Hoy os dejo un decálogo de buenas prácticas dentro de la empresa para evitar cualquier intrusión o infección no deseada.
1. Mantener actualizado el software (Windows, antivirus y otras aplicaciones).
Todo el Sw debe ser actualizado para evitar posibles intrusiones o fugas de información. Sobre todo a raiz, de que el virus WannaCry aprovechar una vulnerabilidad de algunas versiones de Windows.
El antivirus debe estar en funcionamiento.
2. Conectar únicamente dispositivos seguros a la red corporativa.
El uso de portátiles o PCs de escritorio no corporativos está permitido en muchas empresas, claro está, si son propiedad o están bajo control exclusivo de un empleado, siempre y cuando:
• sean lo suficientemente seguros (antivirus y encriptados)
• el acceso de una red externa a la empresa se realice vía Remote Desktop
• no conectarlo directamente a la red de la empres
• no almacenar la información de la empresa.
Pero cabe destacar, que muchas empresas han prohibido que los empleados así como los externos utilicen dentro de la red corporativa portátiles ajenos. Todo después del ataque que sufrió Telefónica.
3. Encriptar/Cifrar los PC así como los USBs.
Todos los dispositivos (PC, tablets, USB, smartphones) que almacenan o tratan la información de la compañía deben tener habilitada la encriptación. Asimismo, deben tener un sistema que les permita ser borrados remotamente.
Un programa ejemplo de encriptación que puede servir sería Let's Encrypt.
4. Realizar copias de seguridad de nuestra información.
La copia de seguridad (backup) de la información almacenada en los dispositivos corporativos debe realizarse utilizando los recursos corporativos habilitados para ello, en las empresas claro está que los tengan. Pero si no, se deberá realizar un backup para evitar que si secuestran tu ordenador no tengas que pagar en bitcoins para poder recuperar la información. Es decir, la utilización de un ransomware.
5. Crear contraseñas seguras (Windows. bitlocker, lock)
Para todos los sistemas de información y mecanismos antirrobo (locks), se debe escoger una contraseña lo suficientemente compleja como para que no se adivine fácilmente, su confidencialidad debe mantenerse y no debe ser divulgada a otras personas. En otra entrada del blog, dejé algunos consejos para crear una contraseña más segura.
6. Bloquear el portátil.
Toda persona con un dispositivo de usuario que contenga información de la empresa, bajo su responsabilidad, debe tomar medidas para evitar la pérdida o el robo del dispositivo (por ejemplo: bloquear el portátil a un elemento fijo mediante un cable de seguridad).
7. Evitar la instalación de software ilegar o no seguro.
Dentro de las empresas, se puede comprobar en las políticas de seguridad, la prohición del uso o de la instalación de SW en el dispositivo corporativo, ya que esto puedo suponer un riesgo para el uso profesional de la misma, como Sw. Más precisamente, la prohibición de la instalación o del uso de aplicaciones no corporativas para el intercambio de archivos. Un ejemplo, claro es el whaling.
El robo de información empresarial está en auge, debido a la cantidad de dinero que se puede llegar a conseguir por su venta.
8. Utilizar el correo profesional únicamente para asuntos profesionales.
El e-mail corporativo debe ser utilizado sólo para el trabajo, evitando y lo recalco, la inscripción en los sitios web personales (foros, redes sociales, portales de compras, etc.). Esto se ha comprobado que está comenzando a generar un gran agujero de seguridad en cualquier empresa.
9. Informar de incidentes de seguridad.
Cualquier empleado o colaborador externo que pueda detectar la existencia de un incidente de seguridad o cualquier evidencia de que podría ocurrir, deberá notificarlo lo antes posible. Por ejemplo, el caso de pérdida de robo de un dispositivo corporativo de usuario, o un dispositivo no corporativo con información de la empresa o clientes, debe notificarse.
Generalmente, siempre nos da miedo notificar los incidentes de seguridad, ya que muchos de ellos son generados por nosotros mismos. Pero recordar que esto no sólo afecta a la empresa sino al resto de compañeros por el riesgo que supone.
10. No conectar USBs desconocidos o haga clic en URL desconocidas.
Creo que esta última buena práctica está en cualquier política de seguridad que se precie, ya que los dispositivos usb desconocidos no deberían conectarse, porque pueden contener virus o información que pone en peligro la seguridad de la red de la empresa.
Además, las direcciones URL desconocidas recibidas por correo electrónico, etc, no deben ser accesadas, ya que pueden conducir a una infección de dispositivo con software malicioso, o un ataque de phishing.
Comentarios
Publicar un comentario