Hace muchos años en los eventos como los que organizaba Cristian para hablar sobre seguridad en ámbitos donde pocas veces se hacía, con mi amigo y en aquel entonces socio, Ezequiel, siempre usábamos una frase para cerrar nuestras charlas: debemos ser sanamente paranoicos.
Esta frase quizás sin sentido para los especialistas de la salud mental, para nosotros tenía (y tiene hoy día) un sentido muy específico. Los que trabajamos en seguridad nos volvemos desconfiados de prácticamente todo y, por ende, muchas veces se nos tilda de personas antisociales, evitamos compartir información personal, no prestamos nuestra notebook (ni teléfono ni Tablet) a ninguna persona, tenemos claves largas y complicadas con segundos factores habilitados, etc. etc.
No es raro que cuando ingresamos a un portal en compañía de otras personas que no son del rubro, se nos queden mirando atónitas por la cantidad de caracteres que introducimos a alta velocidad, darle enter, verificar en nuestro teléfono el token generado y cargarlo en dicho portal... La mayoría de esas personas solo abrirían su navegador, seleccionarían el sitio e ingresarían automáticamente porque han guardado su contraseña en el propio browser...

Por defecto, somos paranoicos. Sospechamos de todo y de todos. No creemos en controles absolutos ni en software máximo, no existe la seguridad 100%... Pero el resto de los mortales no puede ni quiere vivir como nosotros. Y esta bien que así sea, por cierto. Yo no quiero vivir como los cirujanos acostumbrados a ver personas en grave estado todos los días teniendo que tomar decisiones que impactan en sus vidas de forma directa, ni como los abogados que cada papel que van a firmar o redactar, lo analizan con el fin de buscar la famosa letra chica… Cada uno de nosotros ocupa una profesión por algo y no puede darse el lujo de intentar que todos la disfruten de la misma manera.

Ser sanamente paranoico significa, para mí, seguir disfrutando de la profesión que uno eligió, de la tecnología que a uno lo tentó, y también de la ingenuidad que uno posee en tantas cosas de la vida, pero con un mirada un poquito desconfiada. El famoso concepto de "estar atentos". Sigo creyendo que eso es lo que debemos comunicar los que trabajamos en seguridad al resto de las personas. Si sale una vulnerabilidad en Java (ya se que no pasa nunca XD), y las recomendaciones se basan en frases terminantes como: "dejemos de usar Java" no llegaremos a ningún lado, porque los usuarios necesitan Java para correr sus aplicaciones y no lo van a cambiar, porque no saben cómo o porque no tiene otras opciones.

Si sale un bug en Facetime y todos decimos: "no usen más Facetime", el usuario no se va a proteger, lo va a seguir usando porque en realidad nunca le indicamos cómo protegerse, solo le dimos una orden negativa. Lo mismo cuando sale un bug que afecta a cualquiera por mirar una foto en Android, no podemos decirle: "no uses más Android" porque se le acaban las opciones, difícilmente cambiará su teléfono...

Para lograr que los demás sean sanamente paranoicos, no podemos ponerlos entre la espada y la pared en cada decisión que deben tomar, ni tampoco podemos seguir siendo poco tolerantes con quien queremos que se proteja pero se equivoca… si queremos que las personas sean sanamente paranoicas, no podemos pretender que hagan lo mismo que haríamos nosotros en una situación implique el uso de tecnologías informáticas… ellos necesitan tener y conocer una protección mínima, aprender el valor de su información y ser cuidadosos con ella, comprender qué puede pasar si alguien compromete su seguridad, pero lo más importante, conocer qué debe hacer si algo de eso le pasa...

Sigamos trabajando en difundir y concientizar a las personas de todas las edades, de todos los rubros, porque de la misma manera que necesitamos que los médicos nos concienticen continuamente sobre cómo prevenir enfermedades, ellos necesitan de nosotros para que los ayudemos a cuidar su información (y la nuestra) … ya que como dijo A. Einstein: "Todos somos ignorantes, pero no todos ignoramos las mismas cosas".

Claudio Caracciolo
Team Leader of the CSA and the Bs. As. Research Office at ElevenPaths
@holesec