Al final, la muerte llegó rápidamente. El January 1, 2021, los creadores de Adobe Flash —que en su día había sido el reproductor multimedia por excelencia en ordenadores de sobremesa, portátiles y otros dispositivos— pusieron fin al soporte técnico de este software, plagado de errores, tras más de dos décadas de funcionamiento.
Durante gran parte de su mandato, Flash se vio afectado por graves fallos de seguridad . Sin embargo, eso no impidió que muchas empresas utilizaran esta aplicación de fácil implementación.
Esto se debe a que los desarrolladores web consideraban que Flash era una herramienta sencilla para crear interfaces de usuario atractivas e incorporar vídeos multimedia en sus sitios web corporativos. Tanto es así que hicieron caso omiso de las advertencias de Adobe y mantuvieron la aplicación en funcionamiento —en hasta mil millones de dispositivos en el momento de mayor uso—.
Para personas como Bill Pelletier, la reticencia de los equipos empresariales a encontrar un equilibrio entre la comodidad que ofrecen aplicaciones como Flash y unas buenas medidas de seguridad puede resultar muy costosa. Como arquitecto de seguridad en una compañía de seguros nacional de la zona 2010s, advirtió a su empresa de que no utilizara Flash para recopilar datos de los usuarios y ofrecer presupuestos en los navegadores de estos. Nadie prestó atención. «De repente, la migración para abandonar Flash acabó convirtiéndose en un proyecto de un millón de dólares que se prolongó durante varios años», afirma Pelletier.
«. De repente [para nosotros], abandonar Flash acabó suponiendo un esfuerzo de un millón de dólares a lo largo de varios años.»Bill Pelletier, arquitecto de seguridad
Hoy en día, Pelletier afirma que las empresas deben tomar buena nota de esta lección, ya que hay cientos, si no miles, de aplicaciones y componentes de aplicaciones en funcionamiento en empresas de todo el mundo que plantean riesgos de seguridad similares. Añade que es necesario sopesar cuidadosamente la relación entre riesgo y beneficio a la hora de elegir aplicaciones, y que estas deben ser supervisadas ,, , actualizadas y mantenidas al día a lo largo de todo su ciclo de vida, incluido su fin natural de vida útil.
Cuando las aplicaciones no se actualizan ni se mantienen, a menudo pueden ser objeto de ataques remotos mientras la empresa siga utilizándolas. Las empresas que se fusionan con otras o las adquieren sin comprender plenamente la pila tecnológica que heredan suelen ser las que más sufren por la falta de capacidad para evaluar y aplicar parches.
Dado que gran parte de la población activa actual trabaja a distancia, los riesgos son aún mayores. «Ya no trabajamos bajo la protección del cortafuegos de una red corporativa», afirma Pelletier. «Ahora trabajamos desde casa, sentados en el sofá, conectados a los módems por cable de nuestras oficinas domésticas o utilizando redes Wi-Fi públicas cuando viajamos».
Aunque una seguridad eficaz en los puntos finales no se consigue «de la noche a la mañana», los expertos afirman que los equipos de seguridad deben seguir estas cinco estrategias básicas de seguridad.
5 estrategias de seguridad
Formar a los trabajadores para que tengan conocimientos sobre seguridad
La primera línea de defensa son las personas que utilizan los dispositivos finales: los ordenadores portátiles, los ordenadores de sobremesa, las tabletas y otros dispositivos que las organizaciones les han proporcionado para que puedan trabajar a distancia. Los equipos de seguridad, junto con el departamento de Recursos Humanos, deben formar adecuadamente a los trabajadores para que se mantengan alerta ante , eviten hacer clic en correos electrónicos de phishing engañosos o instalen aplicaciones maliciosas o peligrosas. «La formación en concienciación sobre seguridad es indispensable», afirma Ken Swick , de , consultor sénior de seguridad en NCC Group, un proveedor de servicios de seguridad con sede en Mánchester (Inglaterra). «La formación en materia de concienciación contribuye a garantizar que los usuarios no introduzcan ese contenido nocivo». «Además, puede concienciar a los usuarios sobre los peligros de almacenar información confidencial en sus dispositivos».
Un programa sólido de concienciación y formación en materia de seguridad debería partir de un responsable de formación específico que sea capaz de explicar temas complejos y fomentar la implicación de los empleados, sin sobrecargarlos ni provocarles «fatiga de seguridad». Esto suele implicar evitar el tipo de charlas sobre seguridad que imparten muchas empresas y optar, en su lugar, por una formación en seguridad basada en juegos y vídeos interactivos que involucren a los trabajadores en el proceso de seguridad y mantengan su interés.
[Lea también: Cómo convertir a los trabajadores a distancia en defensores de la seguridad]
Esta formación debe repetirse y debe centrarse en modificar los comportamientos a largo plazo. Un estudio titulado « 2020 » ( ), realizado por Forrester Consulting para la empresa de seguridad de datos y correo electrónico Mimecast ( ), reveló que la formación en materia de seguridad por sí sola no resulta eficaz. A pesar de haber recibido formación en materia de concienciación sobre seguridad, un tercio de los encuestados, de media, admitió haber incumplido las políticas de seguridad, lo que pone de manifiesto que es necesario cambiar el propio comportamiento cibernético.
Mejorar la visibilidad de las tecnologías de la información
Es mejor poder impedir una intrusión que tener que detectarla. Por ello, es fundamental contar con una buena gestión de los dispositivos finales. Según una encuesta de 2020 Tanium realizada a 750 responsables de la toma de decisiones en el ámbito de las tecnologías de la información, el 94 % de los directores de sistemas de información (CIO) han descubierto dispositivos finales en su entorno de los que desconocían su existencia, lo que dificulta su capacidad para reducir los posibles riesgos de seguridad asociados a dichos dispositivos.
Los equipos de tecnología empresarial deben saber qué dispositivos utilizan los empleados, dónde se encuentran dichos dispositivos, qué aplicaciones ejecutan y qué tipos de datos procesan y contienen. «Es fundamental disponer de buena información sobre los dispositivos finales que se utilizan», afirma Fernando Montenegro, analista de seguridad de la empresa de estudios de mercado S&P Global Market Intelligence.
Bill Pelletier añade que la gestión de dispositivos debe figurar en la lista de medidas a adoptar de toda organización, si aún no es así. «Es necesario disponer de la capacidad de gestionar todos estos dispositivos, independientemente de dónde se encuentren, para poder llevar a cabo todas las medidas de seguridad necesarias que contribuyan a mantener la seguridad», afirma.
Practique la higiene informática
La mejor forma de impedir que los atacantes accedan a los dispositivos finales es cerrar el mayor número posible de vías de acceso. Los equipos de TI pueden lograrlo mediante la gestión de la configuración, la aplicación de políticas y la instalación eficaz de parches. «Una buena higiene consiste en mantener las cosas en buen estado», afirma Pelletier. «Eso significa reducir su dependencia de componentes obsoletos, como Java». Pregunta: «¿Por qué necesita Java 1.41 en su dispositivo?»
Además de instalar los últimos parches para mantener a raya a los atacantes y al malware, también es fundamental aplicar de forma continua una política adecuada de configuración de los dispositivos, como, por ejemplo, la identificación de aplicaciones no autorizadas. «Disponer de la capacidad de garantizar que en el terminal solo se instale y se configure correctamente el software autorizado constituye un control importante para la coherencia, la legalidad y la asistencia técnica», afirma Swick.
Garantice la precisión de la telemetría
Los equipos de TI deben comprender el contexto empresarial de cada dispositivo. Esto incluye la función del propietario del dispositivo y los tipos de acciones que lleva a cabo el usuario, lo cual se basaría en gran medida en la telemetría — —, es decir, los datos y las comunicaciones automatizadas sobre los sistemas que se ejecutan en un terminal. Esto, a su vez, contribuye a garantizar que se apliquen las medidas de protección y las políticas de seguridad adecuadas. En el caso de los dispositivos finales de un director financiero, la seguridad incluiría esa misma supervisión del flujo de tráfico de red, la nube y los procesos de los dispositivos finales, así como medidas de supervisión adicionales. Esto podría incluir la supervisión del comportamiento de las aplicaciones de los sistemas financieros a los que tendría acceso el director financiero.
«Estamos comprobando lo valiosa que resulta la telemetría de los dispositivos finales para comprender lo que está sucediendo en el mundo». «Va mucho más allá de determinar si se está utilizando o no la VPN en el dispositivo», afirma Montenegro. «Se trata más bien de comprender el estado del dispositivo y cómo se está utilizando». «Esto incluye datos de telemetría procedentes de los sistemas de correo electrónico, de los sistemas de gestión de identidades y accesos, o información empresarial contextual, con el fin de poder tomar mejores decisiones en materia de seguridad».
Mejorar la respuesta ante incidentes en los terminales
Tarde o temprano, todas las organizaciones sufren una brecha de seguridad en sus dispositivos finales, ya sea debido a un software vulnerable o a que un miembro del personal haga clic en un enlace de un correo electrónico de phishing. Una seguridad deficiente, incluida la seguridad de los dispositivos finales, resulta costosa. Según el informe « 2020 Cost of a Data Breach Report» (), elaborado a partir de un estudio realizado por el Ponemon Institute ( ) ( ) y publicado por IBM Security () (), el coste medio de una filtración de datos a nivel mundial ascendió a 3.86 millones de dólares. El tiempo medio que se tarda en detectar o contener una filtración: 280 días.
Aunque muchos aspectos de la seguridad de los terminales se han mantenido iguales a lo largo de los años, la complejidad y la magnitud del problema no han dejado de aumentar. «Las competencias que necesitan las empresas en la actualidad son la capacidad de responder a gran escala, ya que ahora se enfrentan al reto que plantean decenas de miles o cientos de miles de dispositivos», afirma Montenegro.
La respuesta ante incidentes también es fundamental para el cumplimiento normativo, una cuestión que, en última instancia, acabó con Flash en la compañía de seguros en la que trabajaba Bill Pelletier. «Ellos [el equipo de desarrollo web] querían gestionar la información de pago a través de Flash, y básicamente les dijimos que eso no iba a ser posible», afirma.
Sin embargo, Flash se impuso inicialmente precisamente porque funcionaba y era muy fácil de usar. Y esa es precisamente la misma batalla que los profesionales de la seguridad deben librar y gestionar cada día en todos los dispositivos finales de su empresa si desean mantenerlos protegidos.
