La cibercriminalidad
es, cada vez más, una amenaza que solo podrá ser mitigada mediante la formación
y capacitación adecuada, consiguiendo así un conocimiento transversal de la
problemática en todos los niveles de negocio, aprendiendo las tácticas que los
atacantes utilizan para obtener la información que desean. Los expertos de Kaspersky
Lab han elaborado una sencilla guía que detalla cuáles son las pautas a seguir
ante este reto.
Falta de cifrado
El robo de datos se ha convertido en un tema empresarial recurrente en
2014, pero parece que podrían haberse evitado estas situaciones indeseadas
mediante el cifrado de la información. Muchas veces es inevitable que algunos empleados
pierdan o les roben sus dispositivos, pero perder el equipo no es el problema en
realidad, sino la facilidad de acceso que tienen los cibercriminales para
robar
información corporativa en dispositivos no cifrados ni protegidos
adecuadamente. Así, el cifrado completo
y el establecimiento de contraseñas seguras debe ser una medida obligatoria en
todos los ordenadores portátiles y smartphones que usen los profesionales para
trabajar.
Estrategia BYOD
Además de asegurar los activos de la compañía, los equipos TIC de las
empresas deben proporcionar apoyo y asesoramiento
sobre la seguridad a los profesionales que utilizan su dispositivo personal
también con fines corporativos, para que no pueda haber ningún flanco de
ataque que permita que la información relacionada con la vida interna de la
empresa y sus actividades comerciales sea robada. Si estos dispositivos personales
se conectan a la intranet de la empresa deben ser debidamente analizados antes
de autorizar su acceso a recursos corporativos y a continuación ha de realizarse
una segmentación de red y puesta al día del software antimalware y el firewall.
Redes sociales
Las redes sociales y la ingeniería social van de la mano. Muchos ataques se
basan en la confianza que los usuarios tienen en sus contactos pero hay que
estar en guardia frente a eventuales mensajes del tipo 'haz clic en mi imagen',
que podrían ser la puerta de entrada a la red corporativa a través de malware.
P2P
La gran mayoría de los contenidos 'pirata' que se pueden encontrar a través
de redes P2P contiene algún tipo de
malware.
El uso de los 'key generators', parches y cualquier aplicación sospechosa en el
equipo de la empresa debe ser prohibido y controlado. En este caso, la formación a los empleados es fundamental
para que conozcan los riesgos de acceder a este tipo de redes y así eviten
su uso.
USB
Dejar un USB tirado en el suelo del aparcamiento de una gran empresa ha sido
una forma de ataque exitoso tradicionalmente y todavía sigue siendo una táctica
que les funciona a los cibercriminales. Si el pendrive infectado lo encuentra
algún empleado despistado que, curioso por naturaleza, introduce el USB en su
ordenador para ver qué contiene, infectará su equipo con malware con una alta
probabilidad. Pero no solo existe riesgo en un ataque de este tipo. El Intercambio de archivos entre los
ordenadores de la oficina podría traer una infección desde el ordenador
personal de la casa de algún empleado. Si a esto le sumamos la falta de cifrado
de muchos dispositivos de almacenamiento externos, tenemos un escenario
proclive a la infección de los dispositivos de la empresa, y por lo tanto
también de la red interna.
Redes inalámbricas
La conexión a una red de WiFi en, por ejemplo, un aeropuerto o un Starbucks,
podría ser más peligroso de lo que parece 'a priori', al permitir a un tercero
monitorizar todo el tráfico de red sin nuestro conocimiento y control. Los expertos de Kaspersky Lab recomiendan
el uso de una
VPN
(red privada virtual) y la autenticación de dos factores del dispositivo en
todo lugar público donde se requiera tener una capa extra de seguridad.
Cloud Computing
Guardar
archivos en Dropbox o cualquier otro proveedor de la nube podría llegar a suponer
una violación de datos en un futuro
próximo, debido a que estos servicios no tienen una política clara de gestión
de la privacidad de la información almacenada.
Conformidad de los usuarios sobre las
medidas de seguridad
Si el
establecimiento de medidas de seguridad en determinados sitios de internet
resulta demasiado complicado para los usuarios, muchos de estos desistirán de
proteger sus datos e información clave. Debe
haber auditorías continuas de los sistemas de seguridad de los sites habituales
utilizados por los empleados de la empresa para asegurarse de que estos
cumplen con las normas de protección necesarias para proteger la información y
los sistemas internos de red.
Gestión de software
La actualización del software tiene que ser una responsabilidad
continua del departamento informático. Si los empleados navegan con su
navegador con soluciones antimalware anacrónicas o desactualizadas podría ser
aprovechado por los cibercriminales en eventuales ataques como punto de entrada
a la red.
Si (
No(
