José Antonio Gil D´Santiago, especialista en Gestión de Riesgos, Continuidad del Negocio, Capacidades Empresariales y Tecnológicas. MBA CISA CRISC CISM CoBIT ITIL, trae su tercer artículo relacionado con el tema: ¿Están preparadas las empresas para mitigar el impacto del Covid19? – La Tecnología y la Ciberseguridad.
Antilavadodedinero
A medida que las empresas han afrontado la actual crisis de la pandemia del COVID-19, hay una serie de situaciones que se han presentado sobre las estrategias adoptadas para continuar las operaciones. Si bien trabajar a distancia no es nuevo para muchas organizaciones y empleados, el coronavirus está obligando a las empresas a considerar trabajar en casa a mayor escala y por un período de tiempo más prolongado.
El trabajo a distancia, trabajo remoto o teletrabajo, es una de las estrategias más comúnmente utilizadas ante amenazas que pudieran impedir o minimizar el acceso al sitio habitual de trabajo. Esta estrategia se establece formalmente en los planes de continuidad del negocio y en los planes de recuperación de desastres.
Sin embargo, con la crisis actual, quedó en evidencia que no son muchas las empresas que cuentan con este tipo de planes, en especial en América Latina. Por tanto, en la mayoría de los casos han tenido que implementarlo de manera intempestiva y sin estar preparados para ello.
Los problemas de esta estrategia, cuando no se ha implementado formalmente y no se ha probado su uso, comienzan desde casa. Desde el lugar de trabajo, su idoneidad e iluminación, hasta las sillas, las cuales no son ergonómicas y, por tanto, agotadoras para soportar tantas horas (y días) de trabajo sentados en ellas.
Luego, continúan con el equipo o dispositivo de trabajo. Aquí es importante diferencias dos (2) aspectos: Si el equipo (laptop, tablet o PC) es de la empresa, estos tendrán instalados los elementos de seguridad que el departamento o gerencia de seguridad de la información de la empresa ha dispuesto. Es decir, tendrán configuradas las políticas de acceso a la información; así como, las aplicaciones aceptadas (y probadas) por la empresa, para garantizar un adecuado funcionamiento y la seguridad de la información de la empresa y de sus clientes.
En este caso, la preocupación radica principalmente en el soporte de TI, en el número de licencias de VPN para establecer las conexiones remotas, las cuales han aumentado dramáticamente durante esta crisis, en la seguridad del equipo en sí, dado que al estar fuera de la oficina se incrementa el riesgo de pérdida o robo de estos equipos (y con ella, la información que lleve dentro); en las nuevas aplicaciones y licencias que se deben adquirir para soportar el teletrabajo por tanto tiempo; en la capacidad de la infraestructura tecnológica para soportar el incremento de conexiones remotas, en el ancho de banda del internet, en la capacidad de respuesta de los proveedores de TI.
Y del lado del empleado, en su ancho de banda, en la capacidad del proveedor de servicios de internet, el de datos de la operadora telefónica, entre otros. No es poco por lo que hay que preocuparse (y ocuparse) para implementar este tipo de estrategia. A esto súmenle, el hecho de que se haga de manera rápida y sin pruebas formales, dada la situación de crisis actual.
En este sentido, la capacidad de respuesta del área de TI es fundamental. Las empresas están dependiendo de éstas para mantener su operación. Sin embargo, es ahora cuando muchas empresas se están empezando a dar cuenta de la importancia del área de TI, no solo como factor de soporte de las operaciones, sino como elemento estratégico para la continuidad del negocio.
Muchos empresarios ven a las áreas de TI y de Seguridad de la Información como áreas de gastos, sin darse cuenta, todo lo que significan dentro de su operación. Pues el tamaño de la crisis que están viviendo las empresas en la actualidad para continuar con sus operaciones, es inversamente proporcional al apoyo que les han dado a éstas áreas. Mientras menor ha sido el entendimiento y el apoyo dado a estas áreas, mayor es la crisis que están viviendo en estos momentos.
El segundo caso, se refiere a cuando el equipo o dispositivo de trabajo es propiedad del empleado. Aparte de todas las preocupaciones antes expuestas, súmenle el hecho que estos equipos pueden tener software no licenciados, no avalados por la empresa, sin antivirus y con acceso indiscriminado a la internet, a distintos correos electrónicos y a las nubes de información. En síntesis, estos equipos no cumplen con los requisitos mínimos de seguridad que las empresas han contemplado.
El trabajo remoto presenta desafíos de seguridad cibernética que las empresas generalmente no tienen que enfrentar, como grupos de delincuentes cibernéticos que están explotando ampliamente el coronavirus en campañas de phishing, malware y ransomware.
Según Sherrod DeGrippo, director senior de investigación y detección de amenazas en Proofpoint, una empresa de seguridad empresarial con sede en Sunnyvale, California, el volumen total de correos electrónicos de phishing y otras amenazas de seguridad relacionadas con el coronavirus Covid-19 representa en la actualidad la mayor fusión de tipos de ataques cibernéticos en torno a un solo tema que se ha visto en mucho tiempo.
«Aproximadamente el 70% de los correos electrónicos que el equipo de amenazas de Proofpoint ha descubierto entregan malware y un 30% adicional apunta a robar las credenciales de la víctima. La mayoría de estos correos electrónicos intentan robar credenciales utilizando páginas de destino falsas como Gmail u Office 365 y pedir a las personas que ingresen su nombre de usuario y contraseña «.
Sin duda alguna, los ciberdelicuentes tendrán una gama más amplia de objetivos en la medida que más personas sean transferidas al trabajo remoto y más dure la crisis actual.
Recomendaciones para el desarrollo de la estrategia de trabajo en casa
Para tratar de hacer más viable la estrategia de trabajo en casa, a continuación les dejo diez (10) recomendaciones básicas:
1. Proveer al personal de tecnología de las herramientas y medios necesarios para que puedan desarrollar el soporte adecuado de las operaciones. Recuerde que este personal está sometido a un gran stress y a una carga de trabajo mayor al habitual.
2. Preparar una serie de guías “¿Cómo lo hago?” para que el equipo de soporte de TI, ya bastante ocupado, no se vea abrumado por nuevas solicitudes de ayuda.
3. Asegúrese de que el personal sepa cómo informar cualquier problema, incluyendo los problemas de seguridad.
4. Evaluar todas las aplicaciones de software como servicio (SaaS) que los empleados utilizarán, como aplicaciones de chat y colaboración, servicios de videoconferencia y uso compartido de documentos, y planificar un gran aumento en el uso.
5. Considerar la necesidad de establecer nuevas cuentas y accesos al sistema para trabajadores remotos y tener en cuenta la necesidad de una configuración de contraseña segura y la posibilidad de implementar autenticación robusta, como la de dos factores
6. Asegurarse de que todo el software VPN esté actualizado y totalmente parcheado para tener en cuenta las vulnerabilidades descubiertas recientemente.
7. Verificar si en los dispositivos de trabajo se ha activado y configurado herramientas que se pueden usar para bloquear de forma remota el acceso, borrar los datos almacenados en ellos o recuperar una copia de seguridad de estos datos. Los trabajadores remotos también necesitarán saber qué hacer si sucede lo peor y su dispositivo se pierde o es robado.
8. Alentar al personal a bloquear sus pantallas cuando no esté en uso o establecer bloqueo de la sesión luego de minutos de inactividad, especialmente si hay niños o compañeros de casa presentes. Cuando no se usa el dispositivo, el personal debe mantenerlo en un lugar seguro.
9. Dar talleres de seguridad a los trabajadores remotos, donde se les enseñe, el uso de medios extraíbles, mantener el antivirus actualizado, el resguardo de la información de la empresa y de sus clientes; así como no ser víctimas de muchas de las amenazas que pueden enfrentar, tales como correos electrónicos de “phishing” que intentan engañar a los usuarios para que hagan clic en un enlace incorrecto.
10. Deshabilitar los medios extraíbles, usar herramientas antivirus y solo permitir el uso de productos autorizados por la empresa.
Es importante recordar que los empleados ya tienen stress adicional en sus hogares; que el personal de TI está saturado y también vive una situación de stress por la crisis actual. Recordar que la protección de la información es un elemento esencial para la sostenibilidad de las empresas; y que una TI eficiente, no solo es un elemento operativo, sino estratégico para la transformación y continuidad de las empresas.
Próximamente José Antonio Gil publicará la Cuarta y última parte de la serie de trabajos relacionados con: ¿Están preparadas las empresas para mitigar el impacto del Covid-19 (Coronavirus)? – El día después.
