10 consejos de ciberseguridad para viajes de negocios y empleados remotos
Muchas organizaciones modernas operan en un modelo distribuido, con sucursales y endpoints desplegados fuera de una oficina física. El concepto de perímetro de red se ha ampliado espectacularmente en los últimos años. Se ha visto impulsado por dos importantes hitos pospandémicos: la implantación del trabajo remoto y la vuelta a los viajes de negocios.
Pero cualquier cosa que se conecte a la red corporativa es un vector potencial para los atacantes, que pueden abrirse camino hasta el núcleo de la red comprometiendo primero una sucursal o un endpoint. En WatchGuard tenemos 10 consejos de ciberseguridad para viajes de negocios y empleados remotos que debe seguir para evitar que los hackers accedan a las "joyas de la corona" de una organización:
1. Evita acceder a tu correo electrónico corporativo desde redes públicas sin la protección adecuada:
Durante tu viaje de negocios, es probable que tu hotel disponga de una red Wi-Fi pública. Si necesitas acceder al correo electrónico corporativo o a documentos de la empresa durante el viaje de negocios, evita utilizar una red pública. Intenta al menos utilizar una red Wi-Fi con contraseña para ofrecer cierta protección básica frente al público en general. Hoy en día, con el aumento del trabajo a distancia, los departamentos de informática y seguridad no prohíben el uso de redes públicas, pero sí imponen requisitos para utilizarlas. Tanto si te unes a una red Wi-Fi pública como privada que tu o tu empresa no controláis, debes contar con un conjunto de protecciones de endpoint en su dispositivo, como antimalware, firewall de host, etc. A continuación, utiliza siempre una VPN para proporcionar una capa adicional de cifrado a tu conexión, de modo que otras personas en esta red pública no puedan interceptar tu correo electrónico y demás. Las redes Wi-Fi públicas se han convertido en una realidad para muchos trabajadores que viajan, pero debes asegurarte de emplear protecciones en tu ordenador cuando las utilices.
2. Descarga aplicaciones antes de salir:
Las aplicaciones maliciosas pueden acceder a todos los datos de tu teléfono, incluidos los de tu empresa, y sufrir un ciberataque. Si quieres descargar una aplicación, hazlo sólo desde fuentes y repositorios de confianza. Por ejemplo, sólo obtén aplicaciones de las tiendas oficiales de Apple o Google en dispositivos móviles. O descarga únicamente a través de las tiendas de aplicaciones de Microsoft o Apple para ordenadores. La gente necesita ayuda con las aplicaciones maliciosas cuando descarga cosas de fuentes no oficiales. Tampoco piratees. Además de ser ilegal en la mayoría de los países, pocas cosas son realmente gratis, y muchas aplicaciones pirateadas vienen con malware.
3. Desactiva Bluetooth a menos que sea necesario:
Reducir al mínimo el uso de Bluetooth minimiza tu exposición a vulnerabilidades muy reales. La conectividad Bluetooth puede presentar problemas porque las señales provienen de todas direcciones. Si dejas Bluetooth activado, las personas que estén cerca pueden conectarse a tu teléfono y posiblemente piratear tu dispositivo. Mantén el Bluetooth desactivado en la medida de lo posible para evitar posibles ataques.
4. No hagas clic en enlaces de correos electrónicos o sitios web:
Si recibes un correo electrónico sospechoso sobre un cambio urgente de contraseña, un pago a un proveedor que no puede esperar o cualquier otra cosa extraña y sospechosa, ¡cuidado! Aunque proceda de un contacto conocido, podría tratarse de phishing. Verifica la dirección del remitente y, en caso de duda, no abras ni respondas al mensaje. Si crees que debes visitar un sitio del que te has enterado por un correo electrónico, te recomendamos que entres manualmente en el dominio y busques el contenido que deseas en lugar de hacer clic en el enlace del correo.
5. Activa la autenticación de dos factores o multifactor (2FA/MFA) siempre que puedas:
Los atacantes tienen muchas formas de robar tus contraseñas. Quizá la hayan obtenido suplantando tu identidad. Tal vez hackearon un sitio que visitas y obtuvieron tu contraseña de allí, y si utilizas la misma contraseña en otros lugares, esto es un problema mayor. El malware también puede robar contraseñas. Sin embargo, MFA puede salvarte incluso cuando un atacante conoce tu contraseña. Esta función significa que cada vez que alguien intenta entrar en tu cuenta, también necesita algún segundo factor de autenticación, como la aprobación de una notificación en su teléfono móvil, para entrar como tú. Esto hace que sea mucho más difícil piratear tus cuentas, incluso cuando los actores de amenazas roban tus credenciales, y, lo mejor de todo, se te avisa de que están intentando obtener acceso no autorizado a uno de tus servicios.
6. Actualiza tu sistema operativo y software:
No actualizar el software como se recomienda puede dejar una puerta abierta a vulnerabilidades. Antes de salir de la oficina, realiza todas las actualizaciones pendientes del sistema y asegúrate de revisarlas y aplicarlas en cuanto regreses. De nuevo, tu departamento de TI suele disponer de procesos o herramientas que fuerzan y automatizan las actualizaciones. Si es así, es posible que no tengas que hacer nada. Sin embargo, a veces estas soluciones automatizadas siguen preguntando al usuario local si puede actualizar y reiniciar en ese momento. Así que asegúrate de aprobar las actualizaciones antes de tu viaje de negocios.
7. Si sólo utilizas MFA, cambia tus contraseñas sólo cuando sea necesario:
En el pasado, ha sido un consejo de seguridad muy común decirle a la gente que cambie sus contraseñas con regularidad, como cada seis meses o un año. Este consejo esperaba proteger de una fuga de credenciales no revelada, con la esperanza de que cambiara la contraseña antes de que un atacante que la hubiera robado pudiera utilizarla. Sin embargo, si se utiliza la autenticación multifactor (MFA), los expertos en seguridad inteligente consideran ahora que es un mal consejo, por dos razones.
La primera razón es que la combinación del uso de MFA y las filtraciones públicas de credenciales significa que hoy en día es probable que sepas rápidamente cuándo te han robado las credenciales y estés protegido contra ello. Si utilizas MFA y un atacante intenta usar una credencial robada, fallará al iniciar sesión en la parte de MFA. Si intentan esa credencial repetidamente, esto se convierte en un indicador registrado de que alguien tiene tus credenciales de usuario, permitiéndote sólo pedirles que cambien su contraseña ahora que estás fuera. Además, muchas grandes filtraciones de contraseñas aparecen en la dark web. Hay servicios que pueden buscar usuarios en tu dominio para ver si tus contraseñas aparecieron en una filtración reciente, lo cual es otro indicador de que debes rotar la contraseña. Con estas dos cosas en tu lugar, no tienes que cambiar al azar tu contraseña con regularidad, ya que MFA te protege cuando una contraseña está en manos de otra persona, y sólo tienes que cambiar la contraseña cuando se sabe que la credencial está en peligro.
"¿Por qué no pedir a la gente que cambie aleatoriamente sus contraseñas de todos modos?", te preguntarás, "como una salvaguarda adicional". Pues bien, resulta que obligar a los empleados y usuarios a cambiar regularmente su contraseña les irrita lo suficiente como para animarles a seguir prácticas de creación de contraseñas muy deficientes. Si su contraseña es "MyStr0ngCr3d", la primera vez que les pides que la cambien, puede que no quieran memorizar algo completamente nuevo, así que la cambian por "MyStr0ngCr3d". La siguiente vez podría ser "¡¡¡MiStr0ngCr3d!!!" y luego "¡¡¡MiStr0ngCr3d!!!" y así sucesivamente. La cuestión es que no se trata de una contraseña nueva, sino de una secuencia predecible de pequeñas ediciones añadidas a una contraseña ya existente. Muchas herramientas de descifrado de contraseñas y hash tienen métodos para encontrar más rápidamente estas prácticas básicas de ajuste.
La cuestión es que, si utilizas MFA, ya no tendrás que actualizar o rotar las contraseñas con regularidad. Más bien, MFA puede protegerte, y puedes optar por cambiar las contraseñas sólo durante eventos o situaciones en las que sabes que una credencial se ha puesto en riesgo. Dicho todo esto, si no utilizas MFA, deberías rotar tus contraseñas con más regularidad, y los pines generalmente inseguros (cualquier cosa que sólo tenga de cuatro a seis dígitos no es muy segura) también deberían cambiarse con regularidad.
8. Minimizar el uso compartido de la ubicación:
Es habitual que los viajeros actualicen sus redes sociales mientras viajan a nuevas ciudades o países. Sin embargo, este exceso de información supone una amenaza para la seguridad. Decirle a todo el mundo que está de viaje facilita que los delincuentes sepan cuándo no estás en la habitación de hotel o en tu casa. Restringe la información que publicas en Internet para limitar las amenazas a tu propiedad, incluidos tus dispositivos de trabajo.
9. Bloquear todos los dispositivos:
Es necesario utilizar una contraseña segura o un PIN para mantener a salvo tu información. Mantener las tabletas, los teléfonos inteligentes y los ordenadores portátiles bloqueados cuando no se utilizan es aún más crítico. La mayoría de estos dispositivos tienen ajustes de seguridad para bloquear el dispositivo con una identificación por huella dactilar, reconocimiento facial o PIN. Aunque se aleje del ordenador sólo un minuto, bloquéalo primero si estás en un lugar público.
10. Obtén una solución de ciberseguridad que se adapte a tus necesidades:
El trabajo híbrido y los viajes de negocios están aquí para quedarse, por lo que es necesario adaptarse a sus nuevos requisitos de seguridad. La seguridad unificada debe ser integral, con una protección igual de sólida para todos los dispositivos y endpoints estén donde estén, junto con una gestión y visibilidad centralizadas. En nuestro blog El trabajo híbrido sólo es viable con una ciberseguridad unificada, destacamos las ventajas de abordar los retos únicos de la ciberseguridad de forma sencilla y eficiente a través de una única plataforma consolidada.
