Interesante reflexión y más en estos momentos que dado el interés del mercado proliferan las empresas dedicadas tanto a esto como a la protección de datos. Este comentario será una respuesta al hilo de cada pregunta:
[P]-¿Está el negocio de la seguridad alimentado en parte y de manera intencionada por falsas amenazas?
[R]- Como dirían los amigos de Expediente X, las amenazas están ahí fuera.

[P]-¿Exageran las empresas los riesgos de seguridad a los que las organizaciones están expuestos?
[R]- Las empresas que lo hagan bien no, porque la información de los riesgos debe venir de la propia empresa que estima sus posibles daños y sus posibilidades de recibirlos.

[P]-¿Es Internet realmente tan insegura? ¿Nos estamos volviendo todos locos?
[R]- A mi siempre me gusta hacer símiles con otras ciencias o áreas de conocimiento que han pasado antes por donde se encuentra la seguridad. Si la Informática y el desarrollo de los sistemas de información se hubiera realizado de una forma reglada, normalizada y sobre todo, sujeta a responsabilidades y garantías, podríamos pensar que por la propia calidad del proceso de construcción, todas las adversidades habrían sido planteadas en el diseño y los productos o sistemas implantados gozan de esas garantías. A nadie se nos ocurre pensar si se nos cae la casa o si el frigorífico puede matarnos por una fuga de corriente que acabe electrocutándonos. Sin embargo, la cláusula universalmente aceptada de “irresponsabilidad” asumida en el entorno TI no deja tranquilo a nadie porque no hay pruebas en las que basar la confianza.

Por tanto, ahora toca revisar y pensar en si los sistemas de información cubren las expectativas y si podrán o no gestionar bien los riesgos a los que se ven sometidos.
La seguridad se puede vender desde el miedo o desde la aproximación basada en estudiar los riesgos. Lo primero es un pozo sin fondo que apela a “sensaciones de seguridad”. Lo segundo es una aproximación intelectual que intenta estimar opciones y evidenciar resultados en los que basar la confianza. El problema es que esta realidad es compleja y no es visible pero los datos hablan de incrementos de fraude y el usuario online es víctima de robo. A ello se suma la complejidad de la investigación policial y la globalidad de este tipo de delitos.

Conclusión: las cosas no deben estar demasiado bien si atraen a los delincuentes.

Muy interesante la reflexión y los paralelismos entre las medidas de seguridad escalando y la gestión de la seguridad TIC. El matiz de la pregunta sobre el ánimo de lucro se le supone a toda actuación de una empresa, con lo que la cuestión queda en si te quedas corto, se es objetivo, o se exagera.

Mi opinión es que las empresas de seguridad como vosotros no tienen más remedio que estar todo el día comunicando e insistiendo en la existencia de las amenazas que acechan a vuestros clientes actuales y potenciales. Es la necesidad que tenéis que cubrir. Exagerar, no creo que nadie exagere, pues me imagino que ni siquiera una empresa especializada puede transmitir el alcance de todos los riesgos presentes y futuros que acechan en la jungla cibercriminal- ¿o sí?. Y el cliente, ¿lo entiende como una estrategia de ventas?.

La diferencia significativa entre las 2 actividades, la escalada y el riesgo en Internet, es precisamente la percepción de riesgo del usuario. Cuando escalas el primer día, tu cuerpo manifiesta muy explícitamente que no está muy de acuerdo con que te subas a una pared ni de 20 metros (no te digo de 200): te suben las pulsaciones, si se complica la vía te sudan las manos…. Él (tu cuerpo serrano) ya conoce el alcance del riesgo, tiene muy claras las consecuencias de no prestar atención a las medidas de seguridad y de que no seas capaz de actuar en modo errores = 0. Como comentas, las instrucciones de uso de todos los elementos están llenas de calaveras: así no – peligro de muerte – indican en cada página. Cuando me he comprado, por ejemplo, material de escalada por Internet, si me han sudado las manos ha sido de pensar dónde me iba a meter con una nueva cuerda, no del potencial cíber-atraco que pudiese estar sufriendo.

Vuestra actividad de servicios de seguridad TIC, ¿cómo es percibida por vuestros clientes actuales y potenciales?. Sí, perciben que hay riesgo, pero ¿cuántas empresas de su sector han perdido clientes por no estar adecuadamente protegidas?. Ya que no suele hacerse mucha publicidad de estos ataques, ¿cómo cuantificar la realidad de la amenaza?. Interesante el reto de convencer a un cliente que rapela de que quieres organizarle la cuerda y ser su machard (un nudo de seguridad) si no tiene muy claro que está rapelando.

Me imagino que tenéis bastante trabajo de difusión y concienciación, y este blog está poniendo su granito de arena al respecto. Enhorabuena.

Después de leer la reflexión y la analogía que has hecho con la escalada, debo exponer que (si bien me ha gustado) hay una cuestión básica a la hora de valorar la amenaza que puede entrañar Internet :

1 – La escalada es un acto individual – déjame simplificarlo – que hace que tu mismo seas quien este velando por tu seguridad.
2 – La escalada tiene unos riesgos conocidos y unas materias primas identificadas, no existe legalidad sobre el individuo pero las materias primas usadas para el producto (escalar) deben pasar una norma ISO.

Ahora déjame llevarlo al campo de la informática, voy a intentar resolver la intangibilidad de Internet en nuestras vidas. Llegas al trabajo, te sientas y te pones a trabajar en los medios que pone la empresa, no eres dueño de tu seguridad DIGITAL , y tu seguridad DIGITAL esta muy ligada a la de la empresa. La empresa es dueña de su seguridad, y la relativiza en costes, evalúa los riesgos y los cuantifica. ¿Realmente es consciente la empresa de las consecuencias de la no adecuación de las medidas de seguridad? No es tangible, no es medible, no es ‘tocable’, si te caes ‘no te rompes’, simplemente te caes. Y tú, que usas sus medios muchas veces para temas personales, como esta opinión que vierto en el blog, comprometes la seguridad de la empresa, con controles que ella no pone, haciendo un uso personal. Interesante.

Ahora llegamos a casa, queremos que Internet vaya deprisa, muuuy deprisa, y gratis, por eso nos gusta mucho bajarnos ‘pelis’, y demás programas freeware, y no tan freeware. Y claro, esto no duele, no hace pupa. Y ¿si no hace pupa como actuaremos en el resto de los lugares? Igual, exactamente igual.

Ahora veamos un caso un poco más drástico, pero real, hará unos 10 años cierta persona detectó que su conexión iba lenta. Decidió pedirle a alguien mas experto en el windows de entonces que le mirase que pasaba. Allí la sorpresa que tenía un servidor FTP con pornografía DE TODO TIPO en su PC, ni que decir que cabe que no era suyo pero también diremos que no es que se preocupara mucho de su ‘activo’ personal, más bien diría que las licencias no eran originales. Naturalmente fue prudente, denunció el hecho a la Brigada de Delitos Informaticos.

Si esto sucede en una organización, y además hablamos de pornografía de menores ¿ya hace pupa?

La concienciación es necesaria, las amenazas existen, pero el riesgo no es tangible. Cuando te caes, lo notas, pero en este mundo digital cuando te caes puede que no lo sepas, y hacer escalada sin cuerda (o con cuerdas a ratos) será más doloroso pero puede ser tan peligroso como hacer oídos sordos a las noticias que oímos día tras día.

Si son sensatos, tirese en paracaidas, pero si son más sensatos no se tire, deje que se tiren los demás.

(me parece que me he pasado de largo).

Pues nada, a hacer tangibles las amenazas, no os queda otro remedio.

Perdón, acabo de darme cuenta que “Francisco Benet” no es “Manuel Benet”…

Rafa, buen apunte, y menuda suerte para nosotros…no se que hariamos con dos Manuel Benet en el mundo…

[...] Practicando deportes también encontramos situaciones en las que la seguridad de uno mismo depende en gran medida de la actuación de un compañero. Un claro ejemplo es el de la escalada, donde un compañero situado sobre terreno firme se encarga de asegurar al escalador (Manolo dio algunos detalles en una entrada previa). [...]