Com garantir la ciberseguretat en dispositius corporatius

La mobilitat corporativa ha obert tot un món de possibilitats per expandir l'abast de l'organització, la immediatesa com a arma i la col·laboració com a aliat per al negoci. Però això suposa, sense cap mena de dubte, un enorme risc per a la seguretat, ja que atorga accés a xarxes corporatives i bases de dades amb informació confidencial des de dispositius potencialment insegurs.

Sense anar més lluny, el passat mes de març, experts de Google van localitzar 18 vulnerabilitats en alguns mòbils Android que donaven accés als terminals a través d'un processador dedicat. Ja al maig, Apple corregia 3 nous exploits de dia zero associats al motor del navegador del dispositiu.

Aquests exemples demostren que els ciberdelinqüents descobreixen cada dia noves maneres de dur a terme els seus atacs i que és essencial una política sòlida per protegir els dispositius que es connecten cada dia a l'empresa.

Amenaces més freqüents en dispositius mòbils

A continuació, es detallen algunes de les principals amenaces de seguretat per als dispositius mòbils:

• Phishing. Als ordinadors, el phishing es propaga normalment a través de missatges falsos amb arxius adjunts o enllaços maliciosos. Al món mòbil, no obstant això, la majoria dels intents de phishing provenen de xarxes socials, missatges de text o aplicacions. Una variant és el smishing, que consisteix en el robatori de credencials d'un usuari quan accedeix a un enllaç maliciós rebut via SMS.
• Malware i ransomware. El malware mòbil més comú són aplicacions malicioses creades per danyar, interrompre o obtenir accés il·legítim a un dispositiu. Entre els tipus de malware, el ransomware destaca com la variant més comuna. Els costos són majors cada any.
• Rooting i jailbreaking. Com ja vam esmentar, el jailbreaking i el rooting són mètodes que permeten a l'usuari obtenir accés d'administrador del seu dispositiu mòbil per descarregar aplicacions malicioses o augmentar els permisos de les aplicacions.
• Atacs Man-in-the-Middle. Intercepten el trànsit d'una xarxa per obtenir dades confidencials en trànsit o modificar la informació que es transmet. Els dispositius mòbils són particularment vulnerables a aquests atacs, ja que a diferència del tràfic web (que utilitza un protocol d'encriptació SSL/TLS), les aplicacions mòbils poden transferir dades sensibles sense encriptació.
• Spyware. És un tipus de malware que monitoritza les activitats de l'usuari i dóna accés a dades com la ubicació del dispositiu, l'historial del navegador, les trucades telefòniques, fotos i vídeos, etc., amb l'objectiu de dur a terme robatoris d'identitat, frau financer, etc.
• Aplicacions i llocs web maliciosos: són programes infectats de malware que ataquen en el moment d'ingressar a una pàgina web o en descarregar una aplicació.
• Xarxes wifi no segures. Quan s'utilitzen xarxes wifi públiques o no segures, augmenta el risc que el trànsit sortint o entrant al dispositiu mòbil sigui interceptat i la seva informació compromesa.

8 aspectes clau a tenir en compte...

Les empreses han d'aplicar totes les mesures necessàries per poder identificar els atacs de forma primerenca i generar respostes adequades per limitar el seu impacte. A continuació, es mostren vuit aspectes clau a tenir en compte per prevenir i/o neutralitzar els riscos de seguretat dels dispositius mòbils. Són aquests:

• Seguretat d'aplicacions i endpoints: Els sistemes MAM (Mobile Application Management) i MDM (Mobile Device Management) permeten auditar i gestionar el programari que utilitzen els dispositius mòbils i aplicar els criteris que l'empresa requereix. Les solucions CASB (Cloud Access Security Broker) protegeixen la seguretat de les aplicacions en el núvol, connectant amb les instal·lacions i xarxes corporatives, aplicant normatives de seguretat i gestionant l'ús dels recursos en el núvol.
• Controls d'accés segons l'usuari i segons el dispositiu: Els sistemes de gestió d'usuaris i identitats (IAM, per les seves sigles en anglès) permeten regular els privilegis dels usuaris sobre la seva informació, com ara afegir, modificar, eliminar o copiar dades des del terminal mòbil.
• Elements de seguretat avançada: Antivirus, xarxes privades virtuals (VPN), passarel·les, cortafocs, IPS, etc., ajudaran a reforçar la seguretat dels dispositius. Les passarel·les, per exemple, permeten establir connexions de xarxa segures entre dos dispositius o entre un dispositiu i Internet, garantint que la connexió compleix amb les polítiques de ciberseguretat de l'empresa, independentment de la ubicació i del tipus de dispositiu utilitzat.
• Seguretat del correu electrònic: El correu electrònic és una de les principals eines que utilitzen els ciberdelinqüents. Per això, mantenir una política de seguretat rigorosa en el correu electrònic corporatiu és primordial. Això inclou l'activació de capacitats de protecció avançades que detecten i resolen amenaces i protegeixen la informació confidencial mitjançant xifrat, evitant així la pèrdua de dades.
• Gestió de permisos d'aplicacions mòbils: Els permisos que s'otorguen a les aplicacions mòbils determinen el seu nivell de funcionalitat. No obstant això, atorgar permisos a una aplicació amb vulnerabilitats pot donar accés als ciberdelinqüents a dades confidencials dins del dispositiu.
• Connexions xifrades: Les empreses poden estendre la seva xarxa corporativa perquè sigui accessible a l'usuari des de qualsevol lloc utilitzant xarxes privades virtuals (VPN), que permeten xifrar la connexió dels dispositius amb qualsevol xarxa (incloent xarxes wifi públiques). Els sistemes d'autenticació multi-factor (MFA) són en l'actualitat el mètode més efectiu per reforçar la seguretat.
• Gestió de contrasenyes: La política de l'organització pot i ha de obligar els empleats a canviar les contrasenyes amb regularitat i utilitzar combinacions robustes que com a mínim intercalin lletres, símbols i signes de puntuació. Una opció diferent o addicional a les contrasenyes és la configuració del bloqueig de pantalla amb l'empremta dactilar o reconeixement facial de l'usuari del dispositiu, de manera que només aquest pot accedir al contingut.

Aquestes accions ja suposen un gran avanç en la protecció dels dispositius propis i de l'empresa contra els ciberatacs i el malware. No obstant això, també haurien de complementar-se amb una arquitectura de TI completa que controli de manera centralitzada les diferents solucions de seguretat.

... i 5 consells per a una estratègia correcta de seguretat mòbil

La gestió segura de dispositius mòbils pot marcar la diferència a l'hora de determinar els riscos que assumeix l'organització. Aquí tens 5 consells per consolidar amb èxit una xarxa corporativa eficient però segura.

1. Establir una política de seguretat mòbil clara i completa: Aquesta política ha d'establir les pautes a seguir en l'ús de dispositius mòbils. Les polítiques de seguretat han d'incloure elements com configuracions obligatòries, formes d'ús o mesures contra robatoris i filtracions de dades, així com coordinar els sistemes de supervisió i control remot dels dispositius.
2. Actualitzar regularment el sistema operatiu i les aplicacions mòbils: Els sistemes operatius mòbils i les aplicacions mòbils es revisen constantment pels seus creadors per corregir vulnerabilitats de seguretat i optimitzar el seu funcionament. Per això, comptar amb versions obsoletes implica exposar-se a ciberatacs que podrien posar en risc les operacions de l'empresa.
3. Còpia de seguretat regular i esborrat remot de dades: És imprescindible configurar tots els dispositius mòbils perquè facin còpies de seguretat que es puguin emmagatzemar a les instal·lacions o a la núvol. És ideal configurar també l'esborrat remot de dades, que permet eliminar qualsevol dada del dispositiu encara que no es tingui accés directe al mateix.
4. Evitar la instal·lació de programes directament als dispositius: El malware afecta diàriament a centenars de milers de mòbils, i una de les vies principals és a través de la instal·lació d'aplicacions. L'ideal és migrar les aplicacions a un entorn web (o a la núvol) que elimini la necessitat d'instal·lar i reinstal·lar programari als terminals.
5. Formar als empleats en ciberseguretat i amenaces de seguretat: Quan es tracta d'utilitzar dispositius que pertanyen a l'empresa, és important invertir temps i recursos en la conscienciació sobre ciberseguretat. Per exemple, no fer clic en enllaços sospitosos, no descarregar continguts de fonts no fiables, usar contrasenyes complexes, fer còpies de seguretat, usar antivirus... I, per descomptat, la formació ha de arribar fins al nivell de direcció, incloent la formació d'especialistes en ciberseguretat mòbil.

En conclusió

Com podem veure, gestionar la seguretat dels dispositius mòbils per al seu ús a les xarxes corporatives implica una reflexió seriosa per part de les organitzacions i un repte titànic pels departaments de TI. És necessari ser conscient d'això i implementar mesures per minimitzar els riscos.

En resum, hem de ser conscients que tenir dispositius en mobilitat amb accés a les dades requereix una seguretat addicional. Una seguretat que ens permetrà recórrer a solucions que haurien de ser gairebé obligatòries, fàcils d'implementar i que garanteixen una seguretat adequada tant per a la xarxa com per a cadascun dels seus elements.