Cuando tu equipo personal entre por la puerta, la información saldrá por la ventana

Qué fácil era cuando todos teníamos Blackberry, pero ahora vemos una larga variedad de equipos móviles en la oficina: smartphones, tablets, netbooks y las laptops de toda la vida. Bien por el consumidor, que ahora tenemos muchas opciones y mejores precios. Pero, cuando lo analizamos desde el punto de vista corporativo, la cosa ya toma otro matiz.

Desde hace un tiempo las empresas están aceptando que sus trabajadores usen sus equipos personales en la oficina. Es decir, que configuren el correo corporativo en el smartphone personal, que guarden documentos de clientes en sus laptops o accedan a aplicativos de la empresa desde sus iPads. Si no es política de la organización entregar estos equipos a sus empleados, la alternativa viene siendo que traigan los suyos propios para trabajar. Así nace una tendencia a nivel mundial llamada BYOD (Bring Your Own Device).

Muchos la vienen adoptando con entusiasmo. Sin embargo, hay un potencial riesgo de seguridad y privacidad que puede resultar siendo más costoso. ¿Se han preguntado qué sucede con la información que contiene un smartphone cuando se pierde o es robado?

The Lost Smartphone Problem fue estudio realizado en organizaciones pertenecientes a diferentes sectores de la economía estadounidense. El mismo señala que al año se pierden o roban más de 140 mil smartphones, de los cuales el 47% de casos se ha dado cuando el trabajador está fuera de la empresa, 29% mientras estuvieron de viaje, 13% en la oficina y el 11% restante no sabe ni dónde ni cómo.

Por su parte, The Symantec Smartphone Honey Stick Project fue un interesante experimento que consistió en abandonar 50 smartphones en diferentes ciudades de los EE.UU, con mecanismos para monitorear qué pasaba con ellos luego de ser encontrados por extraños (ver infografía). Los resultados mostraron que el 83% de quienes los encontraron accedieron a información personal y corporativa, y sólo el 50% se pusieron el contacto con el dueño para devolverlo. ¿Qué pasaría en el Perú en un ejercicio como este?

El punto es que los dispositivos pueden ser reemplazados, pero la información almacenada en ellos se encuentra en riesgo a menos que se tomen las precauciones necesarias para protegerla. Lo más grave es que las empresas no son conscientes de ello dejando muchas veces la seguridad en manos de los dueños de esos equipos.

Políticas de seguridad

Particularmente, considero un riesgo utilizar equipos personales para el trabajo, debido que la empresa tiene restricciones sobre ellos, con respecto a la ejecución de mecanismos de seguridad. Si los equipos son de la empresa se podrían implementar medidas como:

  • Contraseñas de bloqueo cada cierto tiempo de inactividad.
  • Mecanismo para formatear el equipo remotamente.
  • Encriptación de la información (correos, documentos, etc)
  • Instalar y mantener actualizado el antivirus y antispam.
  • Mantener actualizado el sistema operativo y otras aplicaciones (parches de seguridad)
  • Limitar o controlar la instalación de aplicaciones (evitar programas maliciosos)
  • Rastrear el equipo a través de un GPS.

BYOD

Si la tendencia va por el lado de permitir un esquema BYOD, mi recomendación es configurar una conexión remota a través de una VPN (Virtual Private Network). Esto aseguraría que en el equipo se conserve la menor cantidad de información de trabajo.

Paralelamente, antes de lanzar el proyecto sería saludable responder a las siguientes interrogantes:

  • ¿Se permitirían todo tipo de modelos de smartphones o tablets?.
  • ¿La conexión a los recursos de la empresa sería directa (correo, agendas, aplicativos) o a través de VPN?
  • ¿La empresa estará en la capacidad de implantar una configuración básica, exigiendo tener instalado (y actualizado) un mínimo de aplicaciones a fin de resguardar la seguridad de la información?
  • ¿Se aceptará la posibilidad de formatear el equipo como consecuencia de alguna falla o aplicación maliciosa, sin que la empresa se haga responsable de la información o aplicaciones personales que no se puedan recuperar (fotos, videos, aplicaciones, etc)?
  • ¿Será posible comprometer al dueño del equipo que, por razones de seguridad, se limitará o bloqueará la descarga e instalación de archivos y aplicativos riesgosos o que infrinjan el derecho de propiedad intelectual?
  • En caso el trabajador deje la organización ¿cómo asegurar que la información corporativa no se vaya con él?
  • ¿Cuál sería el nivel de soporte informático que la empresa ofrecería para estos equipos? Estaría limitado sólo a aplicaciones de índole laboral (correo electrónico, agendas, etc)?
  • Para los casos de accidente, pérdida o robo ¿habrá reposición? Para los casos de desperfectos ¿se ofrecerán equipos temporales?

Pienso que aclarando estas dudas se puede llegar a tener un dimensionamiento claro sobre lo que puede significar, realmente, adoptar un esquema BYOD en la organización.

Inseguridad en redes sociales. La inevitabilidad de la falla en nuestros comportamientos y valores

El siguiente post es un excelente aporte de Jeimy Cano, especialista en seguridad informática e investigador de la Universidad Los Andes de Colombia, sobre como enfrentar problemas de seguridad generados en redes sociales. El tema de seguridad informática va muy unido a las medidas preventivas que se puedan adoptar a nivel corporativo ante una incidencia particular.

Hace más de 10 años internet era un sitio donde algunos generaban los contenidos y decidían que se mantenía allí o no. Hoy luego de una impresionante evolución de la Web 2.0, son las personas las que desarrollamos y actualizamos los contenidos que se advierten en internet. Esto es, pasamos de un control de pocos a una participación de muchos empoderados y con capacidad para convocar y movilizar causas a través de las redes sociales y formas de manifestación en línea.

De acuerdo con FRIEDRICH, R., PETERSON, M., and KOSTER estamos en el surgimiento de la generación C, una generación caracterizada porque permanece conectada, comunicada, centrada en los contenidos, altamente digital y orientada hacia las comunidades. Esta nueva generación, capaz de modificar los comportamientos sociales, exigir respeto y atención frente a sus demandas, viene dotada de un primer dispositivo digital, generalmente inalámbrico, que le permite estar en línea y con información instantánea de lo que ocurre en su entorno.

Toda vez que esta generación será la que estará en las organizaciones en los próximos 10 años, se hace necesario iniciar desde este momento, el análisis requerido de los riesgos emergentes del uso de las medios sociales digitales en el contexto empresarial, como factor clave para reconocer comportamientos y acciones de los individuos frente a las exigencias de seguridad y control de las organizaciones, ahora mucho más expuestas a los contenidos que exponen sus propios empleados, competidores, clientes y demás grupos de interés en las redes sociales.

En este sentido, Bahadur, Inasi y de Carvalho en su libro “Securing the Clicks. Network security in the age of social media” de McGraw Hill, plantean un discurso metodológico práctico para evaluar los riesgos propios del uso de las redes sociales, de tal forma que las organizaciones, adviertan de manera concreta sus impactos y las prácticas requeridas que les permitan mitigar su exposición. Para ello detallan la matriz con el acrónimo en inglés H.U.M.O.R, que integra elementos como Human Resource, Utilization of resources, Monetary spending, Operations Management y Reputation Management.

Los autores siguiendo la matriz de análisis H.U.M.O.R, plantean una publicación con cinco partes: assessing social media security, assessing social media threats, operations, policies & process, monitoring & reporting y finalmente social media 3.0, sección donde plantea los retos futuro de los medios sociales digitales que necesariamente revelan el concepto de Peter Russell en su libro de 1982, denominado el Cerebro Global; la pérdida de control de aquello que publicamos, la erosión de la privacidad, las amenazas propias de la geolocalización, el internet de las cosas y las inconsistencias de las regulaciones.

Cada elemento de la matriz H.U.M.O.R establece requerimientos, tácticas, políticas y procesos de implementación necesarios para mover a las organizaciones hacia un proceso más confiable que no riña con la dinámica de las redes sociales actualmente vigente en las organizaciones.

De acuerdo con los autores, una vez implementada la política relacionada con medios sociales digitales y sus controles respectivos, se hace necesario adelantar una valoración de las buenas prácticas incorporadas y observar el nivel de adherencia de los individuos a la política, como fuente base de la interiorización de las personas frente a los riesgos propios de las redes sociales.

Dentro del plan de auditoría previsto para adelantar lo anterior a nivel interno se tiene: (Bahadur, Inasi y de Carvalho 2012, pág.200-201)

  • Revisar los procedimientos para la integración de las redes sociales en el modelo de seguridad de TI.
  • Revisar los procedimientos monitorización de las redes sociales públicas, donde los empleados hacen presencia.
  • Revisar los reportes generados de la actividad identificada en las redes sociales.
  • Revisar la actividad y procedimientos establecidos para atender incidentes de seguridad de la información en redes sociales.
  • Revisar procedimientos para educar a los empleados en los riesgos de las redes sociales.
  • Actualizar una vez al año de las políticas y prácticas relacionadas con las redes sociales.
  • Valorar la seguridad de las aplicaciones frente a las vulnerabilidades que puedan permitir acceso no autorizado.
  • Revisar y verificar todo el código de las aplicaciones hecha a la medida para propósitos de apoyo a las redes sociales.
  • Analizar y reportar todos los cambios de las aplicaciones de terceras partes que son utilizadas por el negocio, particularmente en lo relacionado con redes sociales.
  • Evaluar y analizar todas las herramientas de software y sitios utilizados como soporte a la estrategia de redes sociales.

Si bien este listado de revisión no agota el tema de la seguridad en las redes sociales a nivel interno en una organización, si establece una base de debido cuidado y deber de aseguramiento que las empresas deben advertir frente al manejo de su imagen corporativa y a la protección de la información en el contexto de una sociedad más abierta, expuesta a la sobrecarga de la información y a la erosión de la privacidad.Por tanto, si se presenta una crisis o incidente de seguridad ocasionado por la materialización de un riesgo a través de las redes sociales, mantenga en mente las siguiente consideraciones: (idem, pág.216)

  • Establezca una presencia activa en las redes sociales tan pronto como sea posible para construir una relación de confianza con sus consumidores en línea.
  • Responda inmediatamente a la problemática identificada con el franco reconocimiento del hecho, donde la empresa es consciente de la situación y que le estará informado en breve los detalles de lo ocurrido.
  • Mantenga la comunicación sobre la situación, no espere a tener la información completa, sino comente que está atendiendo lo acontecido, explique cómo lo está haciendo y tan pronto como tengo más detalles, entréguelos rápidamente a los interesados.
  • Establezca canales de comunicación para las personas que necesiten contactar a la empresa de manera privada sobre reclamaciones, observaciones, preguntas o sugerencias, que se puedan derivar de la situación presentada.
  • Los clientes individuales con reclamaciones legítimas deben ser atendidos, reconocidos y atendidos para responder a sus inquietudes de manera rápida y efectiva.

Cuando pensamos en la inseguridad de la información, no podemos menos que revelar la potencia de un concepto en una realidad asistida por tecnología, procesos y personas que se funde en las relaciones y propiedades emergentes que surgen de la relaciones entre ellas. En este sentido, las redes sociales, como fenómeno propio de la web 2.0, son fuente natural de amenazas y retos para los ejecutivos de la seguridad de la información en las organizaciones modernas, toda vez que la exposición de la empresa y su reputación, están ahora en las declaraciones de sus empleados en medios abiertos y de alcance global como los medios sociales digitales.

Por tanto, más allá de las bondades y vigor de las redes sociales en el contexto de los negocios de las empresas de este nuevo milenio ampliamente reconocido en la literatura actual, debemos ser conscientes que no muchos compartirán el éxito corporativo y ganancias reportadas, y por tanto, la sensibilidad y volubilidad de los seres humanos apalancada con tecnología, podrá desencadenar una serie de eventos desafortunados que activarán nuevamente la maquinaria de la inseguridad, ahora desde la realidad humana y la inevitabilidad de la falla en nuestro sistemas de comportamientos y valores.

Referencias

FRIEDRICH, R., PETERSON, M., and KOSTER, A. (2011) The Rise of Generation C. How to prepare for the Connected Generation’s transformation of the consumer and business landscape. Strategy+Business Magazine. Published by Booz & Company Inc. Issue 62. Spring. Available at: http://www.strategy-business.com/article/11110 (Last access: 18-02-2012)

BAHADUR, INASI y DE CARVALHO (2012) Securing the clicks. Network security in the age of social media. McGraw Hill.

Publicado originalmente en IT-insecurity