No todas las violaciones de seguridad suceden por causas maliciosas. Algunos de los problemas más comunes de seguridad son causados por los malos hábitos del día a día de los empleados.
Por suerte, estas amenazas y vulnerabilidades son posibles de reducir, al mejorar la conciencia en la organización de los errores de seguridad más comunes.
1-. Usar dispositivos no seguros para trabajar.
Algunas organizaciones no tienen control sobre las aplicaciones y las medidas de seguridad que se instalan en un dispositivo que le pertenece al empleado. Con la prevalencia de BYOD (trae tu propio dispositivo), creciendo cada año, los dispositivos se han conectado más y más a las redes de la compañía, y se han usado para accesar a información delicada. Al hacer eso, los empleados pueden burlar la mayoría de las medidas de seguridad de la empresa, e introducir aplicaciones inseguras a las redes, creando un servidor con serias vulnerabilidades para que pueda ser explotado por terceros.
Estos riesgos pueden ser mitigados al implementar una política sobre el BYOD, y asegurando que hasta los mínimos estándares de seguridad sean adheridos a los dispositivos conectados a la red de la compañía.
2-. Falta de seguridad móvil
Cualquier dispositivo que sea capaz de remotamente acceder a la red de la empresa es capaz de introducir vulnerabilidades en la seguridad.
Es importante asegurarse de que todo acceso móvil a información delicada sea protegida por inscripción de ambos lados, y que la información no esté guardada localmente en el dispositivo. Medidas de seguridad básicas, como PIN´s de seguridad pueden prevenir acceso no autorizado en el caso de robo o pérdida.
3-. Usar passwords débiles
Protección de password es la herramienta de seguridad más comúnmente disponible, y una password fuerte, generada al azar puede ser efectiva contra un ataque.
Desafortunadamente, muchos empleados ignorar cambiar passwords básicas, o las cambian con passwords fáciles de adivinar. Ejemplos comunes de passwords débiles como: 123456 y “password” tomaran segundos para que adivine un atacante, y si tu organización utiliza un solo sistema de signo n, o los empleados usan una sola password para múltiples sistemas, cualquiera puede acceder a información sensible. Ver nota de cómo mejorar los passwords
4-. Imprimir información delicada
Con decenas de programas requiriendo distintos passwords y credenciales, los empleados usualmente utilizan post-it´s, pizarrones, o impresiones para recordarlos. Esto puede parecer inofensivo en la oficina, pero no hay manera de monitorear las acciones e intenciones de visitantes externos.
Los passwords nunca deberían ser escritas o impresas y los borradores con información sensible deberían ser borrados regularmente. Lo mismo aplica a otras formas de información sensible, incluyendo detalles sobre clientes, e información de pago de los mismos. Si es necesario imprimir este tipo de información, se debe asegurar que sea guardada en un lugar seguro.
5-. Desconocer los ataques por medio de ingeniería social
Ingeniería social puede sonar como algo de una película, pero es un problema real para organizaciones grandes.
Terceros pueden tener acceso a información delicada a través de simples tácticas de manipulación. Algunas estrategias comunes son meterse a las cuentas de redes sociales de los empleados, hacer llamadas diciendo ser un colega o un cliente, y también accediendo a las instalaciones con simple persuasión.
Todas estas tácticas pueden ser vencidas al ser vigilante.
6-. Caer por Phishing
Los ataques de Phishing tienen muchos paralelos con los de la ingeniería social, usando correos de supuestas fuentes confiables, creando páginas web falsas, para convencer a los empleados de mostrar sus credenciales.
Como en la ingeniería social, la vigilancia es la mejor defensa. Entrenar a los empleados a solo abrir enlaces y archivos adjuntos de fuentes confiables, y están a la par con lo que normalmente se les compartiría. También es buena práctica alentar a los empleados de checar el URL de una pagina antes de entrar.
7-. Proporcionar privilegios de usuario innecesarios
La menor cantidad de empleados con acceso a información delicada, menor el riesgo de una falla de seguridad.
Hacer esto puede hacer para el equipo de seguridad mucho más fácil la labor de monitorear, y detectar el acceso de información.
8-. Deshabilitar intencionalmente las opciones de seguridad
Algunos empleados pueden ver las medidas de seguridad como innecesarias.
Si estos usuarios tienen privilegios administrativos, pueden ignorar sistemas de seguridad cruciales, y potencialmente traer consecuencias desastrosas para la red entera.
Además de limitar el acceso a privilegios de administración, es importante educar a los usuarios sobre la importancia de las medidas de seguridad. Los cursos de eLearning pueden ayudarlos a usar estas medidas a su manera.
9-. Uso de aplicación no autorizado
Con una gran selección de herramientas que ayudan a la productividad, los empleados a veces escogen instalar y usar software no autorizado para la red corporativa.
Este tipo de prácticas complica el trabajo del departamento de IT, de monitorear e identificar las amenazas potenciales, incluso una cuenta privada de DropBox puede significar un gran riesgo.
Si los empleados muestran necesidad de aplicaciones adicionales, es recomendable escuchar sus necesidades e intentar encontrar una aplicación segura para utilizar en la organización.