Cuando en un futuro se escriba la historia de nuestra época, se dedicará todo un capítulo a 2020. Sin duda, ha sido un año histórico por diferentes motivos, tanto buenos como malos. Por el lado negativo, la pandemia lo ha dominado todo y ha causado enormes pérdidas sociales y económicas. Y por la vertiente positiva, tuvo lugar lo que promete ser una nueva era para el bienestar de los empleados, en la que el trabajo flexible e independiente de la ubicación se ha convertido en la norma, en lugar de la excepción.
En esta era, a la que en MobileIron nos referimos como la era de las everywhere enterprises*, el trabajo se realiza desde cualquier lugar y los empleados se vuelven “nómadas”, con un acceso transparente y seguro a la información.
Cambios a gran velocidad
Una de las primeras cosas que observamos en marzo fue que los planes de continuidad de las empresas no contemplaban preparación alguna para afrontar la pandemia. Sus manuales de crisis no estaban preparados para hacer frente a una situación que alteró sistemáticamente la forma de trabajar en todo el mundo, afectando a todos los cargos y funciones.
Incluso en las empresas que ya estaban aplicando políticas de trabajo desde casa, la pandemia lo aceleró todo. Estas organizaciones tuvieron que acelerar la implementación de los cambios previstos, pivotando y gestionando sobre la marcha mientras se apresuraban a adaptar las prácticas de trabajo para los empleados.
Muchas organizaciones aumentaron inmediatamente el presupuesto destinado a reforzar el trabajo en remoto y a fomentar la distancia social de sus empleados de primera línea. Las organizaciones de atención médica asignaron nuevas partidas presupuestarias con rapidez para que sus trabajadores pudieran desempeñar sus funciones de forma segura y sentirse protegidos.
La disponibilidad de dispositivos de trabajo supuso un reto para las empresas que trataban de facilitar el trabajo a distancia. El aumento de la demanda agotó inventarios, y las cadenas de suministro quedaron paradas. Muchas empresas se adaptaron promoviendo programas BYOD (para que los empleados utilizaran sus propios dispositivos) sobre la marcha, para lo que era necesario contar con la aceptación de los usuarios finales.
Aplazamiento de las medidas de seguridad
Numerosas empresas también pospusieron las cuestiones de seguridad de los dispositivos móviles mientras trataban de solucionar problemas más inmediatos. Algunas tomaron atajos y confiaron en el acceso por contraseña tradicional hasta que pudieran encontrar algo mejor. Esta situación llevó a una mayor carga de trabajo para los equipos de asistencia técnica, que debían ayudar a los empleados cuando tenían dificultades para acceder al sistema desde casa. Algunas organizaciones asumieron el aumento de los costes de la asistencia técnica durante la transición de los empleados al trabajo desde casa sin haber previamente optimizado sus modelos de seguridad y de acceso.
Y mientras algunas empresas dejaron la seguridad en segundo plano, los ciberdelincuentes se pusieron manos a la obra. Explotaron el miedo y la incertidumbre generados por la pandemia con una tormenta de ataques nuevos dirigidos a los consumidores y a los empleados remotos. Y esto también sucedió de forma rápida: Zscaler descubrió que los ataques de phishing y malware dirigidos a usuarios remotos aumentaron un 30.000 por ciento, de 1.200 en enero a 380.000 en abril. La mayoría de estos ataques iban dirigidos a la repentina y diversa gama de dispositivos móviles y sistemas operativos en uso entre los empleados, aumentando así su superficie de ataque. Las aplicaciones falsas de rastreo de COVID-19 fueron una de entre las muchas amenazas nuevas.
Zscaler descubrió que los ataques de phishing y malware dirigidos a usuarios remotos aumentaron un 30.000 por ciento, de 1.200 en enero a 380.000 en abril
Esta situación supuso un problema, especialmente para los usuarios de dispositivos con poca huella, que eran más susceptibles a los ataques de phishing que antes. Además del correo electrónico, los ciberdelincuentes apuntaban cada vez más a otros vectores de amenazas móviles, como los mensajes de texto y SMS, las redes sociales, las aplicaciones de productividad como Slack, las aplicaciones de mensajería como WhatsApp y otras aplicaciones móviles que permiten compartir enlaces. Estos ataques móviles se produjeron con mayor frecuencia porque los ciberdelincuentes sabían que los empleados remotos utilizaban dispositivos móviles poco seguros, o completamente inseguros, para acceder a los datos de la empresa.
Pero no se detuvieron allí. También fueron tras la infraestructura remota y escanearon RPV en masa con la esperanza de infiltrarse entre los empleados remotos y las redes de la empresa.
Replanteamiento de la conectividad móvil
A medida que las empresas volvieron a prestar atención a la seguridad después de la prisa inicial para permitir trabajar desde casa, empezaron a evaluar sus capacidades tecnológicas. Muchas abordaron el problema de las RPV (redes privadas virtuales) y optaron por utilizar RPV por aplicación, que permiten a los dispositivos móviles dirigirse solo a aplicaciones específicas. Redujeron así su superficie de ataque y lograron ofrecer más protección tanto para las redes corporativas como para las aplicaciones en la nube.
Por su parte, los clientes ampliaron también su inversión en seguridad más allá de Windows con el fin de mejorar la seguridad móvil, porque se dieron cuenta de que estos dispositivos estarían más expuestos a los ataques. Invirtieron en la detección de amenazas móviles mediante herramientas basadas en agentes que defienden los dispositivos contra todo tipo de ataques de phishing y malware.
Los agentes de seguridad móvil también resultaron útiles para las empresas cuyos empleados utilizaban sus propios dispositivos para acceder a las aplicaciones corporativas. Pudieron utilizar herramientas como la administración unificada de dispositivos de trabajo (UEM) de MobileIron para crear contenedores que separaran los datos empresariales de los personales en los equipos propiedad de los empleados. Esta función resultó ser importante, ya que las empresas eran reacias a abandonar los sistemas BYOD y necesitaban una opción de seguridad a largo plazo para mantenerlos.
Los departamentos de seguridad más inteligentes comenzaron a examinar una serie de nuevos riesgos derivados del creciente uso de los entornos del consumidor. Por ejemplo, amenazas que se introducen fuera del propio dispositivo de consumo del empleado. A menudo hay vulnerabilidades en la red de banda ancha doméstica que utiliza dicho dispositivo y en los dispositivos no administrados y poco protegidos, como los televisores inteligentes y las videoconsolas que comparten esa infraestructura.
Los ciberdelincuentes hicieron todo lo posible por explotar estas debilidades lanzando los ataques en los routers domésticos, permitiendo a los atacantes falsificar el DNS y distribuir aplicaciones de información falsa sobre la COVID-19 a las víctimas. Esto es algo que pueden detectar algunas herramientas modernas como la solución Mobile Threat Defense (MTD) de MobileIron. MTD ofrece protección inmediata contra el phishing en el dispositivo. No se requiere ninguna acción por parte del usuario final, ya que el departamento informático lo administra de manera remota. Como resultado, las empresas y las organizaciones pueden lograr una adopción del 100 por ciento por parte de los usuarios, sin que ello afecte a la productividad.
Revaluación de la arquitectura de seguridad
Este cambio hacia entornos móviles remotos propició una revaluación más amplia de las arquitecturas de seguridad. Las empresas examinaron su estrategia de ciberseguridad a largo plazo para prepararse para un futuro laboral remoto. El trabajo a distancia destruyó, de una vez por todas, la ilusión del perímetro de la red protegida. Nosotros vimos que nuestros clientes adoptaron medidas de seguridad centradas en la identificación en lugar de confiar en los cortafuegos y en los dispositivos de confianza para la protección.
A medida que la identidad pasó a ser el foco de atención a nivel de seguridad, los clientes adoptaron la tecnología que hacía más fácil y segura la autenticación de los usuarios. Muchos se deshicieron de las contraseñas enseguida. Adoptaron un sistema zero sign-on, que permite a los empleados utilizar las capacidades biométricas de sus dispositivos móviles para autenticarlos automáticamente.
El trabajo a distancia destruyó, de una vez por todas, la ilusión del perímetro de la red protegida
En 2020, la comunidad empresarial se movió a una velocidad sin precedentes y demostró cómo surge la innovación cuando se está contra las cuerdas. Fue una tormenta perfecta que sentó las bases de las everywhere enterprises.
Si los acontecimientos de este año nos han enseñado algo, es que las everywhere enterprises han llegado para quedarse. Las cosas no volverán a ser como antes. Ha llegado el momento de apoyar a los cuatro de cada cinco empleados que dijeron que preferirían no volver a la oficina. Afortunadamente, las empresas con visión de futuro ahora tienen la tecnología y la mentalidad para hacerlo posible.
*Término por el que se denomina al nuevo concepto de empresa ‘ubicua’/’qué está en todas partes’.
