Acceso total a servidores para nuevo empleado de TI: ¿es obligatoria la investigación de antecedentes?

De acuerdo con la Ley Federal de Protección de Datos de Alemania, la recopilación de datos de empleados está sujeta a los principios de necesidad y proporcionalidad. La solicitud del certificado de antecedentes penales solo es válida en la medida en que el puesto lo requiera; faltas pasadas sin relación no pueden utilizarse como motivo para denegar la contratación. Redactar el proceso con un especialista en derecho laboral evita posibles riesgos de indemnización.

No asignes accesos root a título personal. La autenticación en dos pasos mediante llave física debe ser obligatoria para entrar al sistema y todos los comandos 'sudo' deben enviarse en tiempo real a un servidor de registros central e inalterable. El empleado tiene que saber que cada comando que ejecuta deja un rastro de auditoría independiente. Esa disuasión es más efectiva que cualquier investigación.

No le den acceso total al candidato mañana mismo. En Alemania el periodo de prueba legal (Probezeit) es la mejor herramienta para este tipo de pruebas de confianza. Durante los primeros seis meses, vayan dándole accesos de forma gradual; primero denle entornos de prueba y desarrollo, y condicionen el acceso a los sistemas de producción a que trabaje a la par con el líder de equipo.

¿Tienen algún compromiso específico sobre el control del personal en los acuerdos de nivel de servicio (SLA) o contratos de procesamiento de datos (AVV) que firmaron con sus clientes? A veces los clientes corporativos exigen que los empleados tengan ciertas certificaciones de seguridad o que pasen por capacitaciones de seguridad anuales.

Hace diez años, por una preocupación similar, le pusimos restricciones tan estrictas a un administrador de sistemas nuevo que el tipo renunció al segundo mes; dijo 'si no confían en mí para qué me contrataron'. Y tenía razón. En vez de andar buscando investigaciones de seguridad, ahora hacemos las llamadas de referencias de contratación muy a fondo. Hablar directamente con sus jefes anteriores y preguntar sobre su honestidad en momentos de crisis nos da mucha más idea que los controles en papel.

lo de la investigación oficial es tema del estado a nosotros ni nos dejan... pedimos antecedentes penales y además cerramos del todo el acceso root en los servidores cada uno entra con su cuenta y usa sudo, los logs van directo a una nube externa.

Ed: ya se preguntó abajo, dejé la respuesta en el segundo mensaje.

Para blindar la infraestructura sigan estos tres pasos: 1) Limiten el acceso directo a las bases de datos de producción mediante VPN y restricción de IP. 2) Obliguen a usar el principio de los cuatro ojos para cambios de configuración críticos. 3) Implementen un proveedor de identidad centralizado donde se le puedan revocar todos los accesos con un solo clic si el empleado se va.

Ha sido una buena idea abrir este hilo.

Os cuento lo que me pasó a mí, a ver si os sirve de ayuda. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Gracias por escribir esto, es lo correcto. Lo importante no es la cifra, sino en qué se basa esa cifra.

Lo importante no es la cifra, sino en qué se basa esa cifra. Si escribís el resultado aquí, también servirá de ayuda a otros.

Hablaré desde el otro lado yo estoy en el lado del proveedor. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Eso es todo disculpa si me he extendido demasiado.

Gracias por escribir esto, es lo correcto. Una copia de seguridad no probada no es una copia de seguridad.

Yo seguiría por ese camino.

Exacto, y encima no es tan conocido. La seguridad no es absoluta; significa hacer que el ataque no merezca la pena.

a nosotros nos pasó esto. bueno al tomar decisiones escribe tambén el peor escenario no solo el mejor.

si obtienes tres respuestas distintas sobre un tema la pregunta está mal formulada pero pues corrijanme si me equivoco.

Le agradecería que compartiera el resultado.

Hace mucho que oímos eso, pero a nosotros nunca nos pasó así. Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después.

Si tenéis dudas, escribid, os responderé en la medida de lo posible.

Voy a resumir el tema porque se han dado varias respuestas diferentes. La mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Si es la primera vez que lo hacéis, empezad poco a poco, la escala llegará después. Por supuesto, cambia si tu situación es diferente.

Estoy totalmente de acuerdo. La respuesta varía mucho según el sector, no hay una regla general.