Artículo elaborado por Roberto Carrancio, especialista en seguridad en Extra Software.

En anteriores ocasiones hemos escrito sobre cómo mantener a salvo nuestra información. Aunque hasta ahora siempre nos habíamos centrado más en el apartado de los ordenadores, hay otros dispositivos que no debemos descuidar, nuestros “Smartphones”. Hoy en día todos llevamos un teléfono móvil encima, y no solo eso, almacenamos en ellos toda clase de información personal y privada e incluso corporativa y confidencial. Las herramientas que tenemos a nuestro alcance para la seguridad en smartphones no son pocas, aunque, por desgracia, su uso no está tan extendido como en el caso de los ordenadores. En esta ocasión queremos ayudaros a evitar problemas con los teléfonos móviles. Antes de empezar, debemos dejar claro que no existe el sistema perfecto. Los dispositivos, sean Android, Apple o Windows están expuestos de igual manera; y no por usar uno u otro debemos pensar que estamos automáticamente a salvo.

Paso 1. Seguridad física en smartphones

Al igual que comentamos cuando hablamos sobre los ordenadores lo más fácil y primero que tenemos que hacer con nuestro teléfono es protegerlo contra ataques para los que se requiera un acceso físico al terminal. Para ello es indispensable establecer un sistema de desbloqueo del terminal seguro, ya sea patrón de desbloqueo, pin, contraseña o medidas biométricas (escáner de iris, reconocimiento facial o lector de huellas).

Desbloqueo de un terminal mediante huella dactilar

Si manejamos información confidencial, es recomendable tomar unas medidas extras de seguridad y poner a nuestro dispositivo un filtro de privacidad para mantenernos a salvo de miradas indiscretas. Además, algunos fabricantes como Samsung ofrecen en sus teléfonos de gama alta la posibilidad de crear un ecosistema seguro dentro del terminal al que se accedería con una contraseña distinta a la anterior. Esto en concreto es lo que antes se llamaba “My Knox” y ahora se llama carpeta segura. Esta medida en concreto le ha servido a Samsung para obtener la cualificación del Centro Criptológico Nacional (CCN), un organismo español adscrito al Centro Nacional de Inteligencia (CNI) que se encarga de la evaluación y certificación de la seguridad de las tecnologías de la información.

Paso 2. Seguridad en Smartphones y actualizaciones

Una vez que tengamos nuestro dispositivo protegido contra miradas indiscretas y robos, lo siguiente que debemos tener en cuenta son las actualizaciones de nuestro dispositivo, tanto del sistema como de las aplicaciones que tengamos instaladas. Puede no parecernos importante, pero es mediante actualizaciones como los desarrolladores solucionan las brechas de seguridad que se van detectando. En este punto debemos romper una lanza a favor de los de la manzana, pues sus actualizaciones del sistema llegan a todos sus dispositivos con soporte desde el primer momento. El caso de Android es preocupante, pues desde que en google publican una nueva versión, son los fabricantes de teléfonos los encargados de comprobar si es compatible con su dispositivo. No solo eso, han de adaptarla para que funcione correctamente. Es un proceso tedioso que requiere invertir mucho tiempo y dinero en dispositivos que ya has vendido por lo que no vas a sacar ningún beneficio directo. Tiempo y dinero que prefieren invertir en nuevos dispositivos que ya sí incorporen la última versión del sistema.

Paso 3. Seguridad en Smpartphones con Antivirus

Pocas veces nos encontramos con teléfonos que tengan entre sus aplicaciones un antivirus, pero es igual de importante que en nuestros ordenadores. Aunque con sentido común evitamos la mayoría de los problemas, un buen antivirus será una última línea de defensa. Como norma general las mismas marcas que usamos en nuestro ordenador las podremos encontrar en móviles. Os dejamos el ranking de antivirus móviles elaborado por la consultora independiente AV referente en este sector.

Paso 4. Seguridad en Smartphones “antirrobo”

Tanto los sistemas operativos iOS como Android disponen de una aplicación para poder detectar nuestro teléfono en caso de pérdida o robo. En el mercado existen diversas alternativas con más o menos funciones. Todas nos permiten localizar el teléfono, pero además hay algunas que nos permitirán hacerlo sonar, borrar los datos que tenga, hacer una copia de seguridad o incluso hacer una foto con la cámara frontal cuando alguien lo intente desbloquear. No voy a entrar a comparar aplicaciones, porque requeriría un artículo entero. Pero si queréis más información sobre este tema, solicitádnoslo en los comentarios.

No quiero cerrar este apartado sin comentar que, aunque no nos pueden localizar el teléfono, nuestro operador sí puede bloquear el terminal para que no se pueda volver a usar. Para esto será necesario presentar una denuncia por pérdida o robo del terminal y facilitarles el número IMEI que es algo así como el DNI de nuestro móvil, un código único con el que identificarlo. Es importante por tanto que lo guardéis por si en algún momento es necesario, lo podemos encontrar en la caja del móvil o pulsando *#06#.

Paso 5. Seguridad en Stmartphones al instalar aplicaciones

A la hora de instalar aplicaciones es importante que tengamos cuidado también. Algunas no son lo que dicen ser y buscan secuestrar nuestro terminal para hacernos miembros de una bootnet, infectarnos con algún tipo de virus o robar nuestra información. Para esto nos fijaremos en si el desarrollador de la APP es legítimo. También podemos basarnos en el nº de descargas y en la valoración y comentarios de otros usuarios que ya han instalado la APP

Debajo del nombre de la app vemos quien la ha desarrollado

Paso 6. Seguridad en Smartphones en las redes públicas

En muchos lugares públicos las podemos encontrar y nos vienen como anillo al dedo cuando vamos justos de megas… Pero (y que no cunda el pánico ahora) no debemos olvidar que cuando nos conectamos a una red WiFi abierta cualquiera que esté conectado a ella puede estar monitorizando el tráfico que sale de nuestro móvil y así robar nuestra información. Esto lo solucionamos usando una VPN que cifre nuestros datos, pero cuidado tiene que ser una VPN legítima, al usarla estaremos pasando los datos por sus servidores y pueden ser ellos los que nos roben. Puedes contactar con nuestro departamento de soporte para que te montemos un servicio de VPN en tu servidor y así olvidarte de este problema.

Si seguimos estas sencillas medidas que no nos llevarán más que unos minutos estaremos mucho más seguros. Si además a todo esto le añadimos hacer cada poco tiempo una copia de seguridad de los datos, nos aseguraremos de no perder nada en caso de pérdida o deterioro del terminal.

Artículo elaborado por Roberto Carrancio, especialista en seguridad en Extra Software.

Como técnicos hemos notado que desde hace aproximadamente un año se han incrementado las llamadas por virus en nuestros clientes. Es por esto que nos hemos decidido a escribir este artículo sobre ciberseguridad, con unas pautas básicas para que vuestros datos estén a salvo y vuestros sistemas funcionen como deberían.

Lo primero que tenemos que tener claro es qué fin tienen estos ataques para así saber qué y cómo protegernos. Existen diversos tipos de ataques, aunque en la actualidad los más comunes son el ransomware y los robos de información. Lo normal es que los ciberdelincuentes lancen los ataques para que afecten al mayor número de usuarios posibles por lo que no hay que pensar eso que tanto hemos escuchado de “Quién va a querer mis datos si somos una empresa muy pequeñita…”

Ransomware: golpe a la ciberseguridad

Como hemos comentado, este tipo de virus es el que más se está viendo últimamente, todos conocemos a alguien que ha sufrido un ataque de este tipo, ya sea en sus modalidades más antiguas como el virus de la policía allá por el 2012 o, el también conocido por todos, WannaCry, que el año pasado se propagó por más de 200.000 dispositivos en 150 países.

Tweet de la Oficina de Seguridad del Internauta

Para prevenirnos de este tipo de virus, así como de cualquier otro te recomendamos las siguientes medidas:

Como usuarios, no debemos abrir mails sospechosos ni navegar por páginas web que podemos llamar “de reputación dudosa” (todos sabéis a qué tipo de web me refiero…) Para descargar aplicaciones lo haremos siempre desde la web de su fabricante y desconfiaremos de todos esos sitios que nos ofrecen de manera gratuita contenidos de pago.

“Las contraseñas son como la ropa interior: no dejes que otros las vean, cámbialas con frecuencia y no las compartas con desconocidos.” Chris Pirillo

A nivel de los equipos, debemos mantener el sistema operativo, las aplicaciones y el antivirus actualizado. Siguiendo con estos consejos, activar el firewall de Windows puede ayudar, tanto para que no nos entre malware, como para que si entra no sea capaz de llevarse nuestra información. Si tenemos un firewall físico dedicado en nuestra red la protección será mayor. Por último, es imprescindible realizar copias de seguridad fuera de la red.

Robos de información: ¿cómo puedo defenderme?

Las fugas de datos se pueden dar de forma física, por medio de malware o porque un empleado lo filtre (no tiene por qué ser de manera intencionada). Defenderse físicamente es relativamente fácil, deberemos controlar el acceso a los equipos y servidores y usar por ejemplo filtros de privacidad en las pantallas de nuestros dispositivos. Los filtros de privacidad oscurecen tu pantalla evitando que la información sea visible a partir de un ángulo de visión de 30⁰, por lo que protege tu información de las miradas curiosas. Tu información es claramente visible cuando miras de frente, lo que te permite trabajar sin preocupaciones, incluso en espacios públicos. ¿De qué sirve usar aplicaciones que cifran nuestras comunicaciones si después dejamos que todo el mundo vea lo que estamos escribiendo?

Fuera del ángulo de visión del filtro de privacidad verán la pantalla como si estuviese apagada

“Si tu empresa gasta más en café que en seguridad TI, serás hackeado. Es más, merecerás ser hackeado.” Eric S. Raymond

Para prevenirnos de aplicaciones malintencionadas, es importante que usemos todas las herramientas que tenemos a nuestro alcance, antivirus y firewall serán imprescindibles, así como definir unas pautas de buenas prácticas o tener unas políticas de seguridad correctamente configuradas. Una buena gestión de usuarios, con sus permisos de acceso bien definidos, limitarán en gran medida el alcance de los virus que a pesar de todos nuestros esfuerzos se cuelen en nuestra organización.

Como siempre decimos los que nos dedicamos a esto, una cadena es tan fuerte como su eslabón más débil y, en temas de seguridad informática, este siempre es el usuario. Es por esto que es importante llevar a cabo labores de concienciación y formación con nuestra gente para que estén lo más precavidos posibles y sepan cómo actuar en caso de infección. Esta formación podemos darla nosotros si estamos preparados o confiar en cursos de expertos en la materia como el que desde Extra Software vamos a impartir el 3 de mayo, con el título “¿Cómo proteger tus datos en Gextor?”. Si estás interesado en este curso ponte en contacto con nosotros indicando el nombre del curso, las plazas son limitadas.

Artículo elaborado por José Arroyo, responsable de seguridad en Extra Software. Este artículo consta de dos partes. Ciberseguridad empresarial 2 será publicado el mes que viene.

David acaba de entrar a formar parte del departamento de administración de una pequeña empresa dedicada a la venta online de productos para mascotas. Lleva únicamente un par de meses, pero tanto su jefe como sus compañeros están muy contentos con su trabajo.

En la empresa están pensando en implementar el teletrabajo ya que la gestión de la tienda online se puede hacer directamente desde la Web. Únicamente se tienen que conectar a la empresa para la gestión del CRM y del ERP, la cual realizan mediante una intranet. Para David es una alegría ya que podrá disfrutar más tiempo con su familia.

Antes de activar el servicio, la empresa le crea a cada empleado un usuario con el que accederán remotamente a la oficina. La empresa tiene establecida una política de seguridad para el uso de contraseñas seguras. Para David es una lata, ya que ayer también le hicieron poner una contraseña de esas tan difícil de aprender, en un servicio de correo electrónico.

Para no tener que recordar tantas contraseñas, decide poner la misma que puso en ese servicio de correo. Además, ha pensado en crearse una cuenta en Linkedin y Twitter como tienen sus compañeros y así estar conectado con ellos… También utiliza esa misma contraseña para las dos cuentas y las vincula al correo que se había configurado anteriormente.

Para hacer más sencillo el teletrabajo, se configura en su móvil todas las cuentas, incluidas las de la empresa, así se puede conectar desde cualquier parte. David en su móvil no ha configurado ningún control de acceso, le parece una pérdida de tiempo innecesaria. Además, deja que Google Chrome le recuerde todas las contraseñas así no tiene que estar poniéndolas cada vez que quiera acceder.

Un viernes David sale de cena con los amigos, después de la cena se van a tomar unas copas a una serie de pubs. En el ajetreo y el vaivén de las copas, David, pierde el móvil en uno de los pubs, sin recuperarlo.

El lunes, al llegar al trabajo, le comunican desde el departamento de sistemas que desde el sábado por la mañana se ha estado accediendo a la empresa con la cuenta de David y les han sustraído toda la base de datos de clientes, información privada sobre la facturación de la empresa, los datos de todos los empleados y además todo esto ha sido publicado en un sitio llamado pastebin.com. Y esto no termina ahí, ya que se han estado realizando pagos no autorizados con la tarjeta de la empresa. A David lo primero que le viene a la mente es una pregunta:

¿Esto cómo ha podido pasar?

Lo que le ha pasado a David le puede pasar a cualquier trabajador, ya que es más habitual de lo que se piensa. Cuando se diseña una política de ciberseguridad empresarial se ha de tener en cuenta el factor humano, el cual suele ser el causante de un porcentaje muy alto en las fugas de información. Imagínate una empresa que hace un desembolso enorme en seguridad física y perimetral, antivirus, etc. Y viene un empleado conecta su pendrive donde tiene almacenada la música que le pasó un amigo el día anterior, infectando con un virus que llevaba incorporado el propio pendrive a toda la empresa. De nada les ha servido el desembolso tan grande en ciberseguridad.

Vamos a ver las posibles amenazas que supone el no tener en cuenta el factor humano en la ciberseguridad empresarial y cómo podemos defendernos.

BYOD (Bring your own device o Trae tu propio dispositivo)

Cada vez es más frecuente en las empresas que los usuarios se lleven sus propios dispositivos: portátiles, móviles, tabletas, pendrives, etc., y que trabajen o traten con la información sensible de la empresa con ellos.

Por ejemplo, centralizar la información de la empresa en su móvil para no tener que llevar dos (personal y empresarial).

Estos dispositivos tratan la información con aplicaciones que normalmente no ofrecen las mismas medidas de seguridad que las orientadas a servicios de uso empresarial. Y aunque no se produzca ninguna fuga de seguridad, la empresa deja de tener control sobre donde están almacenados sus datos sensibles. Lo que puede llevar al incumplimiento de las normativas de seguridad como la LOPD o el GDPR.

Otro problema que pueden tener estos dispositivos es la capacidad de crear redes de uso personal, por ejemplo, crear un punto de acceso a través del Smartphone para dar Internet a otros dispositivos. Estos pueden ser usados por los usuarios para acceder a páginas que la empresa ha bloqueado: juego online, redes sociales, etc. Estas redes que se crean sin ningún tipo de seguridad por parte de los usuarios, suelen ser usadas muchas veces para acceder a herramientas de trabajo a través de ellas, pudiendo causar fuga de información de la empresa o entrada de malware a la misma.

El fenómeno BYOD va a ser un problema por lo menos durante los próximos 10 años.

Aunque estos dispositivos suponen una amenaza para la seguridad de la empresa, también tienen sus ventajas, como el incremento de la productividad de los empleados, debido a que se encuentran más cómodos trabajando con sus propias herramientas, y también el ahorro de costes para la empresa.

Para proteger la empresa en la medida de lo posible, de este y otros fenómenos, muchos organismos han creado la figura de lo que se conoce como Chief Security officer (CSO), que será el encargado de supervisar la implementación de un SGSI (Sistema de Gestión de la Seguridad de la Información) siguiendo algún estándar internacional. La implementación de un SGSI se puede realizar en varias etapas. Una de las etapas más importante es la de “Capacitar a todos los trabajadores sobre los riesgos de seguridad y en el manejo seguro del hardware y software y respecto a la seguridad física”.

POLÍTICAS DE CIBERSEGURIDAD EMPRESARIAL ORIENTADAS AL BYOD

Las prohibiciones o normas internas en la empresa sin más no suelen funcionar. Lo recomendable es definir unas políticas de seguridad. En el caso del BYOD podemos contemplar aspectos como:

• Elección de contraseña segura obligando a que el usuario la cambie con frecuencia.
• No reutilizar esta contraseña en otros servicios, ni internos ni externos. No apuntar la contraseña en ningún sitio ni facilitársela a nadie.
• Antivirus, firewall y parches de seguridad actualizados en el dispositivo.
• No almacenar información en dispositivos no controlados por la empresa, o hacerlo cifrando los datos y bloqueando el dispositivo con algún tipo de patrón: biométrico, pin, contraseña, etc.
• Llevar en el dispositivo algún filtro de pantalla.
• Cifrar la información enviada por la red.
• No utilizar redes WiFi públicas, en caso necesario realizar la conexión por VPN.

En la segunda parte del artículo conoceremos otras amenazas a la ciberseguridad empresarial que tienen como vector de ataque el factor humano.