Red Seguridad 090

red seguridad tercer trimestre 2020 65 En mayo de este año, el Centro Criptológico Nacional actualizó, por el estado de alarma, el documen- to Informe de Recomendaciones de seguridad para situaciones de tele- trabajo y refuerzo en vigilancia , deno- minado CCN-CERT BP/18. En este documento se ofrecen pautas para garantizar la seguridad durante el teletrabajo, dedicando un apartado (8.5.7) a "detallar los servicios de adquisición de evidencias de disposi- tivos electrónicos para incidentes de seguridad que limiten la prestación de servicios esenciales durante este estado de alarma". Recomendaciones Desde mi punto de vista, la planifica- ción es la actividad más importante para un buen desarrollo, máxime en el nuevo entorno telemático que se nos plantea. Por ello, no se puede dejar nada al azar y es recomendable tener en cuenta lo siguiente: Gestionar bien tanto la identifica- ción como la organización de los interlocutores durante las video- conferencias es fundamental. Todo documento necesario y toda evidencia deberán estar previstas previamente. Esto acortará los tiempos de trabajo y permitirá des- ligar esta actividad del proceso de auditoría online que se ha de seguir. Subscribir un correcto NDA (acuerdo de no divulgación) con la entidad auditada allanará el camino y ahorrará contratiempos. Acotar bien los alcances de la activi- dad permitirá centrar el trabajo y opti- mizar la revisión de los referenciales sobre los que auditar al cliente. Un security-by-design en todo el proceso, desde la selección de las herramientas más adecuadas, seguras y actualizadas posible para el establecimiento de las tele- conferencias, hasta los medios de transferencia de la documentación de forma telemática (con espe- cial énfasis en el uso de cifrado), añadirá confianza al proceso. Han de considerarse también solucio- nes ante situaciones no deseadas, como los habituales fallos en la plataforma de comunicación. Gestionar bien los tiempos de las videoconferencias significa no alar- gar demasiado la estancia ante el monitor. La conjunción de trabajo independiente sobre la evaluación de la documentación, junto con la auditoría per se , permitirá centrar más la revisión de evidencias con menos esfuerzo y en tiempos más acotados. Cuestiones a reforzar Quizá la labor de la informática foren- se se vería respaldada, tanto por trazabilidad como por reducción de exposición a incidentes, si los depar- tamentos de sistemas de información reforzaran: La cualificación de los roles de IT con respecto a las tecnologías de acceso y securización que impone el teletrabajo. La formación y concienciación de los usuarios, sin cuya colaboración no hay efectividad en las medidas anteriores. Los equipos de trabajo de los empleados han de tener configura- ciones probadas y aprobadas que excluyan, además, el uso de equi- pos personales para el acceso a los sistemas de explotación. Reforzar los procesos operativos para la conectividad con el entorno de tra- bajo, ya que se ha ampliado el área de exposición a incidentes de seguridad. Confianza cero Emprender una estrategia de refor- zamiento de seguridad basada en una filosofía de "confianza cero" ( Zero Trust ) debería complementar, de forma holística, a todos los medios que impidan la exposición a vulne- rabilidades debido a la confianza en los sistemas que acceden. En ese sentido, es recomendable: No confiar en nadie por defecto: todo acceso se chequea y se basa en una política de menor privilegio. Acceso passwordless que sustitu- ya el modo tradicional de acceso por contraseña estática por una autenticación de múltiples factores. Uso de la microsegmentación: divi- dir los perímetros de seguridad en pequeñas zonas para mantener un acceso separado para las distintas partes de la red. Se acelerará la implantación de sistemas cloud , ya que las capaci- dades de definición de servicios y redes por software están embebi- das en su core . Uso de soluciones CASB entre usuarios y servicios, tales como PaaS, IaaS, SaaS, securizando estos entornos y extendiendo las políticas que se generen a diferen- tes contextos cloud configurables. Monitorizar y controlar qué y quién accede a la red, comprobando su autorización. En el proceso de adaptarnos a estas circunstancias adversas, hemos avanzado casi una década en una transformación digital que ya estaba en marcha y que era necesaria. Y que, además, refuerza la tesis de la fórmula de la crisis: crisis es igual a riesgo más oportunidad. opinión forense monográfico