Cada Primero de Mayo se celebra el Día Internacional del Trabajo, fiesta por antonomasia del movimiento obrero mundial y desde Protege tu Empresa queremos aprovecharlo para refrescar cuáles son las políticas de seguridad a tener en cuenta a la hora de proteger el puesto de trabajo.
Cada Primero de Mayo se celebra el Día Internacional del Trabajo, fiesta por antonomasia del movimiento obrero mundial. Tradicionalmente se trata de una jornada orientada a las reivindicaciones y homenajes a aquellos que allá por el siglo XIX lucharon por conseguir la jornada de 8 horas, y desde Protege tu Empresa queremos aprovecharlo para refrescar cuáles son las políticas de seguridad en materia de ciberseguridad que se deben tener en cuenta a la hora de proteger el puesto de trabajo, con independencia de que esté formado por elementos tecnológicos (ordenador, Smartphone, etc.), o tradiconales (documentos en papel, teléfono fijo, etc.).
Desconocimiento, simples descuidos o falta de buenas prácticas, pueden ser las principales causas que llevan a un empleado a no proteger los elementos que forman parte de su puesto de trabajo. En otros casos, algunos podrían considerar que es más «cómodo» no aplicar medidas de seguridad, o que no es «necesario» utilizar más de una contraseña para nuestros servicios, que además sea sencilla de recordar y además, la tengamos anotada para no tener que memorizarla, etc.
Por las cuestiones anteriores, es necesario recordar que la información en una empresa se gestiona fundamentalmente desde el puesto de trabajo, independientemente de si se utilizan elementos tecnológicos o papel. De ahí la importancia de exigir a los empleados el cumplimiento de ciertas normas de ciberseguridad o buenas prácticas.
Para mitigar estas debilidades, en primer lugar, hay que ser conscientes de los riesgos que rodean el puesto de trabajo, ya sean de ámbito tecnológico o no, valorando aspectos como qué información dejo en mi puesto al alcande de cualquiera teniendo en cuenta la confidencialidad de la misma, qué puede ocurrir si mi equipo queda desbloqueado cuando me ausento del puesto, las consecuencias de posibles infecciones por virus o malware, robo y fuga de información, etc.
Por lo tanto, la primera aproximación podría girar en torno a preguntarse, ¿cuáles son las situaciones de riesgo más comunes en el puesto de trabajo? Aquí tenemos unos ejemplos:
- Abandonar el puesto de trabajo sin bloquear el equipo.
- Anotar las contraseñas en un pósit y esconderlo bajo el teclado o alfombrilla del ratón.
- Utilizar contraseñas débiles.
- Revelar credenciales e información corporativa a través del teléfono.
- Almacenar información corporativa o información confidencial en USB´s sin cifrar, subirla a entornos Cloud no autorizados, etc.
Una vez detectados los riesgos y las debilidades, si queremos garantizar un uso adecuado de los elementos que componen el puesto de trabajo, debemos establecer una política de protección del puesto de trabajo, la cual, una vez implementada y firmada, tendrá que comunicarse a todos los empleados.
Esta política deberá estar compuesta por una serie de puntos clave, tales como:
- Normativa de protección del puesto de trabajo, que recoja todas las medias necesarias para proteger el puesto de trabajo. Deberá ser revisada periódicamente y actualizada si hubiera cambios que lo requirieran.
- Destrucción de documentación obsoleta, mediante mecanismos seguros, como las destructoras de papel o servicios externos contratados siempre que el nivel de confidencialidad de la misma así lo exija.
- Bloqueos programados de sesión, de tal manera que un equipo se bloquee automáticamente tras un tiempo determinado en el que se detecte que no hay actividad.
- Sistemas operativos actualizados, mediante las políticas de actualizaciones de software.
- Antivirus actualizados y activos.
- Deshabiliatar por fefecto los puestos USB, únicamente siendo habilitados para usuarios que necesiten hacer uso de los mismos, de forma justificada y debidamente autorizada.
- Seguridad en impresoras y equipos auxiliares, a través de mecanismos de impresión segura (con contraseña), en la impresión de documentos.
- Uso de medios de almacenamiento seguros, tanto en red corporativa, nube o dispostivos extraíbles.
- Prohibición de alteración de la configuración del equipo e instalación de aplicaciones no autorizadas, evitando así las posibles consecuencias ante una infección por virus o malware.
- Política de mesas limpias, o la obligación de guardar la documentación del trabajo al ausentarse del puesto, ya sea circunstancial o por finalización de la jornada laboral.
- No abandonar documentación sensible en impresoras o escáneres, evitando así que caiga en malas manos.
- No revelar información a usuarios no debidamente identificados.
- Obligación de confidencialidad, aceptando el compromiso de confidencialidad relativo a cualquier información a la que se tenga acceso el tiempo que dure la relación con la empresa.
- Uso de contraseñas, acordes con la política de contraseñas.
- Obligación de bloqueo de sesión y apagado del equipo.
- Uso adecuado de Internet, a través de la normativa de uso de internet como herramienta de trabajo.
- Uso resposnable de portátiles y dispositivos móviles propiedad de la empresa.
- Cifrado de la información confidencial.
- Obligación de notificar incidentes de seguridad.
En muchas ocasiones hemos incidido en que la ciberseguridad se basa en tres pilares funfamentales: las personas, los procesos y las tecnologías. La formación y concienciación entran en el plano de las personas, y su objetivo es inculcar las mejores prácticas en materia de seguridad a fin que adopten pautas de comportamiento seguro en los distintos entornos en los que desempeñan su actividad profesional, siendo uno de los más importantes, el puesto de trabajo.
Etiquetas:
Proteccion puesto de trabajo, Salud, Políticas, Logística, Ocio, Servicios profesionales, Industria, Buenas prácticas
Nota de DavidHellin: La noticia es original de INCIBE
¿Manejas información importante y confidencial en tu empresa? ¿Dependes de ella para la buena salud de tu negocio? ¿Su pérdida supondría un desastre para tu negocio? ¿Sabes cómo protegerla? Te mostramos unos consejos y una sencilla herramienta para hacerlo.
¿Manejas información importante y confidencial en tu empresa? ¿Dependes de ella para la buena salud de tu negocio? ¿Su pérdida supondría un desastre para tu negocio? ¿Sabes cómo protegerla? Te mostramos unos consejos y una sencilla herramienta para hacerlo.
La información es uno de los activos más importantes que tiene cualquier empresa, y debemos protegerla como tal. Debemos garantizar en todo momento la disponibilidad, integridad y confidencialidad de toda la información crítica generada por la empresa, desde la que se crea en los equipos de trabajo hasta la que se almacena en servidores centralizados o en la nube.
Para proteger la información podemos aplicar una serie de medidas básicas como:
Una de las medidas de protección más económica y fiable es la realización de copias de seguridad. Un backup puede salvarnos de incidentes como la pérdida, destrucción, secuestro de información o fuga de información. Estas últimas podrían suponer la pérdida de horas de trabajo y de proyectos de los que depende el futuro del negocio o la propia supervivencia de la empresa. Tenemos que estar preparados, pues los equipos donde generamos y almacenamos la información pueden fallar, estropearse, perderse o, incluso resultar comprometidos por una infección por malware o ataques malintencionados.
Por ello debemos planificar las copias de seguridad, seleccionando bien la información que se debe resguardar, así como el tipo de copia que haremos, la forma de almacenarla, dónde guardamos las copias y la frecuencia con la que las realizamos. Para planificarlas, debemos tener en cuenta las siguientes consideraciones:
- analizar, clasificar e identificar la información relevante de la que se va a realizar la copia, así como los sistemas y repositorios donde se encuentra;
- elegir qué tipo de copia es el adecuado así como su frecuencia y soporte;
- hacer pruebas de restauración periódicas, para garantizar que tanto el sistema de restauración, como el de generación de copias, como la propia copia de seguridad, como los soportes donde se almacenan funcionan correctamente;
- si la información almacenada en las copias es confidencial, una medida extraordinaria de protección es la del cifrado;
- las copias de seguridad deben almacenarse en una ubicación física diferente de donde se encuentren los datos originales, de esta forma, se mantendrán a salvo en caso de desastres como incendio, inundación o robo, y de posibles infecciones por malware si se trata de copias de red;
- llevar un control de la vida útil de los soportes físicos de copia, para evitar que el deterioro físico afecte a la integridad de los datos;
- documentar el proceso de realización y restauración de copias de seguridad con el fin de agilizar el proceso de recuperación de la información ante una contingencia o ausencia del personal habitual.
Existen multitud de sistemas y soluciones en el mercado para realizar copias de seguridad. Hay productos para todo tipo de necesidades y, como no, para todo tipo de bolsillos, dependiendo de las características de nuestra empresa. Incluso podemos obtener un servicio de copias personalizado que se adapte a nuestras necesidades. Las puedes encontrar en nuestro catálogo de empresas y soluciones de ciberseguridad.
En el siguiente video, os mostramos una sencilla forma de realizar copias de seguridad en equipos personales de trabajo utilizando las herramientas ya existentes en el propio sistema operativo. Este es un ejemplo de utilización de la herramienta de realización y restauración de copias de seguridad del sistema operativo de Microsoft Windows 10. Se trata de una herramienta sencilla y fácil de utilizar, que puede sacarnos de algún apuro en caso de necesidad.
Todas las medidas y esfuerzos realizados para mejorar la ciberseguridad de nuestras empresas, debe reforzarse con un trabajo de formación y concienciación en materia de ciberseguridad, de todos los empleados. Sin el esfuerzo de todos para implementar estas medidas, será muy difícil que lleguen a ser efectivas. ¡Protege tu empresa!
Etiquetas:
Amenazas, Buenas prácticas, Concienciación, Empresa, Proteccion informacion, Proteccion puesto de trabajo, Video
Nota de DavidHellin: La noticia es original de INCIBE
Los dispositivos móviles se están convirtiendo en el nuevo punto de mira de los atacantes, ya que en la actualidad representan el 57% de todos los dispositivos conectados a internet.
Según un estudio de Check Point, los ataques a móviles generan más dinero que los realizados a otros dispositivos (ordenadores, servidores, etc.). Principalmente, estas amenazas atacan a los dispositivos móviles a través de apps maliciosas.
¿Qué puedes tener en cuenta para no instalar una app maliciosa en tu móvil?
Cuando instalas una app en tú móvil te solicita concederle ciertos permisos. Muchas veces estos no son justificados, por ejemplo, si estás instalando una app con la finalidad de linterna y te solicita permisos de acceso a tu cámara o contactos, es cuanto menos sospechoso.
También piensa que si tienes tu dispositivo con permisos de administrador, es decir, rooteado, podrás instalar apps desde tiendas no oficiales y que por tanto, no han pasado el filtro de las market.
Además, en Android se pueden instalar apps descargadas directamente en el móvil o en la tarjeta SD con la opción “Orígenes desconocidos” sin ser root, por lo que debes asegurarte que vas a instalar lo que realmente quieres.
¿A qué amenazas se expone tu móvil a través de apps maliciosas?
Ransomware: Estos programas acceden al móvil a través de las mencionadas apps maliciosas. Actúan cifrando los archivos para que el usuario no pueda acceder a ellos y a cambio le pide realizar un pago como rescate.
Adware: Son aplicaciones que, de manera oculta, realizan falsos clics en publicidad sin el consentimiento de los usuarios, para que los atacantes obtengan beneficio. Esto se produce cuando, por ejemplo, el usuario está jugando y al hacer clic en la pantalla, de forma encubierta está haciendo clic en una publicidad.
Troyanos: Son apps aparentemente legítimas e inofensivas, pero al ejecutarlas brindan al atacante un acceso remoto al móvil infectado. Es decir, proporcionan a los atacantes una puerta trasera al dispositivo, lo cual les permite ejecutar código malicioso e infectarlo.
Keyloggers: Estos programas se camuflan en apps y guardan un registro de las teclas que se pulsan en la pantalla del dispositivo. Obteniendo así todo tipo de información, como por ejemplo, conversaciones o nombres de usuario y contraseñas de servicios a los que se accedan desde el móvil.
Troyanos bancarios: Son una mezcla de los dos anteriores (troyanos y keyloggers) y se presentan a través de un app en apariencia similar a la un banco, pero sin serlo. Con estas apps, los atacantes se apropian de información relacionada con sus cuentas bancarias.
APT (Advanced Persistent Threat) o amenaza persistente avanzada: Es un tipo de ataque que se caracteriza por combinar de forma sofisticada varias vulnerabilidades y ataques a la vez para conseguir sus objetivos. Por ejemplo, los atacantes utilizan perfiles falsos en redes sociales para conseguir mediante ingeniería social engañar a sus víctimas, chatear con ellas e indicarles que se instalen apps de mensajería falsas con las cuales infectan el móvil con un troyano, o un ransomware. También pueden utilizar la información obtenida, a través de los permisos concedidos a la app, para extorsionar a la víctima o venderla a terceros sin conocimiento del usuario.
¿Cómo puedes evitar estos ataques?
- Mantén actualizados tus dispositivos móviles a las últimas versiones tanto de tus sistemas operativos, como de las aplicaciones que tengas instaladas en los mismos.
- Instala aplicaciones únicamente de tiendas oficiales (Google Play o App Store).
- Antes de instalar una app, comprueba que su valoración y comentarios sean positivos, y revisa que los permisos que solicita no sean excesivos.
- Revisa los permisos de las apps que tengas instaladas en tu móvil y desinstala aquellas que no uses.
- Ten precaución a la hora de seguir enlaces en mensajes SMS, mensajería instantánea o correos electrónicos.
- Sé cauto con los archivos que descargas desde Internet, analízalos.
- No te conectes a redes públicas si vas a transmitir información confidencial y personal.
- Activa las conexiones inalámbricas “Bluetooth, wifi y NFC” solo cuando las necesites.
- Si almacenas información sensible o personal en la tarjeta SD, cífrala.
- Activa las copias de seguridad y sincroniza los datos para no perder tu información.
Recuerda que puedes descargar programas que te ayudarán a reforzar la seguridad de tus dispositivos móviles. Puedes consultar nuestra sección “Herramientas gratuitas”.
Y por último, te recomendamos revisar el estado de seguridad de tu dispositivo con la aplicación CONAN Mobile (disponible en Google Play), que te ayudará mostrándote los posibles riesgos a los que está expuesto tu móvil y te proporcionará algunos consejos para mejorar su seguridad.
Nota de DavidHellin: La noticia es original de OSI
¿Eres de esos padres que han tenido que incorporarse sobre la marcha a las nuevas tecnologías?¿No quieres convertir a tus hijos en “huérfanos digitales”, pero dudas acerca de si lo estás haciendo bien? Entonces, te interesa este artículo.
Seguramente, estás realizando un gran esfuerzo para adaptarte y mantenerte actualizado en el nuevo entorno online con el fin de reducir la brecha digital que te separa de tus hijos. A pesar de esto, es posible que ellos no perciban de forma positiva este progreso, considerándolo más bien, una intromisión en su espacio que puede conllevar la pérdida de su libertad.
La mayoría de los niños y adolescentes consideran que se desenvuelven “como pez en el agua” en Internet y por lo tanto, no necesitan la ayuda de ningún adulto. Pero la verdad es que es necesario que aquí también cuenten con referentes, ya que carecen de madurez y experiencias vitales, siendo igual de vulnerables que fuera de la Red. Por lo tanto, realizar una adecuada mediación parental es necesario.
Mediación parental y control parental, ¿a qué nos referimos?
Los conceptos de mediación parental y control parental suelen crear confusión e incluso interpretarse de manera incorrecta. Pues bien, la mediación parental hace referencia a la educación digital del menor por parte de sus responsables. Consiste en acompañarle en este proceso para que se realice un uso seguro y responsable de las nuevas tecnologías, velando para impedir que los riesgos de las TIC se materialicen y en caso de ocurrir, ofrecer soluciones.
Mientras que el control parental hace referencia a un tipo concreto de recurso para ejercer la supervisión en el entorno digital, que comprende aplicaciones y funcionalidades que permiten supervisar y delimitar el uso de las pantallas por parte de los menores.
Ante la duda de por cuál decantarse, es necesario aclarar que ambas son complementarias en el proceso educativo, lo adecuado es desarrollar autoridad, pero enfocada de manera positiva, aplicando tanto mediación activa (supervisión, acompañamiento y orientación) como restrictiva (establecer reglas y límites).
Se deben descartar acciones como por ejemplo, imponer un criterio, espiar o prohibir el acceso a las TIC, pues sólo conseguiremos una solución temporal que desencadenará conflictos en el hogar, haciendo perder la confianza de nuestros hijos en nosotros.
¿Te sientes perdido?¡Tenemos las claves!
Existe la idea preconcebida de que educar digitalmente y mantener ese equilibrio resulta muy complicado. Sin embargo, se trata de una apreciación errónea, pues cualquier padre o madre sin necesidad de ser un experto TIC puede desarrollar esta tarea de manera adecuada. La clave principal está en mostrar una buena disposición y contar con recursos útiles, como puede ser la guía de mediación parental de IS4K que aporta pautas y conocimientos de manera sencilla, convirtiéndolos en comprensibles para cualquier adulto.
La educación digital es esencial para que los propios menores sean capaces de enfrentarse a los riesgos de Internet de forma responsable
Tal y como muestra la Guía ”Aprender a vivir con las pantallas” el cerebro joven tiene mucha más plasticidad, maleabilidad y capacidad de cambio que el cerebro adulto y por ello es más sensible a una exposición excesiva a las pantallas. La dopamina es el neurotransmisor que se dispara cuando nos disponemos a mirar el móvil, la tablet o a jugar con nuestro videojuego preferido. El recuerdo del placer pone en marcha el circuito de recompensa, desencadenando una conducta adictiva.
Precisamente como cada etapa del menor es diferente, también debe de serlo este acompañamiento y supervisión hasta conseguir, igual que en el resto de aspectos de la vida, una autonomía.
A través del siguiente del vídeo se muestran una serie de pautas básicas que pueden ser de gran ayuda a la hora de realizar la mediación parental en cada etapa del menor. Mediante la visualización, también te quedará claro dónde encontrar en la web de IS4K los diferentes recursos en los que te puedes apoyar en este proceso.
¡En conclusión!
Las nuevas tecnologías forman parte de los menores y evitarlas o prohibir su uso carece de sentido en una sociedad cada vez más globalizada e interconectada. Los casos tratados a través de la Línea de Ayuda de IS4K demuestran que siguen existiendo carencias de padres e hijos en cuanto a habilidades TIC. Por ello, ante la duda y en determinadas situaciones más complejas, es adecuado recurrir a la ayuda profesional. En esos casos, no olvides que puedes contar con IS4K a través del teléfono gratuito y confidencial: 900 116 117.
Nota de DavidHellin: La noticia es original de OSI
El uso de dispositivos de propiedad privada en el ámbito corporativo se ha convertido en una práctica muy habitual y extendida entre trabajadores. Esta situación implica un mayor grado de atención, tanto por parte de la organización como del empleado, ya que un uso indebido podría comprometer la seguridad e integridad de la información de la empresa.
Actualmente, el uso de dispositivos de propiedad privada en el ámbito corporativo, como por ejemplo, ordenadores portátiles, tablets, smartphones, etc., se ha convertido en una práctica muy habitual y extendida entre trabajadores. Esta situación implica un mayor grado de atención, tanto por parte de la organización como del empleado, ya que un uso indebido podría comprometer la seguridad e integridad de la información de la empresa y también de la personal.
Hacer uso de dispositivos personales en el ámbito corporativo se conoce como BYOD por sus siglas en inglés (Bring Your Own Device). ¿Te has parado a pensar qué supone que los trabajadores hagan uso de sus dispositivos personales en el ámbito laboral? Hay que tener en cuenta que al ser personales, no tienen la configuración de seguridad que la empresa ha decidido implementar, provocando que exista una falta total de control sobre ese dispositivo. Por lo tanto, ¿tenemos claros los riesgos asociados a esta práctica? Aquí te mostramos algunos:
- Un dispositivo personal con documentos de la empresa cuando se conecta a una red externa no segura podría dar acceso a terceras personas a la información corporativa almacenada en el mismo.
- Instalar aplicaciones con permisos de acceso a diferentes partes del dispositivo (contactos, fotos, archivos,..) donde podría haber información sensible de la organización.
- Dispositivos sin medidas de seguridad, por ejemplo si no tienen contraseña, patrón o huella para acceder o si no han cifrado su contenido, podrían permitir a cualquiera que se hiciera con él, acceder a todo su contenido.
- En el caso que un dispositivo personal carezca de antivirus o política de actualizaciones del mismo, podría infectarse y convertirse en víctima de ataques y accesos no autorizados.
- Hacer uso indiscriminado de las opciones de «recordar contraseñas» puede provocar que cualquiera que se haga con el dispositivo, tenga acceso a todas las credenciales almacenadas.
Si vamos a permitir este tipo de integración en nuestra empresa, es evidente la necesidad de definir una política que indique los requisitos que se tienen que cumplir a la hora de utilizar los dispositivos personales en el ámbito laboral. Para ello, hay que tener en cuenta, además de la concienciación, aspectos organizativos y normativos, y aspectos técnicos. Con el listado que te ofrecemos a continuación, no te olvidarás de nada al elaborar la política BYOD de tu empresa:
Cuestiones organizativas y normativas:
Define normas y procedimientos en cuanto al uso de BYOD, especificando las condiciones en las que se permite su uso, cómo se accede a la información, configuración mínima de seguridad necesaria, etc.
Limita las instalaciones de aplicaciones, estableciendo una lista de las que no se podrá hacer uso, así como la prohibición de uso de dispositivos manipulados (jailbreak o ruteado), que permiten la instalación de aplicaciones que no provienen de repositorios oficiales.
Limita el acceso a redes desconocidas, indicando que preferentemente se conecten a través de las redes 3G o 4G. En ningún caso se permitirán conexiones a través de redes wifi abiertas.
Establece el proceso que hay que seguir para entregar o eliminar la información de estos dispositivos cuando el empleado abandona la organización.
Aspectos técnicos sobre los sistemas de tu empresa:
- Establece las medidas de control necesarias para poder acceder a la red corporativa (autenticación, doble factor, etc.). En este caso se podría proveer a los empleados de acceso mediante VPN (red privada virtual, en inglés Virtual Private Network), que garantiza un cifrado de las comunicaciones.
- Controla de almacenamiento de datos en la nube, permitiendo consultas de datos pero no la actualización desde dispositivos personales ya que las medidas de protección en sistemas cloud pública no son siempre tan seguras como las medidas que se pueden tomar en el ámbito empresarial.
- Controla usuarios y dispositivos a los que permites el acceso, mediante un registro de usuarios y dispositivos que tendrán acceso a los datos y aplicaciones corporativas.
- Dota a la empresa, mediante acuerdos con los empleados, de cierta capacidad de administración sobre estos terminales.
Aspectos técnicos sobre los dispositivos de tus empleados:
- Implanta medidas técnicas que garanticen el almacenamiento seguro de la información en dispositivos móviles, como por ejemplo mecanismos de cifrado de documentos o autenticación.
- Establece una política de contraseñas robustas, haciendo que se compongan al menos de ocho caracteres, combinando mayúsculas, minúsculas, números y caracteres especiales.
- Asegúrate de que los dispositivos cuenten con antivirus correctamente actualizado, y con una política de actualizaciones tanto del sistema operativo como de las aplicaciones contenidas.
- Impide que los usuarios guarden automáticamente las credenciales de las herramientas corporativas en este tipo de dispositivos
- También puedes hacer uso de soluciones de gestión de movilidad para empresas, como MDM (Mobile Device Management), utilizado para prevenir el acceso no autorizado a las aplicaciones de la compañía y a la información corporativa en estos dispositivos; MAM (Mobile Applications Management), utilizado para la provisión y control del acceso a aplicaciones móviles; MCM (Mobile Content Management), sistema que garantiza la seguridad de los datos corporativos almacenados en los dispositivos móviles; o EMM (Enterprise Mobility Management), sistema de gestión de dispositivos móviles, redes inalámbricas.
Concienciación y formación a empleados:
- Haz todo lo necesario (cursos, charlas,…) para que los empleados sean conscientes de la importancia para la empresa de la correcta protección y el uso adecuado de estos dispositivos.
- Establece una política de formación sobre su uso seguro, incidiendo sobre temas de importancia transversal como la configuración de parámetros básicos de seguridad, actualizaciones tanto de sistema operativo como de aplicaciones, etc.
Hacer uso de dispositivos personales en el ámbito laboral es una situación que deberá contemplarse por parte de la organización. Para esta gestión, se deberá contar con una política de seguridad a la cual tendrá que acogerse el trabajador. Este tipo de medidas serán de vital importancia para garantizar la integridad de la información que se maneje que este tipo de dispositivos. Pero el empleado también tendrá que ser consciente de los riesgos existentes y deberá estar concienciado en llevar a la práctica las medidas propuestas por la empresa.
Etiquetas:
Proteccion informacion, Políticas, Buenas prácticas, Concienciación
Nota de DavidHellin: La noticia es original de INCIBE
Aunque llevan muchos años entre nosotros, el navegador web se ha convertido en una herramienta de uso cotidiano en las empresas. Desde él accedemos a servicios de proveedores, a páginas de las Administraciones Públicas y a servicios corporativos internos. Consultas, noticias, compras on-line, trámites con entidades financieras y otros organismos, acceso al correo electrónico, a redes sociales, a servicios en la nube, usamos aplicaciones ofimáticas online, etc. todo esto, y mucho más, lo hacemos a través del navegador. Con toda esta actividad no es de extrañar que los delincuentes los hayan convertido en su objetivo. Y nosotros como navegantes ¿somos conscientes de los peligros a los que nos exponemos?, ¿sabemos cómo navegar seguros?
Aunque llevan muchos años entre nosotros, el navegador web se ha convertido en una herramienta de uso cotidiano en las empresas. Desde él accedemos a servicios de proveedores, a páginas de las Administraciones Públicas y a servicios corporativos internos. Consultas, noticias, compras on-line, trámites con entidades financieras y otros organismos, acceso al correo electrónico, a redes sociales, a servicios en la nube, acceso a aplicaciones ofimáticas online, etc. todo esto, y mucho más, lo hacemos a través del navegador. Con toda esta actividad no es de extrañar que los delincuentes los hayan convertido en su objetivo. Y nosotros como navegantes ¿somos conscientes de los peligros a los que nos exponemos?, ¿sabemos cómo navegar seguros?
El cliente y el servidor
Cuando navegamos por Internet, el navegador (Opera, Microsoft Edge/Explorer, Firefox, Chrome,…) en nuestro equipo es un «cliente» que solicita servicios —que le envíen contenidos de una página web— a un «servidor» donde se aloja la página web que solicitamos. Los navegadores interpretan lo que les envían los servidores (las páginas web codificadas) para mostrar el contenido a los usuarios e intercambian información con los mismos como credenciales de acceso, parámetros, etc.
Si el servidor al que accedemos ha sido atacado, las comunicaciones son interceptadas o el cliente (el navegador o sus extensiones y plugins) no está protegido, podríamos enviar información de forma insegura, como nuestras contraseñas o nuestras cuentas corrientes, o descargarnos código malicioso que tomará control de nuestro navegador o infectará nuestros equipos.
¿Cómo me atacan cuando navego?
Son muchas las técnicas de ataque a través del navegador. Podemos agruparlas en:
- Introducción de código malicioso en el equipo del usuario a través de una vulnerabilidad del navegador. Para ello, primero han de conseguir que visitemos una página infectada que se encargará de «chivarle» al atacante las debilidades de nuestro navegador. Así este podrá lanzarnos, generalmente de forma automática, el código malicioso (exploit) más adecuado para aprovechar nuestras debilidades.
- ¿Cómo consiguen que visitemos una página infectada? Pues de muchas formas:
- dirigiendo a la víctima a un sitio web legítimo y de confianza, previamente infectado,
- incluyendo anuncios, aparentemente inofensivos pero que ejecutan contenido malicioso, en páginas web legítimas que han sido comprometidas,
- con engaños de ingeniería social para que hagamos clic en enlaces que suplantan a webs legítimas (phishing).
- ¿Cómo consiguen que visitemos una página infectada? Pues de muchas formas:
- Inclusión de código malicioso en formularios o parámetros de las URL para que se ejecuten en el propio navegador del usuario. Esto es frecuente en aplicaciones en las que el usuario interactúa introduciendo datos en su navegador: blogs, foros, redes sociales,… Utilizan código malicioso en los formularios o parámetros (en los lenguajes de programación que utiliza la página web: HTML, JavaScript, etc.) para que sea ejecutado en nuestro navegador evadiendo los mecanismos de seguridad.
- Interceptación y manipulación de las comunicaciones entre el navegador (el cliente) del usuario y el servidor web. Con estos ataques consiguen capturar el tráfico y redirigirlo para monitorizarlo o modificarlo. Por ejemplo, mediante los falsos puntos de acceso wifi que nos hacen creer que estamos conectados a una wifi conocida a la que suplantan. De esta forma consiguen hacerse con nuestras credenciales para acceder a servicios legítimos y suplantar luego nuestra identidad. También nos conducen, dirigiendo la comunicación interceptada, a páginas infectadas.
- Descarga y ejecución de ficheros de fuentes no confiables. Esto ocurre cuando visitamos sitios no oficiales o reconocidos, para descargar software, imágenes u otro tipo de documentos que pueden incluir malware.
Aviso para navegantes
Conociendo lo que puede ocurrir cuando navegamos estos son algunos consejos para navegar seguro:
- Es importante estar al día: ¡actualiza! Como muchos ataques se producen por tener desactualizados los navegadores, te recomendamos que mantengas siempre actualizados tus equipos y los navegadores. Desinstala los navegadores, plugins y extensiones que no utilices. Programa las opciones de actualización automáticas, tanto para el sistema operativo como para los navegadores.
- Verifica y actualiza los plugins y extensiones. Descarga siempre los complementos de sitios oficiales. Desinstala o desactiva los que no utilices. No instales ni Java ni Flash a menos que los necesites o habilítalos únicamente cuando los vayas a utilizar. Programa las opciones de actualización automáticas también para los complementos.
- Gestiona la seguridad y privacidad del navegador. Entra en las opciones de seguridad para bloquear pop-ups, desactivar la sincronización de contraseñas, evitar autocompletado, borrar ficheros temporales, bloquear la geolocalización, etc.
- Nunca guardes las contraseñas en el navegador cuando te da la opción de recordar la contraseña. Si lo has hecho bórralas y deshabilita esta opción si está activada en los ajustes del navegador. Toma precauciones para borrarlas cuando navegues en ordenadores públicos o que te presten. Puedes utilizar gestores de contraseñas vigilando que utilicen un cifrado robusto y una llave maestra.
- Elimina las cookies de sesión. Estudia los parámetros de privacidad de tu navegador y parametrízalo para que se ajuste a tus necesidades. Las cookies son unos pequeños ficheros que guardan información sobre la sesión con una web para facilitar las conexiones futuras y recordar datos de navegación como hábitos y preferencias. Puedes borrarlas después de navegar (y borrar también el historial de navegación) o configurar el navegador para que se borren automáticamente.
- También puedes navegar en modo privado o incógnito, de esta forma se iniciará una sesión sin utilizar los datos ya almacenados en el navegador y al terminar se borrarán las cookies, el historial de navegación y otros datos que se hayan creado.
- Otra opción es utilizar extensiones o plugins para bloquear la publicidad y las cookies (uBlock, DoNotTrackMe, Ghostery, Disconnect,..) siempre que antes te informes de cómo utilizarlos.
- Cifra las comunicaciones utilizando protocolos en los que las comunicaciones van cifradas, por ejemplo utiliza siempre que puedas HTTPS. Los navegadores tienen complementos que facilitan y priorizan el uso de protocolos cifrados como HTTPS.
- Verifica que los sitios por los que navegas son fiables. Teclea la URL (con de HTTPS://) y abre la información (certificado) en el candado en la barra de navegación. Comprueba que el certificado está vigente, y que estás en el sitio correcto verificado por una empresa de confianza.
- Protégete contra el malware, el phishing, y los exploits. Utiliza herramientas antimalware que incluyan protección de navegación web y para detectar phishing y para evitar que los empleados accedan a webs poco fiables (filtro de contenidos). Considera utilizar herramientas anti-exploits para evitar que puedan aprovecharse de vulnerabilidades de tu navegador que se estén explotando antes de que el fabricante publique el parche (llamadas de día cero o 0-day). Difunde esta información entre tus empleados, incluye estas buenas prácticas en una política interna de obligado cumplimiento, comprueba que todos saben utilizar bien el navegador y que navegan seguros. ¡Protege tu empresa!
Etiquetas:
Proteccion informacion, Políticas, Ocio, Web, Colaboradores, Comercio minorista, Concienciación, Empresa
Nota de DavidHellin: La noticia es original de INCIBE
