Con la pandemia de la Covid-19, el teletrabajo dejó de ser una anécdota en España. En algunos momentos de 2020, en lo peor de la crisis sanitaria, más de un tercio de los empleados de este país se vieron obligados a seguir desarrollando su labor desde casa (más de siete millones de personas), según datos de IvieLab.
Hoy, todavía algo más de tres millones de personas (un 17,6% de la población ocupada) sigue teletrabajando habitualmente, como muestran datos del INE de noviembre. Además, la evolución incierta de la Covid-19, unido a las ventajas que trae esta modalidad a empresas y profesionales, hacen pensar en que el teletrabajo ha llegado para quedarse definitivamente.
Sin embargo, el trabajo híbrido (el que se saca adelante tanto desde la oficina, presencialmente, como en remoto, desde casa o un centro de coworking) ha favorecido en estos dos últimos años los ciberataques y ha incrementado la efectividad de los mismos.
Según Telefónica Tech, en marzo de 2020, cuando millones de empleados cambiaron de la noche al día la oficina por el salón de su casa para seguir trabajando, se produjeron en este país nada menos que 19 millones de ataques contra protocolos de escritorio remoto (RDP, por sus siglas en inglés). De hecho, a finales de 2020, este tipo de ataques se había multiplicado por más de tres con respecto a los registros de 2019.
Un proceso incompleto
En muchos casos, las compañías que tuvieron que adoptar apresuradamente el teletrabajo sólo pudieron habilitar mínimamente sus sistemas para seguir operando con las plantillas en casa. Sin preocuparse por garantizar la seguridad de los datos que iban y venían desde los dispositivos en remoto, muchas veces desprovistos incluso de un básico antivirus, a los servidores centrales y viceversa. Es decir, las empresas estuvieron rápidas pasando a un esquema de teletrabajo, pero se olvidaron de hacerlo seguro.
El perímetro de protección se ha difuminado, y por ello se han multiplicado los puntos débiles y de entrada para delincuentes
«En muchas ocasiones, se utilizaron ordenadores personales que no suelen tener las mismas medidas de seguridad que los puestos de trabajo en las empresas. Además de ser utilizados por más personas del núcleo familiar, las medidas que las empresas aplicaban a las conexiones desde el exterior se relajaron para poder dar servicios rápido y a toda la organización, mientras que las personas en sus entornos personales relajan el nivel de concienciación… Todo esto hace que la probabilidad de ocurrencia de un riesgo, en este caso de sufrir un ataque tercero, aumenta considerablemente; y a mayor ocurrencia, mayor ciberdelincuencia. Los ciberdelincuentes son conscientes de todo esto y, por supuesto, se aprovechan de ello», explican desde Asseco.
En líneas generales, los expertos en ciberseguridad alertan de que con la popularización del trabajo en remoto el perímetro de protección se ha difuminado radicalmente, y por ello se han multiplicado los puntos débiles y de entrada para los delincuentes. Esa imagen recurrente durante décadas en el mundo de la ciberseguridad de una muralla y un foso que protegían los sistemas de los ataques exteriores hoy sencillamente no es válida.
Antes estaba clara la información que albergaban los sistemas de las compañías y la que quedaba fuera. Pero hoy los datos sensibles de una empresa están a ambos lados de ese muro con foso, y no sólo residen en sus servidores propios, sino que están en la nube y en los sobremesas, portátiles y teléfonos móviles de empleados y colaboradores. Es decir, hoy la información que importa está dentro y fuera a la vez. Por todas partes. Y se trasiega con ella a toda velocidad.
‘Zero trust’ frente al perímetro desdibujado
El gran reto de los especialistas en ciberseguridad es proteger los datos valiosos en un entorno tan variopinto y hasta cierto punto confuso. Por eso, en los últimos años, ha ganado relevancia un concepto como el de zero trust, creado por Forrester hace algo más de una década, pero que con la pandemia y la descentralización de las plantillas ha empezado a interesar a clientes corporativos de todo el mundo.
La estrategia que más recomiendan los expertos a las empresas es no confiar en ningún usuario ni dispositivo que acceda a sus sistemas, estén dentro o fuera de la organización
Zero trust (que se podría traducir por “confianza cero”) insta a las empresas a no confiar en ningún usuario ni dispositivo que acceda a sus sistemas, estén dentro o fuera de la organización. Para ello, las soluciones zero trust deben ofrecer visibilidad de todos los equipos y las redes, y verificar en cada momento que solo los usuarios autorizados pueden acceder a aplicaciones y datos establecidos de antemano.
En un esquema zero trust, un principio básico es conceder el menor número de privilegios posibles, hasta el punto, eso sí, de que no afecte a la operativa de los empleados. En definitiva, el modelo zero trust devuelve el control de la información a las empresas en un momento de disolución clara del perímetro.
Medidas para proteger entornos de teletrabajo
Sin tener que aplicar un enfoque tan global como el que propone zero trust, las empresas pueden tomar medidas básicas para garantizar la seguridad de los datos en entornos de teletrabajo y acceso remoto generalizado.
Desde Asseco subrayan que las medidas de seguridad que se deben aplicar al teletrabajo deben tener la misma importancia que las que se aplican para el trabajo en las oficinas y deben ser, como mínimo, iguales.
A la hora de concretar, a lo primero que hacen referencia es a la formación y concienciación. «La mejor medida para prevenir un ciberataque es que los empleados estén capacitados para el trabajo que desempeñan y en el formato que se desempeñe (presencial o teletrabajo), además de estar concienciados de la importancia que tiene trabajar de forma segura para proteger los activos mas importantes de toda organización, que son la información y las personas».
Todo puesto de trabajo debe contar con la protección de un antivirus con EDR (Endpoint Detection Response) o XDR (Extended Detection and Response)
Paralelamente, también recalcan la necesidad de dar algunos pasos que garanticen el trabajo fuera de la oficina. El primero es usar siempre una VPN (Virtual Private Network) confiable y con un cifrado suficientemente robusto. «Con esto protegemos la conexión desde fuera de la oficina y nos conectamos a ella, de tal forma que es como si estuviéramos en dicha oficina y las medidas de seguridad que se aplican son las que hay establecidas en nuestras dependencias», profundizan desde Asecco.
En segundo lugar, creen que es muy importante trabajar con una arquitectura de red SASE (Secure Access Service Edge). «Hoy en día, en un momento en el que muchísimas empresas están en un proceso de transformación digital y yendo a entornos cloud o externalizando, estas soluciones ayudan a proteger los puestos de usuario, haciendo que la seguridad perimetral se ciña al usuario, permitiendo una conexión segura a los entornos de trabajo».
Por último, desde Asseco recuerdan que todo endpoint o puesto de trabajo debe contar con la protección de un antivirus con EDR (Endpoint Detection Response) o XDR (Extended Detection and Response) perfectamente actualizado.
Asseco como partner estratégico
Asseco tiene mucho que aportar en este campo. Así, su objetivo es ayudar a sus clientes a frenar los ataques ofreciéndoles un porfolio de servicios de ciberseguridad 360 basado en las premisas anteriormente mencionadas y en las mejores practicas del mercado. «Nuestro porfolio de servicios estaba desarrollado en base a un marco de controles del National Institute of Standards and Technology de Estados Unidos. Este marco de controles es un compendio de las mejores y más extendidas prácticas del mercado que agrupa los controles en cinco funciones: Identificar, Proteger, Detectar, Responder y Recuperar. Estas funciones se corresponden con el ciclo de acciones de un incidente», explican.
Podemos decirles a nuestros clientes a qué riesgos están expuestos, qué impacto pueden tener esos riesgos o qué medidas de seguridad deben aplicar para poder mitigarlos
Según nos cuentan desde Asseco, trabajan con un enfoque eminentemente basado en riesgos. «Esto nos facilita dar una visión a nuestros clientes de ¿a qué riesgos están expuestos? ¿Qué impacto pueden tener esos riesgos? ¿Qué probabilidad de ocurrencia tienen? ¿Qué medidas de seguridad deben aplicar para poder mitigar los riesgos y sus impactos?
Tampoco se olvidan de destacar otro factor importante que está resultando muy efectivo de cara a ayudar a sus clientes: «el de expertos y profesionales en ciberseguridad que trabaja de forma perfectamente coordinada y al unísono con ellos para no solo poder identificar, detectar, proteger, responder y recuperar en caso de incidente, sino que, además, optimiza el rendimiento de las capacidades al máximo».
Imágenes: Shutterstock (eamesBot // Macrovector // Mikko Lemola // aurielaki // Olivier Le Moal)
