El eslabón más débil

Este que les habla (o escribe, mejor dicho) se dedica profesionalmente, desde hace unos 5 años, a trabajar como consultor de seguridad de la información. A lo largo de ese tiempo he dedicado muchas horas a escribir políticas y normativas relacionadas con la seguridad de los sistemas informáticos, y entre ellas, cómo no, alguna que define los principios de un buen sistema de control de acceso a los sistemas.

Una de las cosas que explicas ahí es que, por muy robustos que sean los mecanismos que protegen el sistema contra accesos no autorizados, la seguridad de ello depende de que el usuario escoja una contraseña suficientemente segura para acceder a los servicios que posea: que sea larga, fácil de recordar pero difícil de adivinar, con caracteres alfanuméricos y especiales, que se cambie periódicamente, etc.

Y estás tan inmerso en este día a día que piensas, inocente de ti, que los usuarios son conscientes de ello y que se esfuerzan por elegir una buena contraseña, porque se preocupan por la seguridad de sus datos; del mismo modo que se preocupan por la seguridad de sus casas y ponen puertas blindadas, guardan sus llaves en un lugar seguro y no abren la puerta a extraños.

Y un buen día, de repente, naufragando por la red, te encuentras con una antigua estadística, publicada por un reconocido informático norteamericano, que muestra las 10.000 palabras más utilizadas como contraseña por los usuarios, obtenidas de una lista real de unos 6 millones de pares usuario/contraseña, de las muchas que frecuentemente se se revelan en Internet.

Y te quedas atónito viendo que la palabra más utilizada como contraseña es "password", seguida de cerca por "123456" y por "12345678". Y te sorprendes aún más cuando descubres que  90% de la gente utiliza alguna de las 1000 primeras palabras de la lista. Y te entran ganas de llorar cuando lees que sólo un 0,18% ... ¡un 0,18%!... utiliza contraseñas únicas (no repetidas por nadie más).

Y es entonces cuando tomas conciencia de que da igual todo el trabajo y el tiempo que dediques a esto. Mientras existan usuarios así... la seguridad de la información es pura falacia.