Los dispositivos móviles presentan nuevos riesgos de seguridad de red.
La amenaza de que su información confidencial sea robada es muy real, y cualquier negocio que utilice computadores e Internet es susceptible a un robo.
Para mantener segura la información, las empresas necesitan, en primer lugar, cambiar la forma en que acceden a la tecnología de la información y la seguridad, dice Jerry Irvine, director de informática de Prescient Solutions, una compañía de TI con sede en Chicago.
"Tradicionalmente, la seguridad informática estaba basada en las soluciones de detección, como antivirus, pero esos sistemas tienen la intención de determinar que existe un problema y luego detenerlo o limpiarlo", dice. "Están más basados en el perímetro. Sin embargo, con la llegada de los dispositivos móviles y las aplicaciones web, la seguridad del perímetro ya no es válida, ya que estos dispositivos atraviesan las barreras de protección (firewalls) dentro del servidor donde existen los datos. Los tipos de seguridad antiguos aún son útiles de tener, pero las empresas necesitan soluciones preventivas y proactivas, en lugar de soluciones reactivas".
Herramientas del comercio
Algunas veces llamados los próximos antivirus, los escáneres de vulnerabilidad son la solución que todas las empresas deben tener, asegura Irvine. Ellos escanean la red para determinar si hay un problema e identificar situaciones en las cuales puedan ocurrir problemas. La herramienta también escanea aplicaciones, a través del código línea por línea para ver si existen vulnerabilidades que algún hacker o aplicación maliciosa pueda explotar.
Además, los sistemas de prevención de pérdida de datos evitan la pérdida de datos restringiendo el acceso a quienes necesitan utilizar la información para sus funciones laborales. Estos sistemas emplean un ID de usuario y contraseña para asegurar que solo quienes necesitan acceder a los archivos puedan hacerlo.
Las empresas también necesitan administrar regularmente sus sistemas de TI. Esto incluye la realización de pruebas de penetración para identificar vulnerabilidades en el sistema, además de rastrear y registrar los cambios y las actualizaciones al sistema.
Aunque algunas de estas herramientas pueden ser administradas internamente, Irvine recomienda utilizar un servicio de TI externo, el cual proporcione tranquilidad por medio de revisiones y balances.
Configuración y administración de su red TI
Muchas empresas cometen el error de pensar que cualquiera puede configurar su red, dice Irvine. Las pequeñas y grandes empresas normalmente se aprovechan de un empleado que conozca algo de tecnología, en vez de tener una persona que cumpla un rol TI, además de funciones comunes. Sin embargo, si esta persona no está formalmente entrenada en TI o seguridad, o no tiene el tiempo necesario para dedicarse a eso, sus datos confidenciales están en riesgo.
De manera similar, los departamentos individuales no debieran tener permitido seleccionar e instalar hardware o software sin la participación de un profesional de TI. Descargar e instalar programas y proporcionar acceso a dispositivos de terceros puede causar conflicto de datos y violaciones a la seguridad.
Las empresas también necesitan implementar políticas y normas que definan los procesos y las expectativas de TI. Por ejemplo, Microsoft lanza un parche de actualización del sistema el segundo martes de cada mes. Muchas personas ven estas actualizaciones como una molestia y no se toman el tiempo para instalarlas, lo cual deja la red a merced de un ataque. Tener una política en el lugar que exija a los usuarios descargar e instalar estas actualizaciones regulares disminuye este riesgo.
El desafío de los dispositivos móviles
Los dispositivos móviles han sido un elemento de cambio en seguridad TI en los últimos años, debido a que evitan los sistemas de defensa del perímetro de la empresa y no están regulados. Las compañías que tienen una política de "traiga su propio dispositivo" (BYOD) no saben qué hay en esos dispositivos personales o no entienden cómo pueden afectar, potencialmente, la red, lo cual pone en riesgo la información confidencial.
"Las empresas no pueden evitar que los usuarios BYOD entren desde ubicaciones inapropiadas que contengan virus y adware, y luego conectarse a la red interna", dice Irvine. "Y, de hecho, los BYOD no ahorran dinero a la empresa; sino que cuestan más, ya que las compañías invierten más tiempo en respaldar cualquier pérdida de datos".
Irvine recomienda a las empresas pedirle a sus empleados que registren sus dispositivos, de manera que la empresa pueda monitorear y limitar su acceso a la red corporativa, e incluso limpiar o borrar el dispositivo en caso de pérdida o robo. La creación de una unidad encriptada y separada en el dispositivo para datos de trabajo evita que virus de la unidad personal corrompan los datos de la unidad de trabajo y permite eliminar solo los datos del trabajo.
Para crear un entorno de trabajo con dispositivos móviles más controlados, las empresas necesitan implementar una política firmada por los empleados que le otorgue a la compañía el permiso de monitorear, administrar y borrar información en el dispositivo.
Tenga cuidado con los datos en los dispositivos multifunción
Las impresoras, escáneres, faxes y copiadoras normalmente tienen discos duros que almacenan los datos que los empleados les envían. Estos dispositivos están conectados a su red y, por lo general, no tienen un software de antivirus que los proteja, lo cual los hace susceptibles a un ataque.
Las empresas deben instalar estos dispositivos en una LAN virtual que está separada de la red principal y adjuntar, de forma regular, discos duros que puedan llevar a cabo análisis de antivirus, dice Irvine.
"Contáctese con una compañía de destrucción de datos certificada, la cual limpiará o destruirá los discos duros antes de que bote o vuelva a vender el dispositivo", dice Irvine. "Esto también corre para los teléfonos celulares".
Ya que la tecnología evoluciona constantemente, es importante que los planes de seguridad de TI evolucionen con ella. Los dispositivos multifunción y móviles presentan nuevos desafíos para la protección de datos confidenciales, por lo tanto, es imperativo que los líderes empresariales tengan personal calificado donde corresponde para analizar nuevas amenazas y tomar las medidas de prevención apropiadas.
