Auditorías de seguridad y telemantenimiento

¿HASTA DÓNDE nos puede llevar la inseguridad de determinados accesos remotos? Debido a la evolución tecnológica, cada vez más las empresas y despachos profesionales requieren los servicios de especialistas en sistemas informáticos, bien en la propia empresa, creando (según la dimensión) sus propios departamentos de informática, o bien subcontratando el servicio de mantenimiento de hardware y administración de redes.

El servicio de administración de redes se puede llevar hasta un punto determinado de inflexión sin caer en la idiosincrasia de poner toda la información en manos ajenas, sujeta a los términos contractuales de tipo particular. Es decir, ante el desconocimiento en temas tecnológicos, el empresario suele aceptar y firmar un contrato de mantenimiento, favoreciendo en la mayoría de las ocasiones a la empresa a quien contrata.

¿Qué se quiere decir con esto concretamente? Con cierta asiduidad, muchas (no todas) de las empresas de mantenimiento de hardware informático suelen ofrecer administración de redes con una cartera de 30 clientes habituales, suelen tener una plantilla media de dos técnicos, y en la mayoría de las ocasiones suelen ser el empresario mismo y un empleado. Esto significa que si tienen tres o cuatro incidencias de instalación de sistema operativo, aplicaciones, integración en una red local y adherirse al servicio ADSL, en tres o cuatro municipios diferentes y distantes al día, no pueden atender las cuatro a la vez en un día. Por lo que se opta en muchas ocasiones por un servicio de mantenimiento remoto.

De este modo, esta empresa interviene desde cualquier punto con acceso a internet en las redes de sus clientes. Este servicio hay que contemplarlo con mucha cautela a la hora de contratarlo, porque para ofrecer este servicio se requiere en primer lugar que la empresa de mantenimiento tenga que adquirir de forma legal un software de conexión para este menester y las licencias correspondientes para cada técnico. Una aplicación segura, legal y con garantías.

Asimismo, muchas empresas utilizan programas "freeware" (gratuitos), o de dominio público inseguros, y con agujeros de seguridad importantes, y no sólo técnicos; sino sociales. De tal forma que cualquier empleado de la empresa conocedor de las direcciones IP's y de los nombres de los servidores puede entrar libremente desde su casa sin reparar en los daños que pudiera causar, muchas veces sin intención.

Un ejemplo claro es el caso del despido de un técnico de la empresa de mantenimiento. Y aquí no valen los documentos de confidencialidad; porque al fin y al cabo es simplemente un trozo de papel firmado con cierto aire legal. Y estos programas de acceso no controlan claves ni passwords, ni reconocen aspectos legales ni sociales. Más aún, si se emprenden acciones judiciales contra este empleado, de nada sirve, ya que, por muchas sentencias que se dicten, el daño o dolo está efectuado.

¿Por qué decimos que la empresa a quien se contrata sale beneficiada con la salvaguarda de la "venta" de que el cliente se ahorra el coste de desplazamiento, y celeridad en la atención? Pues porque como suelen ser solo dos ó tres técnicos y estarán desplazados en otros servicios, no tienen suficientes recursos en su sede principal. Es decir, no ampliar plantilla; no generar empleo.

Hay que tener en cuenta que un buen contrato de mantenimiento de hardware debe contar con las garantías suficientes de reposición de piezas, mano de obra, desplazamientos y tiempo de atención. Y un contrato de atención remota (telemantenimiento) debe contar con las normas básicas en seguridad de sistemas y debe ser revisado o auditado por una empresa ajena a las partes contratantes para no caer en errores que a posteriori no pueden solucionarse de forma sencilla.

Una anécdota reciente: una asesoría laboral tuvo la necesidad de contratar una empresa de manteniminento de hardware. Esta última le ofrece el telemantenimiento para la resolución de incidencias en los ordenadores del despacho. Como deben suponer, los datos de una asesoría laboral tienen catalogado en la Agencia de Protección de Datos de "nivel alto". La asesoría laboral mantenía relación profesional con la empresa de mantenimiento y, como había confianza, aceptó el contrato de telemantenimiento con un sinfín de posibilidades.

Uno de los empleados, en aras de ofrecer mejor servicio al cliente, se prestó de forma desinteresada al asesor para que en épocas de cierre de mes, incluso los fines de semana, pudiera conectarse desde su casa para ayudarle en lo que fuera menester. Como la curiosidad mató al gato, una noche este empleado se aventuró a conectarse al servidor y entró para revisar la copia de seguridad; y claro, ya que estoy dentro voy a ver si me ingresaron la nómina. ¿Qué ocurrió? Pues lo que ustedes se suponen. No sólo vio e imprimió su nómina, sino la de sus superiores, y las de otras empresas que no tenían nada que ver con la suya pero tenía personas conocidas en estas otras. Magnífico chasco se llevó cuando vio que un compañero suyo que acababa de entrar en su plantilla, cobraba el doble que él y con titulación inferior, cuando él llevaba tres años trabajando y era la persona de confianza del empresario. Les doy permiso para imaginarse el resto.

Una asesoría laboral o fiscal debe contar con una empresa de auditoría externa para que evalúe todos estos riesgos, y además que esta empresa tenga cierta garantía, responsabilidad y al menos que cuente con una certificación de calidad que garantice su labor. Y que esta empresa auditora cuente con un departamento técnico-jurídico para resolver cualquier tema legal.

* Director general de TyC Consulting