A consecuencia de la normalización del trabajo en remoto desde la pandemia, los ciberincidentes en el teletrabajo se han disparado, poniendo de manifiesto la necesidad de que todas las partes involucradas implementen medidas de seguridad adicionales, con el fin de evitar (o minimizar) incidentes de seguridad.
En el caso de las empresas, hay que tener en cuenta que hoy en día, el perímetro de seguridad es algo difuso, al tener servidores en las nubes (redes) de distintos proveedores, o tener empleados desde cualquier ubicación (casas, hoteles, cafeterías, etc.). Además, nos solemos preocupar por las amenazas tecnológicas (vulnerabilidades, malas configuraciones…), cuando nos tendríamos que preocupar sobre todo por la suplantación de identidades: para un atacante, lleva mucho menos tiempo robar una credencial (las venden al peso en la Dark Web) que identificar una vulnerabilidad, aprovecharla y no dejar rastro.
Evita ciberincidentes con medidas básicas: Doble factor de autenticación
Por ello, una de las primeras medidas que se deben implementar es el doble factor de autenticación. De esta forma, aunque se comprometan las credenciales de uno (o varios) empleados, los atacantes no podrán acceder a los recursos corporativos sin tener a mano la tarjeta o el teléfono del empleado (para evitar confusiones: no useis nunca SMS como segundo factor de autenticación).
Uso de VPN para aumento de la seguridad en el teletrabajo
Una buena forma de proteger el acceso a los servidores, aunque tradicional, es el uso de VPN: cifra los datos, permite verificar la identidad del usuario e incluso se puede comprobar que el cliente (el PC del empleado) cumple con una serie de medidas de seguridad…
Implementar el concepto Zero Trust en el trabajo en remoto
¿Qué más necesitamos? Pues verificar en todo momento que el usuario es quien dice ser, y que tiene acceso a los recursos a los que está intentando acceder. Es aquí donde entran en juego el concepto de Zero Trust: no sólo debemos verificar las credenciales del usuario y que el equipo cumple con las políticas corporativas, sino de que debemos monitorizar constantemente las acciones del empleado. Si además microsegmentamos la red corporativa (sin olvidarnos del modelo de cebolla tradicional: DMZ, red de servidores, red de empleados, etc.), lo bordamos.
Proxy como medida de ciberseguridad en el teletrabajo
Siguiendo con la etereidad del perímetro, ¿para qué vamos a mandar todo el tráfico de navegación a través de una VPN, procesarlo en nuestras instalaciones y mandarlo a Internet? Utilicemos un proxy en la nube con el fin de agilizar las políticas y hagámoselo cómodo al empleado: de esta forma, evitaremos que el empleado utilice otras vías para acceder a la información que intentaba consultar (o compartir), mientras garantizamos la seguridad de la información corporativa.
Y ya por último, el archiconocido (esperemos, a estas alturas) EDR/XDR: caídas mundiales a parte, las soluciones basadas en firmas poco tienen que hacer frente a las amenazas de hoy día, por lo que el contar con una solución que identifique comportamientos anómalos es el mínimo que se puede esperar a día de hoy.
En el caso de los empleados, también se pueden implementar una serie de medidas para mejorar la seguridad corporativa. ¿Y si un cibercriminal decide que la mejor manera de acceder a los recursos corporativos es atacando a un empleado en particular?
Trabajo en remoto usando WPA3
En la medida de lo posible, siempre se debería hacer uso de conexiones cableadas: WPA3 todavía no tiene una gran implantación (o se utiliza en modo compatibilidad con WPA2). Si tu apetito de riesgo es bajo, una buena medida de seguridad es utilizar redes cableadas.
Prevención de dumpster diving
No nos olvidemos nunca del “dumpster diving”, evitemos en la medida de lo posible imprimir información sensible en casa, y si no tenemos más remedio, destruyámosla de manera segura.
Y, sobre todo, no mezclemos nunca información personal con información profesional: no utilicemos cuentas de correo personales, no utilicemos las mismas credenciales… medidas de higiene digital básica, vaya.
Aprende mucho más sobre estrategias de seguridad y análisis de amenazas en el blog de nuestro Máster Profesional en Ciberseguridad, Hacking Ético y Seguridad Ofensiva.
