El Teletrabajo se queda (¿O no?)

Muchos puestos de trabajo han comenzado a retornar a la “normalidad” de manera paulatina, unos más lentos y otros con más premura. Lo cierto es, que el teletrabajo llegó para quedarse; Quizás no de la manera que la vivimos durante la pandemia COVID19 o quizás para algunas quedó de forma definitiva como modalidad de trabajo. Sin embargo, ahí está...

Teniendo en cuenta lo antes mencionado algo fundamental para que esta modalidad funcione y siga siendo una opción viable es la seguridad, todos los usuarios debemos adoptar una serie de medidas para evitar ser un vector de ataque para nuestras organizaciones, por ende:  

¿Cómo protegemos el acceso remoto durante el teletrabajo?  

A estas alturas, debe ser una situación completamente abordada toda vez que cada equipo remoto, cada red remota en estricto rigor, corresponde a una extensión de nuestra red corporativa y deben aplicarse las medidas de seguridad necesarias y adecuadas además de considerar, para esto, toda la experiencia adquirida durante la época de pandemia.

¿Cómo proveemos seguridad? Pues con la VPN (¿?).  

Una VPN únicamente nos permitirá asegurar el tránsito de la información mientras provee un medio seguro por el cual extender la red de mi organización. Es decir, un túnel seguro desde nuestro hogar (u otro) hacia nuestra red corporativa. Es decir, una extensión de nuestra red corporativa en todo esplendor. Con lo anterior, todas aquellas definiciones de perímetro han desaparecido de forma automática.  

¿Dónde queda ahora nuestro perímetro? 

Por supuesto, hace mucho tiempo que nuestro perímetro se ha hecho difuso mediante la incorporación de servicios cloud y redes hibridas e implementaciones SD-WAN. Sin embargo, posterior a la experiencia de la pandemia, hemos abiertamente extendiendo nuestro perímetro hacia oscuras ramificaciones al entregar una conexión remota, segura, a nuestra infraestructura TIC, a nuestros activos de información, al negocio desconociendo el “estado de salud” de los dispositivos remotos que accederán a nuestra red y aceptando un riesgo sin conocer su impacto y probabilidad de ocurrencia. Absolutamente un salto de fe debido, por supuesto, a la premura de la continuidad de negocio en época de pandemia. Pero, ya no estamos (¿?) en pandemia.

Claro, quizás los equipos (él) que se conectará a nuestra red fue entregado por nosotros y posee los controles de seguridad adecuados alineados a la postura de seguridad corporativa… Pero que sucede con todos los otros dispositivos existentes en la red remota ¿? Impresoras, televisores, aspiradoras, freidoras, parlantes, teléfonos, etc.

Sin duda, se trata de riesgos que pueden impactar de manera negativa nuestra seguridad.

Claro, ya sabemos esto…. Entonces, ¿Cómo garantizamos que el procesamiento y almacenamiento de información es seguro?  

Pues bien, ciertamente te recomiendo abordar mediante un enfoque que contemple desde los espacios y/o ubicaciones físicas de origen como destino identificando la infraestructura, redes, tecnologías de información y tecnologías de operación involucradas. Posteriormente, realiza un inventario de todas las aplicaciones operacionales, de apoyo, transporte y cualquier aplicación que intervenga como sus respectivas fuentes de información -Line of Business-. 

Todo lo anterior, para dar apoyo y soporte a las operaciones de negocio que son, justamente, aquellas a las que debemos de garantizar su continuidad operacional mediante la habilitación del soporte para trabajar de manera remota. Esta propuesta de enfoque permite contemplar todas aquellas necesidades de acceso que tendrán tus usuarios y “perfilar” debidamente a estos. Considera, siempre, los enfoques de mínimo privilegios extendiendo esto hacia el “mínimo acceso” en función del rol de cada colaborador. Es decir, no entregues un “túnel VPN” hacia la red corporativa, entrega accesos acotados en función del derecho a saber de cada uno de tus colaboradores.

Siempre, hablando de una sesión de teletrabajo, es importante verificar la seguridad física del entorno de trabajo remoto, también debes considerar requisitos de seguridad para las conexiones (como por ejemplo que el motor antimalware este presente, activo y actualizado), garantizar la AAA (Authentication, Authorization and Accounting), auditoria, monitorización en tiempo real, respaldo de información, entre otras consideraciones. Hace unos días, Alexis planteo él modelo de seguridad ZTNA; Sin duda, es el acercamiento que hoy debemos considerar para el acceso remoto de colaboradores, proveedores y socios de negocio.

Te dejo “Algunas sugerencias”

• Verifica una correcta Autenticación
• En la medida de lo posible, habilitas soluciones para el gestión y manejo de identidades.
• Habilita, en lo posible, autenticación de doble factor
• Ciertamente, te lo recomiendo.
• Verifica la correcta Autorización
• Ya validamos “quien es”, ahora validemos “si tiene accesos”  
• Garantiza el Accounting
• Responsabilidad, siempre.
• Implementa mecanismos de monitorización en tiempo real
• Delega esto un personal experto
• Monitoriza y analiza el uso y comportamiento de tus usuarios
• Gestiona las desviaciones.
• Implementa, en la medida de lo posible, control y filtro web y de aplicaciones en las estaciones remotas.
• No olvides el SSL/TLS.
• Implementa políticas condicionadas al estado de salud de los dispositivos
• Por salud, actualizaciones, versión, aplicaciones, ubicación, etc.
• De ser posible, extiende tu solución endpoint hacia los equipos de tus usuarios o provee a estos de equipos.
• Idealmente, que todo equipo remoto de tus colabores pertenezca al negocio. Aplica los controles de seguridad definidos en esto.
• Verifica tus políticas en tu solución CASB
• ¿Tienes? … quizás un SASE ¿?
• Emplea soluciones cloud para el almacenamiento de archivos
• Garantizas accesibilidad (disponibilidad)
• Habilita y habilitas políticas de auditora, cifrado y protección para el robo y fuga de información en tus distintas soluciones.
• Control y gestión de medios removibles.
• En le medida de lo posible, controla las actualizaciones y parches de tus equipos remotos
• Concientiza y entrena a tus usuarios
• Somos tan fuertes como el eslabón más débil.
• Contempla un plan de gestión de crisis
• Considera que, en algún momento, lo puedes necesitar.
  
  

No olvides el enfoque de todo está prohibido y solo habilita lo estrictamente necesario (derecho a saber – mínimo privilegio). Finalmente, adapta tu estrategia para con la seguridad remota en función del análisis y experiencia que obtengas.

¿Nosotros? Ahora mismo trabajamos en un formato hibrido aprovechando lo mejor de ambas modalidades.

Esperamos haber aportado. Éxito y gracias por tu tiempo.