Teletrabajo ciberseguro: adaptación al cambio en tiempos de Covid-19

Por Susana González

La pandemia ocasionada por el Covid-19 ha obligado a teletrabajar a millones de personas a nivel mundial.

Cientos de miles de personas que quizá no estaban todavía suficientemente digitalizadas y otras muchas que, aunque lo estuvieran, no estaban preparadas para el teletrabajo ciberseguro, compartiendo recursos en el hogar sin tener claras las mínimas pautas de ciberseguridad para minorar riesgos del tratamiento de la información propia y de terceros.

Prácticamente de la noche a la mañana, hemos pasado a vivir en casa la educación de nuestros hijos en remoto; las compras online; las videoconferencias múltiples personales y de trabajo; el diagnóstico médico; y a consumir una más que ingente cantidad de información online a través de la Smart TV, de Internet y de las redes sociales. Todo esto, generalmente, con los mismos dispositivos para todo y para todos.

Ya todos tenemos claro que aquello de “no tengo nada que ocultar”, o “¿qué interés van a tener los ciberdelincuentes en mi información?” ha pasado a la historia.

Los ciberataques no siempre son dirigidos a una persona u organización en concreto. De hecho, la inmensa mayoría de los ciberataques están automatizados, destinados a probar suerte allá donde haya una vulnerabilidad explotable. Hay millones de IPs maliciosas en todo el mundo intentándolo constantemente y cientos de miles de usuarios y contraseñas publicados procedentes de diversas cuentas online.

¿Dónde está el riesgo?

El tráfico malicioso es un problema global que se ha acrecentado con la pandemia del Covid-19.

Los ataques por correo electrónico (phishing) se han intensificado. Ingeniería social para suplantar la identidad de cuentas reconocidas para los usuarios, enviando correos ficticios que parecen reales, con el objetivo de hacerse con nuestras credenciales, números de cuenta o secuestrar nuestra información a cambio de un rescate (ransomware).

Son muchos los casos que, en apenas un mes, hemos podido advertir. Desde correos fraudulentos suplantando a entidades financieras de reconocido prestigio, pasando por ofertas falsas de cura del coronavirus o de material de protección; promociones de productos y servicios fraudulentos; hasta suplantaciones como la propia OMS, la Seguridad Social ofreciendo el cobro de las cantidades ; ofreciendo ayudas de diversas administraciones, e incluso de recaudación de fondos; antivirus maliciosos que al descárgalos convierten el dispositivo en un bot bajo control del ciberatacante que utiliza la información para su enriquecimiento o para vender el acceso a un tercero, etc.

Nuestro portátil o equipo de sobremesa en casa, nuestra conexión WiFi, nuestros electrodomésticos conectados y nuestras herramientas sin licencia o con licencia personal en lugar de profesional, son algunas de nuestras vulnerabilidades durante el teletrabajo.

No hace falta que seamos una gran organización para ocuparnos de tomar decisiones ágiles para mantener nuestro ritmo de trabajo en régimen de teletrabajo. Al contrario, si estamos solos, solo tendremos que organizar nuestro puesto y no el de un equipo, lo que obviamente requiere más tiempo y recursos.

Para acotar bien las soluciones es interesante hacer un inventario de los riesgos e identificarlos de forma clara. No todos estaremos en la misma situación. Hagámonos algunas preguntas a modo de autoevaluación para identificar en qué punto nos encontramos cada uno de nosotros:

¿Dónde está la información con la que trabajamos? ¿En local en el escritorio del portátil o equipo de sobremesa del despacho? ¿Contra el servidor físico situado la oficina? ¿Nos vemos entonces obligados a acceder en remoto a nuestro ordenador o servidor? ¿Qué herramientas utilizamos? ¿Hemos pedido a nuestro servicio informático que nos configure una VPN o accedemos a través de alguna herramienta de acceso en remoto gratuita? ¿Tenemos configuradas las copias de seguridad de nuestra información? ¿Compartimos el equipo de trabajo en casa con otros miembros de nuestra familia? ¿Hemos cambiado las claves que vienen por defecto al router y la WiFi de casa?

Si en la actualidad trabajamos contra nuestro servidor, es decir no hemos migrado a herramientas cloud que nos permitan acceder con seguridad desde cualquier otro punto distinto de nuestra oficina o despacho, es obvio que la cosa se complica. Las ventajas de un buen servicio cloud para trabajar en movilidad vienen siendo elementales desde hace años, y más ahora con el teletrabajo, porque además garantizan recursos y configuración en seguridad y privacidad propios de un sector con reforzadas obligaciones de secreto y confidencialidad.

Se nos viene informando que quizás esta situación vaya a prolongarse, e incluso repetirse en el tiempo. ¿Qué tal si nos organizamos para no tener que improvisar otra vez?

Algunas pautas para organizar nuestro teletrabajo ciberseguro

1. Contraseñas, wifi y router: es fundamental utilizar contraseñas fuertes y diversas en todas nuestras cuentas (mínimo 8 caracteres, alfanuméricos, con mayúsculas, minúsculas y símbolos), procurando activar los dobles o múltiples factores de autenticación que cada herramienta nos proporcione y, sin duda, cambiar la clave que viene por defecto a la WiFi de casa y al router para impedir el acceso no autorizado de terceros así como la monitorización de nuestro tráfico de red, con el objetivo de proteger la privacidad y confidencialidad de las comunicaciones y evitando el robo o manipulación de datos transmitidos por la red.
2. Phishing: estar muy alerta de correos fraudulentos, revisar la dirección de la cuenta de envío y no fiarnos nunca de correos que nos piden con urgencia que aportemos información a añadir en un enlace o archivo adjunto.
3. Antivirus y actualizaciones: instala antivirus en todos los dispositivos (sobremesa, portátiles y móviles) y mantén actualizados al día los sistemas operativos, aplicaciones y antivirus. Aunque hayas actualizado hace dos días, si recibes alerta de actualización, hazlo. Las actualizaciones precisamente están manteniendo al día sus parches de seguridad.
4. Acceso en remoto a nuestro servidor y aplicaciones: si no cuentas con plataformas que permiten la movilidad mediante login de acceso y tienes que conectarte a tu servidor, es recomendable utilizar una conexión de Internet privada, con una combinación de tecnologías de cifrado y seguridad de VPN (Virtual Private Network) y MFA (Multi Factor Authentication); evitando desde luego el acceso y administración del servidor profesional o empresarial mediante RDP (Remote Desktop Protocol) o, dicho de otro modo, a herramientas gratuitas de conexión en remoto. ¿Por qué? Fijaos en este tweet de Miguel Ángel Arroyo del día 11 de marzo:

Algunas empresas activando el plan "aliexpress" de teletrabajo. ¿VPN? Anda ya, pa qué… Foto de la izquierda, ayer a las 21h. Foto de la derecha de ahora mismo… Casi 200 RDP nuevos publicados en cuestión de 10 horas. #coronavirus #teletrabajo pic.twitter.com/XHiiVPGrj5

— Miguel A. Arroyo (@Miguel_Arroyo76) March 11, 2020

6. Vídeo-conferencias seguras: procuremos utilizar herramientas que cumplan la normativa y refuercen sus medidas de seguridad. Cierto… no suelen ser las gratuitas; sin embargo, si contamos con licencia de plataformas de trabajo en cloud es muy probable que tengamos acceso a sistemas de videoconferencia más seguros, como es el caso de Teams o Slack.
7. Gobernanza: Busquemos soluciones que no utilicen los datos compartidos con fines publicitarios; que no rastreen nuestros movimientos; que garanticen que suprimen nuestra información cuando termina nuestra suscripción; que toman medidas técnicas y organizativas reforzadas para garantizar que el acceso a los datos sea restringido; que resguarde nuestro acceso a nuestra cuenta mediante factores de autenticación múltiples (MFA); que cifre los datos en tránsito y en las comunicaciones.

¡Mucho ánimo!

Susana González
Abogado especialista en derecho tecnológico, ciberseguridad y marketing digital
WEB: Susana González Ruisánchez
TWITTER: @SuDigitalLawyer