El caso: dos ofertas para el mantenimiento

n0 · Lunes, 9:15

Situación. Lunes, 9:15. Serbalta Mecanizados busca quien administre sus servidores y su red. Hay dos ofertas. La de Lezaun Informática es un 30 % más barata: es una empresa de tres personas, de confianza, que ya ha hecho trabajos sueltos. La otra es de una empresa mediana, más cara, que adjunta su certificado ISO 27001. La gerente te pide una recomendación para el viernes.

• A) Recomiendas la cara: tiene certificado y la otra no. → c-0-A
• B) Recomiendas la barata: son de confianza y el precio decide. → c-0-B
• C) Clasificas el servicio (acceso de administrador: nivel alto) y mandas a las dos las mismas diez preguntas. → c-0-C

c-0-A · Consecuencia

al leer el certificado ves que su alcance es «desarrollo de software en la sede central». El servicio de administración de sistemas no está dentro.

Camino malo. Un certificado que no cubre lo que contratas no demuestra nada sobre lo que contratas.

• A) Seguir → d1

c-0-B · Consecuencia

la gerente firma. Nadie ha preguntado cómo entran, con qué cuentas ni qué pasa si hay un incidente.

Camino malo. La confianza no sustituye a las diez preguntas cuando el proveedor va a tener todos los permisos.

• A) Seguir → d1

c-0-C · Consecuencia

en dos días tienes las respuestas de ambas, por escrito. Ahora comparas lo mismo con lo mismo.

Camino bueno. El nivel lo da el servicio, no el proveedor.

• A) Seguir → d1

d1 · Decisión 2

• A) Los descartas sin más. → c-1-A
• B) Les dices qué tiene que cambiar para contratarlos: una cuenta por persona, segundo factor y aviso de incidentes en 24 horas, por escrito y antes de empezar. → c-1-B
• C) Lo dejas pasar: «ya lo irán mejorando». → c-1-C

c-1-A · Consecuencia

la gerente ve la diferencia de precio y te pide que, antes de descartarlos, les digas qué tendrían que cambiar. Se lo dices: una cuenta por persona, segundo factor y aviso de incidentes en 24 horas. Aceptan y lo dejáis en el contrato.

Camino aceptable. Descartar es seguro, pero casi siempre hay un paso antes: decir qué falta y ponerle fecha.

• A) Seguir → d2

c-1-B · Consecuencia

aceptan. Lo ponen en marcha en diez días y lo dejáis en el contrato.

Camino bueno. Evaluar no es aprobar o suspender: es decir qué falta y ponerle fecha.

• A) Seguir → d2

c-1-C · Consecuencia

un año después siguen con la cuenta compartida. Nadie sabe cuál de los tres hizo un cambio que tumbó el servidor.

Camino malo. Lo que no se exige antes de firmar no llega solo.

• A) Seguir → d2

d2 · Decisión 3

• A) De acuerdo: es más cómodo para todos. → f-2-A
• B) Acceso solo cuando haga falta, con cuentas personales y segundo factor, y con registro de cada conexión. → f-2-B
• C) Acceso permanente, pero solo en horario de oficina. → f-2-C

f-2-A · Final «Camino malo»

hay una puerta a tu red abierta las veinticuatro horas, desde equipos que no son tuyos. Si a Lezaun le roban una contraseña, entran en Serbalta.

Lección: Un acceso permanente convierte un incidente suyo en uno tuyo.

f-2-B · Final «Camino bueno»

les lleva un minuto más conectarse. Tú sabes quién entró, cuándo y para qué.

Lección: El acceso mínimo es la medida que más daño evita con un proveedor de nivel alto.

f-2-C · Final «Camino aceptable»

reduce el riesgo a la mitad del día. La otra mitad, los ataques también trabajan.

Lección: Mejor que siempre abierto, peor que abierto solo cuando se necesita.