Tecnoguías: El ABC de accesorios de seguridad para PYMEs from ENTER.CO on Vimeo.

Con seguridad, los equipos de cómputo están entre los principales activos de su empresa. Además, la información contenida en ellos también es de mucho valor: puede tratarse de sus estados financieros, su propiedad intelectual, la lista de clientes o cualquier otro archivo delicado, cuya seguridad es crítica para su negocio.

Ninguna medida de seguridad está de más cuando se tiene información tan sensible entre manos. Por eso, además del software de seguridad y las buenas prácticas en la administración del hardware y las redes, hay algunas medidas adicionales que pueden proteger la integridad de sus equipos y de los datos almacenados en ellos. Conózcalos:

Rastreador para sus equipos

¿Recuerdan LoJack, la tecnología que permite rastrear y recuperar los carros robados? Los fabricantes de computadores decidieron implementarla en sus equipos portátiles por medio de un software llamado 

Computrace

.

Funciona de forma muy similar a la de los carros: cuando se reporta el robo de una laptop, el sistema permite rastrearlo y trabajar de la mano de las autoridades para recuperarlo. Además, permite la eliminación remota de información sensible y la creación de particiones cifradas, para que los datos que estén en la computadora comprometida no puedan ser vistos sin tener la llave adecuada.

Para los administradores de IT, la herramienta permite ver remotamente la ubicación y el estado de todos los equipos que estén protegidos por Computrace, lo que ayuda a simplificar la administración de activos y a verificar el cumplimiento de las políticas de seguridad de la empresa.

El sistema requiere de la instalación de un software en los PC protegidos, pero depende de un software que queda instalado en la BIOS del computador (la parte de la memoria que controla el hardware, la cual no se puede borrar), y no se puede desactivar ni siquiera formateando el disco.

En el mercado hay otras opciones. Una gratuita y de código abierto es Prey. Es una aplicación para Windows que ofrece varias opciones bastante atractivas para los usuarios de pequeñas y medianas empresas. Lo que hace, básicamente, es enviar reportes al dueño del equipo cuando éste se reporta como robado.

Estos reportes muestran la ubicación del dispositivo y hacen pantallazos del escritorio, lo que podría ayudar a identificar al ladrón si hace algún movimiento que lo identifique, como entrar a sus cuentas de redes sociales o a su correo electrónico. Además, permite activar remotamente la webcam del computador y enviar las imágenes al administrador. Además permite bloquearlo, en caso de que eso sea lo que el usuario requiere.

Otra aplicación –esta vez de pago– que puede ayudar es EXO5. Ella permite asegurar los datos sensibles almacenados en el equipo, bien sea cifrándolos o guardándolos en una partición oculta. Además, permite inspeccionar la configuración de hardware del PC, en caso de que el objetivo del ladrón sea robar parte de su hardware. También cuenta con las opciones de rastreo usuales de esta clase de programas.

Blinde su información

Mientras recupera su equipo, lo más importante es asegurar que la información que contenga no caiga en malas manos. La mejor solución para eso se llama TPM (Módulo de Plataforma Confiable, por su sigla en inglés). Se trata de un chip incorporado a la tarjeta madre de su laptop, el cual –según explica Diego Arevalo Bernal, especialista de Hewlett Packard– “permite crear claves de cifrado de entrada y salida de datos desde el disco duro“. Visto de otro modo, es una especie de llave física que da acceso a la información.

Lo interesante de este sistema es que, en caso de que un ladrón intente ver los contenidos desde otro computador, no va a tener acceso a ellos, pues no contará con las claves de cifrado necesarias para leer los datos. Como las claves de cada chip TPM son únicas, el sistema garantiza que el disco solo va a ser leído desde el equipo que tiene el chip con la llave correcta. Además el cifrado es irreversible, lo que hace que la única manera de que el intruso utilice el equipo para otros fines es formateando la unidad.

Usado en conjunto con sistemas de rastreo de ubicación, este sistema permite conseguir niveles adicionales de seguridad y minimiza drásticamente los riesgos sobre la integridad de su información y su hardware. Si su Pyme cuenta con una política adecuada de respaldo seguro de datos, el resultado es que sus datos solo estarán donde usted quiera que estén.

Guayas: la última barrera

Según estadísticas de Kensington, el 40% de los robos de computadores portátiles ocurre en las instalaciones de las compañías. Si alguien quiere sustraer información , y su empresa cuenta con políticas adecuadas sobre carga de archivos en la nube o en medios de almacenamiento como memorias USB, la mejor opción que tiene es sacar directamente la ‘laptop’ donde está el botín. Una guaya puede impedir, o al menos, retrasar esto

Las guayas son una medida de seguridad física en la que se amarra un equipo de cómputo con una correa a una mesa, similar a como se haría con una bicicleta. Hoy, prácticamente todas las laptops de negocios cuentan con una pequeña cerradura llamada ‘llave Kensington’ o ‘puerto universal de seguridad (USS, por su sigla en inglés)’, que permite acoplar una guaya al equipo. Algunas se abren con una clave y otras con una pequeña llave.

Tiene varios puntos a su favor. El primero es que es una medida realmente económica, y es útil no solo en oficinas donde sea necesario mantener niveles altos de seguridad, sino también en escenarios donde los equipos puedan estar en riesgo, como exhibiciones o sitios abiertos al público.

Sin embargo, hay que tener en cuenta que una guaya no siempre puede impedir el robo de un computador: alguien con la suficiente fuerza puede romper la cerradura de la llave, o puede cortar el cable si tiene las herramientas adecuadas. Sin embargo, en un ambiente controlado, con medidas de seguridad adicionales –como cámaras de vigilancia–, una correa sí puede retrasar la acción de un potencial ladrón.

Carcasas resistentes: para trabajo pesado

El deterioro de los equipos que se usan en algunos ambientes –cuando se trabaja en campo, o en sitios donde se manejan líquidos– puede ser acelerado. Una buena manera de retrasarlo es utilizar carcasas especiales, diseñadas para resistir condiciones difíciles, soportar golpes y presiones mecánicas y evitar así que los equipos se dañen pronto.

Hay varias empresas que ofrecen forros y carcasas resistentes. Algunas afirman que son capaces de proteger los dispositivos de los saltos de una persona de más de 110 kg, y de hasta 350 ml de líquidos. Además, son compatibles con la mayoría de tamaños de laptop estándar, de 11, 13 y 15 pulgadas, y no entorpecen su uso cotidiano.

Igualmente, también hay carcasas resistentes para las tabletas y smartphones más populares del mercado. ¿Cómo saber cuáles son las mejores? Para medir la resistencia de estos forros, el Ejército de Estados Unidos tiene unas pruebas estándar, y los fabricantes que las pasan normalmente lo indican en el empaque.

Por supuesto, esta solo es una medida de seguridad adicional para los equipos y la información que está en ellos. Si definitivamente no confía en un forro, algunos fabricantes venden equipos ‘indestructibles’ probados contra los golpes, el agua y el polvo, pero suelen ser bastante costosos.

Tecnoguías: La seguridad informática para PYMEs from ENTER.CO on Vimeo.

La cruda realidad es que entre más dependamos de los sistemas, más amenazas informáticas van a aparecer. Es una simple ley de mercado. A medida que una acción genere más recompensa, más agentes irán tras ese recurso. Las víctimas serán esas organizaciones y personas que opongan la menor resistencia. Por eso hay que tener toda una estrategia de seguridad para poner el obstáculo más difícil y así evitar el robo o perdida de información. Las grandes organizaciones tienen la ventaja de poder atacar el problema con dinero. Compran la solución de seguridad más robusta y tienen varios ingenieros ‘administrando’ la amenaza.

Sin embargo, las pequeñas y medianas empresas tienen que buscar soluciones más creativas para poder defender su información y mantener la integridad de los sistemas sin invertir grandes sumas de dinero. Esta guía tiene el objetivo de repasar todos los aspectos que debería tener en cuenta una Pyme sobre su seguridad informática. También cabe aclarar que ningún sistema es 100% seguro. No obstante, debería ser una obligación tener un sistema de seguridad en todas las empresas.

Cuando se habla de un sistema, por definición, se tiene que mencionar varios elementos. La seguridad informática es más que un software de antivirus; también incluye las ‘firewalls’, las políticas de uso y el entrenamiento de los usuarios. Con esta guía, podrá realizar todo lo posible para dormir tranquilo sabiendo que su organización está protegida.

De acuerdo con Diego Osorio, CTO de Lock-Net, una compañía de seguridad colombiana, “los empresarios deben tener en cuenta cuatros factores para cubrir de la mejor manera la seguridad informática de una empresa”.

El doctor

Todos los equipos de la empresa deben tener un antivirus instalado. Estos programas hoy en día son muy avanzados y son capaces de reconocer y solucionar –en algunos casos– la mayoría de los códigos maliciosos que hay en el mercado. Actualmente hay dos grandes segmentos de donde escoger. Hay opciones gratuitas como Ad-Aware Free Antivirus+ 10.5 o AVG AntiVirus FREE 2014. Pero también hay opciones pagas como Norton AntiVirus, BitDefender Antivirus Plus o Kaspersky. Pero así como han evolucionado los atacantes, también lo han hecho estos programas.

Todos los equipos de la empresa deben tener un antivirus instalado.

Hay que tener varios factores en cuenta a la hora de escoger un antivirus. Los más importantes deben tener el capacidad de detectar malware instalado y la capacidad de defender los ataques externos. Tampoco se puede pasar por alto la facilidad de instalación y el impacto que tienen sobre las máquinas. Hay varios servicios en internet que hacer pruebas periódicas para ver como van evolucionando los programas de los diferentes vendedores. AV-Comparatives es uno de los mejores ya que realiza varias pruebas durante el año y categoriza los antivirus en varias categorías. También está ICSA Labs, que certifica los diferentes programas de acuerdo a lo que mejor hagan.

Ya queda en manos del encargado de tecnología escoger el programa adecuado para la empresa. Además, si están manejando varios sistemas operativos, es fundamental que todas las plataformas estén protegidas. Por favor no crean eso de que OS X y Linux están protegidos de virus. Todos los sistemas pueden caer en las garras del malware, por lo que hay que proteger todas las máquinas.

Por favor no crean ese mito de que OS X y Linux son inmunes a los códigos maliciosos.

Sí hay un presupuesto muy apretado, los antivirus gratis pueden ser una buena opción. No están lejos de sus pares pagos en desempeño, pero sí puede haber una diferencia en el servicio técnico y la atención posterior a la venta. Lo más importante para escoger el antivirus correcto es hacer la investigación adecuada y tratar de emparejar las necesidades de la empresa con el programa. Obviamente, entre más valiosa para el negocio sea la información, deberá ser más juicioso en la elección.

El muro de fuego

Si las necesidades lo ameritan, es posible que su empresa necesite un firewall. Aunque los computadores ya vienen con está opción preinstalada, también hay soluciones de hardware que ofrecen una protección más robusta y permiten crear redes virtuales privadas. Por ejemplo, una organización puede optar por la HP Tipping Point Next-Generation Firewall (NGFW) que ofrece una capa de seguridad más fuerte y con mejores herramientas de gestión.

Las necesidades de un firewall son más evidentes ahora que la nube es una prioridad y las aplicaciones son más variadas. Según un estudio de HP, el 84% de las vulnerabilidades ocurren al nivel de la aplicación. Es un ejemplo perfecto de cómo los atacantes van evolucionando para aprovechar las partes del sistema más vulnerables. “Control a nivel de aplicación es crucial ya que permite crear diferentes niveles de acceso para cada aplicación”, dijo Martha Aviles, gerente de producto de HP Enterprise Security. “Todo el mundo quiere más ancho de banda y hay más aplicaciones corriendo en la red de la empresa. Al tener un control sobre las aplicaciones se puede aliviar esta carga”, agregó.

Controlar la información al nivel de las aplicaciones es fundamental con BYOD y la consumerización. A medida que los empleados empiecen a usar sus propios equipos y sus propias aplicaciones, la gerencia de TI tiene la necesidad de garantizar un funcionamiento adecuado de la red empresarial.

Un firewall soluciona mucho de los problemas mencionados anteriormente. Es posible que la empresa sea tan pequeña que no necesite esta solución, pero hay que hacer un análisis adecuado antes de tomar esa decisión. Hay que tener en cuenta que los malhechores a veces se aprovechan de las empresas pequeñas para conseguir la información que les abra la puerta a las organizaciones más grandes. Una Pyme, como miembro de un proceso productivo, tiene una responsabilidad de proteger la cadena.

La legalidad y la actualización

Según la Alta Consejería Presidencial, Colombia tiene una tasa de piratería del 53%. Esto, aunque es preocupante por las implicaciones legales y morales, tiene una matiz todavía más importante si lo vemos desde la seguridad informática. Uno de cada tres computadores que tienen software pirata también tienen alguna clase de malware en el equipo. Esto demuestra la importancia de tener software legal en las organizaciones.

Según la Alta Consejería Presidencial, Colombia tiene una tasa de piratería del 53%. 

La piratería de software es un tema muy sensible. La gente que descarga programas ilegales seguramente no se siente robando, aunque, a final de cuentas, así sea. Pero por ahorrarse unos pesos, es posible que esté entregando las llaves de la empresa a algún grupo de hackers. Ya no es un misterio que muchos programas ilegales vienen cargados de troyanos y puertas traseras que le permiten a los piratas ingresar fácilmente a la red corporativa.

Una de las medidas más efectivas para protegerse de los atacantes es tener los programas actualizados. Pero como la gran mayoría de programas piratas no se puede actualizar, las vulnerabilidades descubiertas quedan abiertas para siempre, sin recibir el correspondiente parche. Cuando una empresa detecta que su programa tiene una brecha de seguridad, publica una actualización para arreglar el problema. Por eso son tan valiosas las ‘zero-day vulnerabilities’, esos huecos que todavía no son conocidos por los fabricantes de software.

Entonces, al tener software pirata, una empresa queda expuesta por dos frentes. Facilita la llegada de troyanos y malware por medio de la instalación y la descarga -de un torrent, por ejemplo-. Además, sin tener la posibilidad de actualizar el software, las brechas quedan abiertas.

El salón de clase

Muchos expertos de seguridad, entre ellos Kevin Mitnick, aseguran que el eslabón más débil de un sistema de seguridad es la gente. Muchos de los empleados no tienen claro las implicaciones de tener una falla en seguridad informática. Para ellos, el proceso de mantener la integridad del sistema no es responsabilidad no depende de los empleados sino del equipo de TI. Por eso, se presentan innumerables casos en los cuales un empleado revela su contraseña o ingresa a un enlace de un correo de ‘spam’.

Capacitar a los empleados puede ser la forma más fácil y económica de prevenir brechas de seguridad. La fuerza laboral tiene que entender que la seguridad informática es un esfuerzo que requiere de la participación de todas las personas de la compañía.

Los hackers más exitosos son aquellos que saben usar las dos grandes herramientas que tienen: la ingeniería de sistemas y la ingeniera social. Con un buen programa de capacitación, se puede contrarrestar la ingeniería social.

La coherencia de la estrategia

La consistencia de la estrategia de seguridad informática depende de varios factores. Cada caso y cada empresa tendrá que evaluar cómo distribuye sus recursos financieros. Sin embargo, el objetivo de esta guía es mostrar cuatro diferentes frentes que son fundamentales para cualquier empresa. Algunas necesitarán más de uno y menos de otro, pero siempre habrá que tenerlos en cuenta para poder proteger la información de su empresa.

Además, a medida que vaya creciendo, seguramente tendrá que implementar herramientas más complejas. Llegará una etapa donde sea necesario contar con una solución de punta a punta. La mejor opción es contratarla con alguna empresa de tecnología que tenga un buen portafolio para empresas, como HP.