Cómo garantizar la seguridad de la información cuando los equipos teletrabajan

Como está ocurriendo con la crisis sanitaria causada por el coronavirus, todo evento inesperado trae consigo preguntas, preocupaciones… y ciberataques. Los ciberdelincuentes, muy oportunistas, se vuelven más creativos cuando se trata de jugar con las ansiedades y los miedos de la gente. Si bien las cifras ya son muy elevadas (las empresas españolas sufren una media de 436 ciberataques cada semana, según un informe de Check Point), el riesgo se multiplica cuando los equipos se dispersan, y sobre todo, si lo hacen sin una preparación específica previa.

Los expertos prevén un aumento de los ciberataques y ciberestafas durante la crisis del coronavirus (COVID-19), y recomiendan aumentar las medidas de vigilancia cibernética. La Agencia Europea de Seguridad de las Redes y de la Información (ENISA, por sus siglas en inglés) informa que ya ha notado un aumento de los ataques cibernéticos relacionados con el coronavirus. Las empresas que han podido implementar el teletrabajo están en la primera línea de fuego. ¿Cómo proteger los datos confidenciales de la empresa cuando los equipos se dispersan? ¿Qué directrices se deben dar a los empleados para garantizar la seguridad cibernética, incluso fuera de la oficina? Hacemos balance con Olivier Arous, cofundador de la empresa Ogo Security, especializada en cuestiones de ciberseguridad.

Lee nuestro ebook: ¿Cómo gestionar equipos de trabajo de forma remota?

¿Cuál es el impacto potencial sobre la ciberseguridad ante la difusión masiva del teletrabajo?

El aumento del teletrabajo (y de la movilidad laboral en general) incrementa la comunicación y el intercambio de información fuera de la compañía al tiempo que multiplica las puertas de acceso a la empresa, a sus datos y a sus recursos. Dentro de la oficina, las herramientas informáticas como los cortafuegos, software de seguridad o programas antivirus, actúan como protección contra los ataques sin que el empleado tenga que preocuparse de ello. Fuera de la oficina, debemos asegurar que el empleado tiene tanto los reflejos como las herramientas adecuadas para protegerse a sí mismo y a la empresa.

Con el trabajo en remoto, la compañía se expone a un mayor riesgo de ataques cibernéticos: robo de datos sensibles, usurpación de identidad, acceso a los servicios de la empresa por parte de alguien con malas intenciones, acceso a la información del ordenador del empleado por parte de un hacker e incluso corrupción de información sensible y vital para la compañía. Esto es aún más cierto si el cambio al teletrabajo se produce de forma repentina. El teletrabajo tiene beneficios innegables para la empresa y para sus empleados, tanto si se practica de forma regular como excepcional, sin embargo, esta flexibilidad conlleva un aumento de riesgos cibernéticos que deben ser identificados y abordados con la ayuda de herramientas, de normas internas claramente definidas y de una sensibilización de todo el personal con el fin de garantizar el nivel máximo de seguridad.

¿Los acontecimientos extraordinarios siempre conllevan un aumento de los ciberataques?

Los eventos que son especiales o únicos acostumbran a ir acompañados de un aumento de los ataques cibernéticos. No hay que retroceder mucho en el tiempo para comprobarlo: en los días previos a San Valentín (un auténtico “golpe de suerte” para los hackers) se observa un fuerte crecimiento de las actividades de phishing de correo electrónico (servicios falsos, estafas, robo y cifrado de datos, etc.). El día de San Valentín de 2019, Kaspersky bloqueó más de 4 millones de intentos de acceso a sitios fraudulentos. Esta cifra aumenta año tras año.

En el caso que nos ocupa, es el miedo a la pandemia el vector que hace que los piratas informáticos se aprovechen de la situación y lleven a cabo prácticas fraudulentas: correos electrónicos fraudulentos del Ministerio de Sanidad (con archivos adjuntos), enlaces para descargar una aplicación que ofrece las últimas cifras sobre la epidemia, páginas web falsas que venden máscaras protectoras (estafa y robo de tarjetas de crédito), correo electrónico del departamento de Recursos Humanos o de la dirección de la empresa informando a los empleados de la posición de la empresa sobre el COVID-19… Uno debe admitir que creatividad no les falta a los hackers. Estos ataques van a continuar durante unos meses, por ejemplo, con mensajes informando a los empleados del descubrimiento de una cura milagrosa o una vacuna, o invitándoles a hacer una donación para salvar la vida una niña en la otra punta del planeta.

“Es esencial que las empresas tengan una política de seguridad para el teletrabajo y que esta se difunda entre los empleados”

¿Qué buscan los piratas informáticos en este tipo de situaciones?

Los piratas tienen varios objetivos: espionaje industrial, lucro, fama personal, etc. Sin embargo, en el contexto de la actual pandemia, lo que buscan principalmente es dinero. La mayoría de las veces se trata de hacer que la empresa pague un rescate tras el cifrado de información vital (fenómeno conocido como ransomware), o simplemente estafar a un individuo haciéndole comprar máscaras en un sitio web falso (y de esa forma robar sus datos bancarios).

¿Podemos realmente garantizar la ciberseguridad cuando los equipos están dispersados? ¿Cuáles son los aspectos a controlar?

Los empleados deben tener una actitud responsable: lanzar su red privada virtual (VPN) tan pronto como salgan de la empresa para que la comunicación por internet sea segura y asegurarse de que su antivirus y su software están actualizados. Es importante no hacer clic en ningún enlace de un correo electrónico ni en archivos adjuntos sin haber validado el remitente, y verificar la información con la ayuda de sitios web oficiales. Si el empleado utiliza su ordenador personal, es imperativo que los datos sensibles de la empresa estén protegidos, especialmente si estos están almacenados en el dispositivo. Lo ideal sería una partición del disco cifrado reservada para el trabajo de la empresa, una VPN instalada y que se lance cada vez que se enciende el ordenador, cifrar los correos electrónicos, etc…

Ahora bien, como las herramientas no están al alcance de todo el mundo, la primera recomendación es simplemente aconsejar a los equipos que se mantengan “atentos” y que tengan “sentido común”: que comprueben los remitentes y los destinatarios de los correos electrónicos; que no envíen información confidencial sin un mínimo de protección y que no se conecten a un wifi público. Los wifi públicos son muy fáciles de hackear y son el objetivo ideal de los piratas informáticos. Con estas precauciones, podemos conectarnos al ordenador, instalar un programa contra el spyware, leer nuestros correos electrónicos y tener acceso a toda la información sensible como cuentas bancarias, contraseñas y cualquier otra información de la compañía.

Consejos a las empresas para asegurar la ciberseguridad de los empleados remotos:

• Confeccionar una “hoja de ruta” clara y actualizada sobre los pasos a seguir en caso de ataques cibernéticos (a quién contactar, horas de servicio, procedimientos de emergencia, etc.).

• Contemplar la posibilidad de restringir el acceso a sistemas sensibles siempre que esto sea posible.

• Proporcionar una VPN a todos los empleados.

• Considerar la posibilidad de aplicar la doble autenticación (como en el caso de los pagos por internet) para que los empleados puedan conectarse de forma segura.

• Pedir a los empleados que actualicen su software antivirus, eviten las conexiones wifi públicas, estén atentos a los correos electrónicos “sospechosos” y no abran archivos adjuntos inusuales. Además, si es posible, que utilicen ordenadores distintos para el ocio y para el trabajo.

Foto de WTTJ