10 recomendaciones de Ciberseguridad para el Home Office
Como medida precautoria ante la pandemia del Coronavirus (COVID-19), son muchas las empresas que deciden que sus empleados trabajen remotamente desde sus casas.
Sugerimos 10 recomendaciones básicas en materia de ciberseguridad ante la urgencia de implementar la modalidad de teletrabajo:
• Implementar una política de uso de medios tecnológicos: la empresa debe definir con claridad esta política, estableciendo qué se permite y qué se prohíbe hacer con los dispositivos y sistemas de propiedad de la empresa (teléfonos móviles corporativos, portátiles corporativos, etc.). Es esencial que en esta política se incluya si el trabajador tiene o no alguna expectativa de privacidad usando los medios corporativos.
• Medios propios del trabajador: si se permite el uso de los mismos alternativamente a los dispositivos móviles corporativos, se debe definir una política de uso de medios propios que incluya requisitos de seguridad. Recuerde que no puede imponer al trabajador la utilización de medios propios al servicio de la empresa.
• Digitalización urgente: el trabajo remoto amerita digitalización, abandono en la medida de lo posible del papel. Es recomendable que aquella documentación en papel que necesite estar disponible en los próximos meses esté digitalizada y disponible. Recomendamos la utilización de herramientas colaborativas para facilitar la comunicación y la gestión de proyectos.
• Sincronización: usar un sistema para sincronizar lo que sus empleados archivan en las terminales remotas con los sistemas centralizados, evitando así la pérdida de información.
• Políticas de seguridad mediante un dominio: los equipos en régimen de trabajo remoto deben seguir las mismas reglas que aquellos que están físicamente en las oficinas, de ahí la importancia de contar con un servidor de dominio que fuerce a dichos dispositivos a seguir las normas de seguridad internas.
• Cifrado en las comunicaciones: las conexiones entre los dispositivos en régimen de trabajo remoto y los servidores centrales deben estar cifradas. Para ello deberían establecerse redes privadas virtuales o VPN, o bien acceder por escritorio remoto.
Si el acceso a las aplicaciones corporativas se realiza a través de Internet, no olvide comprobar que la dirección de la web comienza con “https” (comunicación cifrada) y no “http” (no cifrada). Esa “s” es toda una diferencia. Las versiones más modernas de los navegadores avisan al usuario de que la navegación no es segura si la comunicación no está cifrada. Tenga en cuenta que el certificado utilizado de cifrado debe estar actualizado. No se debe hacer uso de redes WIFI abiertas o públicas.
• Cifrado de dispositivos: recuerde que en el trabajo remoto la seguridad física no es la misma que en la oficina. Es imprescindible que los dispositivos se encuentren cifrados en caso de pérdida o robo. Recuerde que todos los sistemas operativos más utilizados por la gran mayoría incluyen gratuitamente esta función:
- Windows: escriba “Bitlocker” en la barra de búsqueda de Windows, y tendrá la opción de administrar esta funcionalidad.
- Mac: OSX dispone de la función “Filevault” en Preferencias del Sistema – Seguridad y Privacidad.
- IOS: El cifrado del dispositivo está por defecto en el momento en el que usted establece un código de bloqueo para acceder al terminal.
- Android: Puede cifrar su dispositivo en Ajustes – Seguridad – Cifrar teléfono.
• Usuarios individuales: es necesario abandonar los usuarios genéricos por varios motivos fundamentales. Entre estos, destaca la seguridad, ya que, si dispone de usuarios genéricos, no va a poder saber quién entra realmente al sistema. Adicionalmente las contraseñas deben ser robustas y deben caducar, o bien, implementar un sistema de doble factor. Aunque recuerde, el doble factor con envío de SMS no es precisamente seguro en muchos casos, es preferible a través de token o aplicación de autenticación. Recuerde además que el correo electrónico es una fuente inagotable de secretos empresariales, el acceso al mismo debe ser tan seguro o más que al resto de aplicaciones (incluida la caducidad de contraseña o doble factor).
• Habilite la traza de auditoría en las aplicaciones y bases de datos, de modo que pueda conocer quién hace qué en cada momento sobre los sistemas y aplicaciones.
• Los sistemas operativos de servidores, portátiles y móviles deben estar actualizados para evitar vulnerabilidades de seguridad que pudiesen ser aprovechadas por un tercero malintencionado.
