bases de información en todo lo referente a puntos fuertes, vulnerabilidad, estrategias, planes e intereses de competidores o bien de posibles socios.
El empresario, el político, el industrial, etc, en la actualidad, está expuesto a una serie de riesgos de distinta índole (financiero, patrimonial, de imagen, personales, etc.), algunos de ellos no llegan a comprender que el riesgo de espionaje comercial, industrial y político existe, y sus consecuencias pueden llegar a ser graves. El espionaje corporativo no es en absoluto un peligro reciente. En la actualidad se estima que el 70 por ciento del valor medio de una corporación reside en la información que posee (fuente: Trends in Proprietary Information Loss – Tendencias en la pérdida de información confidencial, American Society for Industrial Security and PricewaterhouseCoopers, 1999).
Muchas de las corporaciones con más éxito actualmente han sufrido incidentes de espionaje corporativo y el número de estos casos aumenta constantemente. En 1999, las compañías del ranking Fortune 1000 reportaron un total de 45 billones de dólares en pérdidas debidas al espionaje corporativo (fuente: Trends in Proprietary Information Loss – Tendencias en la pérdida de información confidencial, American Society for Industrial Security and PricewaterhouseCoopers, 1999). Las tecnologías informáticas son claramente un caldo de cultivo para el robo de información confidencial o protegida utilizada por estos espías corporativos. Los directores de sistemas deben dedicar tiempo a proteger a la compañía, aplicando medidas de seguridad adecuadas para su red y estableciendo normas eficaces.
La información más valiosa actualmente está almacenada de forma electrónica y, dado que las computadoras están conectadas a redes y en línea, o accesibles por otros medios físicos, el director de sistemas juega un papel fundamental en la defensa de la corporación frente a las actividades de espionaje (y en la detención de esas actividades cuando se descubren). A pesar de que lo más probable es que los incidentes de espionaje corporativo no puedan erradicarse completamente, las corporaciones pueden modificar sus estrategias de seguridad para reducir al mínimo los incidentes y las pérdidas que provocan.
Entre los riesgos directos en relación con las personas que tienen acceso a información confidencial y con accesos especiales, existen tres tipos principales de peligros que pueden facilitar el espionaje corporativo:
- Soborno: Es posible que los empleados reciban ofertas directas de agentes de inteligencia de otras corporaciones, que ofrecen dinero en metálico a cambio de información confidencial o protegida.
- Ingeniería Social: La manipulación de un administrador de redes o de otras personas del departamento de sistemas (ya sea por parte de personas de la propia corporación o por parte de terceros) para que divulguen información, como datos de inicio de sesión u otros datos de autentificación, que pueden usarse a continuación para obtener el acceso a la información delicada.
- Connivencia en Grupos: Cuando varios empleados se alían para usar sus conocimientos y privilegios colectivos para obtener el acceso a la información.
El espionaje corporativo realizado por las personas ajenas a las organizaciones recibe más atención de los medios de comunicación que las actividades ilícitas del personal, especialmente porque las protecciones de red que se aplican frente a los espías externos son similares a las que se usan como protección frente a los hackers. Las vulnerabilidades de una red que permiten el acceso de las personas externas a su red les permitirán eventualmente el acceso a la información protegida que buscan.
En el caso de los espías externos, los métodos comunes de conseguir el acceso a los datos protegidos son los siguientes: DESCIFRADO DE CONTRASEÑAS, PUERTAS TRASERAS Y CABALLOS DE TROYA, EL «OLFATEO» de paquetes, LA INGENIERÍA SOCIAL, otras.
Entre las vulnerabilidades de una red que podrían conducir a fugas de información se encuentran la presencia en la Web, el correo electrónico y las actividades de los usuarios en Internet, su intranet y los privilegios de acceso.
A pesar de que no afectan directamente al departamento de sistemas, también pueden usarse métodos físicos, como la sustracción de computadoras portátiles y la intervención de líneas de datos. Con el fin de protegerse del uso indebido o la fuga accidental de información interna hacia los espías externos a través de la red, la corporación debe evaluar y clasificar los activos de información y diseñar normas de implementación y soluciones que permitirán reducir el acceso no autorizado a esos datos.
Las soluciones que deben aplicarse son las siguientes:
- Es necesario monitorear el tráfico de correo electrónico y de Internet para impedir la transacción de datos confidenciales a través de la red. El filtrado de contenidos de Internet ayuda a limitar el acceso a los sitios Web, lo que puede poner en peligro la confidencialidad de la corporación. El filtrado de correo electrónico puede impedir la transmisión de información confidencial a través del correo electrónico, incluida la información de autentificación o los datos protegidos.
- El uso de soluciones antivirus completas, que incluyen la búsqueda de caballos de Troya, le ayudarán a eliminar el espionaje corporativo (y los robos de datos resultantes) a través de métodos de puerta trasera.
- Los productos de software para detección de intrusos permitirán el acceso exclusivo de las personas autorizadas a las áreas restringidas de la red. El departamento de sistemas puede recibir alertas acerca de los intentos de intrusión y puede actuar en consecuencia.
- Las soluciones de evaluación de vulnerabilidades contribuirán a que el departamento de sistemas comprenda la arquitectura de seguridad y las vulnerabilidades de cada componente dentro de la estructura. Ayudarán a los directores de sistemas a obtener auditorías de red, así como a desarrollar y mejorar las protecciones.
La implementación de normas ayudará al departamento de sistemas a desarrollar un conjunto sólido de normas de configuración de las redes. Estas normas pueden ayudarle también a establecer reglas de acceso, para que se pueda monitorear mejor la actividad y detectar posibles intrusiones. En cuanto a los usuarios, las normas permitirán garantizar que comprenden cuál es el uso adecuado de los recursos de la red corporativa. Estas normas ayudan a establecer procedimientos de gestión de incidentes. Como otra posible solución para erradicar el espionaje corporativo es la cooperación entre las corporaciones y las autoridades competentes de justicia durante las investigaciones por espionaje para que contribuya a que la Administración comprenda mejor los peligros futuros para la seguridad de la infraestructura pública y pueda actuar contra ellos. Anteriormente, muchas corporaciones se resistían a reportar las violaciones de seguridad. Dado que el espionaje es una intrusión muy costosa, las corporaciones están mucho más dispuestas a inculpar a los espías.
Al contrario que en el caso de los hackers o los virus, las pérdidas causadas por el espionaje pueden ser recuperadas, dado que las intrusiones son facilitadas por competidores o incluso organismos oficiales, que pueden costear la reparación de las pérdidas después de las acciones legales oportunas.
En conclusión, un mercado competitivo en el que la información es un bien precioso, no es probable que el espionaje desaparezca. Muchos expertos predicen que el espionaje crecerá en el futuro, especialmente a medida que el público en general tiene acceso a Internet y a otras tecnologías electrónicas dignas del mismísimo James Bond.
A pesar de que el espionaje no puede ser eliminado, la implementación de protecciones en la red permite al menos reducir al mínimo la pérdida de información confidencial por medios electrónicos.
