[HACK] Microsoft to Offer Patches to U.S. Govt. First

[Roman Medina-Heigl Hernandez]

Hombre Bernardo, ¡cuánto tiempo! }:-)

Bernardo Quintero wrote:
> Coñas aparte,  pretendes extrapolar tu posición, que puede ser privilegiada en
> cuanto a seguridad informática se refiere, a empresas cuyo negocio es otro bien
> distinto. Evidentemente, yo cuando contrato un servicio médico es porque no
> tengo ni idea de medicina o porque, aun teniendo algunas nociones, prefiero que
> sea un profesional cualificado quién se ocupe de ello. No puedes decir que si
> contrato un servicio o profesional externo no le doy importancia  a la salud, más
> bien al contrario.

Veamos. Yo nunca he dicho que no haya que contratar los servicios de
expertos de seguridad (¡al contrario!) sino que preferiría contratar a
una persona capaz de gestionarla adecuadamente antes que gastarme el
dinero en un servicio de alertas. Simplemente dije eso. Tampoco vale de
nada un IPS si no hay alguien detrás que sepa "llevarlo". Y con
"llevarlo" no me refiero a que puedas abrir un ticket de soporte de
tanto en cuando, para quedarte tranquilo.

> Llegados a este punto, yo no utilizo antivirus en mis sistemas Windows, no los
> necesito. Al resto de gente que utiliza antivirus... ¿tengo que pensar que es una
> solución propia de gente que no sabe de seguridad o que simplemente no le
> da importancia a la misma?

Bueno, yo sí tengo AV pero no lo tengo constantemente monitorizando y
gastando recursos; eso sí, cuando veo algo sospechoso "enchufo" el AV,
por qué no. Pero no nos desviemos del tema. La cuestión es que hay mucha
gente que piensa que:
Antivirus + Firewall = Sistema seguro
Esa es la postura que denuncio :) La frase que has extrapolado como mía
sería correcta si añadieras la palabra "sólo", y cambiaras "gente" por
"empresa". Es decir: "las empresas que _sólo_ utilizan antivirus
evidentemente no saben de seguridad". Aparte, no veo comparable la
infraestructura necesaria para mantener un producto antivirus (expertos
i+d analizando 24h virus, debugeando código, creando firmas contra virus
que van mutando constantemente, etc), que para mantener un servicio de
alertas, que simplemente monitoriza Bugtraq y unas cuantas listas de
correo donde les dan las cosas mascadas :-)

Ya que me has puesto antes a mí como ejemplo "excepcional" yo podría
hacer lo segundo fácilmente (de hecho lo hago, para mí mismo, y me
consta que mucha más gente lo hace, sin necesidad de ser ningún crack;
simplemente hay que saber leer, distinguir un Apache de un IIS y mostrar
una mínima preocupación por los sistemas que uno administra :-)) pero lo
primero ni de coña (necesitaría que el día tuviera 96h, por lo menos :-)).

En fin, ambas posturas son legítimas y claras, y no se trata de que yo
te convenza a tí o tú a mi, sino de compartir puntos de vista
diferentes, que siempre viene bien.

Me gustaría cerrar el tema (si nadie tiene nada más que añadir/objetar)
con datos objetivos. ¿Cuánto cuesta un servicio como SANA (aprovecha
para la publicidad :-))? ¿Y cuánto cuesta el servicio de alerting de
Symantec (Bugtraq)? Estoy seguro de que tú puedes resolverme ambas dudas
de forma clara, concisa y directa, Bernardo ;-) Y ya puestos, si alguien
sabe de algún otro, que desee valorar, yo por mí encantando.

Saludos,
-Román