«El protagonismo en seguridad se ha desplazado hacia un nuevo concepto, conocido como Zero Trust»

El teletrabajo y su explosión a lo largo del pasado 2020 ha llevado a muchas empresas a tener un problema de seguridad añadidos: el tener a cientos o miles de empleados trabajando desde casa, fuera de la red de la oficina, en muchos casos vigilada y protegida. En no pocos casos, esto derivará cuando acabe la pandemia, en un modelo mixto que requerirá tomar toda clase de medidas para la protección de sistemas y empleados que están continuamente entrando y saliendo de la red corporativa, y accediendo en remoto. De estos desafíos y los problemas que ha causado, entre otros, el aumento del ransomware y otros ataques hemos charlado con Alfonso Franco, CEO de All4Sec

[MCPRO] La pandemia ha llevado al teletrabajo a muchas empresas, que aún lo mantienen, con los problemas de seguridad que conlleva sacar cientos o miles de puestos de trabajo de una red interna controlada y llevar la seguridad al domicilio de cada empleado. Esto ha ocasionado más de un quebradero de cabeza a los equipos de TI, que se han tenido que enfrentar a todo tipo de desafíos durante este año ¿cuáles han sido los principales?

[Alfonso Franco] Es cierto que el teletrabajo ha supuesto un desafío de ciberseguridad para muchas compañías, pero principalmente lo ha sido para aquellas que no disponían de un Plan de Seguridad previamente definido. Siendo sinceros, a una inmensa mayoría de las empresas el teletrabajo les ha supuesto un cambio casi traumático en su forma de operar.

El uso de dispositivos deslocalizados (o incluso de uso personal, y por tanto descontrolados) se ha convertido un desafío para los equipos de TI. También la seguridad de las conexiones remotas a recursos corporativos o la disponibilidad de sistemas de videoconferencia seguros. Incluso los accesos a los servicios en la nube o la protección de las cuentas de usuarios. Pero no menos importante ha sido tener que monitorizar una red que ya no se localizaba dentro de unas oficinas, sino que se encontraba geográficamente distribuida.

Para muchas compañías, pasar del perímetro de seguridad acotado a la deslocalización de su red ha supuesto un cambio conceptual muy importante. Ha obligado a los departamentos de TI a una actividad tecnológica y pedagógica muy importante.

El despliegue de soluciones de MDM, la instalación y configuración de servidores VPN o de acceso remoto, la implantación global de sistemas de doble autenticación de usuarios, o las protecciones activas de puestos y gestión de privilegios e identidades han estado entre las soluciones más habituales. 

Pero no menos importante ha sido convencer a la alta dirección de esas nuevas necesidades o inculcar a los usuarios cambios en sus pautas de actuación. Realmente ha sido una transformación tecnológica y cultural en la que los departamentos de TI han jugado un rol fundamental.

[MCPRO] All4Sec, como el resto de las empresas, ha tenido sus propias dificultades en esta época que estamos atravesando. ¿Cuáles han sido las principales a las que han tenido que hacer frente? Cuando la situación mejore ¿cuáles son los retos que tienen para el futuro, con un posible cambio de sistema de trabajo en muchas empresas?

[Alfonso Franco] Hay sectores, como el de la ciberseguridad, en los que la reconversión del modelo de trabajo ha sido más sencilla. Las compañías que nos dedicamos a la ciberseguridad a menudo implementamos estrategias basadas en la no presencialidad de nuestros profesionales en las oficinas de los clientes.

Nuestros servicios, más allá de la instalación y configuración de elementos hardware y software, están principalmente basados en actuaciones que pueden hacerse de forma remota desde casi cualquier lugar con una conexión a Internet. En realidad, tenemos que admitir que en All4Sec nos hemos adaptado con relativa rapidez al modelo de no presencialidad, aunque matizados por la deslocalización de nuestros propios interlocutores dentro de los clientes. Actualmente proporcionamos servicios que permiten, por ejemplo, la gestión de la ciberseguridad a través de actuaciones remotas, respondiendo a estrictas ventanas temporales o incluso en horarios poco habituales.

Respecto a los retos que nos plantea el futuro, tenemos que admitir que protagonismo se ha desplazado hacia un nuevo concepto conocido como el Zero Trust. Se trata de un modelo de seguridad diferente, precisamente basado en la deslocalización de personas y recursos. Un modelo que algunos considerarán paranoico pero que se ajusta a la perfección a la realidad que trae consigo el teletrabajo: ningún dispositivo ni ningún usuario se considerará seguro hasta que no se verifique su identidad e integridad. Claramente ese el camino por recorrer.

Para avanzar en él va a ser necesario disponer de tecnologías de gestión de la identidad, seguridad de servicios en la nube, cifrado de comunicaciones, sistemas de monitorización y control de usuarios, herramientas para filtrados de contenidos, etc. Nuestro reto es apostar por esas tecnologías, muchas de las cuales ya tenemos incorporadas en nuestro porfolio de soluciones, al tiempo que reforzamos nuestro modelo de gestión remota.

[MCPRO] Muchas empresas se plantean seriamente seguir con el teletrabajo, o al menos con un modelo mixto presencial-remoto cuando pase la pandemia. ¿Qué tipo de soluciones de seguridad y sistemas de protección deben implementar las empresas para no tener problemas con empleados cambiando de ubicación continuamente?

[Alfonso Franco] Quizás podríamos definir tres grandes bloques:

• La gestión de usuarios y sus privilegios. Las empresas deberán disponer de mecanismos adecuados de autenticación (SSO, MFA, PAM…) para garantizar la identidad de los empleados. Sin esa gestión de la identidad cualquier compañía correrá el riesgo de sufrir un ataque de suplantación de usuarios que puede afectar seriamente a su negocio.
• La gestión de los dispositivos será fundamental para mantener la consistencia del entorno de trabajo. La integración de herramientas de MDM, la configuración de privilegios, la instalación de aplicaciones EPP o las conexiones con sus centros a través de VPN serán elementos básicos para conformar un nuevo entorno de ciberseguridad.
• Por último, los recursos deberán estar debidamente protegidos e identificados —incluyendo los servidores corporativos de la organización y sus datos. 

Pensemos, por ejemplo, en los problemas que genera el Shadow IT dentro de las organizaciones e inmediatamente extrapolémoslo al modelo de teletrabajo. La instalación de software no autorizado dentro de los equipos utilizados por los empleados de una compañía puede ser una de las principales brechas de seguridad por la que se cuelen los ciberdelincuentes. En esta categoría entran también los cada vez más habituales servicios en la nube y para los que habrá que habilitar mecanismos de protección como los CASB o las herramientas de cifrado de información que eviten el acceso o la propagación de los ataques.

A ellos, si cabe, tendríamos que unir algunos elementos de monitorización, auditoría y recuperación ante incidentes de ciberseguridad debidamente dimensionados para evitar que esa dispersión geográfica que se produce con el trabajo en remoto se convierta en una debilidad en la respuesta de la empresa. Al final, se tratará de proteger los activos de la compañía, estén donde estén.

[MCPRO] Tanto el ransomware como los ciberataques, aprovechando vulnerabilidades han crecido notablemente durante este último año, lo que ha ocasionado muchos problemas a las empresas, añadidos a los que ya tenían. ¿Cómo pueden protegerse para evitar estos ataques? ¿Qué medidas de prevención y acción continua pueden tomar para ello?

[Alfonso Franco] Lo primero que tenemos que decir es que no hay una receta infalible. Como mucho, un conjunto de recomendaciones que pueden servir para mitigar su efecto. Un primer paso indispensable es inventariar todos los activos de la empresa, así como los flujos de información entre ellos. Por ejemplo, periódicamente debemos escanear, manual o automáticamente, los sistemas y redes en busca de posibles de vulnerabilidades. Asimismo, debemos actualizar de forma periódica las aplicaciones y sistemas operativos.

Los dispositivos deben estar configurados de forma que implementen opciones básicas de seguridad como la desactivación de puertos y protocolos que no son necesarios para su uso habitual, En los ataques de ransomware, los servicios de acceso remoto (RDP, VDI, SMB…) son los principales puntos de ataques.

También se deben definir listas de aplicaciones autorizadas y mecanismos de doble autenticación allí donde sea posible, principalmente en servicios de webmail, accesos remotos o conexión a aplicaciones críticas. Y en general, deben aplicar el principio del “privilegio menor posible” que solo permita a los usuarios acceder a aquello que realmente necesitan.

Otro aspecto fundamental es la concienciación de los usuarios. Los ciberataques suelen propagarse a través del phishing con descargas e instalaciones de software no autorizado. Por tanto, es indispensable que los usuarios sean capaces de identificar y bloquear las técnicas de phishing más habituales. Por ejemplo, los ataques de ransomware a menudo provienen de comunicaciones a través de correos electrónicos y es indispensable distinguir mensajes que puedan ser maliciosos. Una recomendación muy sencilla para estos casos es, por ejemplo, desactivar el servicio de macros cuando se utilicen herramientas de Microsoft Office.

A esto debemos de unir un conjunto de acciones dirigidas a prepararnos frente a una futura eventualidad. Hay una frase célebre que dice que “existen dos tipos de empresas, las que han sufrido un ciberataque y las que aún no lo saben”. Por eso es fundamental estar preparados ante la posibilidad de que un ataque tenga éxito. 

Es indispensable disponer de copias de seguridad, cifrada y offline, de los elementos más críticos incluyendo configuraciones de sistemas operativos y aplicaciones y por supuesto herramientas y recursos para la monitorización de las redes y sistemas de la compañía.

[MCPRO] La explotación de vulnerabilidades de tecnologías, herramientas y sistemas de uso mayoritario en la empresa, como hemos visto en estas últimas fechas con el ataque a través de Microsoft Exchange, pueden mitigarse si se toman ciertas medidas en cuanto se descubren ¿cuáles son, en su opinión, las principales medidas que pueden tomar para evitar sustos por ciberataques de este tipo en las empresas cuando se detectan las vulnerabilidades?

[Alfonso Franco] Desafortunadamente, cuando una vulnerabilidad es detectada y divulgada posiblemente los riesgos de un ciberataque ya se hayan propagado en una parte significativa de las empresas que tengan instalada la aplicación afectada. Ese ha sido el caso, por ejemplo, de Microsoft Exchange Server donde recientemente miles de servidores se han visto afectados por una vulnerabilidad de las llamadas “0-day” que no había sido corregida y que estaba siendo explotada por numerosos grupos de ciberdelincuentes.

Actuar ante este tipo de situaciones no es sencillo porque los equipos de monitorización y respuesta en ciberseguridad siempre van un paso por detrás. Es una batalla desigual de la que debemos ser conscientes para actuar en consecuencia. Por ejemplo, resulta fundamental disponer de herramientas y equipos de prevención y protección (filtrado de contenidos, DNS, IPS, Firewalls, gestión de la identidad, SIEM…), pero también hay que saber reaccionar con diligencia ante cualquier posible eventualidad. 

Enumerar las medidas sería largo, pero una tarea muy sencilla podría ser la actualización periódica de versiones que proporcionan los fabricantes de aplicaciones. Porque a menudo no se hace. Sirva a una reflexión: un día de retraso en una actualización en nuestros sistemas resultará en un día más para que los ciberdelincuentes puedan iniciar y completar su ataque. Las consecuencias de no actuar ya las conocemos todos.