El teletrabajo ha llegado para quedarse. La pandemia provocada por el COVID-19 ha cambiado el paradigma en la forma de trabajar de muchas empresas. Este cambio de paradigma queda reflejado en un informe realizado por el INE, donde se muestra cómo ha aumentado el teletrabajo desde que nos afectó la pandemia, así como un aumento en el número de trabajadores en plantilla en emplear esta modalidad de trabajo.
Trabajar desde una ubicación diferente a la sede de la empresa entraña riesgos que deben conocerse para evitar posibles incidentes de seguridad que puedan afectar a la seguridad de la información y los sistemas que la gestionan.
Evitar situaciones comprometedoras
- Definir la política de teletrabajo de la empresa. Este es un aspecto fundamental donde se especificarán los aspectos técnicos y organizativos que marcarán la forma de teletrabajar. Estos requisitos se trasmitirán de la forma más clara posible para que puedan ser asimilados por todo el personal, ya que, en caso contrario, se podría ser víctima de incidente.
- Objetivos de seguridad que se deben cumplir para mantener la seguridad de la información y los sistemas que la gestionan. Entre ellos estará asegurar la disponibilidad, integridad y confidencialidad de la información.
- Amenazas a las que hacer frente. El teletrabajo puede ser el origen de nuevas amenazas que pueden afectar a la seguridad de la empresa y que deben conocerse para poder evitarlas en la medida de lo posible.
- Métodos de acceso remoto. Para teletrabajar es necesario acceder a recursos de la empresa y compartir información y documentos con otros empleados. Existen diferentes formas de interconexión y sistemas, escoger uno u otro dependerá de las necesidades de cada empresa.
- Protegiendo el servidor y los dispositivos cliente que permiten a los empleados teletrabajar. Es vital aplicar medidas de seguridad tanto para el servidor que permite a los empleados conectarse de forma segura a la empresa, como para los dispositivos utilizados para teletrabajar.
Manuales INCIBE
Incibe ha creado una serie de manuales para poder implantar con seguridad el teletrabjo con seguridad en las empresas.
Dispositivos moviles no corporativos
Objetivos de seguridad
Independientemente de si el trabajo se realiza en la sede de la empresa o en la modalidad de teletrabajo, el principal objetivo será proteger la seguridad de la información. Para ello se deben asegurar las cinco dimensiones sobre la que se sustenta la ciberseguridad:
- Disponibilidad: asegurar el acceso a los recursos cuando sea necesario.
- Autenticidad: garantizar que la información está libre de modificaciones no autorizadas.
- Integridad: es la propiedad de la información por la que se garantiza que los datos son legítimos, es decir, no han sido modificados o alterados sin permiso.
- Confidencialidad: se garantiza que la información únicamente es accesible por personal autorizado.
- Trazabilidad: permite llevar un registro de la actividad llevada a cabo sobre un determinado activo.
Amenazas
Habilitar el teletrabajo en la empresa abre la puerta a nuevas amenazas que pueden afectar a la seguridad y privacidad de la información, tanto de los dispositivos cliente como de los servidores, las principales que deben tenerse en cuenta son:
- Ausencia de controles de seguridad física: cuando se teletrabaja, los dispositivos pueden quedar expuestos a personas que no deben tener acceso a los mismos, como por ejemplo en hoteles, salas de espera o incluso en casa. Es importante aplicar las medidas de seguridad necesarias para evitar accesos no autorizados a estos dispositivos. También a la información que gestionan y habilitar una clave de desbloqueo o el cifrado de la información almacenada en el dispositivo.
Errores de configuración
- Errores de configuración: el software que permite el teletrabajo, tanto en dispositivos cliente como servidores, debe estar configurado siguiendo unos requisitos de seguridad. Por ello es recomendable que lo realice personal especializado.
- Redes inseguras: cuando se teletrabaja, es habitual utilizar redes consideradas inseguras ya que no están bajo el control de la empresa. Para evitar accesos no autorizados a la información en tránsito es recomendable utilizar soluciones VPN. Estas protegen toda la información en tránsito incluso en redes inseguras como redes wifi públicas.
- Dispositivos inseguros: el uso de dispositivos inseguros, bien sean propiedad de la empresa o del empleado en BYOD, pueden suponer un riesgo. Las principales amenazas a tener en cuenta son la infección por malware y el software desactualizado, por ello hay que contar con antivirus en todos los dispositivos y todo el software actualizado a la última versión disponible.
Accesos no autorizados
- Accesos no autorizados: permitir el acceso a sistemas corporativos a través de Internet siempre entraña riesgos, y el teletrabajo no es una excepción. Desde empleados sin autorización a ciberdelincuentes, todos ellos pueden intentar acceder de forma fraudulenta a la información corporativa. Para evitarlo se deben habilitar mecanismos de autenticación robustos y, siempre que sea posible, habilitar un doble factor de autenticación.
- Falta de formación: la falta de formación o conocimiento de las políticas de seguridad de la empresa por parte de los empleados pueden poner en riesgo la seguridad de la información.
- Software desactualizado o fuentes no confiables. No mantener actualizado el software tanto de los dispositivos cliente, como de los servidores que corporativos, incluidos los que permiten llevar a cabo el teletrabajo, puede suponer un riesgo para la seguridad de la empresa. De igual forma, instalar software no autorizado o procedente de fuentes no legítimas puede suponer el origen de un incidente de seguridad.
Robo, pérdida o destrucción del dispositivo
- Robo, pérdida o destrucción del dispositivo. Los dispositivos que permiten el teletrabajo, sobre todo aquellos utilizados por trabajadores con movilidad, se caracterizan por ser portátiles y de tamaño y peso contenidos. Estas características los hacen susceptibles a pérdidas y robos, lo que puede suponer un riesgo para la información gestionada si esta no está protegida adecuadamente.
- Aplicaciones colaborativas. Las aplicaciones colaborativas, además de permitir interactuar con otros empleados de la empresa o colaboradores, pueden suponer un riesgo si no están configuradas adecuadamente ya que pueden abrir la puerta a los ciberdelincuentes.
- Almacenamiento cloud. Utilizar servicios de almacenamiento en la nube que no han sido aprobados en la política de la empresa, o utilizarlos sin seguir unas medidas de privacidad mínimas pueden poner en riesgo la información que se almacena.
Protegiendo el servidor y los dispositivos cliente
Tanto los servidores que permiten el acceso remoto a los recursos empresariales, como los dispositivos utilizados por los empleados, deben contar con ciertos requisitos de seguridad que eviten accesos no autorizados a la información corporativa.
La propia formación de los empleados, aplicar una política de actualización de software o configurar adecuadamente la red doméstica son algunas de las consideraciones a tener en cuenta y que permitirán teletrabajar bajo los mismos requisitos de seguridad que si se estuviera haciendo desde la sede empresarial.