La seguretat en els serveis TIC: el projecte ENS

La Universitat de Barcelona, com totes les universitats públiques de l’estat, està immersa en el procés d’adequació a l’ENS. L’ENS és l’Esquema Nacional de Seguridad, definit al Reial Decret 3/2010 i d’obligat compliment, que recull una sèrie de principis bàsics, requisits mínims i mesures de seguretat que permeten garantir la fiabilitat dels tràmits electrònics entre el ciutadà i les administracions públiques.

 ens

En el nostre cas, aquests “tràmits” s’identifiquen amb alguns dels serveis o transaccions electròniques que ofereix la UB a través de l’Àrea TIC: matriculació, seu electrònica, gestió de beques, etc.

L’ENS crea un marc metodològic per a l’aplicació de la LOPD i d’altres lleis, de manera que, a més de fer seves les premisses de la protecció de dades, també s’encarrega de vetllar per la seguretat dels serveis, assegurant un correcte funcionament que preservi les seves qualitats: disponibilitat, integritat, confidencialitat, traçabilitat i autenticitat.

 Els objectius principals d’aquest procés d’adequació a l’ENS són:

  • A curt termini, efectuar una valoració del nivell de seguretat dels serveis identificats i proposar, si calgués, mesures de seguretat complementàries.

  • A llarg termini, establir una metodologia de treball per a la “gestió de la seguretat” a la UB que funcioni de manera continuada per poder mantenir els riscs que afecten a la informació i a les transaccions electròniques dins d’un llindar acceptable per l’organització, així com donar compliment als requisits definits per la legislació.

Malware i programari no desitjat

Tot sovint hi ha usuaris que es troben que el seu navegador d‘Internet comença a obrir planes de propaganda o fins i tot de pornografia, funciona lentament, redirigeix les cerques contra destinacions no desitjades, i tot un seguit de símptomes que, a més de ser molestos, realment comprometen la seguretat de l’ordinador. També solen aparèixer barres d’eines al mateix navegador que, aparentment, s’han instal·lat sense permís de l’usuari i que contenen accessos a pàgines webs més que dubtoses.

Estem parlant de malware (de l’anglès malicious software), també anomenat badware,  programari  maliciós o malintencionat, es a dir, un tipus de programari que té com a objectiu infiltrar-se o danyar un equip sense el consentiment del seu propietari.

Us oferim una sèrie de consells per evitar el malware:

  • Mantenir actualitzat l’antivirus i la seguretat del PC:  En especial seguir les instruccions recollides a les pàgines de seguretat informàtica . No obstant això, no sempre l’origen d’aquests problemes no queda identificat pels antivirus, ja que és programari que s’instal·la amb el consentiment explícit o implícit de l’usuari, per bé que moltes vegades, com hem dit abans, l’usuari és “enganyat” per missatges confusos.
  • Ignorar els missatges de seguretat que rebem en accedir a determinades planes Web: de l’estil “El seu PC està en perill. Faci clic aquí per eliminar l’amenaça” o “Hem detectat problemes al seu PC. Faci clic aquí per …”. Fer el que diuen aquesta mena d’advertiments és un dels camins més ràpids per causar un veritable problema de seguretat al nostre PC.
  • Evitar webs gratuïtes de descàrrega de programari  i descarregar els programes només de les pàgines oficials: en les webs gratuïtes de descàrrega de programari a més de descarregar el programa desitjat, potser es descarregaran “de regal” uns quants altres programes i podem acabar amb unes quantes aplicacions no desitjades en el nostre equip.

malware

  • Fixar-nos bé quan descarreguem un programa que no estigui activat cap altre check que també descarregui altre programari no desitjat.

malware2

  •  Recordar que a la web de l’Àrea TIC mantenim els accessos al programari de campus i d’altres fonts fiables.

El Call Center de l’Àrea de Tecnologies

El Call Center (Centre de Trucades) és un servei centralitzat per gestionar incidències, dubtes, consultes, peticions, etc. d’usuaris i clients.

A l’Àrea de Tecnologies treballem amb tècnics externs per gestionar tant les peticions com les avaries del PDI i PAS de la UB amb el servei del PAU (Punt d’Atenció a l’Usuari). El col·lectiu dels estudiants rep suport del servei del PAE (Punt d’Atenció a l’Estudiant) amb el qual també col·laborem.

serviceDeskEl personal de l’empresa externa fa les intervencions telefòniques com a centre d’atenció recollint i registrant les incidències i peticions de servei, aplicant els procediments establerts per l’Àrea de Tecnologies sobre resolució i tramitació de tiquets i transferint les intervencions que hagin de ser ateses per altres nivells o tercers. L’atenció telefònica es presta amb un servei dintre de la UB però compta amb un recolzament d’un grup de suport extra què, en cas de desbordament de trucades d’usuaris, es atès en dependències de l’empresa guanyadora del concurs, en aquest cas, Osiatis.

Els tiquets poden entrar per telèfon, correu electrònic o des de la web. L’horari d’atenció del servei és de 8:00h. a 21:00h. en atenció telefònica i de 8:00h. a 15:00h. in situ per tècnics UB .

Per a ser més eficients i sempre i quan l’usuari està d’acord, des del PAU es fa un control remot de l’equip per poder resoldre els problemes en un primer nivell d’atenció el més aviat possible i si no és possible, s’escala a un grup de tècnics més específics.

Aquest servei està orientat a millorar la satisfacció dels usuaris per obtenir una major eficiència en la resolució de problemes tot dintre de l’enfocament metodològic del model de servei, recolzat en les “Bones pràctiques” recomanades a la llibreria ITIL v 3.0 i certificats ISO20000 i ISO 27000.

Amb l’idea de poder planificar i aplicar accions de millora volem encertar, en breu, unes enquestes de satisfacció perquè com usuaris del servei, ens ajudeu fent-nos arribar les vostres opinions, queixes i suggeriments .

 

 

Spam: un constant maldecap

El nostre servei de correu pateix de manera continua atacs de phishing. Cada vegada aquests correus són més sofisticats,  redactats sense errors gramaticals  i en català per fer-los més creïbles. Tots tenen, però,  el denominador comú de demanar-nos les nostres credencials.

El fet de contestar aquests correus fraudulents i facilitar la informació que es demana  genera un greu problema de seguretat tant per a l’usuari que contesta ja que les seves credencials són capturades i poden ser utilitzades per motius no lícits i per generar  spam o correu brossa així com per tot el col.lectiu UB,  ja que l’enviament massiu de correu brossa provoca:

  • Degradació del servei de correu: en generar-se un gran enviament de correu, els missatges de correu  legítims queden en cua i pateixen problemes de retard.
  • Problemes de reputació: el correu ub.edu és rebutjat per altres servidors de correu i els correus no arriben a la seva destinació.
  • Bloqueig dels comptes ub.edu generadors de spam.

pishing2Si us plau, no contesteu MAI correus on se us demanin les vostre credencials tant per la vostra seguretat com pels efectes negatius sobre tot el servei de correu de la UB.

Des de l’Àrea de Tecnologies i la Comunicació us recomanem esborrar  aquests correus fraudulents. Recordeu que MAI us demanarem les vostres credencials per correu.

Un exemple de correu spam demanant les nostres credencials, tot i estar redactat de manera molt incorrecta  hi ha persones que l’han respòs:

De: Email Administrator [mailto:poxa@uta.cl] 
Enviado el: viernes, 26 de abril de 2013 12:29
Asunto: Estimado de cuentas de usuario

Estimado de cuentas de usuario
Esto es para informarle de que ha superado su E-mail cuota límite y 
necesite aumentar su E-mail Quota Limit ya que en menos de 96 horas
a su Cuenta de correo electrónico será disabled.Increase su E-mail 
cuota límite y continuar usar su cuenta de correo web.
Para aumentar su E-mail cuota límite de 2,7 GB, rellene sus datos de
la siguiente manera y enviar a la cuota Webmaster E-Mail, 
haga clic RESPUESTA:

DIRECCIÓN DE CORREO ELECTRÓNICO:
USUARIO:
CONTRASEÑA:
Confirmar contraseña:
FECHA DE NACIMIENTO:
Gracias por su comprensión y corperation usted para ayudar a darle 
la Lo mejor de servicio de correo electrónico.

Copyright © 2013 E-mail Webmaster Servicio Centro

Control remot: una eina per a la resolució d’incidències

Quan un usuari obre una incidència, el tècnic que la rep la valora, resol o escala segons convingui. De vegades, amb un control remot la incidència ja es pot solucionar i no cal que cap tècnic es desplaci fins a l’equip de l’usuari amb el conseqüent estalvi de temps.

L’Àrea de Tecnologies té contractada llicència del programa ISL, aquest programa permet connectar-se a l’equip de l’usuari des de l’equip del tècnic i que sigui el propi tècnic qui pugui fer les accions convenients per a la resolució de la incidència això sí, sempre amb el consentiment del propi usuari.

Per poder fer el control remot cal que :

L’usuari es connecti a l’adreça http://remot.ub.edu. El tècnic facilitarà el codi necessari per iniciar la sessió.

remot_client_2

Després de prémer el botó Connectar, la següent pantalla facilitarà les dades del tècnic que està donant assistència. Cal prémer Iniciar, apareix una pantalla per descarregar el programa de connexió, s’ha d’acceptar i executar el programa .

remot_client_4

Ara el tècnic ja pot començar a fer les accions necessàries des de l’equip de l’usuari, des del menú de dalt es podrà triar finalitzar o denegar el control i conèixer si és el tècnic o l’usuari qui té control de l’equip.remote_client5

Altres accions que es poden fer en sessió remota són: reiniciar l’equip, establir un xat entre tècnic i usuari o instal·lar programari.

Cada vegada que es faci un control remot sobre el mateix equip caldrà repetir el procès: connectar-se a l’adreça del control remot, executar el programa i donar el control al tècnic.

 

Canvi de SAI

Un sistema d’alimentació ininterrompuda, SAI  és un dispositiu que mitjançant l’acció de bateries de càrrega, pot proporcionar energia elèctrica en casos de deficiència en el subministrament principal a tots els dispositius que tingui connectats, filtrant sobretensions, eliminant ones harmòniques o suplint l’energia sol·licitada en cas de talls i  microtalls d’alimentació fins que el grup electrogen entra en funcionament.

Durant 2012, a l’edifici del Pavelló Rosa, es van produir 4 talls elèctrics prou llargs on va ser necessària l’actuació del SAI i del grup electrogen  per evitar impactar en els serveis informàtics. Els microtalls, pujades i baixades de tensió es resolen des del mateix SAI i no queden comptabilitzats.

La substitució del SAI del Pavelló Rosa es va produir durant el tancament de Nadal. Aprofitant el zero elèctric (aturada total del servei elèctric) es va instal·lar també un by-pass extern al SAI perquè en cas d’avaria o reparacions del SAI no calgui fer una desconnexió total de la xarxa elèctrica. Durant els dies 2 i 3 de gener es va procedir a aturar tots els servidors del CPD i es va instal·lar el nou SAI i el by-pass. Divendres, dia 4 de gener, a partir de les 6h. del matí, ja es van començar a engegar els serveis, un cop estabilitzades les comunicacions, a les 7:30h., es van començar a aixecar servidors i aplicacions de manera progressiva i en funció del seu impacte.

L’Àrea de Tecnologies va decidir canviar el SAI per la seva obsolescència, en cas d’avaries resultava molt dificultós trobar peces de recanvi. El nou SAI, en tractar-se d’un model més modern, sí que permet la possibilitat de reparacions immediates, a més de la monitorització en remot de l’estat de la pròpia màquina.

Actualment el SAI dóna servei principalment al  CPD i a la central  de seguretat de la UB.