En un mismo trimestre, dos empresas de seguridad publicaron dos cifras distintas.
Hacken: unos 1.180 millones de dólares robados en el Q3, en 107 incidentes.
CertiK: unos 1.260 millones de dólares, en 247 incidentes.
Las cantidades son parecidas, pero el número de incidentes es más del doble. Cada empresa decide por su cuenta qué cuenta como «un incidente», así que no tomes estos informes trimestrales como datos de una oficina estadística: ante todo, son material de marketing.
Lo que de verdad vale la pena leer es lo que escribió Hacken: unas pérdidas de 907 millones se relacionaron con infraestructuras vulneradas, vulnerabilidades que debían haberse corregido pero no se corrigieron, o componentes que ni siquiera estaban dentro del alcance de la auditoría. Dicho en lenguaje llano: la insignia de «auditado» en la web oficial de un proyecto quizá solo cubre esa pequeña parte del contrato; el dinero se escapa por el backend, la gestión de claves privadas, las herramientas de desarrollo o los proveedores.
Y aquí viene la ironía. Quienes dicen que «las auditorías generan una falsa sensación de seguridad» son precisamente las empresas que venden auditorías. La conclusión, naturalmente, es que necesitas más auditorías, más supervisión y más servicios de suscripción anual. Las cuentas que comparten estas cifras y publican noticias rápidas sobre contratos rematan el ciclo del tráfico poniendo un enlace a un exchange debajo de la publicación.
Los datos pueden servir de referencia, pero toma las conclusiones con pinzas. Cuando veas un logo de auditoría, primero abre el informe y mira qué alcance especifica, en qué fecha se hizo la auditoría y si el código cambió después. La mayor parte del dinero no la roban hackers geniales: se va por «esa parte de la que nadie se hace responsable».
#安全 #auditoría
Hacken: unos 1.180 millones de dólares robados en el Q3, en 107 incidentes.
CertiK: unos 1.260 millones de dólares, en 247 incidentes.
Las cantidades son parecidas, pero el número de incidentes es más del doble. Cada empresa decide por su cuenta qué cuenta como «un incidente», así que no tomes estos informes trimestrales como datos de una oficina estadística: ante todo, son material de marketing.
Lo que de verdad vale la pena leer es lo que escribió Hacken: unas pérdidas de 907 millones se relacionaron con infraestructuras vulneradas, vulnerabilidades que debían haberse corregido pero no se corrigieron, o componentes que ni siquiera estaban dentro del alcance de la auditoría. Dicho en lenguaje llano: la insignia de «auditado» en la web oficial de un proyecto quizá solo cubre esa pequeña parte del contrato; el dinero se escapa por el backend, la gestión de claves privadas, las herramientas de desarrollo o los proveedores.
Y aquí viene la ironía. Quienes dicen que «las auditorías generan una falsa sensación de seguridad» son precisamente las empresas que venden auditorías. La conclusión, naturalmente, es que necesitas más auditorías, más supervisión y más servicios de suscripción anual. Las cuentas que comparten estas cifras y publican noticias rápidas sobre contratos rematan el ciclo del tráfico poniendo un enlace a un exchange debajo de la publicación.
Los datos pueden servir de referencia, pero toma las conclusiones con pinzas. Cuando veas un logo de auditoría, primero abre el informe y mira qué alcance especifica, en qué fecha se hizo la auditoría y si el código cambió después. La mayor parte del dinero no la roban hackers geniales: se va por «esa parte de la que nadie se hace responsable».
#安全 #auditoría