Gestión de activos de software

Barreras de entrada de software no autorizado

Una de las mejores prácticas para asegurar la correcta gestión y uso de software legal en el ámbito corporativo, consiste en implementar estrategias de seguridad que impidan, de forma directa, la instalación o descarga no autorizadas de programas de ordenador.

De entre las múltiples estrategias disponibles, pueden destacarse las siguientes:

1. Creación de una imagen digital corporativa de los discos duros de los usuarios, cuya alteración no sea permitida (o genere un aviso automático al Responsable de la Gestión Legal del Uso de Software
2. Bloquear a nivel de servidor “proxy” los puertos de comunicación utilizados por los programas y plataformas P2P
3. Instalar software de filtrado, con el fin de impedir el acceso por los usuarios a páginas de descarga o de enlaces P2P
4. Inhabilitar los puertos USB y los lectores de CD/DVD
5. Impedir la instalación de programas P2P
6. Filtrado de paquetes de IP la red corporativa para la detección de protocolos de intercambio de archivos
7. Implementar sistemas de “whistleblowing”, a través de los cuales los empleados puedan denunciar, de forma confidencial, mala prácticas de otros empleados o usuarios

Riesgo de ineficiencia

Hemos visto que el uso de software sin licencia genera riesgos de interrupción y demora a causa de los posibles virus y troyanos que pueda albergar y de la imposibilidad de acceder a un servicio de mantenimiento oficial de la marca.

Estos riesgos llevan aparejados los costes y la pérdida de tiempo derivada de resolver estas incidencias, así como un incremento de los recursos internos necesarios para ofrecer soporte técnico.

Control de proveedores

Las empresas están aplicando en la actualidad un modelo de externalización intensivo como resultado de sus políticas de ahorro de costes.

Ello provoca un desplazamiento del riesgo reputacional hacia el proveedor, ya que sus incumplimientos pueden afectar al cliente y aparecer en el mercado como incumplimientos de la empresa que lo contrata.

Los principales supuestos que afectarían al cliente serían los relacionados con la seguridad, la continuidad y la calidad del servicio, así como las relativas al tratamiento de datos personales e información confidencial.

Hemos visto que el uso de software sin licencia está relacionado con todas estas amenazas, por lo que una política de control, prevista en el contrato y concretada en auditorías periódicas puede limitar la responsabilidad de la empresa por culpa in eligendo y culpa in vigilando.

El principal objetivo de este control periódico es limitar al máximo las acciones u omisiones del proveedor que puedan tener un impacto en la reputación de la empresa.

Calidad

El software es una pieza clave en todos en todos los procesos de la empresa. Si existe un riesgo de interrupción de la producción o el servicio al cliente derivado de la falta de mantenimiento o a causa de una reclamación judicial, la calidad ofrecida por la empresa quedará afectada de forma inevitable.

El software es clave en los procesos de diseño, producción, distribución, comercialización, facturación, contabilidad, atención al cliente. Cualquier incidente en alguno de los procesos en los que participa el software puede afectar decisivamente a la calidad de la empresa.

El software sin licencia puede estar mal instalado, mal configurado, expuesto a una sobrecarga de usuarios no recomendada ni prevista por el fabricante en el contrato de licencia.

Todos estos supuestos pueden producir interrupciones y demoras en la respuesta de la empresa a las peticiones de sus clientes, afectando a la calidad del servicio y del producto final.

El apartado 6.3 de la norma ISO 9001 da una importancia clave al software respecto a los objetivos de calidad planteados. El uso de software sin licencia supone un grave obstáculo para dichos objetivos.

Continuidad del negocio

Además de los riesgos de interrupción de la actividad de la empresa por cuestiones relativas a la seguridad: virus, troyanos, etc., el uso de software sin licencia comporta una serie de amenazas adicionales para la continuidad del negocio, entre las cuales destacan las siguientes:

1. Imposibilidad de acceder al servicio de mantenimiento, lo cual impide resolver las posibles incidencias que se produzcan en el funcionamiento del software. 
2. Imposibilidad de acceder al soporte técnico, y por lo tanto de resolver dudas y problemas de instalación, configuración, compatibilidad con otros programas, hardware y periféricos.
3. Imposibilidad de acceder a actualizaciones y a parches de seguridad.

Infracción de la LOPD

Utilizar software sin licencia compromete seriamente la seguridad de los sistemas informáticos corporativos y supone un incumplimiento de las obligaciones establecidas en la LOPD y su Reglamento en materia de seguridad.

El hallazgo de software sin licencia en el transcurso de una auditoría de seguridad o de un inventario de activos de software debe ser tratado como una incidencia y debe ser corregido inmediatamente.

El software instalado al margen del control del Director de Sistemas y del Responsable de Seguridad supone una amenaza para los datos personales residentes en el sistema y es contrario a las medidas de seguridad previstas para cualquier tipo de datos relativos a las personas físicas.

Esta situación puede ser objeto de denuncia por cualquier empleado o sindicato que tenga conocimiento de ella, generando el consiguiente riesgo reputacional.

Las sanciones impuestas por la Agencia Española de Protección de Datos pueden llegar a los 600.000 euros y son publicadas en su página web, lo cual facilita la divulgación del doble incumplimiento normativo de la empresa: LOPD y Ley de Propiedad Intelectual.

Seguridad informática

El software sin licencia, especialmente el descargado de Internet, puede ser el vehículo utilizado para distribuir virus, troyanos o malware.

Muchos programas conocidos y ampliamente utilizados por la comunidad empresarial son manipulados para crear agujeros de seguridad en los firewalls de los sistemas corporativos a través de los que podrá obtenerse información confidencial. De esta manera, cuando un usuario descarga e instala uno de estos programas manipulados, compromete seriamente la seguridad de los sistemas informáticos corporativos.