El teletrabajo ha pasado de ser una opción ocasional para muchos trabajadores a convertirse en la alternativa para que las empresas puedan ejercer su actividad en plena crisis sanitaria provocada por el Coronavirus. Si bien es cierto que muchas empresas pudieron reaccionar rápidamente ante esta situación de emergencia, a otras les pilló totalmente desprevenidas. Dichas empresas han tenido que recurrir de forma urgente a los sistemas de trabajo a distancia sin, en muchas ocasiones, haber podido realizar un análisis en detalle de estos o atender los controles necesarios en términos de privacidad y ciberseguridad. Y es que, la implantación apresurada del teletrabajo ha puesto en riesgo a muchas empresas y algunas todavía no lo saben.
Para que los empleados puedan asumir sus tareas remotamente, se han tenido que proveer:
- Soluciones para que los empleados puedan acceder remotamente a sistemas de información corporativos y otros recursos.
- Herramientas para interactuar y coordinarse entre ellos.
- Sistemas para compartir y/o editar información de forma colaborativa.
Este nuevo paradigma provoca riesgos y exposiciones para la seguridad de la información y datos que se manejan. Entre las principales amenazas destacamos:
- El incremento en la superficie de exposición al tener que habilitar conexiones de forma remota: el área perimetral de la red corporativa se extienda a las casas de los empleados.
- El principio de mínimo privilegio seguramente ha tenido que ser modificado para permitir un tipo de acceso que antes no era necesario o permitido.
- La concurrencia masiva de usuarios puede ser aprovechada para robar credenciales y llevar a cabo escalado de privilegios.
- La flexibilización en el marco de control de seguridad permitiendo por ejemplo al empleado utilizar equipos de su propiedad no supervisados y a menudo inseguros para conectarse a la red corporativa.
Para adaptarse a los retos y nuevas realidades que este método de trabajo supone, es necesario aplicar unas medidas de seguridad mínimas en los siguientes ámbitos:
- Gobierno y cultura de teletrabajo:
- Disponer de normas y políticas de teletrabajo y de uso de los sistemas de información. En este sentido, la Agencia Española de Protección de Datos recomienda definir una política específica para situaciones de movilidad que contemple las necesidades concretas y los riesgos particulares introducidos por el acceso a los recursos corporativos desde espacios que no están bajo el control de la organización.
- Ejecutar actividades de concienciación y formación de empleados sobre el uso seguro de los sistemas de información en situación de movilidad y la utilización de las herramientas colaborativas.
- Seguridad de accesos:
- Revisar las formas de acceso remoto permitidas, tipo de dispositivos válidos para cada forma de acceso y el nivel de acceso permitido en función de los perfiles de movilidad definidos.
- Aplicar procesos de autenticación robustos y políticas de contraseñas a la red interna de Grupo y a las aplicaciones de negocio accesibles desde Internet. Implementar una capa consistente de autenticación multifactor (MFA) o una autenticación progresiva según la criticidad de las solicitudes de acceso podrían ser opciones validas de control.
- Monitorizar los accesos realizados a la red corporativa desde el exterior: refinar la granularidad del monitoreo de seguridad y enriquecer el monitoreo en escenarios de operación remota.
- Garantizar que las conexiones externas se efectúan de manera segura a través de VPN.
- Adoptar controles frente a fuga de información: solución DLP, acceso limitado a servicios de almacenamiento en la nube, deshabilitación de puertos USB, etc.
- Seguridad de los equipos profesionales y personales:
- Establecer requerimientos mínimos de seguridad en los dispositivos corporativos y personales utilizados para el teletrabajo.
- Establecer acuerdos con los empleados que definan las responsabilidades mutuas de las partes antes de conectar los dispositivos propiedad de los empleados a la red y sistemas de la empresa.
- Seguridad en el uso de herramientas de colaboración:
- Seleccionar únicamente soluciones de herramientas de colaboración confiables y con garantías.
- Establecer requerimientos mínimos de seguridad en la configuración por defecto de las herramientas colaborativas para interactuar compartir y/o editar información de forma colaborativa.
- Formar a todos los empleados sobre los pasos específicos que deben seguir en el software de reuniones para garantizar que sus conferencias sean seguras.
En definitiva, el teletrabajo se ha desarrollado de forma vertiginosa en los últimos meses como consecuencia del COVID-19 convirtiéndose en una modalidad esencial para la continuidad del negocio. Por ello, las organizaciones necesitan ajustar sus procesos actuales para poder ejecutar la mayor parte de sus operaciones en remoto. En respuesta a este cambio de modelo, todas las organizaciones deben revisar los controles de seguridad de la información y actualizar las configuraciones de seguridad correspondientes. Es imprescindible que las empresas no eludan ni abandonen las medidas de gestión de riesgos de ciberseguridad, si no quieren ser víctimas de un incidente de seguridad que ponga en riesgo su continuidad. Estamos en un momento de cambio y de incertidumbre en todo el mundo, pero la actividad empresarial y profesional ha de continuar siempre y cuando se garantice un trabajo seguro y eficaz.
Roger Pérez
Director en el área de Risk Advisory
Fuente: BDO Abogados y Asesores Tributarios
Source
