Cuatro consejos de ciberseguridad para el teletrabajo

Los tiempos de la tecnología son rápidos y no esperan a quienes van quedando atrás. Luego de una realidad mundial donde la mayoría de las personas tuvo que adecuar su vida y su trabajo al método online, los riesgos de siempre aumentan y se intensifican, al mismo tiempo que nacen nuevas formas de defensa tanto de forma personal como empresarial.

“Hoy, las personas estamos mucho más expuestas que antes porque el uso de las tecnologías se ha intensificado. El rango etario de las personas que usan estas tecnologías digitales también se ha ampliado por esa realidad, y eso hace que los ciberdelincuentes tengan más armas para atacar”, comenta Juan Pablo Arias, Gerente de Tecnología de Fortinet, empresa de ciberseguridad fabricante de soluciones como hardware, software y servicios, quien acá entrega algunas recomendaciones:

Evitar el phishing en mensajerías. El experto sugiere no hacer click en los archivos adjuntos que no sepamos su exacta procedencia. Se debe revisar el destinatario antes que todo. “El phishing es una forma de ciberataque muy presente, que es cuando recibes un correo que te pide hacer una acción, como hacer click o icluso contestar el teléfono. Es muy frecuente”. La solución es siempre dudar y saber bien cómo son los correos oficiales de entidades que eventualmente puedan requerir el click del receptor, como bancos y tiendas, entre otros.

El phishing también puede evitarse a nivel usuario teniendo especial cuidado con las aplicaciones que se instalan en los dispositivos. “Hay muchas apps que son gratuitas que igual te piden hacer cosas como mirar publicidad, y otras aplicaciones que pueden ser maliciosas al instalar programas que no se ven dentro del dispositivos con acceso a tus archivos”, afirma el gerente. La idea es descargar las apps que tienen la certificación oficial desde la página de descarga, como el Play Protect en el caso de Android.

Claves con doble autenticación. La digitalización de trámites, procesos, compras, y trabajos han venido de la mano con una mayor exposición de datos personales y aumento de cuentas que necesitan de claves para poder funcionar. Teniendo en cuenta las tareas que ahora se le suman a los aparatos a los aparatos electrónicos, con gran foco en transacciones, el llamado es a fortalecer aún más las claves. “El hackeo de claves no es un método muy sofisticado, se basa en probabilidad y adivinación, por lo tanto es fácil de combatir, sin embargo es tanta la exposición, ya que aumenta la cantidad de cuentas y claves que tenemos, que siempre es mejor confiar en procesos que tienen más pasos”, comenta Juan Pablo Arias.

El esfuerzo entonces va más allá de lograr una clave larga y potente, que mezcle mayúsculas y minúsculas, números y caracteres especiales, algo que hoy se puede incluso lograr con un gestor de claves para múltiples páginas en simultáneo (una aplicación que catalogan como útil y necesaria). En este caso, la idea es poder utilizar aplicaciones y páginas que usan un segundo factor de autenticación. Este puede ser el rostro o huella dactilar, clave de dos pasos o un token que no sea estático. “Es un proceso que puede ser más engorroso para el usuario porque es más largo pero de todas formas es necesario y ayudará a reducir el riesgo al mínimo”.

Teletrabajo seguro: de VPN a ZTNA. Uno de los factores de riesgo hoy en día tiene que ver con el trabajo desde casa. En la mayoría de los casos, los empleados deben conectarse a la red corporativa para poder llevar a cabo sus tareas, ya que necesitan acceder a los recursos de la empresa de manera segura y encriptada. Para eso se usa una VPN, que funciona como un túnel que hace que los datos vayan cifrados, una conexión segura que se hace entre el usuario y la red de la empresa en la que trabaja. Esta también sirve para cosas como desbloquear páginas que no están disponibles en el país desde el que se accede y otros beneficios que pueden mejorar la experiencia de navegación. Sin embargo, cada vez se usa menos y genera menos seguridad para ese intercambio de información.

“Las VPN, llamadas red privada virtual, lo que hacen es dar acceso remoto a empleados o usuarios que quieran acceder a una red de determinada empresa de forma segura. Y la pandemia hizo evolucionar de manera forzada esta tecnología, que ha estado presente por aproximadamente 20 años. Sin embargo hoy están pasadas de moda en términos estrictos de seguridad. Nosotros decimos incluso que ya están muertas”, confiesa el gerente.

El motivo es que hoy ya existen tecnologías superiores, que se adaptan a los tiempos de hoy y que, dentro de su estructura, toman muchas más precauciones de ciberseguridad: las ZTNA (acceso a la red de confianza zero). Estas nacen de la expresión Zero Trust (confianza zero) y responden a la misma lógica que hay que tener cuando se duda de un archivo y cuando se exponen claves importantes: tener muchos pasos de autenticación.

“Hoy, el problema es que el usuario y password que se usa para entrar a la VPN también puede ser vulnerable, entonces puede venir otra persona que se robe esas credenciales para acceder. Eso es un problema que se soluciona con las ZTNA, que se encargan de que cada dispositivo que entre a esta red tenga la mínima confianza para acceder a estos recursos, y por lo mismo solo entra a los que tiene asignados”, dice Arias.

Dentro de esa lógica, el software de ZTNA incorpora pasos para validar el equipo desde el que se accede a la red de la empresa, asegurando que esté limpio e identificado antes de entrar a esta red privada y compartida, evitando robos de datos, falsificación, eliminación y mal uso de propiedad intelectual tanto de los trabajadores como de la entidad.

¿Cómo funciona este nuevo concepto de seguridad en su apartado técnico? A diferencia de un túnel VPN tradicional con acceso sin restricciones, ZTNA otorga acceso por sesión a aplicaciones y flujos de trabajo individuales solo después de que un usuario o dispositivo han sido autenticados repetidas veces. La autorización utiliza una variedad de información contextual, que incluye la función del usuario, el tipo de dispositivo, el cumplimiento del dispositivo, la ubicación, la hora y la manera en que un dispositivo o usuario se conecta a la red o al recurso.

El usuario entonces, después de todos estos pasos automáticos, puede acceder únicamente a las aplicaciones que necesita para llevar a cabo su trabajo de manera eficiente y a nada más. Este control de acceso no termina allí, sino que sigue por dentro de la red ya que operan en términos de identidad, lo que permite que las políticas sigan a las aplicaciones y otras transacciones de extremo a extremo. Así, se pueden proteger los archivos críticos para el negocio.

Consejos finales. En términos de seguridad, evitar robo de datos, dinero y otros fraudes en internet que puedan ocurrir en diferentes aparatos electrónicos que el usuario utilice tanto para el trabajo como para el día a día, las alternativas siempre seguirán tomando el camino de la autenticación múltiple. “Siempre hay que preferir apps utilitarias oficiales que tengan alternativas de multifactor de autenticación, solo hacerlo con aplicaciones seguras y nunca dejar las páginas abiertas”, aconseja el experto en ciberseguridad.

Desde el punto de vista empresarial, el que Fortinet ve con más urgencia e importancia debido a las circunstancias del teletrabajo, el llamado es a revisar la oferta de softwares que sirvan para agregar esos pasos de autenticación a las labores diarias que hoy se desarrollan de manera online, soluciones de control de acceso a la red y automatización de procesos, además del cuidado personal con el uso de claves generadas y el ojo crítico, el que, al igual que el concepto de Zero Trust, invita a, por defecto, desconfiar para ser más precavido.