Tiempo de lectura: 11 minutos

Aún cuando ya se vislumbra que, gracias a la vacunación, muchas de las personas que actualmente trabajan desde casa regresen a sus oficinas y lugares de trabajo, la realidad es que algunas empresas adoptarán esquemas de trabajo remoto o híbridos de forma permanente para, por lo menos, un porcentaje de su personal.

Tomando en cuenta lo anterior, la ciberseguridad para el trabajo remoto cobra una gran relevancia. 

Los ciberataques son una amenaza importante por la que los empleadores deben estar conscientes y estar constantemente en guardia. En esta guía explicaremos por qué los escenarios de trabajo desde casa aumentan la vulnerabilidad de su empresa y explicaremos qué puede hacer para prevenir ciberataques.

Y no importa si su empresa es grande, mediana o pequeña, del sector público o privado, ya que la ciberdelincuencia no discrimina.

Y la pandemia de Covid-19 no ha hecho más que agravar el asunto. De acuerdo con los resultados del reporte de ciberamenazas de Fortinet, México y la región de Latinoamérica vieron un incremento exponencial en la cantidad de intentos de ciberataques durante 2020.

De acuerdo con el reporte, en América Latina se registraron cerca de 40,000 millones de intentos de ciberataques durante el año pasado.

Según las cifras del documento, México es el país más atacado de la región ya que sufrió 34% de estos ataques: 14,000 millones tan solo el año pasado. Esto es casi el triple en comparación con 2019.

De hecho, las empresas más pequeñas resultan muy atractivas para los delincuentes porque normalmente tienen presupuestos de TI más bajos y medidas de ciberseguridad más débiles.

Muchas veces, las empresas más pequeñas cuentan con presupuestos muy reducidos para invertir en ciberseguridad; sin embargo, son el objetivo de casi la mitad de todos los ciberataques que ocurren.

Principales consecuencias de los ciberataques

El impacto de los ciberataques en las empresas puede ser generalizado y devastador. Aquí algunas de las consecuencias:

• Violación de datos sensibles de identificación personal, que conducen al robo de identidad.
• Divulgación de información de la empresa, como patentes o propiedad intelectual, que puede mermar la ventaja competitiva de una empresa.
• Pérdida de información confidencial de empleados o clientes.
• Sanciones financieras y legales, si se determina que la empresa no ha protegido adecuadamente ciertos datos.
• Daños a la infraestructura, dispositivos y sistemas de la empresa.
• Daño a la reputación de la marca.
• Tiempo de inactividad con la pérdida de ingresos asociada.
• Altos costos de TI para solucionar problemas y mejorar las medidas de seguridad en el futuro.

A continuación, veremos 11 prácticas de seguridad informática que podrían ayudar a su empresa o negocio a disminuir los riesgos asociados con ciberataques.

11 prácticas de ciberseguridad para el trabajo remoto que debe implementar 

1. Proporcione a su personal los dispositivos y aplicaciones que requieren para trabajar desde casa

Es extremadamente arriesgado permitir que los empleados usen sus propios dispositivos o aplicaciones no supervisadas por el área de TI cuando están trabajando desde casa.

Lo más probable es que su personal no sepa nada ni tenga ningún control sobre la configuración de los sistemas operativos, firewall de aplicaciones web, protecciones antivirus, actualizaciones de software o requisitos de autenticación.

Resulta muy riesgoso permitir que los dispositivos personales accedan a la red y los recursos de su empresa. ¿Quiere poner los datos confidenciales de la empresa en riesgo de exposición si el dispositivo personal o aplicación se ven comprometidos?

Si su organización no cuenta con los recursos para proveer al personal con equipo y aplicaciones de la empresa, su equipo de TI deberá considerar cómo evaluar los dispositivos personales antes de que puedan conectarse a la red y recursos del negocio.

Si su personal va a trabajar desde casa, lo mejor es proporcionarles un dispositivo propiedad de la empresa, que esté equipado con la protección necesaria y aprobado según las políticas de ciberseguridad de la empresa.

2. Asegure físicamente el espacio de trabajo del hogar

La casa de un empleado es un ambiente más relajado e informal que la oficina. Pero eso no significa que los empleados puedan bajar la guardia y volverse laxos en cuanto a la seguridad, porque eso los haría especialmente vulnerables a los ciberataques.

La protección de la información confidencial de la empresa es especialmente importante durante un desastre natural o una pandemia global como Covid-19, ya que es cuando las familias están juntas en casa durante todo el día y el nuevo espacio de trabajo puede estar en un área de alto tráfico, como un mesa en la cocina o en el sofá de sala.

10 consejos para ayudar a su personal a proteger su espacio de trabajo en casa:

1. Si es posible, evite el uso de dispositivos personales para el trabajo.
2. Evite el uso de aplicaciones o hardware externo que no estén aprobados por la empresa (por ejemplo, iCloud, Google Drive o unidades externas para almacenar documentos).
3. Prohibir a los miembros de la familia el uso de los dispositivos proporcionados por la empresa para fines personales.
4. Si tiene una oficina en casa, úsela. De lo contrario, intente configurar un espacio de trabajo en su hogar en un área tranquila y de poco tráfico que pueda cerrarse.
5. Habilite la pantalla de bloqueo protegida con contraseña en sus dispositivos cada vez que se aleje y guarde los dispositivos de forma segura al final de la jornada laboral.
6. Evite dejar los dispositivos al aire libre durante períodos prolongados o en un lugar donde sean visibles a través de una ventana y, por lo tanto, vulnerables al robo.
7. Los documentos físicos de la empresa deben guardarse en un lugar seguro al terminar la jornada (como un archivador).
8. Cuando tenga reuniones a través de videoconferencia, ponga especial atención a lo que otros asistentes pueden ver detrás o alrededor de usted. Hay que asegurarse de que no se vea ninguna información confidencial relacionada con el trabajo. Esto podría incluir:

• Horarios
• Notas de reuniones o proyectos no relacionados
• Información confidencial del cliente
• Información confidencial del empleado

9. Esté atento a los dispositivos domésticos digitales activados por voz mientras trabaja. Estos dispositivos pueden grabar accidentalmente el audio de llamadas telefónicas o videoconferencias confidenciales del trabajo.
10. Considere la posibilidad de que los empleados impriman documentos relacionados con el trabajo en casa. Los registros en papel de la oficina en casa podrían causar un problema de divulgación de datos.

De ser posible, establezca un plan de concientización en seguridad de la información. En el mercado existen herramientas como Knowbe4, que ofrecen el entrenamiento necesario para que su personal no caiga en estafas como el phishing o el pharming.

3. Establezca una conexión segura con los sistemas de la empresa

Para evitar que terceros espíen su actividad o roben datos de la empresa, sus empleados deben utilizar una conexión Wi-Fi privada y segura. Esto significa que:

• La red Wi-Fi debe estar protegida con contraseña y el proveedor de Wi-Fi debe ser conocido. Conectarse a una red Wi-Fi pública gratuita nunca es una buena idea.
• Las contraseñas deben ser únicas y no compartidas.
• Evite el uso de una contraseña predeterminada en cualquier tecnología.
• Evite las redes Wi-Fi públicas no seguras cuando trabaje de forma remota, pero fuera de casa (por ejemplo, en cafeterías).

Utilizar una red privada virtual (VPN) le dará una capa adicional de seguridad al trabajo remoto.

Una VPN proporciona una conexión segura entre su dispositivo y la red de la empresa. Todos los datos transferidos de un lado a otro entre estos puntos están encriptados. El cifrado proporcionado por la VPN garantiza que los delincuentes no puedan obtener claves o los datos que se transfieren entre su dispositivo y los recursos de su empresa.

Una VPN le dará continuidad a las operaciones, ya que cuando su personal inicia sesión en la VPN puede acceder a la información y realizar sus funciones como lo harían normalmente en la oficina, pero desde cualquier ubicación.

4. Asegúrese de que los sistemas operativos, software y protección antivirus estén actualizados

Debido a que la naturaleza de los ataques cibernéticos cambia constantemente, los sistemas operativos y el software quedan expuestos a vulnerabilidades a medida que los piratas informáticos descubren fallas. Las actualizaciones o parches están diseñados para corregir esas vulnerabilidades.

Las organizaciones deben mantener actualizados los dispositivos de la empresa con los parches más actuales. Una mejor práctica de uso común es ejecutar un escaneo para asegurarse de que todo el software esté actualizado antes de acceder a los sistemas de la empresa.

Esta técnica evita que los dispositivos de alto riesgo se conecten a los sistemas de la empresa.

Cuando sea el momento de actualizar su sistema operativo o software, asegúrese de que los empleados descarguen parches legítimos y aprobados. Para evitar equivocaciones, su departamento de TI debe enviar un enlace directo para que el personal pueda descargar el parche de forma segura.

Y, aunque el entorno de trabajo en el hogar es más independiente, bajo ninguna circunstancia los empleados deben buscar en Internet el software que necesitan para cumplir con su trabajo. El software o las aplicaciones no aprobadas pueden contener virus u otros tipos de malware.

5. No permita que los usuarios tengan privilegios administrativos

Es necesario controlar los derechos administrativos. Los usuarios de dispositivos proporcionados por la empresa no deben tener privilegios administrativos en esos mismos dispositivos.

En otras palabras, no deberían tener la posibilidad de descargar software o alterar el sistema operativo sin la aprobación del área encargada de sistemas.

Lo anterior asegura el control sobre los dispositivos que la empresa proporciona. De lo contrario, sus sistemas y dispositivos podrían ser vulnerables a virus. Todas las actualizaciones de software deben ejecutarse por parte de la compañía.

6. Las contraseñas seguras son clave

Siempre se debe requerir una autenticación sólida, que incluya un nombre de usuario y una contraseña para iniciar sesión en los dispositivos y acceder a las redes de la empresa.

Para evitar que los empleados utilicen contraseñas que puedan verse comprometidas fácilmente, establezca estándares de buena etiqueta para generar las contraseñas:

• Una combinación de letras mayúsculas y minúsculas
• Que contenga números y caracteres especiales
• Una longitud mínima de 10 caracteres.
• Rotación obligatoria de contraseñas después de un período de tiempo establecido (por ejemplo: 30 o 60 días).
• Las contraseñas deben ser únicas, complejas y no deben compartirse.

Siempre que sea posible, integre la autenticación multifactor para una capa adicional de seguridad durante el inicio de sesión. El multifactor comúnmente se conoce como algo que tiene (contraseña) y algo que sabe (token, código de SMS, certificado digital, huella digital, etc.).

Conozca: Fortitoken, la solución de autenticación de Fortinet que permite habilitar fácilmente la autenticación de dos factores.

Aunque los mensajes SMS se han vuelto muy populares entre las organizaciones debido a la popularidad de los teléfonos móviles, se pueden utilizar otros factores. Lo importante es tener algún tipo de multifactor cuando sea posible.

Por ejemplo, si una organización está utilizando el software G-suite de Google, pídale al administrador que active la verificación multifactor para agregar una capa adicional de seguridad a los usuarios que necesitan tener acceso a sus sistemas. Sin multifactor, un usuario que ha sido objeto de suplantación de identidad abrirá la puerta a un atacante para que acceda a sus sistemas.

7. Cuidado con los virus y las estafas de phishing y pharming

Un ataque de phishing ocurre cuando un delincuente se disfraza de fuente legítima para obtener datos confidenciales de su empresa y empleados o infectar sus dispositivos y sistemas con malware.

Estos ataques se han vuelto cada vez más sofisticados.

A continuación, se ofrecen algunos consejos sobre cómo su personal puede evitar problemas:

Correo electrónico

1. Sea escéptico sobre cada correo electrónico que llegue a su bandeja de entrada.
2. Tenga cuidado con los remitentes de correo electrónico que utilizan nombres de dominio sospechosos o engañosos o líneas de asunto inusuales. Si sospecha del remitente, no abra el correo electrónico.
3. Nunca abra archivos adjuntos ni haga clic en enlaces incrustados en correos electrónicos de remitentes que no reconoce.
4. Informe al área de TI si recibe correo electrónico sospechoso y no lo responda.
5. Tenga mucho cuidado al ingresar contraseñas cuando se le solicite por correo electrónico. Asegúrese de verificar la autenticidad del sitio web de destino.

Sitios web falsos

• Estos sitios pueden proporcionar cifrado para mejorar la apariencia de legitimidad.
• Preste especial atención a los enlaces del sitio web para confirmar que está visitando el sitio correcto. Los ciberdelincuentes escriben mal los enlaces de los sitios web de formas sutiles, por lo que son sumamente parecidos como para parecer legítimos y engañarlo si no lee cuidadosamente.
• Habilite la autenticación de múltiples factores para cada inicio de sesión.
• No siga los enlaces que recibe en un correo electrónico. Abra una pestaña en su navegador e ingrese directamente el enlace correcto del sitio que desea visitar. No confíe en que el correo electrónico lo llevará al destino correcto.

Software antivirus

• Siempre se debe activar un software antivirus.
• Puede ser software antivirus comprado o gratuito.
• No permita que los usuarios deshabiliten el software.
• Para contar con los parches más recientes, mantenga el software actualizado. Si su suscripción ha expirado, renuévela.

RELACIONADO: Qué es y cómo prevenir el pharming.

8. Evite que personal ajeno a la empresa interrumpa sus videoconferencias

Además de exponer inadvertidamente información confidencial, otras preocupaciones de seguridad asociadas con las videoconferencias incluyen:

• No descargue aplicaciones de videoconferencia no aprobadas, que podrían estar infectadas con virus.
• Coloque controles que impidan el acceso de los ciberdelincuentes a sus videoconferencias para bloquear su capacidad de escuchar a escondidas o crear caos.

La piratería cibernética en videoconferencias se ha convertido en un problema importante, especialmente con el movimiento masivo hacia el trabajo remoto ocasionado por la pandemia de COVID-19.

Como resultado de este cambio, las plataformas de videoconferencia se han vuelto increíblemente populares y, con este aumento de popularidad, aumentaron considerablemente los ciberdelitos.

A menudo, las interrupciones ocasionadas por asistentes no deseados son inofensivas, aunque ocasionalmente se hacen con el propósito de robar información.

¿Cómo evitar intrusos en las videoconferencias?

• No usar el mismo ID de reunión para todas las reuniones. En su lugar, utilice un ID de reunión generado aleatoriamente, exclusivo para cada reunión.
• Habilite una función de sala de espera, lo que le permitirá otorgar acceso a cada participante.
• Solicite a los participantes la contraseña de la reunión.
• Una vez que comience la reunión y todos los participantes estén presentes, bloquee la reunión para personas externas.
• No publique el ID de la reunión en ninguna plataforma pública, como redes sociales.

9. Tenga un plan de recuperación ante desastres

Cuando los empleados trabajan desde casa, no tienen el mismo nivel de control sobre la seguridad de sus dispositivos que cuando trabajan en la oficina.

¿Qué hacer si alguno de estos escenarios afecta a sus dispositivos?

• Un incendio que destruye el hardware, los registros en papel o las copias de seguridad de los datos.
• Inundaciones y otros desastres naturales
• Robo
• Extravío de un dispositivo
• Daño asociado con la descarga de una aplicación afectada por un virus o como resultado de otra actividad maliciosa de los ciberdelincuentes
• Algún otro tipo de daño evitable asociado con el entorno del hogar (por ejemplo, alguien derrama su bebida en una laptop o deja caer un dispositivo)

Cuando ocurre cualquiera de estos eventos, los datos valiosos de la empresa pueden quedar expuestos a terceros o se pueden perder. Esto se conoce como desastre tecnológico .

Algunas prácticas para incluir en un plan de recuperación ante desastres:

• Contrate un sistema de copias de seguridad como Acronis Cyber Backup o sincronice los datos desde el dispositivo de los usuarios remotos a un repositorio centralizado, como un servidor de archivos o un sitio de colaboración.
• Si no hay un repositorio central, pida a los empleados que realicen copias de seguridad del contenido de sus dispositivos en los servidores de la empresa con regularidad.
• Forzar los datos y el contenido a un repositorio central que sea accesible vía VPN y/o basado en la nube.
• No permita que los empleados guarden información en unidades externas o incluso restrinjan dónde se pueden almacenar los datos en los dispositivos de la empresa.
• En los casos de extravío o robo, considere implementar una funcionalidad que permita borrar de forma remota todos los datos y software de la empresa del dispositivo. No seguir este paso puede dar lugar a la divulgación de datos confidenciales de la empresa.
• Haga que los empleados se pongan en contacto con el servicio de asistencia técnica de TI tan pronto como surja un problema.
• Contrate una póliza SOC para mitigar los efectos de un ciberataque en su empresa.

10. Tener políticas de protección de datos y trabajo remoto

Estas políticas son importantes y ofrecen una valiosa orientación a sus empleados. Las políticas de seguridad claramente escritas pueden reducir el riesgo y la incertidumbre durante un evento de emergencia.

11. Contrate a un consultor en ciberseguridad

Están en juego los datos confidenciales de su empresa y la integridad de la infraestructura de TI de su empresa.

Si no tiene recursos de TI internos que se encarguen de la administración, debería considerar seriamente contratar una empresa o consultor en ciberseguridad para que lo ayude a optimizar sus esfuerzos de seguridad informática y resolver rápidamente los ataques cuando ocurran.

Se trata de un ámbito altamente técnico y complejo que requiere la participación de expertos. Y estar al día con las últimas técnicas de ciberataque y de los esfuerzos de los ciberdelincuentes para infiltrarse en su empresa es un trabajo de tiempo completo.

El impacto de la pandemia de Covid-19 en la ciberseguridad empresarial

Como resultado de la pandemia de COVID-19 y las cuarentenas derivadas de ésta, muchas empresas han implementado su operación de forma completamente remota.

Y, aunque la pandemia de Covid-19 ha disminuido su peligrosidad en muchos lugares del mundo, los especialistas en ciberseguridad alertan que desde el 2020 también se vive una ciber pandemia, que debe atenderse de forma similar a la emergencia sanitaria. A través de la inmunidad y la prevención.

De acuerdo con datos publicados por Check Point, entre marzo de 2020 y abril del 2021, los sectores más atacados en América Latina fueron los gobiernos o militares (23%; después el de manufactura (15%); servicios bancarios y financieros (14%); proveedores de software (7%) y el sector salud con un 6%.

México fue la nación más atacada, con el 54% del total de ataques registrados en la región. Después Colombia y Perú, con el 14%, Argentina, con un 11% y Chile, con un 7% de los ciberataques.

Conclusiones

Ninguna empresa es inmune a los ciberataques. Si su personal, o una parte, están realizando trabajo remoto, puede haber nuevos ataques y vulnerabilidades contra su negocio que debe considerar.

Según los resultados del cuarto reporte Global Security Insights de la firma VMware (que explora el impacto de los ciberataques y las vulnerabilidades) cerca del 80% de las organizaciones encuestadas experimentaron ciberataques debido a un mayor número de empleados realizando trabajo remoto desde sus hogares, lo que pone de manifiesto las vulnerabilidades y la falta de tecnología de ciberseguridad.

Seguir los consejos aquí descritos y capacitar a su personal puede reducir en buena parte el riesgo de los esfuerzos de sus trabajadores remotos. Sin embargo, posiblemente no sea suficiente.

Si desea obtener más información sobre cómo una empresa consultora en ciberseguridad puede ayudar a anticipar y mitigar los riesgos asociados con el trabajo remoto, hable con un experto. En Tec Innova somos expertos en soluciones de ciberseguridad para empresas de todos los tamaños.