La ciberseguridad en el entorno laboral

Según la encuesta sobre la sociedad de la información en empresas, publicada en noviembre de 2021 por el Instituto Vasco de Estadística, las empresas vascas de 10 o más personas empleadas presentan niveles de implantación de equipamientos TIC (Tecnologías de la Información y Comunicaciones) superiores al 99%.

En este tipo de empresas, las redes informáticas también tienen una fuerte presencia: más del 92% dispone de ellas.

Ante esta realidad y con motivo del Día de Internet, de la mano del Basque CyberSecurity Centre (BCSC) enumeramos una serie de vulnerabilidades habituales en el entorno laboral y consejos para hacerles frente.

Punto de partida

Desde el BCSC se recogía la digitalización del entorno laboral como uno de los desafíos identificados para este 2022.

En los últimos años marcados por la pandemia, se han ido consolidando en la operativa diaria de las empresas diferentes elementos tecnológicos. Entre ellos, destacan compartir información a través de la nube, fichajes online, teleconferencias, trabajo colaborativo online o la firma electrónica, entre otros. Estas soluciones han traído consigo innumerables facilidades, pero también muchas problemáticas en torno a la ciberseguridad de los puestos de trabajo. A continuación, detallamos una serie de medidas que pueden contribuir a minimizar estos riesgos.

Medidas básicas para la protección de los puestos de trabajo 

• Opta por una navegación segura: Procura navegar por sitios de confianza. Aunque solo accedas a páginas seguras y por las que ya has navegado, recuerda que las webs conocidas también pueden ser víctimas, por ejemplo, cuando muestran anuncios de terceros infectados con malware, que a su vez intentan infectar a los visitantes del sitio web. 

• Revisa tus contraseñas: Utiliza contraseñas robustas y cámbialas periódicamente. Puede que utilices contraseñas seguras, pero estas también se pueden filtrar. Por ello, es necesario cambiarlas regularmente y utilizar siempre que sea posible el doble factor de autenticación.

• Cierra sesión: Cuando vayas a abandonar tu puesto de trabajo, bloquea o cierra la sesión, tanto si trabajas en la oficina como en casa.
• Vigila lo que imprimes: A menudo tenemos que hacer uso de impresoras y escáneres en el trabajo. Asegúrate de no abandonar información en estos dispositivos.
• Elimina los metadatos: En los documentos que compartes se almacenan una serie de metadatos. En el caso de un documento, estos pueden ser la fecha de creación o de últimas modificaciones del mismo. En el caso de archivos multimedia, se almacena información como las características del archivo, el fabricante o modelo de la cámara o Smartphone desde el que se realizó la foto o vídeo, entre otros. Asegúrate de eliminar estos metadatos antes de compartir cualquier documento.
• Mantén el sistema operativo actualizado: Es habitual que los sistemas operativos vayan mejorando con el paso del tiempo, y ofrezcan a las personas usuarias nuevas formas de protección frente a posibles ataques. Es por ello que es fundamental mantenerlos al día.
• Realiza Backups: Haz copias de seguridad periódicas de la información importante. En caso de que se vea dañados los datos, podrás recuperarlos mediante el proceso de restauración.
• Recurre a soluciones de cifrado o encriptación: Las empresas gestionan información y correos electrónicos sensibles, y deben cumplir con las exigencias en cuanto a protección de datos específicas de su organización, industria y región.
• Cuidado con las memorias extraíbles: Usa con precaución los dispositivos de almacenamiento externo. La empresa debe disponer de una normativa que contemple en qué situaciones pueden utilizarse y qué tipo de información se permite guardar en ellos.
• Verifica la identidad en los emails: Antes de abrir archivos adjuntos, asegúrate de saber quién es el remitente.

Algunos casos de phishing son difíciles de detectar ya que tienen un aspecto idéntico a las entidades que suplantan y únicamente es posible identificarlos teniendo en cuenta pequeños detalles.

La ciberseguridad en el teletrabajo

El teletrabajo en las empresas vascas ha venido para quedarse. Cada vez son más las empresas que están ofreciendo a su plantilla la posibilidad de teletrabajar, más allá de las soluciones transitorias adoptadas por algunas en los primeros meses de pandemia. Para que todo funcione bien y garantizar la seguridad, debemos tomar algunas precauciones.

• Medios tecnológicos de la empresa: Es importante delimitar lo que las personas trabajadoras pueden y no pueden hacer con los dispositivos y sistemas de propiedad de la empresa.
• Usuarios individuales: Como medida de seguridad, es importante abandonar los usuarios genéricos. Además, las contraseñas deben ser robustas y deben caducar. Si es posible, es recomendable también implementar un sistema de doble factor.
• Actualizaciones al día: Todos los sistemas operativos de servidores, portátiles y móviles deben estar actualizados para evitar vulnerabilidades de seguridad conocidas que pudiesen ser aprovechadas por terceros malintencionados.
• Borrado seguro. Todos aquellos archivos que contengan información sensible deberán ser borrados de manera segura cuando finalice su uso, utilizando una herramienta de borrado seguro.

Otras medidas de ciberseguridad en la empresa

Las personas trabajadoras se ven a menudo expuestas a innumerables situaciones de riesgo en materia de ciberseguridad. En algunos casos, no cuentan con los medios necesarios para saber detectarlas. En otros, aunque sean capaces de identificarlas, no saben reaccionar ante ellas con la rapidez necesaria por falta de información. A continuación, resumimos una serie de buenas prácticas de ciberseguridad en el entorno laboral:

• Realiza una configuración segura en tus dispositivos: Establece una política de configuración segura en los dispositivos que utilizas, asumiendo que las configuraciones por defecto no son siempre las más idóneas desde una perspectiva de ciberseguridad.
• Controla las aplicaciones: Limita el número de aplicaciones en tus dispositivos, instalando y utilizando únicamente aquellas destinadas a la operativa habitual de trabajo. Asimismo, es recomendable limitar los permisos aplicando la ley del mínimo privilegio, de modo que las personas implicadas en un proyecto únicamente puedan realizar aquellas tareas necesarias para su desempeño profesional diario. Es conveniente que las personas usuarias finales no tengan rol de administrador.
• Protégete frente a programas maliciosos: Utiliza y mantén actualizada una solución antivirus con protección ransomware, siendo muy recomendable añadir una solución EDR, y realizar escaneos periódicos. Igualmente, te recomendamos apagar aquellos dispositivos que no estén en uso para que en caso de que el sistema se vea comprometido, estos no se vean afectados.
• Lleva un control de las conexiones: En caso de que sea necesario recurrir a un acceso remoto, puedes habilitarlo mediante VPN llevando un control y teniendo un inventario detallado de todos los accesos autorizados. Asimismo, es posible limitar el perímetro, bloqueando por defecto accesos provenientes de localizaciones no habituales como por ejemplo países desde los que no deberían realizar conexiones a nuestra infraestructura. De igual modo, es posible limitar las conexiones salientes a sitios incluidos en listas de reputación catalogados como maliciosos.
• Realiza copias de seguridad: Te aconsejamos establecer y mantener una política de copias de seguridad siguiendo la directriz 3, 2, 1: 3 copias de seguridad en 2 soportes distintos y almacenar 1 de ellas aislada completamente fuera de la red. Es importante realizar dichas copias con una periodicidad que permita recuperar la actividad en un plazo óptimo, en caso de ser necesaria su utilización. Del mismo modo, es recomendable validar el funcionamiento de dichas copias y del proceso de restauración.
• Establece una política de actualizaciones de seguridad: Contar con esta política permitirá aplicarlas en el menor tiempo posible, evitando de esta forma la potencial explotación de vulnerabilidades conocidas. Es importante hacer hincapié en priorizar la aplicación de parches sobre entornos expuestos y especialmente en el caso de vulnerabilidades altas y críticas.
• Refuerza el control de accesos: Activa la autenticación mediante múltiples factores siempre que sea posible, especialmente en aquellos casos en los que impliquen accesos externos, accesos a cuentas con privilegios, etc. Establece, también, una política de cambio de contraseñas que recoja su modificación periódica, forzando el reseteo en el caso de que no se hayan modificado en un plazo de 6 meses. Esto es especialmente importante en el caso de usuarios con rol de administración.
• No descuides la labor de concienciación: Recuerda a las personas empleadas la necesidad de extremar las precauciones durante el manejo de correos electrónicos y adjuntos. Este es un paso clave para mejorar la ciberseguridad en cualquier empresa.
• Instaura un protocolo de alerta temprana: Si identificas algún tipo de actividad maliciosa, es necesario reportar inmediatamente a la persona responsable de seguridad / sistemas. Esta persona podrá tomar las medidas oportunas para mitigar el impacto, aislarse del resto de entidades y notificar a través de los canales establecidos.

En el caso de que en tu empresa se identifique una campaña activa de malware o phishing que pudiese afectar a Euskadi, es recomendable que se reporte al BCSC enviando un correo a  incidencias@bcsc.eus. De esta forma, su equipo del CERT procederá a realizar el análisis técnico correspondiente y la posterior aplicación de las medidas técnicas necesarias para su mitigación y desmantelamiento de modo que se limite el potencial impacto.

Estos son solo algunos de los retos a los que las empresas deben hacer frente en su día a día en el ámbito de la ciberseguridad. Si tu entidad necesita acompañamiento para cubrir y dar respuesta a sus necesidades, el Basque CyberSecurity Centre proporciona información actualizada sobre amenazas, jornadas de concienciación e información para empresas industriales con sede en Euskadi.