Existen creencias acerca de las medidas de seguridad que se deben de aplicar para prevenir incidencias e infecciones en equipos de computo:
- Toda organización necesita Antivirus para sus computadoras
- Aplicando el 99% de los parches de seguridad es suficiente
- Los medios biométricos son medios de autenticación impenetrables
- Serán hackeados no importa los medios de defensa que se tengan
- Los usuarios no pueden ser entrenados, los medios de tecnología son la única defensa
Mito: se cree que los antivirus van a detener cualquier infección.
La mayoría de las computadoras usan antivirus y aun así han sido infectadas de alguna manera. Los antivirus han evolucionado de solamente el bloqueo de archivos a estudiar el comportamiento del usuario para prevenir que sean evadidos, son mucho mejores que en el pasado.
Mito: hay muchas cosas que parchar que no se puede llegar al 100%, si se llega al 99% es suficiente
En promedio se emiten de 5,000 a 16,000 amenazas por año, 13-45 por dia. Menos de 10 amenazas son registradas cada año por empresa y usualmente son aplicadas a las cosas que no se parcharon, ej. Java, Adobe Acrobat, etc.
Mito: se deben de usar equipos biométricos porque son buenos autenticadores impenetrables.
La mayoría de los equipos biométricos dan falsos-negativos o falsos-positivos y no son tan exactos como se cree. Se depende mucha de la precision de lo que se mida, el equipo haciéndolo y su configuración. Se recomienda utilizar un segundo medio de autenticación para elevar la seguridad.
Mito: no se puede detener a los hackers
Si alguien lo tiene decidido, eventualmente lograra implementar su ataque. Se deben de implementar medidas suficientes para que los intentos tomen mayor esfuerzo y en caso de lograrse, tener un plan de contingencia. 70-90% de los ataques se realizan por ingeniería social, 20-40% involucran vulnerabilidades de software, y el restante 10% se realiza por medio de otros métodos.
Mito: no se puede instruir correctamente a los usuarios
Siempre habrá alguien que de un mal-click a un correo y cause problemas. El personal de sistemas no siempre sera el mejor en aplicar los entrenamientos, se deben apoyar de otras areas (RH) para realizarlos. Se debe ser paciente, los usuarios no viven en el mismo mundo que los sistemáticos.