Montevideo, 13 de marzo de 2020.
Ante la situación de público conocimiento a nivel mundial con respecto al virus COVID-19 (coronavirus), declarado esta semana como una pandemia por la Organización Mundial de la Salud, gran parte de las organizaciones están generando planes de contingencia para definir cómo actuar y qué medidas llevar a cabo para reducir el impacto en la continuidad del negocio.
En este contexto desde Datasec hemos generado algunas recomendaciones para la seguridad de la información en las organizaciones y especialmente si se utilizan usuarios remotos:
- Tener especial cuidado con todas las noticias referentes a Coronavirus / Covid-19 y demás pandemias, porque se pueden tratar de mensajes engañosos y phishing de usuarios. Es importante concientizar a todos los usuarios internos de esta amenaza y definir y aclarar cuál es el único medio de contacto o dirección de correo electrónico válido para tales comunicados dentro de la organización.
- Incorporar medidas de protección de autenticación a usuarios remotos para que sus accesos no solo se valgan de usuario y contraseña, sino que también utilicen otro factor de autenticación mediante aplicaciones o códigos enviados a los celulares personales (por ejemplo, con soluciones como Duo Security MFA).
- Utilizar conexiones seguras tipo VPN entre los equipos remotos y la empresa, con el fin de proteger la información cuando viaja por Internet. Esta conexión también se recomienda asegurarla más allá de con usuario y clave, además es posible brindar archivos que funcionan como certificados de seguridad y ofrecen una capa más para evitar riesgos.
- Los equipos que trabajen remoto deberán contar con antivirus actualizado para conectarse a la empresa. Por ejemplo, la empresa puede distribuir su antivirus a los sistemas remotos y controlarlos centralizadamente. Los sistemas remotos deberán tener las actualizaciones de seguridad del sistema al día, con el fin de evitar compromisos. Se sugiere además ajustar los tiempos de inactividad de sesiones de usuarios remotos al mínimo posible, por ejemplo, cerrar sesiones de usuario luego de 10 minutos de inactividad.
- Coordinar cómo se van a comunicar y organizar los nuevos equipos de trabajo. Algunas herramientas que pueden utilizarse son: Discord, Slack, Trello, Monday, Google Meet, Microsoft Office365, Zoom. Es importante para los procesos que requieren aprobaciones (por ejemplo, las transacciones de dinero) que éstas se realicen mediante llamadas telefónicas a números predeterminados para evitar así fraudes que pueden ocurrir a nivel tecnológico.
- Tener en cuenta que los equipos de soporte tecnológico tendrán más carga laboral por las diferentes situaciones de usuarios remotos que no pueden acceder o presentan inconvenientes ante un nuevo panorama de trabajo. Además, tendrán la tarea de mantener los equipos de acceso remoto, los cuales serán prioritarios como canal de acceso a los trabajadores, y es posible que se presenten dificultades de performance o de faltas de disponibilidad de los servicios que resultarán esenciales para la continuidad del negocio.
- Definir y publicar una política de teletrabajo de la organización que detalle lo que está permitido y lo estrictamente prohibido en estas circunstancias excepcionales, como por ejemplo el no utilizar redes inalámbricas desconocidas o sospechosas, redes públicas o sin protección suficiente.
- Los equipos remotos que son falibles de extraviarse o ser hurtados por estar viajando o en entornos donde la seguridad física puede ser menor, y que cuenten con información de la organización y con datos confidenciales, deberán ser cifrados. Herramientas como Veracrypt pueden ayudar en crear directorios o archivos cifrados, que asegura que los datos no podrán ser leídos si no se cuenta con las claves o accesos apropiados.
- Es importante para las organizaciones definir la política de contingencia ante casos de epidemias u otras situaciones no deseadas, y simular su actividad antes de ponerla en marcha. De esta manera es posible probar su efectividad y ajustar detalles de su implementación, buen uso y demás esfuerzos necesarios para que, al día de activar el protocolo, el mismo sea exitoso y los ajustes o imprevistos sean los mínimos.
Desde Datasec esperamos que esta información sea de utilidad y quedamos a las órdenes ante cualquier consulta sobre planes de contingencia y estrategias de trabajo remoto seguro.
