“Si no toma las medidas de seguridad necesarias, sus sistemas informáticos pueden ser víctimas de los hackers“. Cuando una persona dice eso, a miles de hackers en el mundo se les calientan las orejas y se muerden los codos porque la gente todavía los asocia con delincuentes, a pesar de que no lo son.
La misma Real Academia Española deja para un segundo lugar su definición como “persona experta en el manejo de computadoras, que se ocupa de la seguridad de los sistemas y de desarrollar técnicas de mejora”; la primera, sin embargo, es “pirata informático“.
A pesar de este señalamiento injusto, los hackers siguen siendo un elemento fundamental para la seguridad de las compañías, especialmente a través de un procedimiento llamado hacking ético –ethical hacking, para quienes prefieren el término en inglés–.
El hacking ético se puede definir como las pruebas técnicas que se realizan para conocer la postura de seguridad de una organización. Es decir, qué tan vulnerable puede ser en temas de ciberseguridad. Estas pruebas se realizan con el propósito de identificar sus fallas o vulnerabilidades antes de que lo pueda hacer un atacante.
Así lo resume Miguel Ángel Mendoza, especialista en seguridad informática de Eset Latinoamérica. Y desde la definición queda claro que quienes realizan esta actividad son hackers, no delincuentes. De hecho, las pruebas a las que se refiere deben ser autorizadas por la entidad para la que se realiza el análisis.
“El término ‘hacker’ viene de ‘hack’, que es buscar hacer las cosas de una manera más rápida, sencilla y económica, pero en ningún momento intentando afectar [de manera negativa] a las personas ni a las organizaciones“.
Miguel Ángel Mendoza, de Eset.
Claro… es posible que existan hackers que se dejan tentar por ‘el lado oscuro’ y se dedican a realizar acciones ilegales; pero la razón de ser original del hacker no es causar daño.
La ética hace la diferencia
El ciberdelincuente, explica Mendoza, puede tener los mismos conocimientos o habilidades que un hacker, pero esta persona los utiliza para beneficio propio a costa de los usuarios de la tecnología. “Él busca lucrarse con sus conocimientos, afectando a los usuarios. Entonces nos gusta hacer esta distinción, porque si comete delitos o actos que están tipificados por las leyes, sencillamente es un ciberdelincuente“.
En el medio quedan aquellas personas que se dedican a buscar vulnerabilidades en los sistemas informáticos de las organizaciones y les avisan a los responsables cuando las encuentran, para que tomen las medidas correctivas; pero, aunque no tengan la intención de perjudicar a dichas organizaciones, tampoco lo están haciendo con su autorización. La línea es delgada en lo que se refiere a la intención, pero no tanto en la ejecución.
Al final, Mendoza explica que un hacker (sin el apellido ‘ético’) lleva a cabo sus actividades por gusto, por aprender más y desafiarse a sí mismo. “El hacker ético también puede hacerlo, pero estamos hablando de un servicio de ciberseguridad para las organizaciones, es un trabajo, es remunerado y en general se enfoca más en las redes, en los servidores y los equipos de las empresas que quieren evaluar su seguridad“.
Para resolver otras dudas sobre el hacking ético, Miguel Ángel Mendoza respondió algunas preguntas formuladas por Impacto TIC.
¿Cómo se forma un hacker ético?
¿Cuál es el límite legal para el trabajo de un hacker ético?
¿Con qué frecuencia se debe hacer un procedimiento de hacking ético?
¿Las pruebas se limitan a aspectos técnicos?
¿El hacking ético es un trabajo bien remunerado?
- En el hacking ético, como en la medicina, existe la objeción de conciencia. Miguel Ángel Mendoza cita el caso famoso de Apple, que se negó a acceder a la información del dispositivo que había sido usado por un terrorista.
- ¿El hacking ético es preventivo o reactivo? Mendoza asegura que buscar ser preventivo, pero quizás el trabajo del ciberdelincuente puede ser un poco más sencillo que el del hacker ético, porque basta un solo punto que no haya sido considerado para que este pueda aprovecharlo, mientras que del lado de la seguridad se deben considerar –y proteger– todos los puntos de la infraestructura para evitar que se presente algún tipo de incidente. Sin embargo, es una tarea complicada que necesita recursos, tiempo y a veces las organizaciones no cuentan con todos estos elementos.
- Que Windows y Android sean los sistemas que sufren más ataques no quiere decir que sean los más vulnerables. “Es un juego de probabilidades: a una mayor cantidad de usuarios es más probable que una amenaza afecte a más usuarios que a un sistema operativo poco utilizado“, explica Mendoza. Por consiguiente, eso tampoco significa que macOS, Linux o iOS sean completamente seguros o que no haya amenazas para ellos. “Por supuesto que las hay, pero en menos proporción que para Windows o Android“. También hay que anotar que existen ataques que tienen como blanco tecnologías que son comunes a los diferentes sistemas, de manera que atacan por igual en cualquiera de ellos.
- Pedir a una persona desbloquear el celular de otra para revisar su contenido no es hacking ético. De hecho, la legislación de algunos países considera delito acceder al smartphone de otra persona sin su autorización. Esto solo se puede hacer dentro de un proceso y con una orden judicial de por medio.
- En cuanto a las vulnerabilidades, ningún sistema es perfecto: “Finalmente, el software está hecho por personas, por programadores, y como no somos perfectos, los errores también están casi de manera inherente en los sistemas que se programan. Esas variables, más que de seguridad, nos hablan de los riesgos. De hecho, así definimos los riesgos: la posibilidad de que una vulnerabilidad sea explotada por una amenaza. Se puede hablar de sistemas menos riesgosos más que de sistemas más seguros que otros“.
Imagen principal: Kevin Ku (Unsplash).
