Es habitual tener que acceder a los datos de la empresa cuando estamos fuera del lugar de trabajo (viajes, reuniones, teletrabajo, etc.). En ocasiones no podemos hacer uso de las redes o conexiones 4G/5G, lo que nos obliga a conectarnos a redes domésticas o a redes públicas (hoteles, cafeterías, aeropuertos, etc.) que en la mayoría de los casos podrían no ser seguras.
Es prudente asumir que, por defecto, las redes inalámbricas que utilizan los trabajadores fuera del entorno empresarial no disponen de las medidas de seguridad necesarias para la protección de los datos y las comunicaciones corporativas. A menudo, la información confidencial de nuestra empresa se transmite a través de redes inalámbricas cuya seguridad no está bajo nuestro control, por lo que debemos asegurarnos de que los datos viajan convenientemente protegidos antes de hacer uso de estas redes.
La empresa debe establecer las condiciones y circunstancias en las que se permite el acceso remoto a los servicios corporativos. Es decir, determinar quién puede acceder a qué, cómo y cuándo. Esta tarea implica disponer de los medios necesarios para llevarla a cabo y ofrecer la correspondiente formación a los trabajadores para que conozcan cómo conectarse de forma segura y cómo mantener sus equipos seguros cuando viajan o se conectan desde el exterior.
Una de las herramientas de seguridad que podemos implantar para realizar accesos remotos corporativos desde el exterior de la empresa, es la utilización de una Red Privada Virtual o VPN (Virtual Private Network, en inglés). Utilizaremos una VPN cuando necesitemos acceder a información confidencial de manera remota, y la red que estemos utilizando no ofrezca las suficientes garantías de seguridad.
Estas son las ventajas de utilizar una VPN:
a. toda la información se transmite de manera segura gracias al cifrado de datos y de conexión;
b. confidencialidad e integridad de la información: al ir cifrada, la información no puede ser leída, modificada o alterada durante la transmisión;
c. la información solo se trasmite entre dispositivos autorizados y configurados para este fin;
restricción de acceso: a través de usuario y contraseña necesitando una previa autorización;
fácil ampliación del número de usuarios.
Las conexiones establecidas utilizando VPN protegen la información que se intercambia, ya que establecen un canal cifrado de comunicación entre nuestro dispositivo y nuestro lugar de trabajo por donde «viajan» nuestros datos de manera segura.
Mediante esta política se establecen en la empresa unas medidas para un uso correcto de las contraseñas que sirva para impedir errores, incidentes y usos ilícitos, y para evitar ataques informáticos por esta vía.
– Uso de la VPN: Conocer cómo hay que conectarse vía VPN y en qué situaciones se debe hacer.
– Acceso a redes wifi ajenas: Al conectar a una nueva red inalámbrica, comprobar que se utiliza el protocolo WPA2. Comprobar que los sitios a los que accedes tienen certificado y utilizan protocolos seguros (https://) si se realizan actividades críticas.
– Configuración de la wifi doméstica: Antes de utilizar la wifi doméstica, configurar el protocolo WPA2, y cambiar el nombre del SSID y por supuesto las credenciales que vienen por defecto.
– Redes inalámbricas de los dispositivos móviles: Abrir las conexiones wifi y bluetooth de tus dispositivos móviles solo cuando se van a utilizar y para conectarse a dispositivos confiables.
– Uso de dispositivos móviles: Revisar las políticas de uso de dispositivos móviles y uso de dispositivos personales en el ámbito corporativo.
– Uso de ordenadores no corporativos: Evitar el uso de ordenadores no corporativos. Revisar la seguridad de tus dispositivos domésticos y toma precauciones cuando utilices dispositivos de uso compartido.
Las medidas antes relacionadas se deben revisar periódicamente para verificar su cumplimiento y modificarlas si hubiera cambios que la afecten.
Configuración de la VPN. Para los accesos permitidos desde el exterior el equipo técnico debe disponer y configurar un servicio VPN:
– crear cuentas de usuario con permisos de acceso personalizados;
– determinar el software permitido para realizar conexiones VPN;
– establecer un tiempo para la desconexión automática de la VPN tras un periodo de inactividad;
Uso de la VPN. Los empleados que tengan autorizado el acceso vía VPN conocerán cómo hacerlo y cuándo está permitido:
- Cuando utilicemos redes públicas o no seguras.
- Para acceder a los recursos corporativos como impresoras, documentos, servidores de base de datos, aplicaciones específicas, etc.
- Cuando necesitemos hacer operaciones confidenciales: acceso a bases de datos, banca online o facturación, que impliquen la transmisión de usuarios, contraseñas, o cualquier otra información confidencial.
- Cuando queramos interconectar redes separadas de forma segura: distintos edificios u oficinas separadas geográficamente, equipos utilizados en teletrabajo con la oficina, etc.
- Cuando hagamos uso del teletrabajo.
Acceso a redes wifi ajenas. Al conectarte a una red inalámbrica desconocida, compruebas que utiliza el protocolo WPA2 y revisas el uso vas a hacer de esa red:
- Sólo utilizar redes wifi públicas no seguras para realizar actividades de bajo riesgo como navegar o leer noticias, pero hay que asegurarse de que el canal está cifrado (sitio web con https:// y certificado SSL) si hay que iniciar sesión o suscribirte.
- Sólo utilizar redes wifi públicas seguras (al menos con WPA2) si no hay otro medio más seguro (redes móviles 4G/5G o una VPN) al alcance para realizar actividades de alto riesgo (uso de email, trabajar con documentos online, redes sociales, banca online o compras online) comprobando además que se acceden a los sitios web legítimos, cifrados (https://) y con certificado.
Configuración de la wifi doméstica. En el caso de usar una wifi doméstica, hay que configurarla para: activar el protocolo WPA2, cambiar el nombre por defecto del SSID y cambiar las credenciales por defecto.
Redes inalámbricas de los dispositivos móviles. Activar la conexión wifi, bluetooth o el GPS únicamente en los momentos que se vayan a utilizar y con las convenientes medidas de seguridad.
Uso de dispositivos móviles. Si se utilizan dispositivos móviles para trabajar fuera de la empresa, se han de tomar las medidas de seguridad indicadas en las Políticas de uso de dispositivos móviles corporativos y en la de uso de dispositivos móviles no corporativos.
Uso de ordenadores no corporativos. Si se utilizan ordenadores de uso público hay que evitar realizar actividades de alto riesgo (uso de email corporativo, trabajar con documentos online, redes sociales, banca online o compras online). Desconfiar de la seguridad del equipo y sus conexiones. En cualquier caso si se tiene la necesidad de utilizarlos para hacer login en algún servicio corporativo siempre que esté permitido y no se pueda hacer uso de una VPN:
- revisar el entorno para evitar la mirada de observadores o de cámaras
- utilizar el modo de navegación privada del navegador;
- teclear la URL o dirección web, en lugar de utilizar el buscador;
- verificar que la página a la que se accede es auténtica y que utiliza protocolo https:// y que tiene certificado y está vigente;
- evitar que el navegador guarde las contraseñas;
- al finalizar la sesión borra el historial de navegación y las cookies en el navegador;
- no conectar pendrives ni otros dispositivos externos;
- revisar que no se deja ningún archivo personal en el equipo.
Si se va a utilizar ordenadores domésticos:
- actualizar el software de sistemas operativos y aplicaciones;
- utilizar un usuario no compartido;
- instalar y activar un antivirus y el cortafuegos del sistema operativo;
- no instalar aplicaciones sin licencia o cuyo origen sea desconocido.
