Recomendaciones de seguridad para el teletrabajo en tiempos de COVID‑19

Dado que muchos empleados deberán trabajar desde su casa debido el avance de la pandemia de COVID-19, compartimos unas recomendaciones para que la organización pueda mantenerse productiva y a la vez segura.

El brote de coronavirus (COVID-19) ha sido oficialmente clasificado como una pandemia por la Organización Mundial de la Salud (OMS), lo que significa que la infección se está acelerando en varios países al mismo tiempo. Los Estados Unidos de América ha declarado la prohibición de viaje a 28 países europeos, una medida que también están adoptando en otros países a lo largo del mundo, incluidos varios de América Latina. Muchos países también han decidido cerrar escuelas y universidades, y se han promovido campañas y establecido prohibiciones para evitar grandes cúmulos de personas.

Las grandes compañías, como Google y Microsoft, están alentando u ordenando a sus empleados que trabajen de manera remota desde sus casas. Para las empresas tecnológicas modernas, la infraestructura y las políticas necesarias para el trabajo remoto ya están establecidas y probablemente la mayor parte de los trabajadores sean usuarios de computadoras portátiles.

Sin embargo, para muchas empresas y organizaciones, fundamentalmente las PyMEs, es probable que la situación sea muy diferente. Trabajar desde la casa es una opción que se limita a unos pocos, y principalmente para quienes utilizan solamente el correo electrónico y otros sistemas que no son operativos. El sector educativo es un buen ejemplo: las universidades han estado ofreciendo educación a distancia como una opción desde hace ya algún tiempo, mientras que las escuelas primarias y secundarias son más dependientes de la presencia del docente y de los alumnos para llevar adelante las tareas de aprendizaje. Este escenario también debe considerar el personal administrativo y de operaciones de la escuela, ya que probable sean trabajadores con menos capacidad de movilidad y que usen dispositivos de escritorio en lugar de computadoras portátiles.

Dividir la organización en unos pocos grupos con diferentes requisitos y el tratamiento de las necesidades de cada uno para lograr el éxodo masivo puede parecer un enfoque simplista, pero probablemente sea esencial dada la urgencia en algunos casos. Usando la educación como ejemplo, hay estudiantes (los clientes), docentes, personal de administración y de operaciones. La escuela no puede funcionar sin una participación significativa de estudiantes, los maestros necesitan herramientas para realizar conferencias virtuales y los equipos de administración necesitan acceso a la red, y esto es solo lo mínimo.

Para ser productivo, hay requisitos comunes que todos los trabajadores remotos necesitan. Como alguien que ha trabajado de forma remota durante la mayor parte de su vida laboral, puedo dar fe de los dos últimos:

• Una computadora
• Una buena conexión a Internet
• Aplicaciones de chat y para realizar videoconferencia
• Un espacio de trabajo dedicado (preferiblemente)
• Un teléfono (opcional)
• Automotivación y disciplina
• Una rutina estricta

¿Por qué el teléfono es opcional? En el entorno actual puede no ser necesario, especialmente porque la mayoría de las aplicaciones de chat permiten realizar llamadas directas. La necesidad de un teléfono puede ser más un requisito comercial y no tanto un dispositivo esencial.

Es importante destacar que las empresas y organizaciones también deben prepararse a sí mismas y también a sus empleados para enfrentar los riesgos vinculados a la ciberseguridad con el trabajo remoto. ¿Cuáles son algunos de los desafíos que deben abordarse?

Seguridad física de los dispositivos de la empresa

Los empleados estarán exponiendo a un mayor riesgo los dispositivos de la empresa en la medida que no tengan presente la seguridad del lugar de trabajo. Como empleado remoto, a menudo voy a trabajar a la biblioteca pública como una forma de socialización; ya que hay espacios de trabajo compartidos e individuales. Los dispositivos deben protegerse contra pérdidas y robos con opciones como:

• El cifrado de disco completo garantiza que, incluso si el dispositivo cae en las manos equivocadas, no se puede acceder a los datos de la compañía.
• Cierre sesión cuando no esté usando la computadora, tanto en casa como en lugares públicos. Que un niño curioso envíe accidentalmente un correo al jefe es algo que puede evitarse fácilmente, ya que al cerrar sesión limitamos la oportunidad de que alguien acceda a la máquina mientras le damos la espalda.
• Política de contraseña segura: aplique contraseñas en el arranque, establezca tiempos para la suspensión del equipo según el tiempo de inactividad y prohíba las notas con contraseñas pegadas al equipo: ¡la gente todavía hace esto!
• Nunca pierda de vista su dispositivo o lo deje a la vista pública. Si está en el auto, entonces debería guardarlo en el baúl.

¿Qué hay del entorno tecnológico del hogar?

Lo ideal sería solicitar a los empleados que auditen las vulnerabilidades de su propio entorno doméstico antes de conectar los dispositivos de trabajo. Hay revelaciones continuas sobre dispositivos vulnerables de Internet de las cosas (IoT), y este es un excelente momento para que los empleados tomen medidas para asegurarlos con contraseñas seguras y actualizando tanto el firmware como el software a las últimas versiones disponibles.

Considere la posibilidad de promocionar, o incluso exigir, el uso de una aplicación de monitoreo antes de permitir que los dispositivos de trabajo se conecten a las redes domésticas. El escaneo o monitoreo resaltará los dispositivos con vulnerabilidades conocidas, la existencia de software o firmware obsoleto o la presencia en uso de contraseñas predeterminadas que deberían cambiarse.

Acceso a la red y sistemas de la compañía

Establezca si el empleado necesita acceso a la red interna de la organización o simplemente acceso a servicios y correo electrónico basados ​​en la nube. Y tenga en cuenta si debe otorgarse el mismo nivel de acceso a los datos confidenciales disponibles en el sitio cuando el empleado está trabajando de manera remota.

• Si se necesita acceso a la red interna de la organización:
  • Recomiendo que esto solo se permita desde un dispositivo que sea propiedad de la organización, para que el control total del dispositivo que se conecta esté bajo el control del equipo de seguridad y del departamento de tecnología.
  • Utilice siempre una VPN para conectar trabajadores remotos a la red interna de la organización. Esto evita ataques de Man-in-the-Middle desde ubicaciones remotas: recuerde que, dado que ahora está trabajando desde su casa, el tráfico ahora fluye a través de las redes públicas.
  • Controle el uso de dispositivos externos, como los de almacenamiento USB, así como dispositivos periféricos.
• Permitir el acceso al correo electrónico y a los servicios en la nube desde el propio dispositivo de un empleado:
  • Aplique para antimalware, firewalls, etc., la misma política de seguridad que aplica para una computadora administrada por la organización. Si es necesario, proporcione al empleado una licencia para las mismas soluciones utilizadas en los dispositivos propiedad de la organización. Si necesita licencias adicionales, póngase en contacto con el proveedor. Puede que ofrezcan soluciones para cubrirlo ante un evento como este sin precedentes.
  • Limite la capacidad de almacenar, descargar o copiar datos. Una brecha de datos puede ocurrir desde cualquier dispositivo que contenga datos confidenciales de la compañía.
  • Considere el uso de máquinas virtuales para proporcionar acceso: esto mantiene al empleado en un entorno controlado y limita la exposición de la red de la empresa al entorno doméstico. Esto puede ser más complejo de configurar, pero podría ser una solución superior a largo plazo.
• La autenticación multifactor (MFA) garantiza que el acceso, ya sea a servicios basados ​​en la nube o acceso completo a la red, solo por usuarios autorizados. Siempre que sea posible, use un sistema basado en aplicaciones o en un token de hardware para generar códigos únicos que otorguen acceso autenticado. Como puede haber presión de tiempo para implementar una solución, una solución basada en aplicaciones elimina la necesidad de adquirir y distribuir hardware. Los sistemas basados ​​en aplicaciones proporcionan mayor seguridad que los mensajes SMS, especialmente si el dispositivo utilizado para recibir los códigos no es un dispositivo administrado por la organización y podría estar sujeto a un ataque de SIM Swap.

Herramientas colaborativas y procesos de autorización

Puede parecer extraño poner estos dos elementos bajo el mismo título, pero uno puede ayudar a prevenir problemas con el otro.

• Proporcione acceso a sistemas de chat, video y conferencias para que los empleados puedan comunicarse entre sí. Esto proporciona las herramientas de productividad necesarias y ayuda a los empleados a mantenerse en contacto con sus colegas.
• Use las herramientas colaborativas para protegerse contra instrucciones o transacciones no autorizadas. Es probable que los ciberdelincuentes aprovechen la oportunidad de que muchas organizaciones implementen el teletrabajo para lanzar ataques de Business Email Compromise (BEC). En estos casos un actor malintencionado envía un mensaje falso, catalogado como urgente, solicitando la transferencia inmediata de fondos, sin la posibilidad de validar la solicitud en persona. Asegúrese de utilizar los sistemas de videoconferencia / chat como parte formal del sistema de aprobación para que la validación se realice “en persona”, incluso cuando sea remota.

Capacitación

Como ya hemos mencionado en otro artículo, hay numerosas estafas circulando que utilizan el tema sobre COVID-19 de distintas maneras. Cuando los empleados están fuera de su lugar de trabajo, en lugares más informales, pueden considerar hacer clic en los enlaces que reciben, ya que no hay colegas que puedan observarlos viendo ese video divertido o visitando una página web.

Las capacitaciones de concientización sobre seguridad informática suelen ser un requisito anual para los empleados de muchas empresas. Sería prudente hacer un repaso para ayudar a evitar el error humano que los ciberdelincuentes tanto intentan explotar. Considere ejecutar una campaña y un requisito de capacitación antes de que el empleado comience a trabajar de forma remota … o tan pronto como sea posible.

Soporte y gestión de crisis

En el apuro por proporcionar acceso remoto, no sacrifique la ciberseguridad o la capacidad de administrar sistemas y dispositivos. La capacidad de brindar soporte a los usuarios que trabajan de manera remota será esencial para garantizar un funcionamiento sin problemas, especialmente si los usuarios quedan en cuarentena debido a problemas de salud. Los trabajadores remotos deben tener protocolos de comunicación claros, tanto para con el área de soporte de TI como para la gestión de crisis si se enfrentan a problemas inusuales o si sospechan que podrían ser el resultado de una brecha.

Existen, por supuesto, consideraciones adicionales desde una perspectiva tecnológica; por ejemplo, eliminar o limitar el uso de RDP, como se detalla en una reciente publicación de mi colega Aryeh Goretsky.

Más allá de la tecnología y los procesos funcionales, existen otros factores clave para un trabajo remoto efectivo:

• Comunicación: considere realizar llamadas grupales una vez al día, informar a las personas sobre la situación y darles a todos la oportunidad de compartir experiencias y problemas.
• Capacidad de respuesta: el trabajo remoto no es lo mismo que trabajar en un entorno de oficina. Establezca pautas claras de qué tan rápido se espera que un trabajador remoto responda a una solicitud, dependiendo del tipo de comunicación, ya sea un correo electrónico, una invitación de calendario, etc.
• Informes: los gerentes deben implementar procedimientos que les permitan determinar si los trabajadores remotos están haciendo el trabajo: reuniones grupales obligatorias, colaboración en equipo, informes diarios / semanales / mensuales.
• Horario de trabajo: acuerde un método de inicio y finalización de la jornada laboral, esto puede ser tan simple como pedir a los miembros de un chat grupal que digan “buenos días” cuando comienza su jornada.
• Salud y seguridad: ¿deben llevarse a casa los teclados ergonómicos de la oficina para proporcionar la misma comodidad a la que están acostumbrados los empleados? Trabajar desde casa no elimina la responsabilidad de proporcionar un buen ambiente de trabajo.
• Responsabilidad: garantice la cobertura de los activos de la empresa mientras estén en manos del empleado.
• Soporte técnico: envíe una lista con los contactos útiles. De esta manera los trabajadores remotos sabrán con quien comunicarse cuando sea necesario.
• Socialización: reúna a los trabajadores remotos, especialmente de manera virtual. La interacción social es una parte importante de la motivación y aumenta la productividad. Considere un esquema de amigo o mentor para que cada empleado esté emparejado y pueda resolver problemas, desahogarse, compartir o socializar virtualmente.
• Accesibilidad: establezca una política de gestión virtual de puertas abiertas, tal como la hay en la oficina. Asegúrese de que las personas sean accesibles y se puedan involucrar fácilmente.

No asuma que todos los empleados pueden cambiar a una dinámica de trabajo remoto de manera efectiva y con poca necesidad de asistencia u orientación. El hogar no es la oficina y pueden necesitar una ayuda considerable para adaptarse.

Filosóficamente, es posible que el mundo nunca vuelva a ser el mismo, ya que este mandato de trabajo remoto masivo podría resultar ser un experimento social/laboral que pocas empresas hubieran emprendido si no fuera por esta situación particular. ¿Alguna vez volveremos a nuestra oficina de la misma manera?

Fuente: www.welivesecurity.com