El reto de la Seguridad en VoIP

Por: Manuel Campos*

En la actualidad, para encontrar algún escrito que mencione la vulnerabilidad de los sistemas de Voz sobre IP (VoIP) es necesario buscar con mucho cuidado en la literatura técnica. En cualquier compleja aplicación de software, siempre existen ciertas vulnerabilidades, y la Telefonía IP no es la excepción. El reto que tenemos, fabricantes y clientes es convencernos de que la Telefonía IP ya no es una solución que se dé por separado de la red.

La Telefonía IP es más bien una aplicación o un elemento más de la red, y está íntimamente ligada a la vida de la misma. Por lo tanto, la seguridad se debe concebir como ese elemento que cruza, de punta a punta, las redes de comunicación, con la voz, los datos o el video, y que toca todos los elementos de esa red: routers, switches, gateways, callmanagers, terminales, (PC’s, Teléfonos IP, videoconferencia), entre otros.

Una estrategia de seguridad, como la propuesta por Cisco, está basada en el concepto de Redes Autodefensivas, lo que significa que la red tiene la habilidad de identificar, prevenir y adaptarse a las amenazas de seguridad. La única defensa viable contra los modernos ataques de seguridad, debido a su complejidad y rapidez de expansión, es mitigar estos riesgos en la propia red. No se puede depender de dispositivos puntuales que estén en la periferia, sino que la red en sí misma debe defenderse.

Es importante entender que vulnerabilidad no es lo mismo que amenaza, por lo que se tiene que preparar la red para reconocer las amenazas y cómo responder a ellas. Además, independientemente del tamaño de la empresa, es necesario e imprescindible elaborar una política de seguridad acorde con su actividad y riesgos.

Por ello las empresas deben afrontar el tema de seguridad de redes desde cuatro niveles diferentes:

1) Definir las políticas de seguridad y los procesos. La empresa debe precisar cuáles son sus activos más importantes, básicamente aquellos que se deben resguardar para dar continuidad y éxito a la empresa, y enfocar sus recursos para respaldar dichos activos. Tiene que canalizar su principal esfuerzo a las áreas que generan la mayor parte de su negocio.

2) Educar y crear conciencia en el personal de las empresas. Los empleados deben ser conscientes de las consecuencias de su actuar, en términos de seguridad, dentro y fuera de la empresa.

3) La tecnología “per se”, es decir que las empresas guarden sus sistemas de información de manera efectiva, con el fin de requerir lo menos posible la participación humana. La red debe ser auto-defensiva, y tener la habilidad para adaptarse a las evoluciones de seguridad de hoy y de mañana.

4) Por último, es vital la gestión y la administración de las plataformas de seguridad. Las empresas deben tener sistemas que faciliten el trabajo al equipo responsable de la seguridad, para poder hacer auditorías, y confirmar que las personas actúen de acuerdo con las políticas preestablecidas por cada compañía. Es importante que se tenga un panorama claro del estado de los sistemas: de dónde viene un ataque, qué tipo de ataque es, cómo afecta al sistema y cómo poder mitigarlo de la mejor manera posible.

En mi opinión, el reto que tiene que enfrentar la Telefonía IP en México, desde el punto de vista de la seguridad, tiene dos aspectos:

Vulnerabilidad: debilidad que puede ser “explotada” en una implementación, configuración o protocolo, y para dañar el sistema.
Amenaza: oportunidad de que un atacante explote dicha vulnerabilidad. Algunas de las amenazas a la seguridad son: ataques de hackers, virus y gusanos informáticos y software espía.

¿Cómo se encuentran las empresas en México en materia de seguridad en VoIP?

El crecimiento tan acelerado del Internet, los avances tecnológicos y, probablemente también, la significativa reducción en los precios de las computadoras y del equipo de infraestructura (red), han permitido a todo tipo de empresas (pequeñas y grandes corporativos), instalar una gran cantidad de aplicaciones novedosas en su red de comunicaciones. Por ejemplo, las empresas actualmente están migrando su red de voz, a su red de datos; añadiendo conectividad wireless; utilizando sistemas de automatización de producción, logística, facturación, y todo ello lo están haciendo sobre la misma red. Aquí es donde la seguridad adquiere una nueva dimensión, ya que los procesos de negocios de las compañías dependen cada vez más de sus sistemas de información.

Sin una protección adecuada y efectiva, la plataforma de tecnología informática es vulnerable a actividades no autorizadas de hackers, competidores o empleados, o bien es susceptible de sufrir una brecha de seguridad. En general, gracias al Internet y al mundo del comercio, las empresas (especialmente la PyME) han incrementado significativamente su base de clientes, y han llegado a nuevos mercados, al vender sus productos y servicios en líneas.

El empleo de mayor tecnología para llegar a esos mercados ha creado una cantidad de problemas nuevos. Estoy convencido de que la oportunidad de nuestra PyME está en el gran potencial que tiene el comercio electrónico.

Pero la siguiente ronda de crecimiento en la innovación y los servicios en el Internet, sólo puede darse si las PyME y sus usuarios están convencidos y seguros de la información de los sistemas que despliegan las empresas y que usan sus clientes. Por ello, resolver el tema de la seguridad de las redes de comunicación es el desafío más grande para la expansión del comercio y servicios electrónicos.

Es una realidad palpable en Latinoamérica que, en promedio, (según el estudio Net Impact 2005), el 30 % de las empresas de la región, no cuentan con ningún tipo de seguridad de redes: posible razón por la cual no las abren a sus empleados, usuarios finales y socios de negocio, con lo que limitan el impacto de la conectividad en aumentos de productividad y ahorros en costos. Por lo cual es necesario que las empresas se informen sobre la necesidad de contar con una arquitectura de red que identifique, prevenga y se adapte, de manera pro activa y automática, a las amenazas de seguridad que se expanden cada día. La única defensa viable a los ataques modernos de seguridad, debido a su complejidad y rapidez de expansión, es mitigar estos riesgos en la propia red. No se puede depender de dispositivos puntuales que estén en la periferia, sino que la red en sí misma debe defenderse.

Según el estudio hecho por la firma de investigación independiente Kaagan Research and Associates, y patrocinado por Cisco Systems e IBM:"Actitudes de los gerentes de TI de Latinoamérica respecto a la seguridad" (Diciembre 2005); en las empresas latinoamericanas los incidentes de seguridad informática, al igual que el riesgo de ataques futuros, siguen aumentando, en tanto que disminuye en los ejecutivos la confianza de poder enfrentarlos. Entre los ejecutivos entrevistados un 38% manifestó haber sufrido, durante el último año, un ataque a la seguridad informática. Las compañías más afectadas han sido las mexicanas (46%) y brasileñas, (42 %). Paralelamente, el 63% de los ejecutivos manifestó que, en los últimos tres años los riesgos en seguridad informática habían tenido o un "aumento dramático" o habían "aumentado de alguna manera". Brasil es donde más ejecutivos perciben el “aumento dramático” en los riesgos a la seguridad informática, (47%).

Sólo un pequeño porcentaje, está confiado en que sus empresas están protegidas ante las amenazas internas y externas a la seguridad: 18 % están "muy confiados" de que sus empresas están protegidas contra las internas, y 23 % están "muy confiados" de que sus empresas están protegidas contra las externas.

Esta encuesta confirma que la seguridad de los sistemas informáticos ocupa un primer lugar en las prioridades de los ejecutivos de IT de Latinoamérica, y que, sin embargo, las acciones para enfrentar estas amenazas no corresponden a los riesgos percibidos. Por esto, en Cisco estamos trabajando en informar y educar sobre la necesidad de contar con una arquitectura de red que identifique, prevenga y se adapte, de manera proactiva y automática, a las amenazas de seguridad. La única defensa viable contra los ataques modernos de seguridad, debido a la complejidad y rapidez de expansión de estos, es controlar los riesgos desde la propia red. No se puede depender de dispositivos puntuales que estén en la periferia: la red en sí misma debe defenderse.

* Manuel Campos, Gerente de Desarrollo de Negocios IP Communications de Cisco.