Guía para el teletrabajo seguro en tu empresa

El teletrabajo se ha normalizado, pero la seguridad asociada no siempre lo ha hecho con él. Qué necesita una empresa pequeña para que sus empleados trabajen en remoto sin crear riesgos.

El teletrabajo dejó de ser una excepción para muchas empresas. Pero mientras la adopción fue rápida y a veces improvisada, la seguridad asociada muchas veces no siguió el mismo ritmo.

El resultado es que hay empresas donde los empleados trabajan desde casa, desde cafeterías o desde cualquier lugar, accediendo a sistemas y datos de la empresa, sin que nadie haya pensado de forma estructurada en qué implica eso.

Los riesgos específicos del trabajo en remoto

Redes no confiables: una red de casa o un Wi-Fi público no tienen las mismas garantías que la red de la oficina. El tráfico puede ser interceptado, y hay ataques específicos para redes Wi-Fi compartidas.

Equipos sin gestión centralizada: si el empleado trabaja desde su ordenador personal, la empresa no controla qué software tiene instalado, si está actualizado, o si hay malware en él. Y si trabaja desde un equipo de empresa pero fuera del alcance del IT, tampoco hay visibilidad.

Acceso directo a sistemas internos: para trabajar en remoto hay que acceder a los sistemas de la empresa. Cómo se hace ese acceso importa mucho: no es lo mismo una VPN corporativa con MFA que un RDP expuesto directamente a internet.

Mezcla de uso personal y profesional: en casa, el mismo ordenador puede usarse para trabajar y para navegar, hacer compras o que los hijos jueguen. El riesgo de infección es mayor y más difícil de controlar.

Las medidas que marcan la diferencia

Acceso remoto a través de VPN

La VPN (Red Privada Virtual) crea un canal cifrado entre el equipo del empleado y la red de la empresa. Todo el tráfico pasa por ese canal, como si el empleado estuviera físicamente en la oficina.

La VPN no es la solución a todo, pero es la base. Sin ella, los accesos a sistemas internos van por internet de forma que puede interceptarse o atacarse.

Autenticación multifactor en todo

Si alguien roba o adivina la contraseña de un empleado, el MFA es lo que impide que eso se convierta en un acceso no autorizado. Correo, VPN, acceso a sistemas críticos — todo debería tener MFA activado.

El coste es mínimo (la mayoría de servicios lo incluyen sin coste adicional) y el beneficio es muy alto.

Equipos de empresa con gestión centralizada

Siempre que sea posible, los empleados deberían trabajar en remoto desde equipos de empresa gestionados: con software actualizado automáticamente, con antivirus corporativo, con cifrado de disco activado.

Si un empleado trabaja desde su propio equipo, hay que establecer requisitos mínimos y tener en cuenta que el nivel de control es mucho menor.

Política clara de uso

¿Pueden usar el ordenador de empresa para uso personal? ¿Qué pasa si lo pierden o se lo roban? ¿Cómo comunican incidentes de seguridad?

No hace falta un documento de 40 páginas. Cuatro o cinco normas claras, comunicadas al equipo, ya son mucho mejor que nada.

Cifrado de disco en portátiles

Si un portátil se pierde o lo roban, el cifrado de disco (BitLocker en Windows, FileVault en Mac) impide que alguien acceda a los datos simplemente sacando el disco o arrancando desde un USB. En equipos de empresa debería estar activado por defecto.

Lo que no hay que hacer

No exponer RDP directamente a internet: el Escritorio Remoto de Windows es una herramienta legítima pero expuesto directamente en el puerto estándar es uno de los vectores de ataque más explotados. Si se necesita acceso remoto a un escritorio, que sea a través de VPN.

No usar contraseñas del trabajo en cuentas personales: si alguien reutiliza la contraseña de su email del trabajo en servicios personales, y uno de esos servicios sufre una brecha, esa contraseña queda expuesta. La gestión de contraseñas (un gestor de contraseñas de equipo) ayuda a que cada servicio tenga credenciales únicas.

El punto de partida realista

Si tu empresa tiene empleados en remoto y no tienes nada de esto, el orden de prioridad sería:

  1. MFA en el correo y en cualquier acceso a sistemas críticos
  2. VPN para acceso a la red interna
  3. Cifrado de disco en portátiles de empresa
  4. Revisión de qué sistemas son accesibles desde internet y cómo

No hay que hacer todo a la vez. Pero sí tiene que haber alguien que lo planifique y lo implemente.

← Volver al blog