En el mundo de la seguridad móvil corporativa, a veces situaciones horribles obligan a la seguridad a tomar medidas para preservar el negocio. Y COVID-19 obliga a las empresas a despejar edificios de oficinas y trasladar todo (y a todos) a ubicaciones remotas y la nube en marzo de 2020 es el ejemplo clásico. Lo que llevó a los atajos de seguridad no fue solo el cambio abrupto en el trabajo desde casa, sino el hecho de que las empresas generalmente tenían que hacer la transición en unos días.
Si a eso se suma el aumento de las preocupaciones de seguridad de IoT, especialmente porque los dispositivos de IoT en entornos domésticos accedían a sistemas globales a través de VPN, a veces propagaban malware a través de la canalización, se produce un lío. Un informe reciente de seguridad móvil de Verizon lo expresó sin rodeos: “Casi la mitad de los encuestados admitió que su empresa recortaba los costos a sabiendas en lo que respecta a la seguridad de los dispositivos móviles. Este es un aumento de nuestro informe de 2020, cuando la cifra era del 46%. La proporción aumenta a dos tercios. en nuestro ejemplo de IoT. Y de los que se quedan, el 38% (27% de IoT) han sido presionados para que lo hagan. Otra forma de ver esto es que el 68% fue presionado para tomar atajos y el 72% de ellos sucumbieron. "
Una nota rápida para poner estos números en contexto: esta es una investigación. ¿Cuántos oficiales de seguridad sabían que habían tomado atajos, pero tenían miedo de admitirlo por escrito? Los profesionales de la seguridad saben mejor que nadie la facilidad con la que pueden filtrarse los datos. Entonces, la realidad es probablemente incluso peor de lo que sugieren los datos de Verizon.
Hay un problema más aterrador: como estoy sentado aquí unos 13 meses después de que esto sucediera, todavía hay que llenar demasiados agujeros. Los CISO y los equipos de TI han estado tan ocupados (y con poco personal) tratando de mantener las operaciones y no crear nuevos agujeros de seguridad que no han tenido la oportunidad de corregir viejas vulnerabilidades.
Esto significa que los ejecutivos de alto nivel (CFO, COO y CEO) deben presupuestar e insistir en que se hagan las correcciones.
Mientras tanto, aquí hay algunas soluciones fáciles para comenzar a reducir su riesgo de COVID:
เครือข่ายท้องถิ่นสองเครือข่ายที่ไซต์ระยะไกลโดยเฉพาะโฮมออฟฟิศ
Es simple de hacer, relativamente económico (en el peor de los casos, deberá comprar un enrutador adicional para cada sitio) y reducirá significativamente su exposición a cualquiera de los demonios de los dispositivos de consumo en el hogar, incluidos los niños. 'juegos, dispositivos domésticos de IoT y computadoras portátiles / teléfonos que también visitan sitios de alto riesgo y descargan Dios sabe qué.
La regla de la política es simple. A partir de ahora, solo debe crear una LAN corporativa y todos los dispositivos corporativos deben usar esta LAN y solo esta LAN. Esto significa una computadora portátil que solo se usa con fines comerciales. En cuanto a un teléfono dedicado, eso también. (Ver sugerencia # 2).
เยี่ยมชม BYOD อีกครั้ง
Permítanme enfatizar: la idea aquí es revisar completa y minuciosamente las políticas de BYOD, no necesariamente abandonarlas. Hay demasiadas variables para perseguir esto. El detalle clave: decida cuáles serán los planes de trabajo remoto de su empresa a finales de 2021 y en 2022.
Cuando la mayoría de las empresas se cambiaron a BYOD (no todas, por supuesto), lo hicieron en circunstancias drásticamente diferentes. Siempre ha habido un análisis estadístico de los riesgos de BYOD, algo como "Hagámoslo, pero dado que el 90% de las comunicaciones comerciales no se realizan en un móvil personal, hay un límite para los problemas en los que nos podemos encontrar". Es la misma lógica que permitía una seguridad subóptima en las oficinas en el hogar antes de COVID-19. Dado que la empresa promedio tenía un 10% o menos de sus empleados trabajando desde casa, algunos consideraron innecesario / no rentable gastar mucho dinero en asegurarlos.
แต่ในปัจจุบันด้วยกิจกรรมอื่น ๆ อีกมากมายในสถานที่ห่างไกลและผ่านอุปกรณ์มือถือ BYOD จึงต้องได้รับการพิจารณาใหม่
Volviendo a mi primera sugerencia (LAN dual), existe un límite para la reducción del riesgo si el empleado / contratista entra en un teléfono inteligente que también accede a sitios de alto riesgo e incluye aplicaciones sospechosas. Para aprovechar al máximo una LAN exclusiva para empresas, debe ser estricto, lo que significa repensar su estrategia BYOD.
Algunas otras consideraciones: el enfoque de partición solo ha tenido un éxito parcial. Un argumento para separar los datos personales y laborales y las aplicaciones en un teléfono es que si los datos corporativos se marcan como perdidos o robados, el borrado remoto limitado puede proteger los datos corporativos y dejar intactos los datos personales.
Pero eso dio resultados mixtos, lo que a su vez hizo que la gente de TI se mostrara reacia a borrar los datos de forma remota. Cuanto más tiempo no se realice la limpieza remota remota (quizás para dar más tiempo al empleado / contratista para intentar encontrar el dispositivo), más inútil se vuelve. Los profesionales de TI y seguridad deben asumir que un teléfono perdido está en posesión de un chico malo.
ในทางกลับกันอุปกรณ์ของ บริษัท อาจจะลบได้ง่ายกว่าเนื่องจากไม่มีความเสี่ยงที่ข้อมูลส่วนบุคคลจะสูญหาย
Otra consideración: los teléfonos inteligentes en 2021 aprovechan más y mejores opciones de respaldo. Esto significa que incluso una limpieza remota no protegerá todos los datos de la empresa. Digamos que un empleado o contratista renuncia, es despedido o despedido. Estas copias de seguridad están invariablemente fuera del alcance de TI. En un dispositivo empresarial bien administrado, se controlan más datos.
Además, el borrado remoto ya no es lo que solía ser. Solía tratarse de borrar literalmente todos los datos de un teléfono. Aunque técnicamente todavía lo hace, la mayoría de las veces es menos una limpieza que una desconexión de los activos de la empresa (casi siempre basados en la nube).
กำลังตรวจสอบการจัดการอุปกรณ์เคลื่อนที่
A diferencia de BYOD, la idea aquí no es volver a analizar si debe usar la administración de dispositivos móviles (MDM) o no, se trata de decidir qué proveedor elegir y si es el momento de actualizar o degradar. Revise sus decisiones de configuración. Ahora que los dispositivos móviles son un mecanismo de control de datos mucho más frecuente, repensar la MDM en 2021 podría llevar a decisiones diferentes.
En resumen, es posible que pueda justificar el costo de una solución MDM de nivel superior hoy. Calcule los números, programe reuniones, revise las opciones de productos hoy y descúbralo.
Doug Barbin, director de la consultora Schellmen & Co. (y un analista realmente perspicaz), dice que “la tecnología MDM ha avanzado, por lo que no es todo o nada. Todos se apresuraron al tiempo de actividad, pero no necesita todo ese acceso. Barbin señala que los administradores de seguridad y TI se han centrado menos en el objetivo del menor privilegio de lo que deberían. "Les dieron a los usuarios acceso a todo lo que necesitaban y luego comenzaron a regresar".
Este es un ejemplo clásico de lo opuesto al privilegio mínimo.
จัดการการปฏิเสธของผู้ใช้
El mayor problema con los esfuerzos corporativos de seguridad ante una pandemia hoy en día es la popular racionalización de los usuarios (y a menudo de los gerentes): "Solo estoy tratando de hacer mi trabajo".
Casi siempre es un código para: “Sus requisitos de seguridad requieren demasiado tiempo y esfuerzo. Intento activamente darles una vuelta final. “Comenzó de inmediato con COVID-19, cuando las VPN (que vieron un aumento masivo en el uso) se ralentizaron y los usuarios trataron desesperadamente de evitarlas para hacer su trabajo. Las actividades a menudo aplaudieron estos esfuerzos o las ignoraron agresivamente.
Fue una prueba de que los profesionales de TI y seguridad corporativa no habían hecho un trabajo con la eficacia suficiente para vender los beneficios del cumplimiento de la seguridad. Esto también debe reevaluarse.
Las empresas han aprendido muchas lecciones durante los últimos 13 meses, algunas buenas y otras malas. Cuando se trata de seguridad, ahora es el momento de repensar cómo se han manejado las cosas en el pasado y cómo deberían verse en el futuro.
<p>Copyright © 2021 IDG Communications, Inc.</p>