Cuando trabajamos en una pyme de tamaño mediano ya de poco sirven las políticas conciliadoras, las formaciones de usuario y la explicación de por qué no podemos hacer determinadas cuestiones con los equipos de la empresa, cómo afecta al rendimiento de los equipos y a la red corporativa. Por eso muchos administradores de sistemas aplican duras políticas de seguridad en la pyme, por defecto nada está permitido.
En este aspecto siempre hay que ir de menos a más. Creamos unas reglas de seguridad que no permitan hacer prácticamente nada a los usuarios, ni acceder a los puertos USB, ni al cederrón y por supuesto a internet. No permitimos, ni siquiera que el usuario pueda cambiar el fondo de escritorio. Lo más restrictivo posible para permitir que se desarrolle el trabajo del usuario con normalidad.
A partir de aquí es cuando se empiezan a aplicar las excepciones, tal o cual equipo tiene que acceder a internet, y tal o cual departamento necesita que le habiliten el cederrón o los puertos USB. Esto siempre tiene un grado de degeneración que no se sabe al final por qué tal o cual usuario tenía determinados permisos. Es necesario documentar muy bien las excepciones y revocar los permisos cuando dejen de ser necesarios.
A mi no me gusta este tipo de restricciones, y soy más partidario de dar libertad al usuario y apelar a su propia responsabilidad. Eso si, siempre que los propios usuarios se corresponsabilicen de la seguridad de su puesto de trabajo. Tampoco soy partidario de restringir a todos los usuarios por igual, sino más bien de auditar los comportamientos de los mismos y en función de su responsabilidad aplicar políticas.
Pero esta última opción es complicada de implementar a medida que va creciendo la empresa. Por eso muchas veces se tira por la calle de en medio, o el no a todo, y a partir de aquí ya se abrirá la mano de forma que se puedan hacer determinadas cosas en función de los requerimientos de nuestro puesto de trabajo.
En Tecnología Pyme | Seguridad en nuestros equipos: perfiles de usuario en Windows XP
Imagen | jdurham
Comentarios
Mi experiencia es bastante negativa con hacer pedagogía y permitir a los usuarios tener libertad de movimientos. Tanto en nuestra empresa como las empresas a las que mantenemos sus sistemas intentamos ser restrictivos en las políticas y abrir las reglas que son necesarias para un uso normal de los sistemas, así hacemos un estudio de los hábitos y necesidades y abrimos lo mínimo posible sin que afecte a su productividad y día a día. Creo que es importante que las resticciones no bloqueen la empresa, pero es imprescindible tener unos límites en el uso de los sistemas que no puedan ser grandes agujeros de seguridad. Es necesario recordar que la mayoría de problemas de seguridad vienen dados por usuarios internos.
Esta bien este artículo, pero un día podrías hablar de como implementar estas restricciones de seguridad. Yo administro toda la red de equipos de mi empresa, que es pequeñita (7 puestos) y no tengo ninguna restricción, pero alguna vez he tenido que restaurar con una imagen de disco algún que otro equipo porque ha habido algún fallo de seguridad (por parte de algún empleado).
Gracias.
Escribir un comentario
Para hacer un comentario es necesario que te identifiques: ENTRA o conéctate con FacebookConnect