Numerosos indicadores de en los últimos meses han apuntado a un aumento de las obligaciones de regreso a la oficina este año, y se prevé que la directiva del presidente Trump de poner fin a las modalidades de teletrabajo en los organismos federales impulse aún más esta tendencia, junto con un posible repunte de las amenazas a la ciberseguridad.
Los directivos empresariales que abogan por la vuelta a la oficina parecen preocupados, sobre todo, por las posibles caídas en la colaboración y la productividad de los empleados y, por supuesto, por los costes que supone mantener unas oficinas medio vacías. Lo cierto es que los estudios indican que una política de cinco días de presencia en la oficina contribuye muy poco a aumentar la productividad de los empleados, los beneficios de la empresa o su rendimiento en bolsa; además, existe sin duda el riesgo de molestar —o incluso de perder— a los empleados durante la transición.
Este aumento en el número de quejas de los empleados y en el estrés laboral tiene graves consecuencias para los responsables de seguridad de la información (CISO) de , y otras personas encargadas de supervisar «las amenazas internas» y la ciberseguridad general en organizaciones públicas y privadas.
Y esa es una de las razones por las que los responsables de las empresas deben dar prioridad a la ciberseguridad a la hora de sopesar las ventajas y los inconvenientes de los distintos lugares de trabajo de los empleados.
«. Es necesario tener en cuenta las amenazas internas, incluido el sabotaje, ya que algunos empleados pueden verse personalmente afectados por el cambio y, en casos extremos, podrían reaccionar de forma inadecuada.»Fritz-Jean Louis, asesor principal de ciberseguridad de Info-Tech Research
Porque no se trata simplemente de volver a la normalidad anterior a la pandemia. El RTO afecta a la ciberseguridad de diversas maneras. Es cierto que hay aspectos positivos, pero los expertos prevén algunos retos importantes, ya que las antiguas amenazas de seguridad vuelven a cobrar relevancia y otros riesgos imprevistos complican aún más la labor de los equipos de seguridad.
Ventajas e inconvenientes del RTO para los CISO
En primer lugar, los aspectos positivos: aunque una iniciativa de RTO puede plantear algunos retos, también facilita algunos aspectos de la ciberseguridad para los CISO, afirma Larry Whiteside Jr. Este veterano CISO dirige actualmente Confide, un servicio de evaluación y reventa de productos dirigido a los CISO.
«. Es mucho más fácil garantizar la seguridad de las personas dentro de las instalaciones de su empresa.»Larry Whiteside Jr., director de seguridad de la información (CISO) y cofundador de Confide
«Es mucho más fácil garantizar la seguridad de las personas dentro de las instalaciones de su empresa», afirma. «No conoce la configuración de red doméstica de los usuarios ni conoce su red doméstica». ¿Quién utiliza su ordenador del trabajo cuando no está presente? ¿Qué otros dispositivos no seguros hay en esa red? «La mayoría de los routers domésticos son un auténtico desastre», añade. Pocas personas actualizan el software de estos dispositivos, salvo, quizá, los grupos chinos de amenazas persistentes avanzadas que los infectan con el malware .
El modelo «Zero Trust» ( ) —la idea de desconfiar de todo lo que hay en la red y asignar privilegios basándose en una autenticación sólida — se suponía que iba a resolver esos problemas. Sin embargo, Whiteside Jr. afirma que se trata de un marco complejo , más que de un único producto, y que muchas empresas no estaban preparadas para ello.
No obstante, las normas de la RTO plantean sus propios retos, entre ellos el temido «movimiento lateral» (), en el que un atacante que ha comprometido un dispositivo puede desplazarse a otros dispositivos de la red de la empresa y comprometerlos también.
«No se trataba de pasar de un dispositivo a otro durante la pandemia, cuando todo el mundo estaba en casa; se trataba más bien de una escalada de privilegios en », explica Whiteside Jr.
En casa, un dispositivo de trabajo no está conectado a la red de la empresa, por lo que los atacantes no tienen la posibilidad de pasar de ese dispositivo infectado a los equipos de la red de la oficina. En cambio, en los últimos años, los ciberdelincuentes se han centrado en robar las credenciales de los empleados a través de dispositivos remotos, lo que les permite hacerse con el control de sus cuentas de trabajo en línea en aplicaciones en la nube. Un equipo infectado en una red doméstica podría revelar, por ejemplo, las credenciales de inicio de sesión del espacio de trabajo en la nube de Microsoft 365 de un empleado, a las que un atacante podría acceder posteriormente desde su propio ordenador para sustraer sus archivos de trabajo. (Unas políticas y una tecnología adecuadas de gestión de identidades y accesos pueden ayudar a supervisar los permisos de los usuarios y a mitigar dichos riesgos.)
Mediante el movimiento lateral (o lo que se conoce como «este-oeste»), un atacante puede desplazarse horizontalmente por toda la red, ampliando su acceso con relativa facilidad. Si bien las herramientas de detección en los puntos finales identifican fácilmente el tráfico «norte-sur» (por ejemplo, el movimiento hacia o desde una red), los movimientos laterales pueden resultar más difíciles de detectar. Las empresas deben recurrir a una gestión autónoma de terminales y a soluciones de supervisión en tiempo real, como la detección de anomalías y sofisticados análisis de ciberseguridad, cada uno de los cuales permite registrar y realizar un seguimiento de la actividad inusual de los usuarios.
El mayor riesgo de ciberseguridad para los RTO: cuando los empleados actúan por su cuenta
Otra preocupación relacionada con el RTO para los CISO: las tensiones, que podrían poner en peligro los datos o los sistemas cibernéticos de una empresa.
«Muchas empresas me comentaron que se alegraron cuando Amazon anunció [el pasado mes de septiembre] la vuelta a la oficina cinco días a la semana. Lo consideran una oportunidad para atraer a algunos empleados cualificados de Amazon.»Mark Ma, doctor, profesor asociado de Administración de Empresas de la Universidad de Pittsburgh
Mark Ma, profesor asociado de administración de empresas en la Universidad de Pittsburgh, , investigó las políticas de «reincorporación al trabajo» (RTO) y constató una caída significativa en la satisfacción de los empleados cuando las empresas les ordenaron volver al trabajo. Esto se tradujo directamente en una elevada rotación de personal, especialmente entre las empleadas con hijos a su cargo y entre los empleados con experiencia, un colectivo que a menudo valora su autonomía y resulta muy atractivo para los posibles empleadores, señala Ma. «Muchas empresas me comentaron que se alegraron cuando Amazon anunció [el pasado mes de septiembre] la vuelta a la oficina cinco días a la semana», afirma. «Lo consideran una oportunidad para atraer a algunos empleados cualificados de Amazon».
¿Es posible que algunos de esos empleados se lleven consigo secretos de la empresa, tal vez para mejorar las condiciones del contrato con un nuevo empleador? Según los expertos, se trata de un motivo de verdadera preocupación.
«Hay que tener en cuenta las amenazas internas, incluido el sabotaje, ya que algunos empleados pueden verse personalmente afectados por el cambio y, en casos extremos, podrían actuar de forma imprudente», advierte Fritz-Jean Louis, asesor principal de ciberseguridad de la empresa de análisis Info-Tech Research.
Los empleados podrían verse tentados a tomar represalias si se les sometiera a una supervisión draconiana por parte de la empresa mientras trabajan desde casa. Abundan las historias sobre empresas paranoicas que espían a sus empleados que teletrabajan, utilizando un software que supervisa la frecuencia con la que los teletrabajadores mueven el ratón para comprobar si se encuentran en sus puestos de trabajo.
«Esta cultura del presentismo virtual no solo aleja a los empleados, sino que además constituye un indicador poco fiable de la productividad, advierte Ma».«No hemos encontrado pruebas significativas de que las medidas obligatorias de vuelta a la oficina mejoren o perjudiquen realmente el rendimiento de las empresas o la valoración bursátil en cuanto a la rentabilidad de sus acciones», afirma Ma.
Un camino a seguir
La solución más aceptable también forma parte de lo que él considera una vía a seguir para aquellas empresas que necesitan que sus empleados acudan a la oficina, al tiempo que fomentan unas relaciones respetuosas y productivas con el personal. «¿Por qué no realiza un seguimiento y supervisa directamente los resultados?», sugiere. «En qué medida han avanzado los empleados hacia su objetivo: los resultados esperados».
«[Un enfoque híbrido] da prioridad, en cierta medida, a las necesidades de los empleados, al tiempo que analiza cómo podemos hacer que ese tiempo resulte más valioso en la oficina.»Elysca Fernandes, directora de investigación y servicios de asesoramiento en recursos humanos de McLean and Company
Recomienda adoptar un enfoque híbrido para aprovechar las ventajas del trabajo presencial y, al mismo tiempo, minimizar el impacto en la moral y otros problemas que pueden dar lugar a importantes amenazas para la ciberseguridad.
Para los profesionales de recursos humanos, esto supone una situación en la que todas las partes salen ganando. «Se trata de un enfoque que da prioridad, en cierta medida, a las necesidades de los empleados, al tiempo que analiza cómo podemos hacer que ese tiempo resulte más valioso en la oficina», afirma Elysca Fernandes, directora de investigación y servicios de asesoramiento en recursos humanos de la consultora McLean and Company. «Todo ello se enmarca en esta tendencia general a aumentar el tiempo que las personas pasan en oficinas o en lugares de trabajo físicos fuera de su domicilio, en caso de que sigan trabajando desde casa».
Ma propone que se permita a los equipos decidir por sí mismos cuándo tiene sentido acudir a la oficina. Esto podría implicar horarios o días fijos, o bien podría girar en torno a tipos concretos de eventos, como reuniones de equipo a gran escala o reuniones con clientes. La clave del éxito es un sistema de seguimiento del rendimiento transparente y sólido que mida resultados reales, como el número de registros procesados o el momento en que se envía un informe.
Si se elaboran con cuidado, las políticas de RTO pueden conciliar los objetivos de la empresa con las necesidades de los empleados, al tiempo que se da prioridad a los retos de ciberseguridad en el proceso de toma de decisiones.
