En este tercer artículo os hablaremos de la afectación que puede tener el teletrabajo para el RGPD y algunas recomendaciones sobre cómo realizar las videoconferencias de manera más segura.

En relación al RGPD, vamos a resumir algunas pautas básicas para que los trabajadores puedan trabajar desde casa con unos niveles adecuados de ciberseguridad, y con todas las garantías que el RGPD establece. Comentar, que ya lo hicimos en la revisión de la política, el definir y concretar la responsabilidad del trabajador en relación con la información y su gestión y las herramientas para poder desempeñar su “teletrabajo”.

1º.- Cláusulas de confidencialidad. El empleado ha de quedar correctamente informado de los parámetros de su acceso remoto y las condiciones del mismo y de las consecuencias de no cumplir con los niveles de confidencialidad requeridos.

2º.- Los dispositivos de acceso en remoto han de ser facilitados por el empresario, así como el software que garantice la seguridad de la conexión externa. Para ello le tendrá que formar  como establece El artículo 32.4 del RGPD, en relación a las medidas que han de tomarse medidas respecto al personal con acceso a datos que dependa tanto del responsable como del encargado, de forma que traten los datos siguiendo estrictamente sus instrucciones y lo establecido por el reglamento.

La formación también se debería establecer como pauta en relación a las medidas de seguridad humanas, conocimiento de técnicas de ciber delincuencia, y como destaparlas, el hecho de trabajar solo puede hacernos caer más fácilmente en estas actividades fraudulentas que si estamos en equipo, con los que podríamos consultar antes de tomar una decisión.

3º.-  Se deben evitar las aplicaciones de control remoto, implanta una VPN

Si bien la tentación es instalar software de control remoto como TeamViewer o Anydesk en cada uno de los equipos, esta opción incumple el RGPD por diversos motivos, ya que estás usando proveedores con los cuales no dispones de un contrato de terceros que establezca los compromisos y obligaciones a los que están sujetos, y de los cuales además no sabemos si tienen un nivel de seguridad adecuado al reglamento. Esto también abre la posibilidad a tener puertas traseras en nuestros sistemas que den lugar a accesos no deseados (incluso de los propios desarrolladores de esas aplicaciones), e incluso de perder el control de cuándo y cómo acceden nuestros empleados, entre otros problemas.

En su lugar, lo más recomendable es utilizar sistemas de acceso cifrado seguro, como una VPN, la cual es controlada completamente por el Responsable/Encargado del tratamiento y permite poder acceder desde fuera de la empresa a todos los recursos internos.

4º.- Sistemas de almacenamiento.  Si en tu negocio utilizáis proveedores de almacenamiento o copias de seguridad «en la nube» (cloud), también es necesario cumplir ciertos requisitos:

• Asegúrate de tener un contrato de prestación de servicios con el proveedor
• Ten firmado el contrato de terceros correspondiente, ya que ese proveedor pasa a ser un encargado del tratamiento
• Es necesario que los servidores del proveedor se encuentren dentro de la Unión Europea (recomendable que se especifique en el contrato de terceros)
• Busca un proveedor que facilite «control de versiones» para saber cuándo y quién ha modificado cada fichero (recuerda, estaréis todos en remoto), e incluso poder recuperar y consultar versiones anteriores de los ficheros.

Siguiendo con el artículo anterior  de recomendaciones en ciberseguridad para el teletrabajo en este artículo os hablaremos de las medidas técnicas en ciberseguridad, posteriormente publicaremos otro artículo de la parte legal, RGPD o LOPDGDD 3/2018.

Vamos a enumerar diferentes soluciones en ciberseguridad, viendo qué función realizan y en qué situación o contexto se pueden necesitar.

No explicaremos todos los contextos ni entraremos mucho en el detalle dado que si no sería una enciclopedia y no un artículo…

• EDR, Endpoint Detection and Response, sería como la evolución del antivirus de toda la vida, pero que incorpora muchas más funcionalidades adaptadas a los nuevos vectores de ataque y otras como, HIPS, Firewall o cifrado de disco, hay muchos fabricantes en ciberseguridad que tienen EDR entre sus soluciones y cada uno tiene sus funcionalidades que depende de nuestras necesidades se puede ajustar uno mejor que otro, pero siempre se ha de tener uno.

• DLP, Data loss prevention, es una herramienta para asegurarse de que los usuarios finales no envían información sensible o crítica fuera de la red corporativa (ampliándose con el teletrabajo). Esta herramienta se suele usar cuando la información que se trata es sensible, dependiendo de un análisis de riesgos de la perdida de esa información puede requerir esta herramienta de ciberseguridad.

• IRM, Information Rights Management, esta herramienta se podría decir que es parecida al DLP a nivel funcional, evitar que se pueda acceder a información sensible por un usuario no autorizado y el escenario de su uso la recomendación sería que saliera de un análisis de riesgos.

• Vpn y Firewall, Virtual Private Network, es lo que nos permite que el cliente o usuario que usa teletrabajo se puede conectar a la red interna, en la red interna hay un terminador que es donde se conecta la VPN, que normalmente es un Firewall, que es la herramienta que se usa para bloquear el trafico entrante a la red interna, hoy en día realiza muchas más funciones y ambas soluciones en ciberseguridad son necesarias para un teletrabajo seguro, con el Firewall se deben definir diferentes arquitecturas de ciberseguridad con los servicios publicados para el acceso en modo teletrabajo de manera segura a la hora de acceder a esos servicios o la red interna.

• Doble factor de autenticación, esta solución se basa en añadir una capa más de ciberseguridad, estas capas serian algo que sabemos, el user y password, algo que tenemos certificado digital, un token … y algo que somos, una huella dactilar, por ejemplo, entonces se basa en tener dos factores de los tres mencionados. Tenemos el usuario y contraseña,  pues añadir un token o huella dactilar, una solución que se usa mucho es la del certificado digital que es algo que tengo, es un fichero con información que permite validar en destino, cuando te conectas, que eres tú quien se conecta y no otro usuario malicioso, es un sistema que nos permite validar, a parte del usuario y contraseña, que es un usuario autorizado. El doble factor de autenticación, se deberían usar en cualquier conexión vía VPN, es una medida más de seguridad informática al usuario y password que puede ser robado al usuario o conseguido por fuerza bruta, por ejemplo.

• Casb, Cloud Access Security Broker, podría ser como un supervisor de seguridad del acceso del usuario a las herramientas de la empresa que están en el Cloud y a otras que el usuario puede acceder y que no son corporativas. La tendencia con el teletrabajo puede ser migrar servicios al Cloud y que el usuario acceda desde su lugar de “teletrabajo”, esta herramienta permite extender la seguridad informática y su política a sus servicios en el Cloud.

• Email, filtrados de ciberseguridad, cifrado de correos y con doble factor de autenticación, como ya hemos comentado y por la criticidad de correo que ahora se podría acceder sin VPN, estando publicado el portal de acceso en Internet en modo teletrabajo, el usuario y password puede ser “robado” de diferentes maneras y es muy necesario este doble factor a nivel de ciberseguridad en este escenario de teletrabajo. También se podrían cifrar correos según fuera necesario. Dependiendo el servidor de correo o servicio de correo se recomienda que se apliquen filtros para correo malicioso, como phishing, previamente a que el usuario pueda tener acceso.

• Navegación segura, dado que el ordenador podría navegar directamente a Internet sin pasar por los filtros que teníamos en la red interna es conveniente aplicarlos de manera más local en el equipo, es decir en la oficina se navega por el proxy interno que en modo teletrabajo se podría no usar (si se navega desde la VPN sí que se aplicaría) añadiendo un proxy Cloud (Saas) y configurando DNS de navegación segura por reputación como puede ser OpenDNS.

• Fugas de información de la compañía, los famosos Leaks, consiste por medio de ciberinteligencia (OSINT) descubrir si el usuario y el password de usuarios de la empresa se ha filtrado por Internet, esto es importante tenerlo en cuenda dado que con un usuario y contraseña correcto se puede acceder a muchos sitios de manera legítima y sin generar sospechas, por eso el uso de dobles factores de autenticación y una correcta política de contraseñas.

• Cifrado del portátil, consiste en cifrar la información del ordenador, hay diferentes tipos de cifrado que no entraremos en detalle, pero diremos que el GDPR te obliga a que esté cifrado si hay información de protección de datos o datos que nos permitan acceder a ellos, y en este caso del teletrabajo hay la configuración de acceso y a lo mejor los passwords pudiendo haber información sensible de la empresa, por tanto, cifrar si o si.

• Gestión, compartición y Backup de la información, en el caso que se use, se trate o genere información de la empresa en el ordenador, se ha de gestionar de manera segura, ya hemos comentado medidas anteriormente, pero también se ha de realizar un backup de dicha información para que no quede inaccesible por algún motivo o definir una gestión y trato de esos documentos conectado a servicios Cloud de tal manera que todo esté en el Cloud y no dejar ficheros en local, en el portátil, se ha de vigilar también con quien se comparte la información.

• Seguridad perimetral y monitorización de las conexiones, este punto es muy importante, ya hemos comentado que, con el Firewall, WAF o IPS se han de crear arquitecturas informáticas seguras, dado que el volumen de accesos externos ha crecido y es importante mantener la ciberseguridad de toda la red interna, pero también se han de monitorizar esos accesos para detectar accesos sospechosos que acaben siendo ilegítimos, por el uso de credenciales “robadas”, se pueden detectar porque pueden ser desde ubicaciones diferentes a las habituales o en horarios diferentes a los habituales, esto es lo que se le llama alertas por patrones de comportamiento y las herramientas que permiten esta monitorización es el SIEM (security information and event management), Gestión de información y eventos de seguridad, que es muy importante para tener una visión global en ciberseguridad de tu empresa.

Primer artículo de la serie: Recomendaciones en Ciberseguridad para el teletrabajo.

Fuentes:

CCN-CERT

Agencia Catalana de Ciberseguridad

Links públicos

https://ciberseguretat.gencat.cat/ca/detalls/noticia/Normes-de-ciberseguretat-per-a-la-prestacio-de-serveis-en-la-modalitat-de-teletreball

https://www.europol.europa.eu/staying-safe-during-covid-19-what-you-need-to-know

Si necesita saber las medidas que necesita su empresa, póngase en contacto con Grupo Paradell y le recomendaremos las medidas en ciberseguridad o seguridad informática para su empresa.

En este artículo os queríamos hablar sobre las recomendaciones en ciberseguridad para el teletrabajo, ya que esta forma de trabajo parece que ha venido para quedarse y/o potenciarse. Para las empresas suponen cambios substanciales a nivel de ciberseguridad, dado que el perímetro de seguridad informática de los sistemas, pasa de ser la red interna, (en el menor de los casos) a Internet, dado que se tiene que publicar aplicaciones o servicios que antes solo se podría acceder desde la red interna y ahora se acceden desde Internet, es decir que el trabajador, en modo teletrabajo, pueda acceder a todos los servicios para poder realizar su trabajo desde fuera de la red corporativa de la oficina.

La ciberseguridad no es un gasto sino una inversión, dado que el riesgo ahora a sufrir ciberataques es mucho mayor.

Evidentemente no se puede hablar de todos los escenarios porque los hay para todos los gustos y colores, empresas/usuarios que ya tienen muy avanzado el teletrabajo y ya han migrado o planteado desde su creación esos servicios para que sean seguros informáticamente y accesibles desde Internet u otras empresas/usuarios que solo necesitan acceder al correo electrónico vía Internet.

Por eso en este artículo no os hablaremos tanto de escenarios de teletrabajo seguros a nivel informático, o lo más seguros posibles, sino de herramientas en ciberseguridad con su función y uso, para que, si se da ese caso, se aplique estas herramientas y acciones necesarias en ciberseguridad a realizar según se dé el caso.

Deberíamos hacer una primera puntualización que puede modificar mucho el teletrabajo a nivel de ciberseguridad, y es que no es lo mismo trabajar con un ordenador corporativo, maquetado y actualizado que con un ordenador privado (del usuario) que usa también para su uso particular.

Un ordenador privado siempre actualizado y con un antivirus o EDR con las funcionalidades en ciberseguridad que comentaremos en el siguiente artículo, e intentar tener dos usuarios, uno para personal/privado sin casi permisos y el usuario de trabajo.

Por otro lado estaría el ordenador de empresa, con maqueta corporativa, actualizado, con antivirus y las medidas en ciberseguridad que defina la empresa.

Nos gustaría dividir en tres partes las recomendaciones en ciberseguridad en el teletrabajo:

• acciones a realizar para la ciberseguridad
• aplicaciones o productos de ciberseguridad para dotar de seguridad al teletrabajo
• y la tercera parte como puede afectar el teletrabajo para el nuevo Reglamento General de Protección de Datos (RGPD) o LOPDGDD 3/2018.

El Objetivo: Planificación, no reacción.

Acciones a realizar para mejorar la ciberseguridad en el teletrabajo:

• Actualizar las políticas de seguridad de la empresa, reflejando el nuevo escenario y definiendo los nuevos procedimientos para los usuarios con la nueva modalidad del teletrabajo, como por ejemplo el borrado seguro de datos del pc. También se pueden generar perfiles de usuarios con niveles de acceso que teniendo la información categorizada nos facilitara la gestión y administración de los accesos a la información.

• Revisar la política de contraseñas seguras, la caducidad de la contraseña y si fuera necesario definir un gestor de contraseñas, intentando en la medida de lo posible, aplicar un Segundo Factor. El tener credenciales fuertes y robustas es una de las principales recomendaciones.

• Actualizar el documento de análisis de riesgos dado que al tener los datos fuera de la red interna, los riesgos en ciberseguridad se deben replantear y si fuera el caso definir medidas en ciberseguridad de mitigación de esos riesgos para proteger el dato.

• Concienciación o formación, aquí se ha de realizar concienciación en teletrabajo a nivel de la protección y uso de la información sensible, no usar usb personales que luego puede usar cualquier persona de casa u otras medidas y seguir formando más aún en concienciación en ciberseguridad.

• Establecer la postura de seguridad informática frente a esta nueva situación, es decir, requerir al usuario que, en su portátil personal, disponga de medidas de seguridad tales como un antivirus y un sistema operativo actualizado.

• Revisión y actualización de la documentación de gestión de incidentes con el nuevo escenario.

Posteriormente  publicaremos otro artículo que hable de las medidas técnicas en ciberseguridad y otro que hable de las medidas que afectan al RGPD y alguna recomendación sobre el uso de herramientas de videoconferencia.

Fuentes :

CCN-CERT

Agencia Catalana de Ciberseguridad

Si necesita saber las medidas que necesita su empresa, póngase en contacto con Grupo Paradell y le recomendaremos las medidas en ciberseguridad o seguridad informática para su empresa.