FortiBleed: el problema no es el firewall. Es la puerta que dejaste abierta.

Hace unas semanas me llamaron varios clientes preguntando lo mismo: "Juan, ¿tenemos un problema con Fortinet?" Y lo entiendo, porque los titulares sonaban serios. Pero la verdad es que esa no era la pregunta correcta.

Déjame explicarte qué pasó con FortiBleed en términos simples. Imagínate que instalas la mejor cerradura del mercado en la puerta de tu oficina, pero dejas la puerta trasera abierta para que el técnico pueda entrar a darle mantenimiento cuando quiera, desde cualquier lugar, sin clave. Eso, básicamente, es lo que tenían miles de empresas. FortiBleed no fue que la cerradura se rompió, si no que encontraron la puerta trasera abierta y eso le ha pasado, en distintos momentos, a casi todos los fabricantes grandes del mercado: Cisco, Palo Alto, Citrix, SonicWall. El patrón es siempre el mismo.

La creencia más peligrosa que existe en el mundo empresarial hoy es esta: "compramos el equipo más caro del mercado, así que estamos protegidos." Eso es como pensar que porque tienes un carro blindado no necesitas revisar si le dejaste las llaves puestas. El equipo importa, claro. Pero lo que realmente protege a una organización es cómo ese equipo está configurado, quién tiene acceso, desde dónde puede accederse, y si alguien está vigilando que todo eso siga funcionando correctamente.

Cuando hablo con directores que no son de tecnología, siempre les digo lo mismo: no me preguntes qué marca tiene tu proveedor. Pregúntale esto: ¿la consola de administración de mis equipos está accesible desde internet? ¿Quién tiene acceso y con qué credenciales? ¿Hay doble autenticación en todos los accesos importantes? ¿Alguien está monitoreando eso las 24 horas? ¿Cuándo fue la última vez que revisaron la configuración de seguridad de esos equipos a fondo? Si tu proveedor no tiene respuestas claras para esas cinco preguntas, el problema no es el fabricante. El problema es cómo te están administrando la infraestructura.

Las organizaciones que salen en las noticias después de un ataque y las que no salen casi nunca tienen equipos distintos. Lo que tienen distinto es la disciplina con la que administran lo que ya tienen.

En vpnet llevamos más de 14 años haciendo esto en Puerto Rico. Y lo que FortiBleed nos confirmó, una vez más, es algo que le decimos a cada cliente desde el primer día: lo que te protege no es el nombre que aparece en la caja. Es lo que hacemos con ese equipo después que sale de la caja, cada día, sin esperar a que llegue el próximo susto.