13 Abr Peritaje informático ERP. Vulnerabilidad en seguridad informática
En este post quisiera explicar mi último caso de éxito de Peritaje informático ERP. Cada día mas las condiciones de seguridad, permisos, registro de acciones, etc en los sistemas informáticos son usados como pruebas en juicios. En concreto, en las empresas, sus sistemas de gestión o ERP ofrecen un abanico de variabilidad al respecto de la seguridad que puede poner en peligro demostrar quien ha realizado que operación.
Peritaje informático ERP.
Un ERP permite gestionar las empresas en todos sus procesos haciendo que sea muy eficiente gestionar las compras, ventas, facturas, finanzas, contabilidad, clientes, productos, almacén, stocks, etc es por ello que un Peritaje informático ERP puede ser clave para la resolución de un conflicto judicial dentro de una organización.
En el caso que quiero explicar un empleado es acusado de haber realizado cierto fraude a la empresa, supuestamente manipulando la información que el ERP almacena respecto de ventas de clientes y supuesta apropiación indebida de dinero. Pero, ¿cómo podemos saber quién ha realizado las operaciones? Vamos a analizar los diferentes puntos de vulnerabilidad que pueden anular una pericial que culpe a un usuario de ciertas acciones sobre un ERP:
Base de datos. Todo ERP dispone de una base de datos donde se almacena la información. Generalmente esta base de datos suele estar protegida por usuarios y contraseñas.
Cuestiones:
¿Quién tiene esos usuarios y contraseñas? ¿Los conoce el departamento informático? ¿El partner o proveedor externo del ERP tiene acceso a los datos? ¿Solo hay un usuario genérico de la base de datos que conoce mucha gente? ¿Puedo modificar los datos con el usuario genérico directamente en la base de datos y no deja rastro de quien ha sido?
ERP. En un segundo nivel tenemos el propio sistema de gestión, el ERP. Algunas empresas usan usuarios genéricos, usuarios compartidos, contraseñas compartidas, usuarios que son utilizados incluso por el partner o proveedores del ERP.
Cuestiones:
¿Cómo podemos estar seguros que el usuario no ha sido suplantado? ¿Cómo podemos asegurar quien realizo ciertas operaciones cuando es el partner el que le pide la contraseña habitualmente para realizar trabajos de mantenimiento?
Conclusiones
En nuestro caso se cumplía varias de estas cuestiones que paso a resumir:
- Por un lado la base de datos no tenía contraseña, lo cual hacia absolutamente imposible demostrar que mi cliente era realmente quien había manipulado la información, más cuando toda la empresa accedía a esa base de datos sin contraseña, e incluso el partner del ERP.
- Por otro lado el usuario y contraseña de mi cliente era compartido por otros usuarios y por el partner.
- Además suplantar el nombre de un PC es muy fácil, con lo que tampoco es imputable que aparezca el nombre de su PC en un cambio.
- Cualquier usuario con un PC en la red podía imputar una operación, por ejemplo de cambio de precio de un albarán, al usuario que quisiera, pues no existía contraseña para la base de datos ni ningún mecanismo de control al respecto.
Por lo tanto mi Peritaje informático ERP puede haber ayudado a demostrar que es imposible imputar, en estas circunstancias, los cambios informáticos a una persona física, como ya defendí hace unos días ante el juez.
Recomendaciones
De todo lo explicado anteriormente surgen de manera sencilla algunas recomendaciones:
- Se debe establecer una política de seguridad informática, como recomendamos en nuestro portal ciberseguridad.com donde un usuario maneja su contraseña de forma privada, NUNCA compartida con terceros, etc
- Todos los niveles de seguridad, base de datos, aplicación, servicios web, etc deben estar protegidos y auditados por trazabilidad de acciones.
- Si es posible se deben activar los mecanismos de log de los sistemas modernos que se registre, quien, que, cuando, IP, etc del cambio realizado.
- La contraseña debe cambiar cada 3 meses, con una fuerte seguridad en su formato.
Entre otras recomendaciones para afrontar un Peritaje informático ERP. Tengamos en cuenta que si esto no se realiza podemos estar, no solo ante una vulnerabilidad grave en la seguridad de nuestros sistemas, sino incurriendo en delitos contra leyes como la LOPD, LSSI, etc
Luis Vilanova Blanco.
Perito informático judicial – Periciales informáticas
luis.vilanova@leyesytecnologia.com
606954593