La edición 2010 del Estado de la Seguridad en el IBM i ya está disponible

Por séptimo año consecutivo, PowerTech presenta el estudio "Estado de la Seguridad en el IBM i."

Barcelona, 16 de abril de 2010. En este estudio se revisan los datos de los sistemas que han utilizado la herramienta de PowerTech Compliance Assessment durante el año anterior. Estos datos provienen de 202 sistemas que han enviado sus datos de forma anónima. El estudio se centra en seis áreas que son críticas para la seguridad. Encontrará algunos ejemplos a continuación:

Perfiles de usuario poderosos
Al igual que en el pasado, el estudio muestra que los sistemas actuales tienen un promedio de 722 usuarios y ¡casi el 10% (o 67 usuarios) tienen la autorización especial *ALLOBJ en el sistema! La autorización especial *ALLOBJ significa que estos usuarios pueden acceder a cualquier objeto en el sistema. Las operaciones de mostrar, editar, copiar o borrar datos, incluso no se pueden deshabilitar en los usuarios con esta poderosa autoridad.

Gestión de usuarios y contraseñas
Perfiles de usuario con contraseñas por defecto (contraseñas, donde el nombre del perfil de usuario y la contraseña son los mismos) plantean un riesgo particularmente alto en servidores IBM i. Incluso en 2010, todavía encontramos que casi el 10% de todos los perfiles de usuario (en promedio) presentan las contraseñas por defecto. De los perfiles de usuario con contraseñas por defecto, el 63% estaban habilitadas. Así que, en promedio, tenemos 66 usuarios con contraseñas por defecto y 42 de estas están habilitadas. Basta con pensar que si alguno de estos perfiles también tiene autorización *ALLOBJ, cualquier persona puede registrarse y tener acceso a cualquier objeto en el sistema.

Acceso a datos
Nuestro estudio evalúa autorizaciones del tipo *PUBLIC a las bibliotecas en el sistema. *PUBLIC representa a todos los usuarios del sistema, o un indicador predeterminado para el usuario medio. En promedio, en los sistemas incluidos en el estudio de este año hay 319 bibliotecas y *PUBLIC tiene acceso *CHANGE (o mayor) en más del 60% de estas bibliotecas. De hecho, sólo el 8% de las bibliotecas están configuradas con *PUBLIC *EXCLUDE. Incluso si configura sus bibliotecas de producción con *PUBLIC *USE, los usuarios tienen acceso a la biblioteca, y en función de la autoridad de objetos pueden ser capaces de leer, cambiar o eliminar datos, incluso de los archivos.

Control de Accesos y Auditoría
Control de accesos desde red y la auditoría es un área en la que hemos visto mejoras positivas respecto a años anteriores. Cuarenta y tres por ciento de los sistemas analizados tienen al menos un programa de salida (exit point) de control, por encima del 35% en nuestro estudio de 2009. Esta es una señal de que más empresas están adoptando un enfoque proactivo para asegurar el acceso desde interfaces de red como FTP, ODBC y mandatos remotos. Con las herramientas disponibles, tales como PowerTech Network Security, esta ha sido una de los más fáciles áreas de remediar si se necesita un cambio. Mientras que nuestro estudio se centra en el número de programas de salida que existen en un sistema, no analiza lo que los programas están haciendo. Esperamos que estos programas estén auditando los eventos que se producen a través de estas interfaces de red y que rechacen la actividad no deseada.

Auditoría del Sistema
Otra área fuerte en el System i parece ser la auditoría del sistema. De nuevo, como en 2009, el 82% de los sistemas utilizan el diario de auditoría del sistema o QAUDJRN. El estudio analiza los valores del sistema que se activan y qué tipo de sucesos se registran en QAUDJRN. También trata de determinar si existe una herramienta para ayudar a convertir la gran cantidad de datos en información útil. Mientras que el 82% de los sistemas en nuestro estudio registran la información de auditoría, muy pocos disponen de una herramienta para ayudar a filtrar e informar sobre estos datos. Además, no se distingue entre las entradas de diario que se incluyen por razones de alta disponibilidad (HA) de las que se registran para fines de seguridad únicamente.

Valores de Seguridad del Sistema
La última área crítica de nuestro estudio es la seguridad del sistema. Uno de los valores más críticos del IBM i es QSECURITY. IBM recomienda un mínimo de nivel 40 y estamos de acuerdo. En el nivel 40, la autorización a nivel de objeto se impone más la integridad del sistema operativo. En nuestro estudio, el 61% de los sistemas estaban en nivel 40. Otro 15% estaba en el nivel 50. Unos pocos sistemas con el Nivel 30 y sólo un sistema tenía el nivel 20.

Si desea obtener más información sobre nuestros resultados, puede descargar el estudio completo de nuestro sitio Web.

Para ver cómo su sistema se comporta contra los sistemas que participaron en el estudio de este año, o para ser parte de nuestro estudio de 2011, solicite YA MISMO su propia Evaluación del Cumplimiento.

Gracias a todos los que participaron en el estudio de este año y a todos los que nos ayudaron a publicar los resultados. Esperamos ver más mejoras el próximo año.

Acerca de Bartech
Bartech se especializa en distribuir y dar soporte a productos para System i. Contamos con un grupo de profesionales con más de 20 años de experiencia trabajando en mercados de todo el mundo, ofreciendo soluciones completas, probadas y eficaces para la tecnología IBM System i, más un esfuerzo constante para ofrecer a nuestros clientes el mejor servicio.

Para más información sobre Bartech, sus productos y servicios, visite www.bartech.es, envíe un email a info@bartech.es, o llame al (+34) 933 063 523.

Acerca de Help/Systems

Help/Systems, Inc. es la compañía por excelencia en la Automatización de Operaciones, Business Intelligence y Seguridad para System i. Durante sus 25 años de existencia ha vendido cerca de 60.000 productos a más de 21.000 empresas en todo el mundo, lo que la ha convertido en líder mundial de software para System i.

Para más información, visite www.helpsystems.com o envíe un email a info@helpsystems.com