Hola a todos y a todas, soy Lola Rebollo Revesado, Gerente de Apoyo a la empresa e I+D+I en INCIBE.
Os quería dar la bienvenida al curso online de ciberseguridad en el teletrabajo que nace de una colaboración entre Google e INCIBE.
Debido a la creciente necesidad de reforzar la actividad empresarial on-line y de mantener o incorporar talento sin presencia física en las oficinas, las empresas se enfrentan al gran reto de ofrecer la modalidad de teletrabajo a sus empleados de una manera segura, eficiente y que cumpla con las normativas para el trabajador, la empresa y sus clientes.
Al implantar estas soluciones de teletrabajo se amplía la superficie de exposición y tenemos que adaptarnos a una nueva complejidad tecnológica, lo que conlleva nuevos riesgos. En ocasiones, como la situación provocada por la pandemia, se han implantado de una manera apresurada, omitiendo algunas recomendaciones o cometiendo algunos errores durante los procedimientos, por lo que los incidentes relacionados con la ciberseguridad en el trabajo han aumentado.
Los ciberdelincuentes, ávidos de nuevas formas de obtener ingresos, son conscientes de este tipo de debilidades y adaptan sus ataques a esta nueva situación.
Espero que este curso pueda dar respuestas a todas vuestras dudas y os ayude a instaurar el teletrabajo de manera segura para todos. Recordar que los trabajadores jugamos un papel fundamental en el mantenimiento de la seguridad de nuestras empresas porque todos somos ciberseguridad. Muchas gracias por vuestro interés y que disfrutéis del curso.
INCIBE es el Instituto Nacional de Ciberseguridad, un organismo dependiente del Ministerio de Asuntos Económicos y Transformación Digital a través de la Secretaría de Estado de Digitalización e Inteligencia Artificial. En su actividad diaria tiene como misión contribuir al desarrollo de la ciberseguridad y de la confianza digital de los ciudadanos y empresas, especialmente para sectores estratégicos.
De esta forma, INCIBE centra sus esfuerzos en la prestación de servicios públicos de prevención, concienciación, detección y respuesta ante incidentes de seguridad, adaptándose a cada público específico, así como al desarrollo de tecnología y herramientas que permiten identificar, catalogar y analizar dichos incidentes.
La actividad de INCIBE se apoya en tres pilares fundamentales:
- El desarrollo de servicios públicos de ciberseguridad orientados a ciudadanos, empresas y el entorno del menor, ofreciendo a estos tres colectivos asistencia para la detección, el análisis y la respuesta ante posibles ciberataques de la manera más efectiva posible.
- Por otra parte, INCIBE fomenta el desarrollo de la industria de ciberseguridad nacional junto con la innovación, desarrollo e investigación, así como la promoción del talento, dando soporte al desarrollo de la industria nacional de ciberseguridad. Gracias a su labor, INCIBE facilita el impulso de nuevas empresas y, por tanto, de nuevos puestos de trabajo.
- El tercer pilar en que se apoya INCIBE es el desarrollo de tecnologías específicas de ciberseguridad y herramientas que permiten identificar, catalogar y analizar incidentes de seguridad. Este conocimiento proporcionado por la tecnología aporta a INCIBE la capacidad de disponer de un modelo de inteligencia que puede hacer frente a las distintas formas de ciberdelincuencia y su constante evolución. Producto de esta capacidad técnica y modelo tecnológico, se establecen distintas colaboraciones con las Fuerzas y Cuerpos de Seguridad del Estado en su lucha contra los ciberdelitos.
Desde el año 2014, INCIBE trabaja para mejorar la seguridad en internet de empresas y autónomos a través del portal ‘Protege tu empresa’, ofreciendo un servicio de apoyo preventivo y reactivo para elevar el nivel de ciberseguridad en el ámbito laboral.
Además, INCIBE, ha creado este curso, en colaboración con Google, con el objetivo de concienciar a pequeñas y medianas empresas sobre los riesgos de Internet, proporcionando las herramientas necesarias para el análisis y la resolución de problemas en ciberseguridad.
En el portal ‘Protege tu empresa’ podrás encontrar distintas aplicaciones y contenidos que te resultarán intuitivos y muy sencillos de utilizar. Además, INCIBE pone a tu disposición el número 017, una línea de ayuda gratuita dedicada a la ciberseguridad desde la que se da respuesta a cualquier tipo de incidente en este ámbito los 365 días del año de 9:00 de la mañana a 21:00 de la noche.
Como empresario deberás preguntarte ‘dónde estás y cómo estás’. Deberás establecer un plan de acción que esté alineado con tu estrategia de negocio, que puede ser, por ejemplo, captar más clientes o dar un mejor servicio. Es importante que definas el alcance de este plan, es decir, si cubrirá todos los servicios o solo parte de ellos. Para conseguir tu objetivo tendrás que adoptar las medidas necesarias relacionadas con la mejora de tus sistemas, seleccionar a los proveedores de servicios informáticos o de almacenamiento, etc. Hoy en día, las empresas dependen de los sistemas informáticos y de Internet para realizar su actividad, lo que hace esencial contar con un plan de ciberseguridad.
El primer paso para gestionar la seguridad en la red de tu empresa será realizar un análisis de riesgo valorando la cantidad de dispositivos y servicios tecnológicos utilizados, es decir, la dependencia tecnológica de tu negocio, para estudiar el impacto que podría tener un problema de ciberseguridad sobre ellos.
Es probable que aún no sepas qué es exactamente un análisis de riesgo en el ámbito de la ciberseguridad o cómo llevarlo a cabo, por lo que INCIBE pone a tu disposición una herramienta de autodiagnóstico que analiza las tecnologías más utilizadas dentro del ámbito de la pyme: el correo electrónico, la página web, los servidores propios, los dispositivos móviles y el teletrabajo. Mediante una serie de preguntas relacionadas con estas tecnologías, la herramienta de autodiagnóstico te mostrará el nivel de riesgo al que se expone tu empresa y, además, te ofrecerá una serie de recomendaciones para reducirlo.
Antes de poder realizar un análisis de riesgos en materia de ciberseguridad, debes conocer cuáles son las principales amenazas a las que está expuesta tu empresa en la red, ya que son muy variadas y podrían ocasionar graves daños a tu negocio. Una buena forma de comprender todos estos riesgos es pensar tal y como lo haría un ciberdelincuente: ¿de qué modo podrías atacar a tu propia empresa?
Tu principal objetivo en esta aventura sería, sin ninguna duda, obtener el mayor beneficio posible. Para ello, podrías realizar acciones como irrumpir en los sistemas de la empresa, piratear los ordenadores para secuestrar la información o capturar credenciales, información financiera y otros datos relevantes que usar a tu antojo. De hecho, una de las contingencias que podría provocar un mayor impacto en las empresas, actualmente, es la pérdida de datos de los usuarios, de los sistemas o incluso el robo de información estratégica. Al fin y al cabo, las empresas suelen estar mejor preparadas para afrontar la pérdida de empleados, proveedores, o incluso clientes, que para afrontar la pérdida de información importante.
Una vez hubieses logrado sortear los sistemas de defensa de la empresa y causado todos los infortunios posibles, llegaría el momento de lucrarte, que al fin y al cabo, sería tu principal cometido. Para ello podrías optar por pedir un rescate por los sistemas secuestrados o la información robada, o incluso vender los datos obtenidos a terceros.
Uno de los elementos que pueden presentar vulnerabilidades en una empresa es su propia página web. En tu papel de delincuente digital, podrías emplear técnicas como:
- El defacement, que consiste en alterar la apariencia de la web para manifestar su vulnerabilidad.
- El phishing, que busca engañar al usuario suplantando a una persona o entidad de confianza para que este realice acciones involuntarias con la finalidad de obtener credenciales o cualquier tipo de información.
- Los ataques de denegación de servicio que impiden a los usuarios acceder a los servicios de la página web.
- O la suplantación o web spoofing, que sustituye la web real por otra falsa con fines ilegítimos.
Por último, no debes olvidarte de las redes sociales. Como ciberdelincuente podrías plantearte la posibilidad de suplantar la identidad de la empresa atacada mediante el uso de un perfil casi idéntico al suyo. De este modo, tendrías acceso a información de usuarios, proveedores, etc. También podrías realizar numerosos comentarios negativos con el objetivo de desprestigiar a la empresa dañando su reputación.
Si eres empresario y empleador y te estás enfrentando al reto de implementar el sistema de teletrabajo en tu negocio, sin duda te surgirán una serie de interrogantes. Una de las primeras cuestiones que te vas a plantear será cómo brindar un teletrabajo seguro a tus empleados. Te cuestionarás cuál es la capacidad y la seguridad que pueden ofrecer los sistemas de acceso remoto: ¿Su uso supone un mayor riesgo? ¿Serán escalables y se adaptarán cuando surjan nuevas necesidades?
Otra cuestión fundamental que debes abordar es cómo cumplir con los aspectos legales que regulan el teletrabajo, recogidos en la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales. Por último, tendrás que decidir qué medidas puedes o debes tomar para concienciar a tus empleados en materia de ciberseguridad.
Una vez analizadas estas cuestiones, deberás decidir qué tipo de dispositivos utilizarán tus empleados: ¿corporativos o personales? En el lugar de trabajo tus empleados siempre han contado con dispositivos corporativos controlados por los técnicos de Sistemas, actualizados y con las medidas de seguridad necesarias. Lo ideal será que esto no varíe al teletrabajar.
Por ello, la mejor opción que puedes ofrecer a tus empleados es que realicen sus labores de teletrabajo utilizando dispositivos corporativos, que además deberán:
- Estar actualizados a la última versión, tanto su sistema operativo como todas las aplicaciones, ya que gran parte de los ataques vienen provocados por la falta de actualizaciones.
- Contar con copias de seguridad que permitan restaurar el equipo en caso de incidente. Este es el único modo para combatir el ransomware o secuestro de datos.
- Por último, debe existir la capacidad de reposición en caso de que un equipo falle, pudiendo sustituirlo rápidamente por otro.
Si no es posible ofrecer dispositivos corporativos, puedes optar por otros modos de teletrabajo como son el Bring Your Own Device o trae tu propio dispositivo (BYOD), donde el trabajador aporta un equipo propio para trabajar, el Choose Your Own Device o elige tu propio dispositivo (CYOD), donde la empresa ofrece al trabajador con qué equipo puede trabajar, o el Corporate Owned, Personally Enabled o propiedad de la empresa y habilitado para uso personal (COPE), donde la empresa le proporciona un dispositivo que permite al trabajador utilizarlo, tanto para uso profesional, como para uso personal. Si eliges cualquiera de estas modalidades es fundamental que los equipos cumplan con una serie de configuraciones y políticas que permiten garantizar que los datos que manejen tus empleados no se vean comprometidos. Los dispositivos de uso personal, al igual que los corporativos, deben mantenerse siempre actualizados, contar con cifrado, copias de seguridad y un sistema de acceso seguro mediante el uso de contraseñas de alto nivel acompañado del acceso mediante autenticación multifactor.
Como empresario y empleador, a la hora de implementar el sistema de teletrabajo, uno de los principales aspectos que deberás considerar es qué tipo de red de comunicación utilizarán tus empleados para comunicarse entre sí y con los sistemas de la empresa.
Actualmente, la única manera de garantizar la seguridad del acceso es mediante el uso de una red privada virtual, más conocida como VPN, que crea una conexión privada y cifrada evitando que se puedan espiar las comunicaciones.
Existen dos modalidades distintas de VPN:
- Si se trata de una VPN propia de la organización, toda la información se gestionará internamente sin que intervengan terceros, ofreciendo un extra de privacidad. INCIBE pone a tu disposición en su web un catálogo en el que podrás encontrar un listado de proveedores que ofrecen este tipo de VPN para que puedas elegir el que mejor se adapte a las necesidades de tu empresa.
- La segunda opción es usar una VPN como servicio, con la ventaja de que toda la administración y gestión la llevará a cabo una empresa externa. Esta será la mejor alternativa en caso de no disponer de los conocimientos necesarios para configurar una VPN propia. Sin embargo, con una VPN como servicio se reduce la privacidad porque la información de la empresa se transmite a un tercero.
Si te has planteado como solución el uso de escritorio remoto, es decir, que tus empleados accedan desde sus propios dispositivos a los de la empresa, hacerlo desde Internet no es recomendable. En caso de contar con una vulnerabilidad o configuración inadecuada, los ciberdelincuentes podrán acceder fácilmente a la red corporativa. Para evitar esta situación y ofrecer un extra de seguridad y privacidad en las comunicaciones, es recomendable utilizar a la vez una VPN y el escritorio remoto. Esto mismo se aplica en el caso de que el acceso se efectúe desde un teléfono móvil.
En cuanto a la manera de conectarse, si se opta por la conexión wifi será necesario haber configurado adecuadamente todas las opciones de seguridad y proteger el acceso con el protocolo WPA2. Pese a ello, siguen existiendo ciertas vulnerabilidades como KRACK, un ataque que logra acceder a las comunicaciones pudiendo leer el tráfico cifrado. También existe la posibilidad de que un atacante inhabilite la comunicación inalámbrica fácilmente mediante el uso de un inhibidor de señal. Para evitar este tipo de vulnerabilidades es recomendable optar por el uso de una red cableada. No solo ganarás en velocidad, sino también en seguridad.
La manera más segura de conectarse remotamente es a través de una VPN. Si has decidido implementar una en tu empresa, ¿cómo puedes confirmar que te ofrecerá la seguridad que necesitas? Antes de confiar en una VPN debes investigar sobre ella, quién la ofrece, cuáles son las condiciones del servicio y cuál es su rendimiento. Podrás obtener información adicional si te informas sobre la reputación del proveedor o leyendo valoraciones de otros usuarios.
A continuación, analizaremos las principales características que la VPN deberá reunir para considerarse suficientemente segura:
- Una de las condiciones más básicas y necesarias será que la red cifre todo el tráfico de extremo a extremo.
- La VPN deberá tener sus servidores en la Unión Europea, ya que el Mercado Único Digital ofrece mejores condiciones de privacidad y seguridad.
- Deberá existir un registro de actividad, los conocidos logs, permitiendo que, en caso de incidente, exista la posibilidad de averiguar qué lo ha ocasionado.
- Su política de privacidad deberá satisfacer los requisitos de tu empresa en cuanto a los datos que se vayan a recopilar y almacenar o la información que vaya a ser compartida con terceros.
- El servicio debe ser escalable, es decir, debe poder ampliarse en la medida en que tu número de empleados aumente.
Aunque sea mucho más recomendable trabajar a través de una red cableada, por su mayor grado de seguridad, es posible que actualmente estés trabajando con una red wifi. Si es así, una medida de seguridad básica que debes adoptar es fortalecer la seguridad del rúter, y por ende la red en la que trabajas. Mantener este actualizado con la última versión del firmware disponible por el fabricante, unido al cambio de las credenciales por defecto, tanto de acceso al rúter, como de los puntos de acceso inalámbricos, además de emplear contraseñas y cifrados lo más seguros posibles, son algunas de las medidas básicas que aplicar para aumentar la seguridad de la red. Tampoco ha de olvidarse el deshabilitar funcionalidades inseguras del rúter, como pueden ser la funcionalidad WPS o el uso de cifrados inalámbricos poco seguros como el cifrado WEP.
Para finalizar con nuestras recomendaciones de seguridad para tu red, hablaremos de los dispositivos IoT. Cada vez son más las pymes y autónomos que los usan: sensores, cámaras de vigilancia, localizadores GPS, asistentes de voz,etc. El catálogo es muy amplio. Puede que para tu empresa sean un activo esencial, pero debes recordar que estos dispositivos son vulnerables: pueden ser infectados, utilizados como punto de acceso a la red o reconfigurados. ¿Qué medidas de seguridad debes adoptar si trabajas con dispositivos IoT? El control de acceso mediante contraseña robusta junto con herramientas multifactor, el uso de técnicas criptográficas que cifren la información, tener al día las actualizaciones, parches de seguridad y administrarlos, haciéndolo siempre desde una red VPN y no directamente desde Internet.
La manera más segura de conectarse remotamente es a través de una VPN. Si has decidido implementar una en tu empresa, ¿cómo puedes confirmar que te ofrecerá la seguridad que necesitas? Antes de confiar en una VPN debes investigar sobre ella, quién la ofrece, cuáles son las condiciones del servicio y cuál es su rendimiento. Podrás obtener información adicional si te informas sobre la reputación del proveedor o leyendo valoraciones de otros usuarios.
A continuación, analizaremos las principales características que la VPN deberá reunir para considerarse suficientemente segura:
- Una de las condiciones más básicas y necesarias será que la red cifre todo el tráfico de extremo a extremo.
- La VPN deberá tener sus servidores en la Unión Europea, ya que el Mercado Único Digital ofrece mejores condiciones de privacidad y seguridad.
- Deberá existir un registro de actividad, los conocidos logs, permitiendo que, en caso de incidente, exista la posibilidad de averiguar qué lo ha ocasionado.
- Su política de privacidad deberá satisfacer los requisitos de tu empresa en cuanto a los datos que se vayan a recopilar y almacenar o la información que vaya a ser compartida con terceros.
- El servicio debe ser escalable, es decir, debe poder ampliarse en la medida en que tu número de empleados aumente.
Aunque sea mucho más recomendable trabajar a través de una red cableada, por su mayor grado de seguridad, es posible que actualmente estés trabajando con una red wifi. Si es así, una medida de seguridad básica que debes adoptar es fortalecer la seguridad del rúter, y por ende la red en la que trabajas. Mantener este actualizado con la última versión del firmware disponible por el fabricante, unido al cambio de las credenciales por defecto, tanto de acceso al rúter, como de los puntos de acceso inalámbricos, además de emplear contraseñas y cifrados lo más seguros posibles, son algunas de las medidas básicas que aplicar para aumentar la seguridad de la red. Tampoco ha de olvidarse el deshabilitar funcionalidades inseguras del rúter, como pueden ser la funcionalidad WPS o el uso de cifrados inalámbricos poco seguros como el cifrado WEP.
Para finalizar con nuestras recomendaciones de seguridad para tu red, hablaremos de los dispositivos IoT. Cada vez son más las pymes y autónomos que los usan: sensores, cámaras de vigilancia, localizadores GPS, asistentes de voz,etc. El catálogo es muy amplio. Puede que para tu empresa sean un activo esencial, pero debes recordar que estos dispositivos son vulnerables: pueden ser infectados, utilizados como punto de acceso a la red o reconfigurados. ¿Qué medidas de seguridad debes adoptar si trabajas con dispositivos IoT? El control de acceso mediante contraseña robusta junto con herramientas multifactor, el uso de técnicas criptográficas que cifren la información, tener al día las actualizaciones, parches de seguridad y administrarlos, haciéndolo siempre desde una red VPN y no directamente desde Internet.
Actualmente, tanto las videoconferencias, como las herramientas colaborativas se están utilizando de forma masiva en el mundo empresarial. En el mercado puedes encontrar multitud de herramientas y plataformas que ofrecen estos servicios, tanto gratuitas, como de pago. A la hora de decidirte por una, deberás identificar aquella que mejor se adapte a las necesidades de tu empresa, teniendo en cuenta las garantías de seguridad y privacidad que ofrecen y considerando el tipo de archivos que permitirán, tanto cargar, como descargar.
Durante una videoconferencia se puede exponer información delicada y confidencial, ya sea relativa a clientes, proveedores, productos, datos sobre la economía de la empresa, etc. Para garantizar la seguridad, deberás tener en cuenta, como algo esencial, el cifrado mediante el protocolo SSL de todas las comunicaciones que se efectúen, seleccionando una aplicación que permita esta posibilidad. Si tienes contratado el servicio con un proveedor externo, es fundamental que cumpla con todos los requisitos legales y de seguridad que satisfagan las necesidades de tu empresa.
A la hora de organizar una reunión deberás hacerlo siempre de manera privada, añadiendo exclusivamente a aquellos contactos que deban asistir, a los que deberás dar acceso mediante una contraseña robusta. Además, deberás deshabilitar la compartición de escritorio, audio y vídeo por defecto, excepto en los casos en que sea necesario.
Otra cuestión que deberás tener en cuenta para mejorar la seguridad de tu empresa es proteger el backend, es decir, el sistema encargado de gestionar las solicitudes a la página web, que deberá ser totalmente invisible para cualquier usuario y estar protegido para que únicamente las personas autorizadas puedan tener acceso a él.
Los servicios de backend deben ser considerados como críticos debido a las implicaciones que supondría que se vieran comprometidos. Por ello, el acceso a los mismos debe efectuarse siempre a través de canales cifrados comenzando por contar con una red VPN, protocolos robustos y todas aquellas capas de seguridad que sea posible añadir sobre este tipo de servicios.
Por último, haremos mención a los perfiles corporativos en las redes sociales. Para protegerlos, resulta esencial utilizar en todo momento la autenticación multifactor de acceso, de modo que, si alguien fuera capaz de sustraer el usuario y contraseña, ese elemento de seguridad adicional impediría el acceso o suplantación de las redes empresariales.
Además de todas las cuestiones relacionadas con la ciberseguridad, al implantar el sistema de teletrabajo en tu empresa, es imprescindible que protejas a tus empleados frente a los riesgos laborales a los que se exponen, siendo algunos de los más comunes en este ámbito los relacionados con la utilización de pantallas, las posturas forzadas, la mala iluminación o la sobrecarga de trabajo por una mala planificación.
También debes tener en cuenta que el teletrabajo supondrá nuevos retos en materia de protección de datos. Es posible que debas actualizar los acuerdos de confidencialidad firmados para contemplar nuevos aspectos, como el uso de herramientas de compartición de datos o la restricción del acceso a servicios para evitar la filtración de información. Cabe destacar que, dependiendo del sector, cada empresa tendrá un nivel de adecuación a la legislación vigente diferente. No serán iguales las medidas de protección de datos que deba adoptar una empresa sanitaria, que maneja diariamente datos sensibles de las personas, que una dedicada a la construcción.
Lo mismo se aplica a los aspectos relacionados con la Ley de Propiedad Intelectual. Con el teletrabajo vas a permitir que la información salga de tus oficinas, lo que hace totalmente necesario que busques las herramientas, mecanismos y acuerdos necesarios y oportunos para que, en caso de que se filtre información, sea posible identificar a los responsables y tratar de recuperar esa información o restituir la pérdida económica que haya supuesto.
Para finalizar, hablaremos sobre la concienciación. Los empleados suelen ser los principales causantes de incidentes, pero de manera no intencionada. Para reducir cualquier tipo de problemas que puedan ocasionar, contamos con las herramientas de concienciación. Debes comenzar por establecer políticas de uso y darlas a conocer. Si no se divulgan, los empleados no sabrán cómo deben actuar, suponiendo un riesgo para la seguridad y la privacidad. Si tu empresa trabaja con datos personales, recuerda que deben estar especialmente protegidos ya que, en caso de una filtración, los perjuicios serían muy elevados, pudiendo repercutir de manera muy negativa en tu compañía.
Es necesario que entrenes a tus trabajadores en la detección de amenazas relacionadas con aquellas herramientas que manejan habitualmente como, por ejemplo, el correo electrónico. Debes facilitarles el reporte de incidentes, para que sepan a quien deben comunicar cualquier contratiempo y así solucionarlo lo antes posible. Por último, tus empleados deberán conocer y cumplir los acuerdos de confidencialidad y saber aplicar el Reglamento General de Protección de Datos, la Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales, así como las normativas necesarias para cumplir otros requisitos legales como la Ley de Servicios de la Sociedad de la Información y del Comercio Electrónico.
El teletrabajo se ha convertido en una alternativa que te permite trabajar desde una ubicación diferente a la oficina, un modelo que está ganando peso en todo tipo de organizaciones gracias a sus múltiples beneficios, como la flexibilidad de horarios, la conciliación familiar o la posibilidad de contar con talentos de cualquier lugar del mundo. Pero, permitir el teletrabajo sin adoptar las medidas necesarias de seguridad, puede ser un riesgo para la empresa, haciendo vulnerable su red y su información.
Si como empleado te encuentras actualmente en esta situación de teletrabajo, deberás cumplir una serie de pautas que, aunque puedan parecer muy simples y de sentido común, en muchos casos no se están respetando.
Comenzando por algo básico y necesario, lo primero que debes tener en cuenta al trabajar desde tu domicilio es impedir que cualquier persona que conviva contigo o tenga acceso a tu vivienda, pueda obtener remotamente los datos de la empresa, especialmente aquella información que pueda considerarse confidencial. Incluso personas de confianza, como familiares y amigos, no deben acceder a este tipo de datos, ya que estarías incumpliendo los acuerdos de confidencialidad que has firmado con la empresa.
Relacionado con esto, una práctica común entre los ciberdelincuentes consiste en simular ser del servicio técnico de la empresa pidiendo acceso al ordenador con el pretexto de solucionar cualquier tipo de incidencia, y, de este modo, poder hacerse con los datos de la compañía. Debes tener mucho cuidado si te sucede algo similar y verificar que se trate de un apoyo técnico real antes de concederle ningún tipo de acceso.
Otra recomendación importante que debes seguir es proteger el acceso a los servicios o los soportes mediante contraseñas robustas, evitando aquellas fácilmente deducibles o que ya utilices en tus cuentas o servicios personales.
Debes tener mucho cuidado con tus dispositivos, sobre todo fuera del domicilio, para evitar cualquier posible pérdida que, no solo haría vulnerable la información de la empresa que puedan contener, sino que además te inhabilitaría temporalmente para realizar tu trabajo.
Recuerda que en todo momento debes cumplir con la Ley Orgánica de Protección de Datos Personales y Garantía de los Derechos Digitales en cuanto al tratamiento de información personal se refiere.
Para finalizar, una última medida será evitar compartir un mismo dispositivo para el uso profesional y personal. Si no fuera posible, deberás usar distintas cuentas con usuarios limitados y servicios restringidos.
Una de las necesidades propias del teletrabajo será poder acceder remotamente a la red de la empresa para disponer de las aplicaciones, servicios y datos corporativos. Este acceso remoto del que hablamos, va a exigir que adoptes unas medidas de seguridad específicas que impidan que la red corporativa sea vulnerable ante un posible ciberataque.
Cuando te vayas a conectar de manera remota siempre deberás usar contraseñas con la robustez suficiente para impedir que una supuesta herramienta de ataque sea capaz de descifrarlas o inferirlas. Además, siempre que sea posible, utiliza la doble autenticación.
Esta misma recomendación es aplicable a tu equipo y dispositivos móviles: protégelos con credenciales de acceso y utiliza contraseñas robustas y de doble factor. Además, mantén siempre los sistemas operativos y las aplicaciones actualizados, instala software de repositorios oficiales y dispón del antivirus que tu empresa te recomiende. Recuerda tener activado el cifrado de discos en todos los dispositivos que emplees para trabajar, de este modo en caso de pérdida o robo, los datos no serán accesibles para un tercero. De la misma manera, si utilizas soportes extraíbles que contienen información crítica, también deberás cifrar estos dispositivos.
También será necesario que realices copias de seguridad de manera periódica de todos tus soportes. De este modo, podrás asegurar la continuidad de trabajo en caso de que tenga lugar un incidente de seguridad o cualquier posible contingencia, como el robo o pérdida del dispositivo o una avería del mismo.
En la medida de lo posible, usa los recursos de la Intranet corporativa para compartir archivos de trabajo. Por un lado, garantizas que los archivos de trabajo estén actualizados y, al mismo tiempo, evitas compartir información confidencial a través de Internet.
Teletrabajar en un entorno seguro también es una parte importante a la hora de evitar incidentes de seguridad. Para ello, debes utilizar la red doméstica, sobre la que tienes un mayor control, evitando siempre utilizar redes wifi públicas. Del mismo modo, si las condiciones lo permiten, debes priorizar el cable, ya que resulta mucho más seguro. En caso de que tengas que conectarte mediante wifi, asegúrate de que reúne las medidas de seguridad esenciales, como contar con una contraseña de acceso lo más robusta posible, utilizar el cifrado WPA2 (como mínimo) y deshabilitar la funcionalidad WPS.
Para finalizar, hablaremos sobre el uso seguro de dispositivos móviles, como, smartphones o tabletas. Además de las recomendaciones comunes con cualquier dispositivo de escritorio, es importante que elimines aquellas aplicaciones no esenciales (sobre todo si provienen de plataformas de descarga no oficiales), actives el bloqueo de pantalla, no utilices estos dispositivos para otros propósitos que excedan los laborales y nunca los compartas con otras personas del hogar.
En este vídeo, repasaremos algunos consejos rápidos y sencillos que debes tener siempre en cuenta cuando trabajes a través de la red y que también podrás aplicar en tu día a día. Escucha con atención, ya que pueden resultarte muy útiles para mejorar tu seguridad:
- Comenzaremos hablando sobre los correos y, en general, cualquier tipo de mensaje que puedas recibir por distintos medios. ¡Debes tener mucho cuidado! INCIBE detecta a diario multitud de ataques procedentes de esta fuente: enlaces o contenidos adjuntos maliciosos que pueden provocar que tu equipo se infecte con un malware. Por ese motivo, no debes abrir nunca contenido de un correo que no estés esperando o que te resulte sospechoso. Y nunca accedas a una URL enlazada en un mensaje sin haber comprobado antes que sea oficial y legítima. Del mismo modo, ten cuidado a la hora de tomar como cierta la información que puedas recibir por correo o mensaje, acéptala únicamente si la fuente es confiable.
- Para hacer tu hogar ciberseguro recuerda que debes instalar antivirus en cualquier dispositivo que se conecte a Internet: ya sea un ordenador, smartphone o tableta. Desinstala cualquier aplicación que no uses y revisa todos los permisos de aquellas que vayas a mantener en tu dispositivo para comprobar que ninguna exceda los límites necesarios para su funcionamiento.
- Si te vas a conectar a través del wifi, asegúrate de haber modificado la contraseña por defecto de acceso al rúter, así como utilizar un cifrado seguro, WPA2 o superior, y haber cambiado la contraseña por defecto de este..
Revisa tu configuración de privacidad en las redes sociales. Si tu perfil es de carácter corporativo, ten cuidado con la información que ofreces y los datos que publicas.
- Para el uso de aplicaciones de mensajería instantánea, además de seguir las mismas recomendaciones que con el correo electrónico, se recomienda no utilizar dispositivos o perfiles profesionales para uso personal, y así evitar incidentes y distracciones.
- Mantente alerta y no respondas a mensajes o llamadas que puedan resultar sospechosos. Si afirman ser del servicio técnico o formar parte de tu propia organización, comprueba que es así antes de compartir ningún tipo de información potencialmente peligrosa.
- Tampoco compartas información de carácter financiero a través de canales no seguros como, por ejemplo, el correo electrónico. Lo ideal es que siempre que debas hacerlo, cifres la información mediante algún tipo de sistema compartiendo la contraseña únicamente con el destinatario.
- Si vas a comprar a través de Internet, hazlo únicamente en sitios confiables y nunca envíes dinero por adelantado a alguien que no conozcas.
Hasta el momento hemos repasado las bases que te permitirán teletrabajar de manera segura sin exponerte, ni poner en riesgo la red de tu empresa ante un posible ciberataque. En este vídeo profundizaremos en algunas de las medidas de las que ya hemos hablado previamente para ayudarte a aplicarlas en tu día a día de manera eficaz y sencilla.
Hemos hablado, en distintas ocasiones, sobre la necesidad de que emplees contraseñas robustas y distintas para cada servicio, utilizar el acceso multifactor, y que, además, no las almacenes por defecto en tus dispositivos. Puedes pensar que es una tarea imposible si te estás planteando que deberás recordar todas y cada una de ellas de memoria, sobre todo teniendo en cuenta que deberás actualizarlas periódicamente. Como solución, te proponemos que uses un gestor de contraseñas, es decir, una base de datos en la que se almacenarán todas tus contraseñas aplicando un algoritmo de cifrado muy potente y seguro. Gracias a un servicio de este tipo podrás alcanzar un elevado nivel de seguridad de manera muy sencilla.
Recuerda también configurar todos tus equipos domésticos según las directrices de tu empresa, de este modo, además de ganar en seguridad, se facilitará tu trabajo en caso de que debas alternar entre tu casa y la oficina, sin que la adaptación entre ambos escenarios resulte costosa.
Nunca bajes la guardia en relación con la seguridad de tu red y dispositivos, recuerda que no basta con protegerlos inicialmente, sino que de manera periódica deberás actualizar y revisar su configuración implementando cualquier mejora disponible.
Separa siempre lo laboral de lo personal, no compartas los mismos equipos para ambas dimensiones, ni tampoco uses tus cuentas personales de correo electrónico para el ámbito laboral. Si para realizar tu trabajo utilizas servicios de mensajería directa, recuerda que debes revisar todas las configuraciones de seguridad y de privacidad, y si mantienes chats en grupo con distintos miembros de la organización, ten cuidado con la información que compartas a través de ellos, ya que cualquier participante tendrá acceso a la misma.
Por último, mantente al día sobre los últimos intentos de fraude, si conoces qué está sucediendo será poco probable que te pillen desprevenido con uno de ellos. INCIBE pone a tu disposición boletines oficiales que, si lo deseas, podrás recibir directamente en tu correo electrónico para que te mantengas siempre al tanto y puedas mejorar tu seguridad. Además, del 017, nuestra línea de ayuda en ciberseguridad.
Hoy en día, las empresas son uno de los principales objetivos de los ciberdelincuentes, especialmente las pymes y autónomos, ya que por lo general no cuentan con aquellas medidas de seguridad necesarias para evitar o gestionar incidentes relacionados con la ciberseguridad. En este contexto, cobra especial relevancia el papel de INCIBE, que gestiona más de 100.000 casos anualmente, gracias a su equipo especializado en análisis y gestión de incidencias de seguridad y fraude electrónico, que opera de manera continuada 24 horas al día, los siete días de la semana.
Para reducir el impacto de los incidentes que se producen a diario y que, en su gran mayoría, afectan a ciudadanos y empresas, INCIBE centra su esfuerzo en aquellos de mayor gravedad y mayor incidencia. Si realizamos una clasificación de todos los casos gestionados, los más numerosos pertenecen a la categoría de fraudes, sobre todo los relacionados con falsas ventas a través de Internet. La segunda amenaza más frecuente son los ataques a equipos no actualizados que presentan vulnerabilidades por carecer de los parches de seguridad necesarios. En tercer lugar, nos encontramos con las infecciones por malware que pretenden robar o borrar datos, alterar las funciones básicas del equipo infectado o espiar la actividad del usuario intrusivamente.
Destaca especialmente el aumento de fraudes ocasionado a raíz de la crisis del COVID-19: aplicaciones maliciosas que recopilan datos de los usuarios con el pretexto de realizar un diagnóstico de salud, intentos de phishing de todo tipo de entidades y organismos, bulos, falsos remedios contra el coronavirus, etc. El aumento de este tipo de incidentes ha sido tal que la Agencia Española de Protección de Datos se ha visto en la necesidad de publicar una notificación alertando sobre las recogidas ilegítimas de datos por parte de aplicaciones de autoevaluación del coronavirus.
Si algo demuestra este considerable incremento de fraudes, es que los ciberdelincuentes aprovecharán cualquier tipo de ocasión y de vulnerabilidad para atacar. Por ese motivo resulta fundamental mantenerse siempre alerta y conocer cuáles son las amenazas actuales a las que, bien como empresa o como ciudadano, nos podemos enfrentar. INCIBE cuenta con una sección de avisos en la que facilita toda la información necesaria para prevenir, proteger y responder ante incidentes de seguridad en el entorno empresarial, así como la posibilidad de suscripción a su boletín para recibir directamente la información por correo electrónico.
Aunque implantar las medidas apropiadas reduce considerablemente el riesgo de sufrir un incidente de seguridad, nunca estaremos totalmente a salvo. Por ello, debemos contar con un plan de acción que nos indique el modo más eficaz de actuar en estos casos. Una mala gestión podría agravar considerablemente la repercusión del incidente para nuestra empresa, por lo que debemos estar preparados para reaccionar de una forma rápida y eficaz.
Cuando un incidente tiene lugar, lo primero que debemos hacer es formar un equipo que se encargue de analizar y gestionar lo sucedido. La respuesta adecuada a los incidentes de seguridad comienza con la identificación clara de los mismos, partiendo por analizar qué ha ocurrido, qué daños hemos sufrido, recopilar toda la información posible, y qué repercusión puede tener la incidencia en nuestra empresa. También debemos analizar por qué ha ocurrido e identificar la amenaza a la que nos estamos enfrentando, siendo conscientes de dónde se halla la vulnerabilidad que ha permitido que seamos víctimas del ciberataque.
Tras haber evaluado debidamente el impacto, nos queda decidir qué medidas adoptaremos para paliarlo. En caso de que se hayan visto comprometidos datos personales de empleados, proveedores o clientes, deberemos comunicárselo, en primer lugar, a la Agencia Española de Protección de Datos y, dentro de la organización, a quien corresponda. También deberemos reportar el incidente a las autoridades para que lo investiguen. Al tramitar la denuncia deberemos informar sobre la gravedad del ataque y aportar todas aquellas pruebas que puedan servir para rastrear al culpable. Si fuera necesario, deberemos notificarlo a cualquier organismo externo que pueda tener competencia en relación con el incidente.
Por último, deberemos recuperar los sistemas que se hayan visto afectados y paliar, en la medida de lo posible, los efectos negativos que el incidente haya podido ocasionar. Es aconsejable contar con una póliza de ciberseguridad adaptada a las necesidades de nuestra empresa ya que nos ayudará a mitigar las consecuencias de cualquier ataque cibernético y a afrontar las pérdidas económicas y reputacionales.
Una vez resuelto el problema, no debemos dar por concluido el proceso, ya que una parte fundamental consistirá en aprender de nuestros errores y mejorar nuestra protección para que no se repita en el futuro o, si pasa algo similar, el daño sea mínimo.
Cualquier empresa debe saber cómo reaccionar ante un posible incidente de seguridad que pueda disminuir su capacidad operativa o incluso hacer peligrar la continuidad del negocio. Es imposible garantizar la seguridad total y, si en algún momento, nuestra empresa debe enfrentarse a una contingencia, debemos ser capaces de dar una respuesta rápida y efectiva que permita restaurar la actividad normal antes de que el negocio pueda verse comprometido.
¿Cómo debemos prepararnos ante las incidencias que puedan surgir? Para comenzar, debemos contar con un Plan de Contingencia y Continuidad de Negocio que tenga como objetivos esenciales la reanudación de las actividades empresariales lo antes posible, mantener la confianza en la empresa y reconectar con los principales clientes y proveedores.
Este plan deberá regular las acciones a llevar a cabo en caso de que se produzca una incidencia de seguridad grave, fijando aquellos mecanismos que nos vayan a permitir mantener el nivel de servicio dentro de unos límites predefinidos. También deberemos establecer el periodo de recuperación que, como mínimo, será necesario para restaurar los sistemas. Para poder estimar cuál será este tiempo, deberemos realizar un entrenamiento y llevar a cabo las pruebas necesarias para verificar que la continuidad del negocio es factible y que podremos recuperar la situación anterior al incidente.
El Plan de Contingencia deberá contemplar, además, aquellos mecanismos que nos permitan analizar los resultados del incidente y los motivos que lo propiciaron, ya que ello nos servirá para aprender de los fallos que hayamos podido cometer y conseguir que no se repitan. No debemos olvidarnos de definir, dentro del plan, quiénes serán las personas responsables de aplicarlo, las operativas que seguirán para ello y los activos implicados, tanto personales como físicos. Una vez hayamos finalizado de definir el Plan de Continuidad, debemos comprobar que sabemos ponerlo en marcha.
Todo este proceso es de vital importancia para garantizar la continuidad de nuestro negocio. Un buen plan de contingencia sólido nos permitirá evitar la interrupción de las actividades corporativas en caso de desastre, repercutiendo de manera positiva en la imagen y reputación de la empresa y, a su vez, mitigando el impacto financiero que pueda suponer el incidente. Incluir un plan de contingencia y continuidad dentro de nuestro plan director de seguridad, es uno de los pilares para aumentar el compromiso en materia de ciberseguridad en nuestra empresa.
El uso de los nuevos soportes tecnológicos, las redes, los dispositivos o la computación en la nube se ha convertido en una realidad de nuestro día a día, tanto en el papel que desempeñamos, como ciudadanos, empleadores o empleados. Muchas empresas basan su actividad en los sistemas de información, convirtiéndose por ello en objetivo de los ciberdelincuentes que se aprovechan de las vulnerabilidades de los mismos para desarrollar su actividad delictiva. Además, existen otras muchas amenazas, tanto externas, como internas, intencionadas o accidentales.
Para reducir todas las amenazas que pueden afectar negativamente a nuestra actividad en la red, debemos de aplicar ciertas medidas de seguridad básicas relacionadas con el control de acceso, la seguridad en las operaciones y la recuperación ante pérdidas de información. En este vídeo, veremos una serie de recomendaciones fundamentales o buenas prácticas que contribuirán a reducir significativamente los riesgos a los que, como hemos visto, nos exponemos a diario:
- Para prevenir el acceso no autorizado a nuestros sistemas y aplicaciones debemos utilizar, siempre que sea posible, la verificación en dos pasos, también conocida como autenticación de doble factor. De este modo, para iniciar sesión no bastará con introducir nuestro usuario y contraseña (que podrían ser robados), sino que deberemos facilitar otro código que recibiremos, por ejemplo, en nuestro teléfono móvil o correo.
- Para mejorar la seguridad de nuestros dispositivos deberemos adoptar medidas, como mantener siempre actualizados los sistemas y aplicaciones e instalar cualquier parche de seguridad disponible, utilizar herramientas antivirus y llevar a cabo copias de seguridad, incluyendo pruebas de restauración periódicas, que nos permitan garantizar que podremos reanudar la actividad rápidamente en caso de que suframos un incidente o pérdida.
- Siempre que estemos trabajando en remoto, hacer uso de la conexión VPN, para evitar posibles incidentes de seguridad y mantener la información de la empresa segura.
- Aunque siempre será preferible que nos conectemos a través de cable, en caso de que utilicemos conexión wifi, debemos asegurarnos de haber adoptado todas las medidas de seguridad necesarias para reforzar la misma.
- Siempre deberemos utilizar el protocolo HTTPS para conexiones a servicios web. De este modo, todos los datos que transferimos se protegerán mediante un cifrado SSL viajando de un modo seguro de un lugar a otro.
- Por último, cualquier empresa deberá implementar políticas específicas para el uso del equipamiento en la modalidad de teletrabajo y formar y concienciar a sus empleados en relación con la detección de amenazas que existen en Internet y que pueden impactar negativamente en el negocio.
