Prácticas en seguridad para proteger la información confidencial de tus empleados y de la empresa.

Trabajo a distancia:

2

White Paper

La situación actual COVID-19 está afectando tanto a personas como a empresas. Muchos empleados actualmente trabajan en forma remota y es importante no pasar por alto las buenas prácticas en seguridad cibernética. En este documento encontrarás estrategias y consejos para proteger a los empleados, sistemas e información de la empresa durante estos momentos.

La gestión en general

• Gobernanza de la Seguridad de la Información Corporativa Revisa las políticas actuales en seguridad cibernética para garantizar que las pautas de seguridad para el trabajo y el acceso a los sistemas de información de la empresa a distancia estén adecuadamente delineadas para los empleados. Si no existe ninguna o tu gobernanza de seguridad cibernética no es adecuada, este es el momento indicado para establecer una política bien estudiada.

• Comunicado formal de seguridad de la organización Los planes y pautas en seguridad cibernética deben estar bien definidos en una empresa y es importante que todos los niveles de la organización estén alineados e informados de las prácticas. Es importante también recordar a los empleados que parte de su responsabilidad es seguir las normas establecidas en seguridad, por eso se recomienda enviar comunicados que les recuerden las recomendaciones y requisitos.

• Preparación ante un evento de seguridad Las organizaciones deben revisar su respuesta oficial ante incidentes. Si es necesario, deben actualizar los planes y, en los lugares donde la pandemia de COVID-19 ha creado la necesidad de trabajar a distancia, incluir información de contacto para el equipo que da respuesta ante incidentes. El trabajo a distancia aumenta los riesgos de seguridad y por ello, es necesario contar con un plan en caso de un evento de seguridad cibernética como una fuga de información o una intrusión.

• Leyes de privacidad y de protección de la información Existe una variedad de leyes de privacidad y protección de la información que siguen vigentes aún con el COVID-19 presente. Autoridades y reguladores han brindado asesoría sobre la gestión de la información personal durante la pandemia. Si tu empresa se rige bajo las normas del Reglamento general de protección de datos (GDPR por sus siglas en inglés), varias autoridades de la Unión Europea han publicado orientaciones relativas al COVID-19. Revisa el sitio web de la autoridad que te corresponda o busca asesoría legal.

3

White Paper

Revisando y comunicando los detallesPara empezar, te brindamos información oportuna para que puedas compartir los lineamientos de seguridad cibernética para el trabajo a distancia con los miembros de tu organización.

• Considera qué procesos y funciones son esenciales para el negocio y priorízalos en tus esfuerzos de mitigación de riesgos. Revisa tus planes de continuidad de negocio y recuperación de desastres y asegúrate de que los procesos clave puedan ser mantenidos por los trabajadores a distancia.

• Revisa y mejora las reglas de clasificación de la información y recuerda a tus empleados los distintos tipos de archivos e información que deben cuidar. Aprovecha los controles de seguridad siempre que sea posible (por ejemplo, un cifrado de la información fuerte, en tránsito y en reposo). Considera si deseas permitir que exista el acceso remoto a la información personal como el código fuente o los documentos estratégicos.

• Procura que los dispositivos autorizados usados por los empleados filtren aplicaciones, sitios web y servicios para asegurarte de que los que puedan significar un peligro no causen daños.

• Brinda a los empleados una manera de comunicarse fácilmente y con seguridad desde sus computadores y dispositivos móviles. Esta puede incluir correo electrónico cifrado y aplicaciones de mensajería móvil seguras.

• Asegúrate de que tus sistemas de respaldo sean funcionales, viables y hayan sido probados, verificados, validados y separados de forma adecuada de los sistemas de producción. Asimismo, considera la necesidad de una recuperación de datos eficiente en caso de un evento de seguridad, incluyendo un ataque de ransomware.

• Asegúrate de que los empleados respalden su información, de preferencia en la nube asignada por la organización. Si la información es sensible, asegúrate de encriptarla después de respaldarla.

• Confirma que tu personal de seguridad tenga las herramientas para llevar a cabo actividades de respuesta y de seguridad cibernética (por ejemplo, ingeniería inversa, pericial) a distancia.

• Recuerda a los empleados los diferentes tipos de información de la compañía que deben cuidar. Esta puede incluir secretos comerciales, información confidencial y clasificada como producto de trabajo, propiedad intelectual, información de clientes y empleados y otras formas de identificación personal.

Procesos

Clasificación de la información

Dispositivos autorizados

Comunicación

Respaldos

Nube

Herramientas de seguridad

Tipos de información

4

White Paper

• Que tengan presente que los estafadores siempre están al acecho. Necesitan estar conscientes de la posibilidad de un ataque de phishing y de las muchas formas de ingeniería social, así como saber cómo proteger los dispositivos a distancia y el acceso remoto a los sistemas de información de la compañía. Entrénalos para que sepan identificar dichos ataques e ingeniería, y cómo protegerse, y proteger a la organización. Los estafadores ya están usando correos phishing que se aprovechan del temor que existe en la salud pública en torno al coronavirus (COVID-19).

• Anímalos a que cambien sus contraseñas de inmediato si hay alguna pista de que estas han sido comprometidas.

• No permitas que compartan notebooks, computadores y otros dispositivos. El compartir los equipos de trabajo (como con familiares al trabajar a distancia), reduce la responsabilidad y aumenta el riesgo de accesos sin autorización a la información protegida de la compañía, incluso si estos pasan desapercibidos.

• Recuérdale a los empleados no guardar ni descargar información de la compañía en sus dispositivos personales. Estos pueden incluir sus propios notebooks, tablets, memorias USB y servicios de nube como cuentas Dropbox y Google Drive personales.

• Solicita software de seguridad como antivirus en los dispositivos de los empleados, asegúrate de que esté actualizado y que tenga todos sus parches de seguridad.

• Recuerda a los empleados cambiar su configuración para que las funciones de “recordar contraseña” se desactiven cuando los empleados se conecten a los sistemas de información y aplicaciones de la empresa desde su dispositivo personal. No permitas excepciones para este requisito.

• Implementa y haz que se cumpla la autenticación multifactorial (MFA por sus siglas en inglés). Si tu organización no la ha activado, es momento de hacerlo para reducir riesgos.

• Que la información sensible sea cifrada durante la transmisión, al procesarla y cuando no está en uso. Esto incluye la encriptación de los medios extraíbles.

• Que los empleados usen redes privadas virtuales (VPN por sus siglas en inglés), que cifrarán el tráfico a través de la internet. Esto es especialmente importante cuando los empleados se conectan a una red Wi-Fi pública. De cualquier forma, si tu organización no tiene VPN, evita que los usuarios descarguen una versión gratis. Considera prohibir a los empleados el acceso a los sistemas de información de la compañía cuando estén en redes públicas.

Estafadores

Contraseña

Equipo exclusivo

Almacenamiento

Software de seguridad

Recordar contraseña

MFA

Información cifrada

Redes privadas

White Paper

© Copyright 2020 HP Development Company, L.P. La información aquí contenida está sujeta a cambios sin previo aviso. Las únicas garantías para productos y servicios HP se describen en las declaraciones de la garantía expresadas que acompaña a dichos productos y servicios. Nada de lo descrito aquí debe ser interpretado como una garantía adicional. HP no será responsable por errores técnicos o editoriales u omisiones contenidos en la presente.

• Que sea un requisito para los empleados que trabajan a distancia el cerrar sesión cuando no estén usando sus dispositivos, incluyendo notebooks, equipos de escritorio, tablets, teléfonos, etc. El no hacerlo puede llevar a un evento de seguridad o a una fuga de información, con los consiguientes requisitos de notificación.

• Se recomienda ampliamente abordar la información protegida con un modelo de confianza cero y no permitir el acceso a los sistemas a menos que se requiera para que un empleado desempeñe su función y sus responsabilidades.

• Si procede, considera la gestión de dispositivos móviles (MDM por sus siglas en inglés) y de aplicaciones (MAM). Estas soluciones pueden ayudar a gestionar y asegurar dispositivos y aplicaciones móviles, es importante saber que MDM y MAM son herramientas que permiten que las organizaciones implementen a distancia varias medidas de seguridad, incluyendo el cifrado de la información, escaneos de malware y la eliminación de archivos en dispositivos perdidos y robados.

• Asegúrate de que el Wi-Fi de tus empleados esté asegurado con una frase de contraseña (WPA2) y que la contraseña del router de los usuarios sea fuerte.

• Asegúrate de que los empleados establezcan una contraseña administrativa en la interfaz web de su impresora doméstica y asegúrate de que no esté conectada a internet. Consulta el manual.

• Ya sea que un empleado transmita, procese, envíe o almacene información, asegúrate de que esté protegida de manera adecuada y aprovecha el cifrado. Esto aplica al usar cualquier dispositivo de cómputo (por ejemplo, el cifrado de correo) y la comunicación móvil (como una aplicación de mensajes seguros). Dirige al personal al servicio de asistencia TI de tu organización.

• Recuerda a los empleados estar atentos y ser conscientes de las estafas que aprovechan la pandemia de COVID-19, además de ser muy cautelosos con cualquier correo electrónico relacionado con la misma que requiera una acción por parte de ellos (como descargar un archivo adjunto o hacer clic en un enlace).

Cerrar sesión

Información protegida

MDM y MAM

Wi-Fi

Impresoras

Cifrado

Descargas/enlaces

Si deseas hablar con tu asesor de seguridad HP sobre estas recomendaciones de seguridad cibernética, por favor notifica a tu equipo de cuenta para que podamos establecer una conversación.