Una anécdota sobre un técnico de IT en una escuela del Reino Unido que luchó contra la resistencia del personal y la dirección para implementar políticas básicas de contraseñas seguras.






Nueva entrega de On Call, la columna contribuida por los lectores que comparte sus historias de soporte técnico.

Esta semana, conozcan a un lector al que llamaremos "Daniel", quien nos contó que en 2020 fue contratado para reemplazar a un departamento de TI de dos personas en una escuela del Reino Unido.

"El gerente de TI se había ido debido a algunas 'irregularidades contables', principalmente relacionadas con la compra de computadoras gaming de gama alta utilizando fondos escolares que nunca llegaron al recinto", dijo Daniel a On Call. "Su adjunto asumió el cargo justo a tiempo para tener que lidiar con un ataque de ransomware que dejó fuera de línea toda la red de la escuela durante tres meses".

La escuela finalmente contrató contratistas externos para reconstruir la red y restaurar desde el único respaldo disponible, que tenía meses de antigüedad. El gerente adjunto de TI renunció entonces sin cumplir su período de preaviso.

Daniel tomó el puesto vacante y en su primera semana el director de la escuela le pidió que auditara la red y entregara un informe explicando cómo poner las cosas al día.

"Encontré algunas victorias rápidas, incluyendo la política de contraseñas que en ese momento estaba configurada en seis letras. Solo eso, sin complejidad, sin expiración", dijo Daniel a On Call. "Y los usuarios no habían sido obligados a cambiarlas desde antes del ataque de ransomware. O, de hecho, nunca".

El director aprobó la política de contraseñas propuesta por Daniel y el requisito de que todos cambiaran su contraseña inmediatamente.

"No estaba preparado para la reacción negativa que esto crearía", escribió Daniel. La gestora de datos de la escuela dijo orgullosamente que había usado la misma contraseña desde 1998 y justificó mantenerla basándose en que todo el personal la conocía.

"Dijo: 'Si yo no estoy, pueden iniciar sesión como yo y ejecutar los informes'".

Empeora: la contraseña era "letmein" y la gestora de datos la había escrito en un trozo de papel y pegado a su escritorio.

A medida que Daniel implementaba la nueva política de contraseñas, llegaron más quejas.

El director de la escuela finalmente le dijo a Daniel que dirigiera todas las consultas relacionadas con los cambios de contraseña hacia él.

"A los dos días, entró en mi oficina, suspiró, se puso la cabeza en las manos y me ordenó revertir el cambio y eliminar el requisito de que todos cambiaran su contraseña", escribió Daniel.

"Me resistí, realmente lo hice", escribió. "Pero era su escuela. Hice que pusiera la solicitud por escrito".

El director se fue tres meses después y una organización sin fines de lucro se hizo cargo de la escuela.

Los nuevos jefes de Daniel estuvieron de acuerdo con su postura y restablecieron su política de contraseñas.

La gestora de datos volvió a luchar contra el cambio.

"Después de una reunión conmigo y el director de TI de la organización sin fines de lucro, decidió tomarse una jubilación anticipada para no tener que aprender los nuevos sistemas, ni cambiar su amada contraseña".

¿La gerencia o los usuarios han rechazado sus consejos? Haga clic aquí [oncall@theregister.com] para contarnos qué sucedió y su historia podría aparecer en una futura edición de On Call. ®

Fuente:
TheRegister