Hemos recibido una nota de prensa por parte de Microsoft, os la dejamos a continuación:
Trabajar desde casa y mantenerse seguro. Guía para CISOs
Ann Johnson, Corporate Vice President, Cybersecurity Solutions Group
Muchos empleados han tenido que empezar a trabajar de forma repentina desde sus casas y hay cosas que una organización y su plantilla pueden hacer para ayudarles a seguir siendo productivos sin aumentar el riesgo de ciberseguridad.
Mientras que los empleados en esta nueva situación laboral se encuentran pensando en cómo mantenerse en contacto con compañeros de trabajo, utilizando aplicaciones de chat, documentos compartidos y reemplazando reuniones por videollamadas, es posible que no estén teniendo en cuenta los ciberataques a los que pueden estar expuestos. Los CISOs (Directores de Seguridad de la Información) y los administradores de TI deben examinar con urgencia nuevos escenarios y vectores de amenazas a medida que sus organizaciones se convierten en “distribuidas” de un día para otro, con menos tiempo para hacer planes detallados o ejecutar pilotos.
Desde nuestra experiencia basada en el trabajo con clientes que han tenido que cambiar rápidamente a nuevos entornos de trabajo, queremos compartir algunas de esas prácticas que pueden ayudar a garantizar una mayor protección.
Qué hacer a corto y largo plazo
Habilitar las herramientas de chat oficiales ayuda a los empleados a saber dónde reunirse para trabajar. Tanto si estás usando los seis meses gratuitos de Microsoft Teams premium como si estás usando la versión Freemium -con la eliminación de límites a la cantidad de usuarios que pueden unirse a un equipo, o la programación de videollamadas-, sigue estos pasos para mejorar tu experiencia de trabajo desde casa con Teams. En Open for Business Hub se pueden encontrar herramientas de proveedores que son gratis para pequeñas empresas durante esta emergencia. Sea cual sea el software que se elija, hay que proporcionar a los usuarios Azure Active Directory (Azure AD), configurar el inicio de sesión único y, así, no habrá que preocuparse de que se descarguen enlaces que reciben en el correo electrónico, y que podrían ser correos de phishing.
Asimismo, se puede garantizar el acceso a las aplicaciones en la nube con Azure AD Conditional Access, y proteger el inicio de sesión con valores predeterminados de seguridad. Hay que recordar también examinar las políticas ya establecidas para asegurarse de que no bloquean el acceso de los usuarios que trabajan desde casa. Para obtener una colaboración segura con partners y proveedores, es posible consultar Azure AD B2B.
El Azure AD Application Proxy publica aplicaciones on-premise para disponibilidad remota y, si se utiliza un gateway gestionado, damos soporte a varias soluciones de partners con acceso híbrido seguro para Azure AD.
Si bien muchos empleados usan portátiles de la empresa en casa, es probable que las organizaciones vean en estos días un aumento en el uso de dispositivos personales que acceden a los datos corporativos. El uso conjunto de las políticas de protección de aplicaciones de Azure AD Conditional Access y Microsoft Intune ayudan a administrar y proteger esos datos en aplicaciones aprobadas en estos dispositivos personales para que los empleados puedan seguir siendo productivos.
Intune detecta automáticamente nuevos equipos a medida que los usuarios se conectan a ellos, pidiendo una solicitud de registro del dispositivo e inicio de sesión con sus credenciales de empresa. Es posible gestionar más opciones como, por ejemplo, activar BitLocker o forzar la longitud de la contraseña, sin interferir con los datos personales de los usuarios, como las fotos familiares. Sin embargo, hay que ser atentos a estos cambios y asegurarse de que se está abordando un riesgo real. No se trata de establecer políticas solo porque están disponibles.
Se puede obtener más información sobre las formas de habilitar el trabajo en remoto con Azure AD contactando con la Comunidad Técnica de Microsoft.
La autenticación multi-factor (MFA) es imprescindible. Lo mejor que se puede hacer para mejorar la seguridad de los empleados que trabajan desde casa es activar el MFA. Si aún no están los procesos en marcha, hay que tratar esto como un piloto “de emergencia” y asegurarse de tener personas de apoyo listas para ayudar a los empleados que se queden atascados. Como probablemente no sea posible distribuir dispositivos con hardware de seguridad, se pueden utilizar aplicaciones biométricas como Windows Hello, o de autenticación por smartphone como Microsoft Authenticator.
A largo plazo, recomendamos a los administradores de seguridad que consideren un programa para buscar y etiquetar los datos más críticos, como Azure Information Protection, para que se pueda realizar un seguimiento y auditar su uso cuando los empleados trabajan desde casa. No debemos asumir que todas las redes son seguras.
Es importante realizar un seguimiento con Microsoft Secure Score para ver cómo afecta el trabajo remoto al cumplimiento de normativas y riesgos en la empresa. Por su parte, Microsoft Defender Advanced Threat Protection (ATP) sirve para rastrear atacantes que se hacen pasar por empleados que trabajan desde casa, pero hay que tener en cuenta que las políticas de acceso que buscan cambios en las rutinas de los usuarios pueden alertar sobre inicios de sesión legítimos desde el hogar o cafeterías.
Cómo ayudar a los empleados
A medida que más organizaciones se adapten a las opciones de trabajo en remoto, el soporte a los empleados requerirá algo más que proporcionar herramientas y aplicar políticas. Será una combinación de herramientas, transparencia y capacidad de reacción.
El personal de la empresa que esté trabajando desde casa tiene acceso a datos, información y a la red corporativa. Esto aumenta la tentación de los delincuentes y por ello, hay que advertir a los empleados de que recibirán más intentos de phishing, incluso phishing dirigido directamente a credenciales de perfil alto. Ahora es un buen momento para ser diligente, así que cuidado con las solicitudes urgentes que no siguen la política de la empresa, las que usan un lenguaje emotivo o contienen detalles poco correctos y las que proporcionan una dirección donde informar de esos mensajes sospechosos.
Establecer una política de comunicación clara ayuda a los empleados a reconocer los mensajes oficiales. Por ejemplo, el vídeo es más difícil de suplantar que el correo electrónico: un canal oficial como Microsoft Stream podría reducir la posibilidad de phishing, a la vez que hace que las personas se sientan conectadas. Vídeos que, pudiendo verse en el momento que mejor les venga, también ayudarán a los empleados a compaginar su trabajo remoto con sus responsabilidades personales o temas logísticos en casa.
La transparencia es también clave. Algunos de nuestros clientes con mayor éxito son al mismo tiempo los más transparentes. La confianza de los empleados se basa en la transparencia. Proporcionar información clara y básica, también a la hora de comunicar cómo proteger los dispositivos, ayudará tanto al CISO como a los empleados a ir por delante de las amenazas. Por ejemplo, hay que ayudar a los empleados a entender que por qué descargar y usar una VPN (Virtual Private Network) de consumo o gratuita es una mala idea. Estas conexiones pueden extraer información confidencial de la red corporativa sin que los empleados se den cuenta. En su lugar, es necesario ofrecerles orientación sobre cómo aprovechar su VPN corporativa y cómo navegar a través de ella de forma segura.
Los empleados necesitan una formación básica de las políticas de acceso restringido y lo que sus dispositivos necesitan para conectarse a la red corporativa, como la protección anti-malware actualizada. De esta manera, sabrán si su acceso está bloqueado y cómo obtener soporte en este caso.
Trabajar desde casa no significa estar aislado. Es imprescindible recomendar a los empleados que socialicen, que estén en contacto con sus compañeros y, al mismo tiempo, ayuden a mantener la seguridad de la empresa.
Accede a más información sobre cómo ser productivo mientras se trabaja en remoto en el blog de Microsoft 365.
