Noticias

Una actualización pendiente puede parecer algo sin importancia. Hasta que alguien aprovecha el fallo que esa actualización venía a corregir.

El aviso publicado por INCIBE sobre dos vulnerabilidades críticas en PHP, una tecnología utilizada en numerosas páginas web y aplicaciones, recuerda la importancia de actuar a tiempo. Estos fallos podrían permitir que un atacante ejecutase instrucciones en los sistemas afectados. La recomendación es aplicar las correcciones en cuanto estén disponibles.

El Instituto Nacional de Ciberseguridad, INCIBE, ofrece prevención, información y ayuda a la ciudadanía y a las empresas. A través de INCIBE-CERT atiende incidentes del ámbito privado. En las administraciones públicas, el organismo de referencia para la respuesta a ciberincidentes es el Centro Criptológico Nacional, a través del CCN-CERT. Una misma vulnerabilidad, sin embargo, puede afectar tanto a una empresa como a una administración, porque ambas pueden utilizar la misma tecnología.

Desde el Consejo General de Ingeniería Informática queremos insistir en una idea: conocer un fallo es solo el primer paso; hay que corregirlo. Cuando una vulnerabilidad se hace pública, también los delincuentes pueden conocerla y buscar equipos que continúan sin protección. Por desconocimiento, falta de organización o por dejar el mantenimiento para más adelante, una solución disponible puede quedarse sin aplicar.

Lo sucedido hace unos días en Francia muestra que las consecuencias pueden salir de la pantalla. Un ciberataque a los sistemas que controlan la refrigeración de supermercados alteró las temperaturas y obligó a retirar alimentos. Ya se habían publicado vulnerabilidades y correcciones para determinados controladores de este tipo. Aunque no se ha confirmado públicamente la vía exacta de entrada del ataque, las autoridades francesas insistieron en actualizar los equipos, cambiar las contraseñas de fábrica y proteger los accesos remotos.

Pensemos en un incidente semejante en un hospital o en un almacén farmacéutico. Una alteración de la temperatura podría comprometer la conservación de medicamentos que necesitan frío y afectar a la atención sanitaria. Es una consecuencia posible que ayuda a entender por qué proteger estos sistemas resulta esencial.

Hay medidas concretas que debemos incorporar al mantenimiento habitual:

- Actualizar los sistemas, dando prioridad a las correcciones de seguridad.

- Cambiar las contraseñas de fábrica, utilizar claves largas y distintas para cada servicio y sustituirlas si hay indicios de que han sido comprometidas.

- Activar la verificación en dos pasos siempre que esté disponible.

- Revisar los equipos conectados y proteger los accesos remotos, incluidos los de cámaras, alarmas o sistemas de climatización y refrigeración.

- Planificar la sustitución de los dispositivos que ya no reciben actualizaciones y mantener copias de seguridad comprobadas.

También debe quedar claro quién se encarga de estas tareas. Cuando el mantenimiento está contratado, hay que acordar con el proveedor quién recibe los avisos, quién aplica las correcciones y cómo se comprueba que han quedado instaladas. En el caso de PHP, actualizar el contenido de una web no implica necesariamente actualizar la tecnología que la hace funcionar.

Desde el CCII reivindicamos una gestión profesional de la tecnología, con conocimiento técnico, responsabilidades claras y mantenimiento continuado. Actualizar también es cuidar de los datos, de los negocios y de los servicios de los que dependemos cada día.