la complacencia es a menudo la mayor amenaza para la seguridad.

Es fácil
pasar por alto o subestimar potenciales amenazas de seguridad hasta que se
conviertan en realidad, es igualmente fácil perder foco en ellas una vez las
amenazas de seguridad una vez que la crisis inmediata pase. Advo Inc.,
superó con éxito estos desafíos. El estudio describe cómo dos crisis
nacionales desencadenaron cambios inmediatos en la seguridad física de
Advo y procesaron los controles de seguridad. También describe el
tratamiento de Advo de la tecnología de la información (TI) y la seguridad
física como componentes interconectados de la evolución de infraestructura
de seguridad de la organización. Para proporcionar la información básica
necesaria, el estudio de caso comienza con una descripción general de Advo,
Inc., sus operaciones y los controles de seguridad vigentes antes de la
ocurrencia de los ataques terroristas del 11 de septiembre y los posteriores
ataques de ántrax.

Advo, Inc. es el mayor proveedor de servicios de publicidad por correo

directo en los Estados Unidos. Advo procesa y distribuye publicidad impresa
de sus 25,000 clientes a más de 112 millones de hogares de consumidores en
todo Estados Unidos y Canadá. Sus clientes son los fabricantes, minoristas y
compañías de servicios cuyos productos y servicios son utilizados por el
público en general. Incluyen supermercados, farmacias, restaurantes de
servicio rápido, tiendas de muebles para el hogar y tiendas de descuentos y
departamentos. Los ingresos netos reportados por Advo en el 2004 fueron de
$ 48.7 millones en ingresos totales de 2,000 millones. Con sede en Windsor,
Connecticut, Advo actualmente tiene veintiuna instalaciones de
procesamiento de correo ubicadas en todo Estados Unidos. La compañía
emplea aproximadamente 3, 900 empleados de tiempo completo y medio
tiempo. También contrata a empleados temporales externos para ciertos
trabajos de producción y para asistencia durante temporadas ocupadas.
Fundada como una compañía de reparto en 1929, Advo ingresó a la industria
del correo directo como correo solitario en 1946. El programa de correo
compartido de Advo comenzó en 1980, cuando combinó anuncios de
diferentes negocios y los distribuyeron juntos.
En 1985, Advo se asoció con el Centro Nacional para Menores Desaparecidos
y Explotados y el Servicio Postal de los Estados Unidos (USPS) para establecer
el programa America's Looking for Its Missing Children. Es el programa de
este tipo más exitoso del sector privado. ¿Me has visto? Las tarjetas, que
muestran nombres y caras de niños desaparecidos, son vistas por más de 120
millones de personas cada semana y se han convertido en la pieza de correo
más reconocida de la nación. En la última década, Advo ha ampliado su
tamaño a través de adquisiciones de empresas. Una de sus adquisiciones más
significativas tuvo lugar en febrero de 1998, cuando compró The Mailhouse,
Inc., una empresa de correo de cupones cooperativa basada en franquicias.
Fue rebautizado como MailCoups, Inc., poco después de su adquisición.
Maucoups, Inc., con sede en Taunton, Massachusetts, opera como una
subsidiaria de Advo.
las licencias de franquicias se venden bajo la marca SuperCoups. Las
franquicias crean cupones para comerciantes locales y envían los cupones en
un sobre de aspecto distintivo (http: llwww.supercoups.com). A fines de
septiembre de 2004, había 225 unidades de franquicia en veintitrés estados.
En noviembre de 2000, Advo adquirió Mail Marketing Systems, Inc., una
compañía de publicidad por correo postal ubicada en Maryland. Opera como
subsidiaria de Advo, y proporciona cobertura postal a aproximadamente 4.5
millones de hogares. Advo adquirió la Guía para compradores de Nueva
Jersey en abril de 2001. La guía de compras por correo directo tiene una
circulación semanal de aproximadamente 400,000 hogares en el sur de
Nueva Jersey. La adquisición más reciente de Advo ocurrió en junio de 2002,
cuando compró FACCCorporation, una empresa de publicidad de correo
directo con sede en Canadá. Poco después de su adquisición, FACC
Corporation pasó a llamarse Advo Canada. En 2004, Advo Canada pasó a
llamarse First Avenue. La compañía, que opera como una subsidiaria de
Advo, produce aproximadamente 220 millones de piezas de publicidad cada
año a segmentos específicos de los doce millones de hogares de Canadá.
Advo también ha formado varias alianzas de periódicos, que utiliza para
ampliar aún más la distribución de material publicitario de sus clientes. Sus
alianzas con Gannett Company, Inc., MediaNews Group, Inc., Knight-Ridder.
Inc. Freedom Communications, The New York Times Company, St. Petersburg
Times, EW Scripps Company y The Tribune Companvi permiten que el
material publicitario de Advo se distribuya entre los suscriptores de los
periódicos.

Operations
Advo, Inc., es el usuario comercial más grande de USPS estándar mas La
publicidad impresa de sus 25,000 clientes se distribuye a más de 112 millones
de hogares de consumidores a través de los servicios de correo solo y
compartido de la compañía. El servicio de correo solo de Advo consiste en
abordar y procesar folletos y circulares de clientes individuales para su
distribución a través de USPS. Las piezas se pueden procesar utilizando las
listas de correo proporcionadas por Advo o el cliente.

El servicio de correo solo tiende a ser elegido por dos tipos de clientes:
aquellos que desean mantener una imagen separada y un control total sobre
cuándo y a quién se envían sus anuncios, o aquellos que desean que sus
anuncios se envíen a áreas donde el servicio de correo compartido de Advo
no existe. El servicio de correo compartido de Advo se llama Shopwise. Una
revista coloreada de cuatro páginas rodea un paquete de correo, que
consiste en avisos de negocios ubicados en un área de correo específica. Las
empresas más grandes suelen proporcionar a Advo materiales publicitarios
impresos en cantidades preestablecidas, mientras que los clientes minoristas
más pequeños confían en Advo para realizar servicios gráficos o para actuar
como intermediario para las operaciones de impresión. Los paquetes de
correo se direccionan usando LA lista de correo de Advo, la compañía
clasifica y transporta los correos para la entrega de los PSU. En abril de 2000,
Advo estableció un sitio web de aceptación, llamado ShopWise.com (http /
lwwwshopwise.co). El sitio permite a los minoristas complementar sus
anuncios enviados por correo electrónico al ofrecer a los consumidores
cupones en línea y ofertas especiales por correo electrónico. Los ingresos se
derivan de su programa Shopwise, que se cree que es el programa
publicitario más grande de su tipo. Los anuncios de correo compartido se
entregan cada semana a aproximadamente setenta y ocho millones de
hogares de consumidores en más de 130 mercados diferentes. Otros treinta y
cuatro millones de hogares se accede a través del programa Advo National
Network Extension. Este programa permite a Advo proporcionar a sus
clientes una distribución publicitaria más amplia a través de la membresía de
la red en empresas postales compartidas. La compañía utiliza la lista de
correo de Advo para enviar correos a consumidores específicos. Advo
además alquila partes de su lista de correo a otras organizaciones de
marketing directo. Se cree que es el correo residencial más grande en la
nación, contiene las direcciones de casi todos los hogares de los Estados
Unidos. Además de sus más de 130 domicilios domiciliarios, incluye más de
12,6 millones de direcciones comerciales, todas organizadas en orden de
entrega de correo.
Laos materiales impresos de publicidad de los clientes de Advo, son
procesados por aproximadamente 1700 empleados de producción que
trabajan en 21 instalaciones de procesamiento en los estados unidos.
Las ubicaciones de estas instalaciones se muestran en la Tabla 2-1. En cada
una de las tareas de la empresa, las máquinas de inserción se utilizan para
clasificar las piezas publicitarias individuales en paquetes, y el equipo de
direccionamiento y etiquetado se utiliza para procesar los materiales para el
envío por correo. Los envíos se ordenan por el departamento de transporte
de la compañía, verificado por el USPS en una Unidad de Correo
Independiente localizada en cada instalación, y transportado a una oficina
postal local para entrega puntual por parte de los operadores postales
individuales.
controles de seguridad antes de los ataques terroristas y relacionados con
bioterroristas Hasta septiembre de 2001.
Los controles de seguridad de Advor eran indiscriminados y no cohesivos. No
se habían establecido políticas o procedimientos de seguridad formales, y
todos consideraban que la seguridad era una prioridad baja.
En las sedes corporativas, los controles consistieron principalmente en
servicios de guardia de seguridad y verificación de antecedentes de los
empleados. Ambos fueron proporcionados por agencias externas. Burns
International Services Corporation (conocida hoy como Securitas Security
Services USA Inc.) había sido contratada para proporcionar servicios de SECU.
Los guardias estaban presentes por la noche, pero existían garantías mínimas
durante el horario comercial. Se había contratado a una agencia temporal
para que realizara una verificación previa de empleos anteriores de todos los
empleados. Consistía en poco más que un antecedente civil básico. La
seguridad era más débil en las instalaciones de procesamiento de correo de
la empresa. Las verificaciones de antecedentes de los empleados eran
superficiales, si se cumplían. el setenta por ciento de los trabajadores de las
instalaciones eran temporales, cuyos antecedentes no fueron revisados antes
de ser contratados. Un servicio de guardia de nivel de contrato proporcionó
visibilidad uniforme, pero poco más. La mayoría de las instalaciones estaban
ubicadas en áreas industriales donde los problemas de delincuencia urbana
eran comunes. Estas instalaciones a menudo tenían poca luz exterior, vallas
inadecuadas y no tenían cámaras de seguridad. Los empleados corrían riesgo
de sufrir un ataque mientras cruzaban los estacionamientos, las instalaciones
no estaban protegidas del riesgo de los coches bomba y tenían poco control
sobre quién estaba en una instalación en un momento dado. Las puertas de
las salidas de emergencia con frecuencia estaban abiertas. Los visitantes no
fueron monitoreados y los contratistas pudieron pasear libremente por la
instalación.

Ni la sede corporativa ni ninguna de las instalaciones tenían salas de correo

para manejar el correo entrante. Los paquetes y otros tipos de correo se
dejaron dentro del edificio, cerca de la entrada principal. Hubo otras
vulnerabilidades de seguridad comunes a todas las ubicaciones. Los
documentos sensibles fueron descartados en su totalidad. Las llaves de las
oficinas interiores y las puertas exteriores no fueron controladas ni
gestionadas cuidadosamente. Los planes para la continuidad del negocio y la
recuperación de desastres no fueron concluyentes ni documentados. Aunque
la seguridad física era débil, se implementaron controles considerablemente
más fuertes para proteger las aplicaciones y bases de datos críticas de Advo.
En Julio de 1996 Advo firmó un acuerdo de diez años con IBM Global Services
para proporcionar procesamiento de computadoras, desarrollo de sistemas y
soporte de sistemas heredados a Advo.
Las bases de datos propiedades sde Advo y las aplicaciones empresariales se
almacenaron y procesaron en más de dos docenas de servidores en IBM en
las instalaciones de Southbury, Connecticut. Se incluyeron datos relacionados
con los sistemas de transporte y distribución de sistemas de control de
producción y procesamiento de pedidos perteneciente a Advo, sistemas de
facturación y financieros, recursos humanos y sistemas de procesamiento de
nómina, archivos de impresión de mantenimiento de listas de direcciones,
sistemas de distribución de etiquetas, enrutamiento de direcciones de
portadoras de clientes y análisis demográficos y de mercado. Se firmaron
acuerdos a largo plazo con IBM para proporcionar servicios de administración
de granjas de servidores y brindar seguridad servicios para aplicaciones y
datos de Advo. Los servicios de seguridad de IBM incluyeron provisiones para
el monitoreo del sistema en tiempo real, la detección y prevención de
intrusiones y el manejo de incidentes.

Ataques terroristas y relacionados con bioterroristas

Muchos de los oficiales ejecutivos de Advo estuvieron en la ciudad de Nueva
York el 11 de septiembre de 2001. El gerente general y varios gerentes de
nivel superior del Comité operativo de la compañía se encontraban en
Manhattan cuando American Airlines Flight y United Airlines Flight 175
golpearon las Torres Norte y Sur del World Trade Center. Los ataques
terroristas elevaron la importancia de la seguridad dentro de Advo. Hubo un
cambio abrupto y dramático en las actitudes ejecutivas y se le dio la máxima
prioridad a la seguridad física. El CEO de Advo, en consulta con el
Vicepresidente Senior de Cumplimiento, ordenó que se establezca una
presencia real de seguridad en todos los lugares. El Wackenhut Corporation
fue contratado inmediatamente para proporcionar oficiales de seguridad
uniformados las 24 horas del día, los 7 días de la semana en la sede
corporativa de Advo y en todas las instalaciones de procesamiento de correo.
La crisis ya había terminado. Menos de dos semanas después de los ataques
del 11 de septiembre, se produjo el primer ataque de ántrax relacionado con
el bioterrorismo. Los miedos de público crecieron a medida que aumentaban
los informes de los medios sobre correos con ántrax. Hacia el final de la
primera semana de octubre, se había informado la primera muerte
relacionada con el ántrax. El origen del ántrax estaba vinculado a una carta
que la víctima había manejado.