Trabajar desde casa es nuevo para muchos, y será difícil adaptarse. ¿Cómo tener un hogar ciberseguro, desde el cual ahora las personas se conectan a la red corporativa? Es una de las preguntas que se hacen los líderes de seguridad de las organizaciones.
Los líderes de seguridad, además de estar pendientes de las noticias oficiales y reales frente a Covid-19, también están concentrados en las VPNs, en el funcionamiento de las soluciones de colaboración online (Zoom, Gotomeeting, Skype, MS Teams, Slack, Meet, etc), en el licenciamiento suficiente de estas herramientas, en el filtrado de tráfico, en el manejo de ancho de banda, en el tipo de cifrado a usar, en los backups de la eventual data que yace en los dispositivos de los teletrabajadores, también están desempolvando guías de teletrabajo (NIST), están leyendo las recientes guías de teletrabajo (CIS), están leyendo nuevamente los decretos y leyes de teletrabajo, están activando autenticación de dos factores para la conexión VPN, entre otros asuntos que habiliten de manera segura aceptable, el intenso teletrabajo que exige la situación actual.
Ciberadversarios aprovechan nuestra sensibilidad a las palabras Covid-19 (Coronavirus), como medio para llevarnos a hacer click en enlaces con intenciones maliciosas o a abrir adjuntos con carga maliciosa. El nivel de estrés e incertidumbre, el cambio de hábito laboral, el cambio de contexto, rutinas y hábitos sociales, el uso nuevo e intenso de herramientas tecnológicas para el teletrabajo, el temor a ser despedido, el temor a quedarse sin alimentos y productos de limpieza, entre otras preocupaciones, dejarán más vulnerable a las personas a las técnicas de ingeniería social adaptadas de los ciberadversarios.
La atención del teletrabajador está fuera de base, su nivel de distracción y descuido han aumentado. Incluso su nivel de necesidades ha cambiado, y aprovecharán los ciberadversarios para engañar al empleado con aparentes ayudas gubernamentales y ayudas salariales del estado mientras pasa la crisis, lo engañarán con emails ofreciendo curas milagrosas, ofreciendo gel antibacterial y tapabocas a mitad de precio, suplantando la organización mundial de la salud, instituto nacional de salud y secretarías de salud, llevando a sus víctimas a hacer click en el señuelo y caer en la trampa.
Los ciberadversarios se harán pasar por personal de soporte IT o personal de Microsoft, para tomar control del PC de la casa y las credenciales de acceso. Personal que estaba acostumbrado a soporte en sitio y presencial, se deben adaptar al soporte remoto, con protocolos de verificación y herramientas de soporte remoto, que hasta el momento desconocían. Haciéndolos presa fácil.
Emails o mensajes que parecen provenir de algún colega, pidiendo alguna información extra, o presionando con alguna transferencia será otra técnica del ciberadversario para aprovecharse del teletrabajador. El ciberadversario (suplantando al colega laboral) puede inventar que por problemas en su email corporativo o que no le funciona la VPN, tuvo que escribirle de un email personal o llamarlo de un celular diferente.
La tecnología y sus guías/tutoriales para establecer el teletrabajo usando VPN (u otra alternativa), por si solas no son la mejor defensa ante la ola de ciberataques que está aumentando por la coyuntura actual. Aquí entra el elemento humano y sus buenos hábitos digitales. Construir una cultura de seguridad digital en este escenario de teletrabajo, será desafiante. Especialmente para empresas que están haciendo esta transición de manera repentina. Sin embargo el concepto y servicios de cultura de seguridad digital de la firma HackerGame, hacen esta construcción de hábitos y cultura más llevadera, eficiente y emocionante.
Mantener distancias de dos o más metros con otras personas, no saludar de beso ni de mano, usar tapabocas, no tocarse la cara, lavarse las manos con frecuencia, limpiar/desinfectar los teclados, controles, teléfonos celulares, son ejemplos de higiene para protegernos de Covid-19 y otros orígenes de afecciones. Así como se refuerza la higiene con las anteriores rutinas, la higiene digital también se hace necesaria, ahora más que nunca con los teletrabajadores.
Para lograr higiene digital, no podemos dejar de lado el espacio físico y la infraestructura IT en el hogar del teletrabajador, con el agravante que familiares (y mascotas) están allí en ese entorno.
Las redes Wifi en los hogares, ¿cuántas de ellas aún usan contraseñas predeterminadas o simples? ¿A cuántos vecinos le regalan acceso? ¿Cuántas de ellas no usan WPA2/3? ¿Cuántas de ellas tiene de manera predeterminada y activada WPS? Poniendo en riesgo información corporativa consultada y procesada por el empleado remoto. La gente en sus casas, ¿sabrá cómo cambiar y configurar estos parámetros en sus elementos WIFI, para asegurarlos un poco? ¿El personal de help desk de la organización ayudará con este tipo de soporte al teletrabajador?
Los demás dispositivos de la casa, que usan la misma red del hogar (consola de videojuegos, smartvs, celulares, portátiles, cámaras de seguridad/vigilancia, etc) que tan actualizados están?, ¿qué tan comprometidos están? Los miembros del hogar, ¿sabrán cómo actualizarlos, sabrán cómo liberar algún dispositivo ya comprometido? ¿El personal de help desk de la organización ayudará con este tipo de soporte al teletrabajador?
Los familiares entenderán y cumplirán con no usar el portátil en casa conectado vía VPN a la red corporativa? Podrían borrar y/o modificar datos corporativos de manera accidental. El teletrabajador cuando se para de su sitio de trabajo en el hogar, ¿bloqueará el PC/Laptop con Windows+L? O pensará que es una zona confiable (¡es mi familia!), por lo tanto no cree que sea necesario esta rutina.
Cuándo estamos en la oficina, los updates de sistema operativo generalmente suceden automáticamente. Es posible que en casa no suceda lo mismo. Verificar las actualizaciones y ejecutarlas, desde tus equipos portátiles en casa, podría saturar/desbordar tu red local (wifi), si en simultánea tus otros familiares están viendo streaming, jugando online, en tele educación, etc. ¿Soportará tu red de hogar, el pico de tráfico? Se podrían ver afectadas las actualizaciones.
Debido a la nueva forma de trabajo, que lleva a no tener cerca a compañeros de la empresa, hay que buscar una forma de verificar que con quien se está interactuando, es realmente el colega. Mantén los números telefónicos fijos de tus colegas a la mano, incluso sus reales emails personales, para permanecer en contacto, en caso de fallas de Internet, las soluciones de colaboración online (Whatsapp, Teams, Skype, etc) o el mismo email corporativo.
¿Haz identificado otros hábitos de seguridad digital que necesitan fomentarse en el teletrabajador, y quieres usar gamificación para lograrlo?
Autor:
R. Fabian Garzón, CISM, CRISC, CISSP, GCIH
Has two decades of experience in the IT and information security consultancy services working in various roles including product management, IT security operations engineer, cybersecurity incident management, PCI DSS implementation, cyber risk management and now is a Director at Hackergame, Colombia. He can be reached at [email protected] or www.linkedin.com/in/r-fabian-gg/