Cómo gestionar los riesgos asociados a los dispositivos móviles

El uso de dispositivos móviles, incluyendo ordenadores portátiles, teléfonos móviles, tablets y memorias USB, preocupa por cuestiones de seguridad en lo relacionado al robo del equipo o de datos sensibles. Además, estos dispositivos están expuestos a otros riesgos como los programas malignos (malware), el borrado de archivos, el daño físico, etc. A continuación, ofrecemos algunas sugerencias para protegerlos de estos múltiples riesgos.

Protección física

Los siguientes procedimientos básicos de seguridad física y ambiental pueden ayudar a proteger su dispositivo móvil de robo y/o daño:

-          Nunca deje su ordenador portátil u otros dispositivos desatendidos en lugares públicos o en un vehículo.

-          Asegure su dispositivo, empleando bloqueo por cable o guardándolo bajo llave. El bloqueo por cable puede utilizarse en lugares públicos como bibliotecas, convenciones, ferias…

-          Use una funda para su ordenador portátil que sea discreta, resistente, impermeable, acolchada y de tamaño adecuado. Si la funda tiene correa, camine con su mano sobre la correa.

-          Redacte una lista de activos que incluya las personas asignadas actuales, los números de serie del equipo asignado y el software. Las personas asignadas deben mantener un registro separado de los números de serie de los dispositivos.

-          Identifique el dispositivo con una etiqueta que no identifique al propietario o la organización, pero que contenga un número de teléfono por si el dispositivo se pierde.

-          No deje el dispositivo en climas fríos.

-          Cuando guarde el ordenador portátil en su vehículo, es aconsejable mantenerlo fuera del alcance de la vista y asegurarse de que esté fijo de manera que no se mueva. Bajo ninguna circunstancia debe intentar usarlo mientras esté conduciendo.

Seguridad de los datos 

Los siguientes controles pueden ayudar a proteger sus datos almacenados en dispositivos móviles: 

-          Establezca contraseñas seguras y haga auditorías. Use biometría para teléfonos móviles, siempre que sea posible. No use solamente patrones, como deslizar, para desbloquear dispositivos.

-          Dé protección de seguridad a los dispositivos externos.

-          Dé acceso a la VPN y a MFA.  

-          Use la VPN para encriptar la sesión al conectar dispositivos móviles a Wi-Fi públicas o cuando acceda a sitios que sean menos seguros.

-          Actualice el software para evitar vulnerabilidades.

-          Revise e implemente periódicamente perfiles de configuración seguros para todos los dispositivos móviles.

-          Realice copias de seguridad para evitar la pérdida de datos y para identificar y hacer seguimiento de los datos sensibles que se han almacenado en el dispositivo

-          Use la solución Mobile Device Management (MDM) y Enterprise Mobility Management (EMM) y cumpla la política de seguridad, las configuraciones de base, el control de instalación de aplicaciones, y las copias de seguridad remotas obligatorias.

-          Encripte sistemáticamente los dispositivos cuando contengan datos confidenciales y sensibles. En caso de hurto, esto protege sus datos contra acceso no autorizado.

-          Equipe los dispositivos móviles con herramientas remotas de rastreo o limpieza. 

Educación y concienciación

La educación de los usuarios es esencial para minimizar las pérdidas, debido a que el hurto de datos y el espionaje están aumentando. La capacitación y concienciación de los empleados incluye: 

-          No usar dispositivos móviles para asuntos personales, a menos que esto esté autorizado por la política de seguridad.

-          No guardar datos localmente, para reducir la exposición al hurto de datos. 

-          Usar servicios autorizados de la nube o almacenamiento en centro de datos, especialmente para información sensible.

-          No usar dispositivos USB de procedencia desconocida. 

-          Evitar el uso de memorias USB, a menos que sea un dispositivo de almacenamiento removible seguro proporcionado por la compañía.

-          Desactivar las conexiones automáticas a redes abiertas.

-          Evitar la conexión a redes Wi-Fi desconocidas.

-          Limitar el uso de Bluetooth y Near Field Communication (NFC) para el intercambio de información sensible.

-          Apagar la conexión inalámbrica (Wi-Fi y Bluetooth) cuando no se esté usando.

-          Usar la conexión Wi-Fi de la compañía o red de datos en vez de Wi-Fi pública.

-          Descargar aplicaciones únicamente de fuentes confiables (Apple App Store y Google Play, por ejemplo) y sitios de red confiables (identificados por el icono del “candado” o “https://” en la dirección del sitio web).

-          Eliminar adecuadamente los medios del portal según la política corporativa:

1.       No basarse en los comandos de borrado.

2.       Hacer que Informática maneje la eliminación del dispositivo. 

3.       Usar firmas de eliminación aprobadas y obtener los certificados apropiados.

Políticas y procedimientos

Las políticas y los procedimientos escritos deben cubrir lo siguiente: 

-          Responsabilidad y rendición de cuentas por la seguridad de los equipos asignados.

-          Se debe exigir una copia firmada de la declaración de la política a todas las personas a quienes les sean asignados dispositivos móviles.  

-          Auditorías anuales de políticas, procedimientos, equipos asignados y listas de software.  

-          Procedimientos de escalamiento, notificación y reporte en caso de pérdida/robo de dispositivos móviles, sospecha de intrusiones, y datos alterados. 

-          Investigación de dispositivos móviles perdidos o robados o sospecha de filtraciones. 

-          Evaluación del riesgo de filtración de datos considerando los controles existentes. 

-          Registros de incidentes y documentación de acciones tomadas. 

-          Participación de proveedores de soporte técnico.  

-          Denuncia de incidentes a las autoridades y, si es apropiado, también reportar el hurto en el lugar en el que se ha producido el incidente. 

Buenas prácticas de viaje 

El hurto de portátiles es habitual en aeropuertos y estaciones. Cuando viaje con un ordenador, esté pendiente de su equipaje y de la funda del portátil, especialmente cuando esté esperando para recoger equipaje adicional. Otras directrices a tener en cuenta para proteger su ordenador cuando viaje son: 

-          Nunca deje el equipo desatendido o fuera de su vista.  

-          Nunca registre un ordenador portátil como equipaje.  

-          Deje que su ordenador portátil pase por los rayos x, nunca solicite una inspección manual y no le pierda de vista en ningún momento. Si seguridad desea verlo, manipúlelo usted, evite que ellos toquen el ordenador.

-          Denuncie cualquier pérdida inmediatamente a las autoridades. 

-          Conserve la información de números de serie, marca y modelo de su ordenador portátil separada del dispositivo de manera que pueda dar información precisa a las autoridades en caso de que los artículos sean robados.