Los recientes cambios en el paradigma laboral nos avocan a nuevos hábitos de trabajo y con ello nuevas normas y nuevos riesgos. Según el instituto Incibe, existen todavía muchas dudas en cuanto a ciberseguridad en la empresa y muchos de los ataques informáticos recibidos se deben a una falta de información y planificación en cuanto a medidas de seguridad informática en el puesto de trabajo.
Las nuevas modalidades de trabajo a distancia o teletrabajo pueden hacer que no tomemos las precauciones necesarias.
¿Qué se debe tener en cuenta en ciberseguridad, empresa y teletrabajo?
Los requisitos y medidas son muy amplias, desde cambios muy importantes que conllevan un esfuerzo hasta medidas aparentemente insignificantes y muy fáciles de implementar.
A continuación mostramos una serie de pautas a seguir para minimizar los riesgos en los ciberataques en el puesto de trabajo.
Estudio o análisis de dependencia tecnológica de la empresa
La primera medida que debe de tener la empresa en cuenta es realizar un estudio del grado de dependencia tecnológica que tiene su empresa, es decir, que medios tecnológicos se emplean y cual es el grado de dependencia. O lo que es lo mismo ¿durante cuánto tiempo podría continuar la actividad de la empresa si alguno de estos medios fallara?
- Correo electrónico
- Web
- Dispositivos móviles
- Servidores
- Teletrabajo o equipo informáticos fuera del área de la empresa.
Principales amenazas de ciberseguridad en la empresa
Algunas de las principales amenazas que se pueden recibir mediante un ciberataque en la empresa son:
- Piratear pc
- Capturar credenciales de usuarios
- Perdida de datos de usuarios, sistemas o información estratégica
- Ser objeto de chantaje y solicitud de rescate de datos
- Pérdida de datos que son vendidos a terceros
Principales elementos vulnerables
- Defacement: cambiar diseño de la pagina web para engañar al usuario
- Phising web
- Ataques de denegación de servicio web
- Suplantación o web spoofing
- Redes sociales: suplantación de identidad
- Comentarios negativos en perfiles públicos
El mayor número de estas amenazas las sufren PYMES y Autónomos principalmente al no poseer los recursos y conocimientos necesarios para evitarlas.
Teletrabajo seguro para el empleador
Implementar teletrabajo de forma segura con las siguientes medidas
- Teletrabajo seguro
- Capacidad y seguridad remota
- Cumplir LOPD
- Medidas de concienciación
- Tipo de dispositivos: corporativos o personales: deben de estar actualizados / copias de seguridad / reposición de equipos
Acceso remoto seguro
- VPN es el único método modo seguro. Podemos crear una Propia red de la empresa o contratar un servicio externo pero en este caso se reduce la privacidad.
- Escritorio remoto no recomendable
- Si optamos por Wifi deberemos activar WPA2 aunque no podremos evitar un inhibidor de señal. Mejor usar cable.
Uso seguro de la red
- Si queremos contratar una red VPN conviene investigar al proveedro, condiciones, reputación y características: cifrado de extremo a extremo. VPN dentro de la UE / que ofrezca registro de logs / LOPD que satisfaga a la empresa / servicio escalable
- WIFI: añadir red a VPN: firmare + Pass seguro. WPS o WEP son inseguros
- Los dispositivos IOT son vulnerables: requieren control de acceso de multifactor y parches de seguridad
Seguridad en servidores de videoconferencia, backend y RRSS.
A la hora de realizar trabajo por videoconferencia debemos de cuidar también la seguridad en internet.
- Cifrado SSL
- Reuniones privada mediantes acceso por contraseña
- Backend protegido
- RRSS: autenticación multifactor
Prevención y concienciación
Uno de los puntos más fáciles de implementar en la empresa en cuanto a ciberseguridad está relacionados con la formación del personal.
- Uso de apps de equipo y no privadas o personales.
- Cada empresa debe tener determinadas restricciones de datos y propiedad intelectual
- Concienciación: políticas de uso / protección de datos / detección de amenazas (spam, phising…) / Reporte de incidentes / acuerdos de confidencialidad.
Estos son algunos de los aspectos más importantes que la empresa debe informar a sus trabajadores sobre todo en el ámbito del teletrabajo.
Teletrabajo seguro para el empleado
- Entorno de teletrabajo seguro
- Evitar que familiares puedan acceder a datos de empresa
- Uso de contraseñas robustas
- Vigilar dispositivos físicos y evitar pérdidas o robos
- Cumplir con la LOPD
- Evitar compartir dispositivo personal y profesional
Seguridad en acceso remoto
- Contraseñas robustas
- Doble autenticación en pc y móvil
- Sistemas actualizados
- Uso de antivirus
- Cifrado de discos
- Copias de seguridad de todos los soportes
- Usar recursos de la intranet corporativa de ser posible
- Usar red domestica y evitar redes públicas. Mejor con cable
- WPA2 y deshabilitar WEPs
- Eliminar apps no esenciales y no oficiales
Consejos para mejorar la ciberseguridad
- Correos spam evitar clic
- Antivirus en todos los dispositivos
- Elegir un passwords wifi seguro
- Perfiles en RRSS. Debemos ser cuidadosos con los datos que compartimos
- Mensajería: no usar equipos profesionales para mensajes personales
- No compartir información financiera
- Si debemos realizar envío de dinero, realizarlo siempre en sitios confiables
Otras consideraciones
- Acceso multifactor y no almacenarlas por defecto. Uso de gestor de contraseñas
- Configurar equipos domésticos según normas de empresa
- Actualizar configuraciones y equipos
- Separar lo laboral y personal
- Mensajería directa segura
Fraudes y otros incidentes
En el ámbito de la seguridad informática no existe el riesgo cero y siempre cabe la posibilidad de ser objeto de algún tipo de ciberataque. Algunos de los más recurrentes son:
- Fraude
- Falsas ventas
- Equipo desactualizados
- Infecciones de malware
Enfrentarse a un incidente
¿Qué ocurre si a pesar de las medidas implementadas y cumplidas tenemos que hacer frente a un ataque de seguridad informática?
Debemos seguir los siguientes pasos:
- Formar equipo de análisis y gestión
- Informar a perjudicados, agencia de protección de datos y policía
- Recuperar sistemas afectados
- Poliza de ciberseguridad
Continuidad de negocio
- Como reaccionar: plan de contingencia y reanudación de negocio
- Acciones a llevar a cabo
- Establecer periodo de recuperación
- Mecanismos para evaluar desperfectos
Cada empresa debe contar con un plan de contingencia para hacer frente a este tipo de situaciones. Tener una planificación y personal cualificado para llevarla a cabo puede marcar la diferencia en la actividad de una empresa.
Buenas prácticas
Para finalizar, es conveniente introducir prácticas comunes y globales a toda la empresa con el objetivo de reducir las posibilidades de sufrir un ataque de ciberseguridad en la empresa
- Control de acceso / seguridad en conexiones / recuperación
- Parches de seguridad, copias y antivirus
- Uso de VPN
- Cable antes que wifi
- https
- Implementar políticas de empres en la modalidad del teletrabajo
Fuentes
- www.incibe.es
- learndigital.withgoogle.com/activate/course/cybersecurity-remote-work
