Sei sulla pagina 1di 23

GUA DEL

Empleado Seguro
Introduccin ndice
Ao a ao, la Seguridad de la Informacin en Seguridad de la Informacin: 4 Buenas prcticas aplicadas al uso 14
una organizacin adquiere cada vez ms rele- definiciones y problemticas de la tecnologa
vancia y, en condiciones ideales, es responsa-
bilidad propiamente del rea de Seguridad- en 
Seguridad 
Contraseas
empresas grandes-, aunque en funcin de las 
Informacin 
Correo electrnico

Seguridad de la Informacin 
Dispositivos mviles
caractersticas de cada organizacin, puede de-

Las propiedades de la informacin 
Redes Sociales
pender de otras reas, como TI u Operaciones.

Vulnerabilidad, amenaza y ataque 
Redes inalmbricas

Riesgo, probabilidad e impacto
En un ambiente donde diariamente se identi-
fican nuevas amenazas informticas y vulne-
rabilidades los riesgos de seguridad son cada Amenazas comunes que atentan 8 Prcticas del empleado seguro 17
vez ms dinmicos. contra la informacin en su lugar de trabajo

Por ello, independientemente del rea de la 


Ingeniera Social
que dependa, proteger la informacin es una 
Malware Prcticas del empleado seguro 20
tarea que involucra a toda la empresa, puesto 
Phishing en su hogar
que todos los empleados interactan con ella. 
Robo y exposicin de informacin

Conclusiones 22
Prcticas de gestin y controles 11
tecnolgicos


Polticas de seguridad

Clasificacin de la informacin

Herramientas de seguridad
Empleado
Seguro

Un empleado seguro es aquel que sabe admi-


nistrar y utilizar los recursos de la empresa de
manera consciente y responsable.

Por ello, esta gua tiene como propsito pro-


porcionar la informacin necesaria para que
cada integrante de una organizacin pueda
convertirse en un empleado seguro y atento a
las amenazas informticas para no poner en
riesgo el negocio.

En este contexto, se abordarn las problem-


ticas ms comunes, las principales amenazas
y las mejores prcticas para el manejo de in-
formacin sensible en las empresas.
Seguridad de la
Informacin:
definiciones y
problemticas
Seguridad
Informacin
Seguridad de la Informacin
Las propiedades de la informacin
Vulnerabilidad, amenaza y ataque
Riesgo, probabilidad e impacto
Seguridad de la Informacin: definiciones y problemticas

Seguridad de Seguridad Seguridad de la Informacin 5

la Informacin: De acuerdo con la Real Academia Espaola, seguridad se


define como libre o exento de todo peligro, dao o riesgo,
A travs de la combinacin de los conceptos anteriores, sur-
ge la Seguridad de la Informacin, una disciplina que se sus-

definiciones y
sin embargo, se trata de una condicin ideal, ya que en la tenta con metodologas, normas, tcnicas, herramientas,
realidad no es posible tener la certeza de que se pueden evi- estructuras organizacionales, tecnologa y otros elemen-
tar todos los peligros. tos, con la idea de proteger a la informacin en todos sus
problemticas Por esta razn, el propsito de la seguridad en todos sus
formatos.

mbitos de aplicacin es reducir riesgos hasta un nivel que La seguridad busca preservar la integridad, disponibilidad
sea aceptable. En un sentido ms amplio, la seguridad tam- y confidencialidad de la informacin de la empresa, con un
bin comprende todas las actividades que tiene como fin propsito de mayor alcance an: proteger el negocio.
proteger una cosa o una persona de algn de tipo de peligro.

Informacin

La informacin es un activo que, al igual que otros activos


importantes, debe ser protegida. En las empresas es esen-
cial para la toma de decisiones, el logro de los objetivos y el
cumplimiento de su misin.

La informacin puede encontrarse de diferentes maneras


y formatos: digital, escrita, impresa y/o no representada,
como pueden ser ideas o el conocimiento de las personas.
Ms all del formato en el que se encuentra la informacin,
es necesario implementar medidas de seguridad para prote-
gerla en funcin a su criticidad, sensibilidad e importancia.
Seguridad de la Informacin: definiciones y problemticas

Las propiedades de la informacin

Confidencialidad: que la informacin sea accesible ni-


camente por los individuos, entidades o procesos que
poseen los privilegios y la autorizacin para hacerlo.
Por ejemplo, que un usuario no pueda acceder a la base
de datos de un servidor web.

Integridad: que la informacin mantenga su exactitud INTERNO EXTERNO


y completitud.
Por ejemplo, que un atacante no pueda modificar los
precios de venta de un sitio web.

Un atacante accede a
Disponibilidad: que la informacin sea accesible y utili- Un empleado disgustado
una base de datos del
zable cuando una entidad lo requiera. destruye un documento e
Por ejemplo, evitar problemas en un servidor que hicie- sitio web de la empresas
INTENCIONAL informacin importante.
ran que se apague. de manera externa.

Vulnerabilidad, amenaza y ataque

La Seguridad de la Informacin tambin implica la consi-


El aumento en las
deracin de una amplia gama de riesgos, ya que continua- Un empleado pierde un
visitas a un sitio web
mente son los obstculos que frenan a las organizaciones dispositivo USB donde
en la bsqueda y alcance de sus objetivos de negocio. excede la capacidad
transporta informacin
de procesamiento del
ACCIDENTAL confidencial de la empresa.
Por lo tanto, se intenta minimizar el impacto que pudieran servidor y se bloquea.
generar los incidentes de seguridad relacionados con las
vulnerabilidades (agentes internos) y amenazas (agentes
externos). Estos riesgos tambin pueden materializarse
debido a situaciones intencionales o accidentales.
Seguridad de la Informacin: definiciones y problemticas

Como se vio anteriormente, los problemas de seguridad se Riesgo, probabilidad e impacto 7


relacionan con los conceptos de vulnerabilidad, amenaza
y ataque: A travs de la aplicacin de medidas de seguridad se in-
tenta mitigar riesgos, de manera que la realizacin de un
Vulnerabilidad: debilidad en un activo o control que ataque sea imprctica, no viable o con las consecuencias
puede ser aprovechada por uno o ms agentes externos. mnimas aceptables.

Amenaza: causa potencial de un incidente no deseado Por lo tanto, la idea inicial de seguridad vuelve a tomar rele-
que puede resultar en daos a un sistema u organizacin. vancia dado que, aunque no se pueda garantizar por com-
pleto, los riesgos deben ser tratados y reducidos hasta un
Ataque: intento de destruir, exponer, alterar, inutilizar, nivel que no representen consecuencias considerables.
robar, obtener acceso no autorizado o hacer uso indebi-
do de los activos. Para la Seguridad de la Informacin, los riesgos estn asocia-
dos a la causa potencial de que una amenaza pueda explotar
Los ataques que buscan comprometer un sistema de in- una o ms vulnerabilidades de un activo o grupo de ellos, te-
formacin y los activos se clasifican en cuatro categoras niendo como consecuencia un dao a la organizacin.
segn su manifestacin: intercepcin, modificacin, inte-
rrupcin y fabricacin. Los riesgos generalmente se expresan mediante la combi-
nacin de la probabilidad de que un evento no deseado su-
La intercepcin atenta contra la confidencialidad; la modi- ceda y sus consecuencias o impacto. Por este motivo, las
ficacin lo hace contra la integridad; mientras que la inte- medidas de seguridad estn orientadas a reducir alguna de
rrupcin hace lo propio con la disponibilidad. estas dos variables o, en el mejor de los casos, ambas.

Los ataques de fabricacin buscan atentar contra la auten-


ticidad de quienes interactan con la informacin.
Amenazas que
atentan contra la
informacin
Ingeniera Social
Malware
Phishing
Robo y exposicin de informacin
Amenazas que atentan contra la informacin

Amenazas que Ingeniera Social 9

atentan contra Es la utilizacin de habilidades sociales para manipular el


accionar de una persona. A partir de estas tcnicas, los ci-

la informacin
bercriminales engaan a los usuarios para comprometer la Un empleado seguro conoce
seguridad de una empresa.
los diferentes tipos de cdigos
maliciosos y aplica buenas prcticas
Algunos ejemplos son: correos fraudulentos que solicitan
informacin confidencial, falsos llamados telefnicos o para evitar infecciones.
propagacin de cdigos maliciosos en las redes sociales si-
mulando ser aplicaciones benvolas. Tambin suelen utili-
zarse temas de actualidad o noticias falsas para aumentar
la probabilidad de xito de estos ataques.

Recientemente, se ha visto un incremento de ataques diri- Malware


gidos a las organizaciones para infiltrarse en la infraestruc-
tura tecnolgica y acceder a informacin sensible que, en El malware (acrnimo de malicious software) es uno de
algunos casos, es expuesta pblicamente. los ataques ms comunes de la actualidad. Bsicamente,
se trata de archivos con fines dainos que, al infectar una
computadora, pueden realizar diversas acciones como ro-
bar informacin, controlar el sistema y/o secuestrar datos
o, incluso, los sistemas enteros.

Estos cdigos maliciosos hacen que los equipos de segu-


ridad se pregunten cosas como: qu sucedera si toda la
informacin que se almacena en un equipo es secuestra-
Un empleado seguro identifica los da?, cmo afectara a la productividad?, cunto tiempo se
principales ataques relacionados debera dedicar a solucionar el inconveniente?, entre otras.
con Tcnicas de Ingeniera Social.
Sin duda, estas situaciones afectan directamente el rendi-
miento de la empresa, por ende, cuestan dinero.
Amenazas que atentan contra la informacin

Phishing 10

Se trata de un ataque que involucra tcnicas de Ingeniera


Social para adquirir fraudulentamente informacin perso-
nal y/o confidencial, como contraseas o detalles de tarje-
Un empleado seguro protege
tas de crdito, de las vctimas.
la informacin almacenada,
Dentro de la organizaciones, suelen realizarse ataques di- procesada y transmitida para evitar
rigidos a travs del denominado spear phishing, es decir, la fuga de informacin.
ataques diseados especficamente para aumentar la pro-
babilidad de infeccin en una empresa.

Para efectuar el engao, el estafador (phisher) simula ser


una persona o empresa de confianza (generalmente enti-
dades bancarias) a travs de una aparente comunicacin
legtima (como correos electrnicos, sistemas de mensaje- Robo y exposicin de informacin
ra instantnea o incluso llamadas telefnicas) y le solicita
a la vctima informacin sensible. Uno de los peores escenarios para una empresa es el robo
de informacin sensible cuya exposicin puede afectar al
negocio. Cabe destacar que el incidente puede ser tanto
deliberado como accidental. Asimismo, el robo de informa-
cin no aplica solo a medios digitales, sino tambin a los
fsicos (archiveros, legajos, etc.).

El impacto del robo de informacin aumenta si los datos


Un empleado seguro reconoce los son expuestos, ya que no solo se afecta a la organizacin,
correos y mensajes fraudulentos sino tambin a los usuarios de los cuales se conocen p-
que buscan robar informacin blicamente sus datos. Por ello, todos los integrantes de la
sensible. empresa deben cuidar la informacin y aplicar las medidas
de proteccin pertinentes.
Prcticas de gestin y
controles tecnolgicos

Polticas de seguridad
Clasificacin de la informacin
Herramientas de seguridad
Prcticas de gestin y controles tecnolgicos

Prcticas Polticas de seguridad 12

de gestin Laspolticas de seguridad son los documentos que respal-


dan los compromisos adquiridos por los miembros de la or-

y controles
ganizacin, o bien las normas que determinan su conducta
en relacin a la proteccin de la informacin y otros activos. Un empleado seguro lee, entiende
y acata las polticas de seguridad
tecnolgicos Es ideal que toda empresa cuente con una poltica de segu-
ridad, que sea conocida por todos los empleados.
de la organizacin.

Cuando este documento es firmado, la persona certifica


que entiende y acata los lineamientos; adems se compro-
mete a cumplir todas las normativas de seguridad definidas
por la organizacin.
Prcticas de gestin y controles tecnolgicos

Clasificacin de la informacin Antivirus: protege proactivamente los equipos y su in- 13


formacin contra distintos ataques de cdigos malicio-
Un aspecto relevante dentro de las organizaciones se re- sos nuevos o desconocidos, desde virus, gusanos y tro-
laciona con la clasificacin de la informacin, para definir yanos hasta spyware, ransomware y botnets.
cul resulta ms relevante para los fines que persigue el
negocio. Firewall: puede estar integrado con la solucin anti-
virus y protege al equipo de las conexiones entrantes y
En este sentido, las medidas de proteccin se aplican en salientes a Internet que se pueden utilizar en ataques
funcin de la importancia y criticidad de los datos. externos, como tambin las conexiones que un equipo
infectado quiera realizar hacia el exterior.
Cuando el costo de los controles de seguridad sobrepasa el
valor que se le asigna a la informacin y otros recursos cr- Antispam: software que tambin puede integrarse con
ticos, resulta ms conveniente repensar si estos controles un antivirus o con el cliente de correo y que permite fil-
son los adecuados. trar correos masivo e indeseados en su bandeja de en-
trada corporativa.

No obstante, hay otras herramientas que se suelen imple-


mentar en el permetro de la red o directamente en los ser-
vidores, como soluciones de respaldo, IDS, IPS, DLP, firewall
perimetral, gestin de parches, entre otras.
Un empleado seguro identifica
la informacin sensible y en
consecuencia la protege de acuerdo
con los criterios definidos.

Un empleado seguro conoce y utiliza


de manera adecuada las soluciones
tecnolgicas de seguridad de la
Herramientas de seguridad empresa.

Los controles tecnolgicos son un elemento bsico de la Se-


guridad Informtica en las empresas. Los ms comunes son:
Buenas prcticas
aplicadas al uso
de la tecnologa
Contraseas
Correo electrnico
Dispositivos mviles
Redes Sociales
Redes inalmbricas
Buenas prcticas aplicadas al uso de la tecnologa

Buenas prcticas Contraseas 15

aplicadas al uso En la actualidad, las contraseas continan siendo el prin-


cipal mtodo para la autenticacin de los usuarios en los

de la tecnologa
sistemas y plataformas, por lo que los integrantes de una Un empleado seguro evita acceder
compaa suelen tener varias contraseas para los siste-
a enlaces sospechosos o descargar
mas internos que se utilicen.
archivos adjuntos de remitentes
Por ello, una contrasea fuerte puede evitar el acceso a in- desconocidos.
formacin confidencial o a un sistema por parte de un ata-
cante o un cdigo malicioso. Con esto en mente, es impor-
tante que las contraseas sean fciles de recordar y difciles
de adivinar.

En este sentido, es recomendable la utilizacin de un soft-


ware para la gestin de contraseas, as como el uso de Correo electrnico
diferentes claves para servicios corporativos distintos. Del
mismo modo, soluciones de doble autenticacin reducen El uso masivo del correo electrnico lo convirti en un ele-
de manera considerable los riesgos de seguridad asociados mento utilizado por los cibercriminales confines malicio-
a la forma de verificar la identidad de los usuarios. sos, como hoax (noticias falsas), scams (estafas), spam
(correos masivos e indeseados), phishing o la propagacin
de malware.

Existen situaciones en donde, para registrarse en algn


servicio, o incluso en Redes Sociales, se requiere el ingre-
so de una direccin de correo. Las direcciones corporativas
Un empleado seguro utiliza se utilizan como fuente de comunicacin de la empresa y
contraseas distintas y fuertes en la medida de lo posible se debe evitar su exposicin en
para servicios diferentes, Internet.
y utiliza 2FA.
En el caso de que se utilice para registrarse en un servicio,
puede existir cierta exposicin de esa direccin y, de esa
manera, aumentan las posibilidades de sufrir algn ataque.
Buenas prcticas aplicadas al uso de la tecnologa

Dispositivos mviles Redes inalmbricas 16

La incorporacin de los smartphones a las empresas per- Es comn utilizar equipos porttiles de trabajo para co-
miten el acceso a la informacin en todo momento y desde nectarse a redes WiFi pblicas, como por ejemplo, redes en
cualquier lugar. No obstante, transportar informacin sen- cafs o aeropuertos. En estos casos debe considerarse que
Un empleado seguro utiliza las
sible en dispositivos mviles implica un riesgo, ya que puede la seguridad est ligada a los controles existentes en dicha
Redes Sociales y herramientas
convertirse en una va para la fuga o robo de informacin, as red y que, en muchos casos, son inexistentes, tales como
como tambin sufrir infecciones con malware para mviles. de comunicacin de manera la ausencia de una contrasea para realizar la conexin o
responsable y con filtros de el uso de protocolos seguros. Es por esto que no es reco-
Para minimizar estos riesgos, es posible utilizar herramien- privacidad. mendable realizar conexiones sensibles, como acceder al
tas de control de dispositivos MDM (Mobile Device Mana- correo corporativo, ya que la red puede estar expuesta y la
gement) que eviten la instalacin de aplicaciones no per- informacin sin ningn tipo de cifrado, por lo que muchos
mitidas, aplicar polticas de seguridad o realizar el borrado de los datos pueden ser visibles por terceros no autorizados
seguro de informacin de manera remota. conectados a la misma red.

Asimismo, las buenas prcticas incluyen acciones como el Redes Sociales En el caso de que se utilice un equipo pblico para conec-
uso de un cdigo de seguridad para el bloqueo, el cifrado de tarse, no se debe acceder a archivos con informacin con-
la informacin y la utilizacin de soluciones antimalware. Las Redes Sociales son utilizadas por los cibercriminales fidencial de forma local, ya que pueden quedar accesibles
como un vector de propagacin de amenazas informticas, en ese dispositivo y ser vistos por cualquier persona que lo
especialmente a travs de enlaces que dirigen a sitios des- utilice en el futuro.
conocidos, envo de archivos maliciosos o mensajes falsos.

En este sentido, es recomendable que las organizaciones


supervisen el uso de estos servicios en sus oficinas. En oca-
siones no pueden ser bloqueados, ya que se utilizan para la-
bores especficas (como el Community Management), por
Un empleado seguro utiliza su lo que es necesario tener las medidas preventivas necesa-
Un empleado seguro emplea
dispositivo mvil de manera rias para evitar que amenazas informticas se distribuyan conexiones WiFi seguras. Cuando
responsable y segura para los fines por estas vas. no es posible, utiliza prcticas como
de la empresa. el cifrado de comunicaciones o
Las configuraciones adecuadas de seguridad y privacidad conexiones VPN.
de los perfiles tambin son prcticas que evitan la divulga-
cin o exposicin de informacin.
Prcticas del
empleado seguro
en su lugar de
trabajo
Prcticas del empleado seguro en su lugar de trabajo

Prcticas del Seguridad en su lugar de trabajo 18

empleado seguro Adems de las polticas de seguridad que los miembros de


la organizacin deben cumplir, existen otras prcticas que

en su lugar de
contribuyen a aumentar la seguridad.
Un empleado seguro aplica buenas
prcticas en su lugar de trabajo
Entre ellas se incluyen:
trabajo y notifica inmediatamente ante
cualquier sospecha de un incidente
empleado tiene la responsabilidad de utilizar
El de seguridad.
adecuadamente todos los activos de la organiza-
cin, como tambin de proteger aquellos que es-
tn bajo su resguardo.

deben bloquear los equipos cuando se los desa-


Se
tiende, incluso cuando se deja por pocos minutos
el puesto de trabajo, para evitar la extraccin o
lectura de informacin por parte de terceros no
autorizados.

debe mantener el escritorio limpio, tanto en la


Se
vida fsica como en los sistemas operativos, para no
divulgar informacin sensible accidentalmente.


Cuando se sospecha que un sistema, o incluso la
red completa de la empresa, ha sido comprometi-
do, se debe dar aviso al departamento de seguri-
dad o de TI de manera inmediata.


Ms aun, cuando un incidente efectivamente su-
cede es indispensable avisar rpidamente al depar-
tamento pertinente.
Prcticas del empleado seguro en su lugar de trabajo

11 Prcticas del empleado seguro 19


en su lugar de trabajo


Polticas de seguridad: leer, entender y acatar las
Eliminacin segura de informacin: destruir do-
polticas de seguridad de la organizacin. cumentos impresos con informacin sensible an-
tes de desecharlos y eliminar informacin digital

Clasificacin de informacin: identificar la infor- sensible con las herramientas adecuadas.
macin sensible y aplicar la medidas de proteccin
designadas por la organizacin.
Bloqueo de sesin y escritorio limpio: bloquear
el sistema cuando se encuentre desatendido y

Herramientas de seguridad: utilizar los contro- mantener limpio el escritorio fsico y del sistema
les de seguridad tecnolgicos, como antivirus, fire- operativo para no exponer informacin privada a
wall o antispam, de manera adecuada para miti- terceros no autorizados.
gar los riesgos de incidentes.

Correo electrnico: revisar el correo recibido y

Contraseas: utilizar contraseas complejas y de evitar acceder a enlaces sospechosos o descargar
ms de diez caracteres que sean diferentes para archivos adjuntos de remitentes desconocidos.
distintos servicios o sistemas de la organizacin. En
caso de ser necesario, emplear un gestor de contra-
Dispositivos mviles: utilizar el dispositivo mvil
seas y mecanismos de doble autenticacin. corporativo solo con fines laborales y aplicando
tecnologas MDM.

Informacin personal: evitar compartir informa-
cin con entidades que no estn autorizadas para
Incidentes de seguridad: reportar inmediata-
acceder a la misma. mente eventos sospechosos o incidentes de se-
guridad que puedan comprometer la informacin

Actualizaciones de seguridad: actualizar el soft- sensible y otros activos crticos de la organizacin.
ware y aplicar parches de seguridad para la evitar
la explotacin de vulnerabilidades.
Prcticas del empleado
seguro en su hogar
Prcticas del empleado seguro en su hogar

Prcticas del Del trabajo al hogar y viceversa 21

empleado seguro Desde hace aos, la portabilidad y los beneficios como el


Home Office le permiten a los empleados trabajar desde sus
Un empleado seguro protege la
en su hogar
casas. Si bien esto es muy cmodo y puede aumentar la pro-
ductividad, es necesario tomar recaudos dado que una red informacin de la empresa incluso
hogarea puede no estar correctamente configurada y/o fuera del mbito organizacional.
controlada, como sucede en la oficina, lo que podra derivar
en infecciones y/o fugas de informacin. Por ello, es necesa-
rio aplicar medidas adicionales:

Contar con un software antivirus en la computadora per- Prcticas del empleado seguro en su
sonal para estar protegidos contra potenciales amenazas. hogar

Tener el sistema operativo actualizado para contar con


todos los parches de seguridad. De igual manera, se
Polticas de seguridad: acatar las polticas de se-
debe actualizar el resto del software y las aplicaciones. guridad de la organizacin aun estando fuera de la
oficina.
Acatar las polticas de seguridad de la organizacin, aun
cuando el empleado se encuentre fuera del mbito laboral.
Dispositivos mviles: proteger los dispositivos
mviles utilizados en el hogar para acceder a la red
Adems, cuando se lleva informacin y documentacin de o informacin corporativa.
importancia para trabajar fuera de la organizacin, se debe
tener especial cuidado en lo que respecta al robo, prdida o
Soluciones contra malware: si se emplea una
exposicin de los datos en lugares pblicos o en el mismo computadora personal se deben utilizar, en la me-
hogar. Tales documentos deben ser manipulados teniendo dida de los posible, los mismos controles de segu-
en cuenta el nivel de confidencialidad que requieren. ridad descritos en las polticas de seguridad de la
organizacin.
En caso de que se utilicen dispositivos de almacenamien-
to USB, siempre es necesario realizar un anlisis contra
Actualizaciones de seguridad: las actualizacio-
malware al momento de insertarlos en el equipo (tanto en nes no solo incluyen mejoras en las funcionalida-
el corporativo como en el personal), as como utilizar medi- des, sino tambin parches de seguridad que corri-
das de seguridad adicionales, como el cifrado de datos. gen fallas en los programas.
Conclusiones
Independientemente de las labores de los integrantes de la organizacin o el nivel
jerrquico que posean, proteger la informacin sensible de la empresa es una tarea
fundamental que contribuye a mantener la continuidad de las operaciones y lograr
los objetivos de negocio.

Cualquier divulgacin, modificacin o interrupcin de informacin crtica debido a


una infeccin con malware u otras amenazas informticas, impacta directamente
en la imagen de la empresa y en la confianza de los clientes con la misma.

Entender la seguridad corporativa, aplicar controles tecnolgicos y de gestin, se-


guir las buenas prcticas, mantener a los usuarios educados y conscientes en te-
mas de Seguridad de la Informacin, otorga un valor agregado a la organizacin.

Todos estos elementos en conjunto contribuyen a mantener la confidencialidad,


integridad y disponibilidad de la informacin, adems de perseguir un propsito de
mayor alcance e importancia: proteger el negocio.
www.eset-la.com /esetla @esetla /company/eset-latinoamerica

Potrebbero piacerti anche