El teletrabajo dejó de ser una excepción para muchas empresas. Pero mientras la adopción fue rápida y a veces improvisada, la seguridad asociada muchas veces no siguió el mismo ritmo.
El resultado es que hay empresas donde los empleados trabajan desde casa, desde cafeterías o desde cualquier lugar, accediendo a sistemas y datos de la empresa, sin que nadie haya pensado de forma estructurada en qué implica eso.
Los riesgos específicos del trabajo en remoto
Redes no confiables: una red de casa o un Wi-Fi público no tienen las mismas garantías que la red de la oficina. El tráfico puede ser interceptado, y hay ataques específicos para redes Wi-Fi compartidas.
Equipos sin gestión centralizada: si el empleado trabaja desde su ordenador personal, la empresa no controla qué software tiene instalado, si está actualizado, o si hay malware en él. Y si trabaja desde un equipo de empresa pero fuera del alcance del IT, tampoco hay visibilidad.
Acceso directo a sistemas internos: para trabajar en remoto hay que acceder a los sistemas de la empresa. Cómo se hace ese acceso importa mucho: no es lo mismo una VPN corporativa con MFA que un RDP expuesto directamente a internet.
Mezcla de uso personal y profesional: en casa, el mismo ordenador puede usarse para trabajar y para navegar, hacer compras o que los hijos jueguen. El riesgo de infección es mayor y más difícil de controlar.
Las medidas que marcan la diferencia
Acceso remoto a través de VPN
La VPN (Red Privada Virtual) crea un canal cifrado entre el equipo del empleado y la red de la empresa. Todo el tráfico pasa por ese canal, como si el empleado estuviera físicamente en la oficina.
La VPN no es la solución a todo, pero es la base. Sin ella, los accesos a sistemas internos van por internet de forma que puede interceptarse o atacarse.
Autenticación multifactor en todo
Si alguien roba o adivina la contraseña de un empleado, el MFA es lo que impide que eso se convierta en un acceso no autorizado. Correo, VPN, acceso a sistemas críticos — todo debería tener MFA activado.
El coste es mínimo (la mayoría de servicios lo incluyen sin coste adicional) y el beneficio es muy alto.
Equipos de empresa con gestión centralizada
Siempre que sea posible, los empleados deberían trabajar en remoto desde equipos de empresa gestionados: con software actualizado automáticamente, con antivirus corporativo, con cifrado de disco activado.
Si un empleado trabaja desde su propio equipo, hay que establecer requisitos mínimos y tener en cuenta que el nivel de control es mucho menor.
Política clara de uso
¿Pueden usar el ordenador de empresa para uso personal? ¿Qué pasa si lo pierden o se lo roban? ¿Cómo comunican incidentes de seguridad?
No hace falta un documento de 40 páginas. Cuatro o cinco normas claras, comunicadas al equipo, ya son mucho mejor que nada.
Cifrado de disco en portátiles
Si un portátil se pierde o lo roban, el cifrado de disco (BitLocker en Windows, FileVault en Mac) impide que alguien acceda a los datos simplemente sacando el disco o arrancando desde un USB. En equipos de empresa debería estar activado por defecto.
Lo que no hay que hacer
No exponer RDP directamente a internet: el Escritorio Remoto de Windows es una herramienta legítima pero expuesto directamente en el puerto estándar es uno de los vectores de ataque más explotados. Si se necesita acceso remoto a un escritorio, que sea a través de VPN.
No usar contraseñas del trabajo en cuentas personales: si alguien reutiliza la contraseña de su email del trabajo en servicios personales, y uno de esos servicios sufre una brecha, esa contraseña queda expuesta. La gestión de contraseñas (un gestor de contraseñas de equipo) ayuda a que cada servicio tenga credenciales únicas.
El punto de partida realista
Si tu empresa tiene empleados en remoto y no tienes nada de esto, el orden de prioridad sería:
- MFA en el correo y en cualquier acceso a sistemas críticos
- VPN para acceso a la red interna
- Cifrado de disco en portátiles de empresa
- Revisión de qué sistemas son accesibles desde internet y cómo
No hay que hacer todo a la vez. Pero sí tiene que haber alguien que lo planifique y lo implemente.