Millones de personas han comenzado a regresar a la oficina después de casi dos años de trabajar desde casa. Si bien el regreso de algunos trabajos en la oficina es una señal positiva de que la pandemia de Covid-19 está llegando a su fin lentamente, algunos expertos temen que esto pueda tener importantes implicaciones de seguridad cibernética para las empresas.
La pandemia ha visto a un gran número de personas trabajar de forma remota. Y ya sea que tuvieran o no permiso de sus empleadores, muchos trabajadores utilizaron dispositivos móviles personales para mantenerse en contacto con jefes, colegas, clientes y otras partes interesadas clave durante la pandemia.
Desafortunadamente, los dispositivos de consumo no siempre están protegidos por estrictas defensas de seguridad cibernética como lo están los dispositivos electrónicos corporativos. Por lo tanto, podrían albergar malware y otras vulnerabilidades de seguridad. Incluso si los empleados solo usaran dispositivos móviles corporativos para el trabajo remoto, habrían estado conectados a redes Wi-Fi personales y, como resultado, podrían ser menos seguros.
En cualquier caso, cientos de miles de dispositivos móviles, muchos de los cuales podrían ser potencialmente inseguros, se están reconectando repentinamente a las redes corporativas. ¿Cuáles son los riesgos de esto? ¿Y cómo pueden las empresas mitigarlos?
Una pandemia de ciberseguridad
La afluencia de nuevos dispositivos que se unen a las redes corporativas por primera vez resultará en importantes problemas de seguridad para las empresas, dice el especialista en seguridad de ESET, Jake Moore. “Simplemente va a haber una avalancha de malware y errores que se transferirán a estas plataformas que alguna vez fueron seguras”, advierte.
Para contrarrestar estas amenazas, las empresas deben proteger sus redes y datos corporativos. Pero, según Moore, esto requiere múltiples niveles de seguridad y la cooperación de todos dentro de la organización. No debería dejarse en manos de los equipos de seguridad cibernética.
“Antes de permitir la entrada a la red de dispositivos que no sean de propiedad de la empresa, los datos deben estar seguros y, si es posible, separados de las redes de invitados, áreas sensibles aisladas y acceso solo a aquellos que lo requieran”, dice. “Si algún dispositivo de terceros ingresa a la red, se recomienda encarecidamente asegurarse de que haya una solución antivirus sólida y aprobada por la empresa en el dispositivo y que se realicen análisis antes de unirse a la red”.
Debido a que muchos empleados usan dispositivos móviles en la actualidad, existe el riesgo de que los datos comerciales confidenciales caigan en las manos equivocadas cuando se lleven fuera de la oficina. Moore explica que las empresas pueden garantizar que los datos almacenados en dispositivos móviles estén seguros cuando están fuera del sitio mediante el uso de cifrado de disco completo. “Esto debe ser obligatorio para cualquier dispositivo que salga del edificio”, dice.
Durante la pandemia, es posible que muchos teléfonos inteligentes se hayan visto comprometidos con graves vulnerabilidades de seguridad cibernética y probablemente representen una amenaza para las redes corporativas a medida que las oficinas vuelvan a abrir. “El uso de la gestión de aplicaciones móviles puede ayudar a los administradores de red a estar al tanto de lo que se está ejecutando exactamente en su red y aprovechar la posibilidad de controlar los dispositivos móviles de forma remota”, añade Moore.
Fundamentos de BYOD
Las empresas modernas ya deberían ser conscientes de los desafíos de seguridad cibernética de los empleados que usan sus propios dispositivos móviles en las redes corporativas porque estos problemas existían mucho antes de la pandemia, según el líder de seguridad de aplicaciones de Immersive Labs, Sean Wright. “Este riesgo ya debería estar cubierto por una política de seguridad y reforzado por las soluciones de administración de dispositivos adecuadas”, dice.
Pero Wright cree que el regreso de los empleados al trabajo en la oficina probablemente probará esto hasta cierto punto, con más personas resultando en un mayor número de puntos de riesgo. Él dice que una de las mejores formas de resolver este problema es estableciendo permisos de usuario estrictos.
Las empresas que permiten a los empleados utilizar sus propios dispositivos móviles en las redes corporativas deben enfatizar la importancia de implementar parches de seguridad. “El factor realmente importante aquí es el parche”, dice Wright. “Dado que los dispositivos de consumo son cada vez más vulnerables, los dispositivos que se conectan a su red deben estar actualizados”.
Otra consideración vital para las empresas con iniciativas de traer su propio dispositivo (BYOD) es garantizar que los dispositivos móviles personales operen en una red aislada, dice Wright, y agrega: “Lo primero que un atacante buscará hacer es moverse lateralmente. Esto les negará esa oportunidad “.
Andrew Hewitt, analista senior de Forrester, cree que el uso de dispositivos móviles en redes Wi-Fi corporativas puede ser peligroso para las organizaciones sin una combinación de cumplimiento de dispositivos, certificaciones actualizadas y capacidades de administración de identidad y acceso (IAM). “Sin embargo, con una base sólida de gestión unificada de terminales e IAM, no es probable que esto sea un problema importante”, dice.
También insta a las empresas y profesionales a tener cuidado con los ataques de phishing basados en SMS, que han aumentado exponencialmente en la pandemia. “Podrías imaginar a un pirata informático enviando lo que parece ser una notificación de emergencia desde un edificio de oficinas cuando en realidad es un intento de phishing”, dice Hewitt.
Muchas empresas han permitido que sus empleados trabajen en dispositivos móviles personales durante los últimos 18 meses. Pero debido a que los dispositivos de consumo suelen ser menos seguros que los dispositivos corporativos, podrían haber detectado todo tipo de malware durante este tiempo y, posteriormente, representar un peligro para las redes de seguridad corporativas cuando las oficinas vuelvan a abrir.
Martin Riley, director de servicios de seguridad administrados en Bridewell Consulting, dice: “A medida que los empleados regresan a la oficina, existe el riesgo de que vuelvan a traer dispositivos comprometidos o menos seguros a la red, ya sea a través de la introducción de aplicaciones maliciosas o malware. dispositivos infectados.
“Muchas organizaciones también confían demasiado en sus capacidades actuales de seguridad y administración de dispositivos móviles. Esto es especialmente cierto si la organización no tiene una capacidad de gestión de dispositivos de usuario final madura e integrada para respaldar las tecnologías de movilidad empresarial “.
Riley dice que el mayor desafío al que probablemente se enfrentarán los equipos de TI al lidiar con estos problemas es lograr el equilibrio correcto. Por ejemplo, hacer cumplir muchas restricciones de seguridad cibernética en dispositivos móviles podría afectar potencialmente la productividad y la experiencia del usuario. Pero, por otro lado, un enfoque relajado puede dejar a las empresas vulnerables a serias amenazas a la seguridad cibernética.
Es vital que las responsabilidades de seguridad no queden solo en manos de los usuarios. Los usuarios necesitan educación continua
Martin Riley, Consultoría Bridewell
Él cree que la respuesta correcta es aplicar un modelo de seguridad de confianza cero para que no se confíe en ninguna persona o dispositivo. “Esto significa separar a los usuarios y dispositivos tanto como sea razonable para su negocio de los activos corporativos como datos, aplicaciones, infraestructura y redes y seguir el modelo de identificación, autenticación, autorización y auditoría. [IAAM]”, Dice Riley.
Con el surgimiento constante de nuevas amenazas en línea, las organizaciones también tienen la responsabilidad de brindar a sus empleados capacitación en conciencia de seguridad. Riley dice: “También es vital que las responsabilidades de seguridad no queden solo en manos de los usuarios. Los usuarios necesitan educación continua sobre los riesgos, los tipos de amenazas y las mejores prácticas “.
Debido a que los empleados dependen cada vez más de los dispositivos y aplicaciones móviles para fines laborales, Riley insta a las organizaciones a incluirlos dentro del alcance de los controles de seguridad, las iniciativas de prueba y las tecnologías anti-phishing.
Añade: “Al garantizar el uso de un conjunto de aplicaciones y terminales móviles modernos, las organizaciones pueden hacer cumplir las políticas corporativas sobre autenticación, gestión de datos y parches, proporcionando flexibilidad para el usuario final y mejorando la gestión de riesgos para la empresa”.
Tomando acción inmediata
En el futuro, el director de seguridad cibernética de Capgemini, Lee Newcombe, prevé que las organizaciones puedan conectar “dispositivos sucios” a las LAN corporativas con menor riesgo. Pero dice que esto actualmente no es posible debido al modelo heredado de redes internas planas y relativamente desprotegidas.
“Todavía no vivimos en el nirvana de un mundo de confianza cero, con la microsegmentación interna y cada solicitud de acceso sometida a una variedad de controles de seguridad antes de ser concedida”, dice.
Como resultado, las empresas deben tomar precauciones adicionales cuando se utilizan dispositivos móviles personales en redes corporativas. Primero, Newcombe recomienda que las empresas pidan a sus empleados que se aseguren de que las firmas anti-malware estén actualizadas y eliminen cualquier software no estándar antes de ingresar a la oficina.
Newcombe también anima a las empresas a realizar comprobaciones de la postura de los dispositivos de forma remota y en la conexión a la red local si tienen las capacidades. Otro paso importante es utilizar soluciones de monitoreo de seguridad para identificar actividades maliciosas dentro de la red interna. Y las empresas no deberían descuidar las soluciones antimalware del lado del servidor centrando su atención en otras áreas.
Aunque muchas empresas están reabriendo sus oficinas con la flexibilización de las restricciones de cierre, el consenso general es que los enfoques híbridos definirán el futuro del trabajo. Y a medida que los empleados continúan usando dispositivos móviles en el hogar y en la oficina, las organizaciones deben fortalecer sus defensas cibernéticas en consecuencia.
Jitender Arora, director de seguridad de la información de Deloitte UK, anima a las empresas a adoptar sólidas defensas de phishing, sistemas de respuesta y detección de puntos finales, servicios de seguridad esenciales y proxies web en un intento por mejorar la seguridad de sus entornos de trabajo híbridos.
Para algunas personas, regresar a la oficina puede ser una perspectiva emocionante después de casi dos años de trabajo remoto; es una prueba férrea de que los problemas de la pandemia están comenzando a desaparecer y que cosas mejores están a la vuelta de la esquina.
Pero lo que muchas personas no se dan cuenta es que sus dispositivos móviles pueden ser potencialmente inseguros y, cuando se conectan a las redes de la oficina, pueden dañar la infraestructura de TI de su empleador.
Como resultado, los trabajadores deben asegurarse de que sus dispositivos estén completamente actualizados y sean seguros. Y las empresas deben fortalecer la seguridad de su red para que los dispositivos móviles inseguros no proporcionen a los ciberdelincuentes un punto de entrada a los sistemas corporativos.
