Coronavirus

Han pasado al menos tres meses desde que China informó de la existencia de un nuevo virus a la Organización Mundial de la Salud. COVID-19 se propagó rápidamente en la ciudad de Wuhan y en toda China, con más de 80.000 casos y más de 3.000 muertos y ahora se ha propagado en todas partes llegando a  Chile con algunos casos confirmados, los portadores principales son especialmente las personas que viajan por razones sociales o laborales y ahora ya se plantean desafíos importantes para la continuidad del negocio ¿pero cuál es la implicancia del Coronavirus para la seguridad TI?.

Plan de continuidad de negocio.

La continuidad de negocio desde el estallido social del mes de octubre ha sido una piedra angular respecto del quehacer de las empresas, sin embargo, ahora es aún más necesario estar preparado para una eventual expansión del COVID-19.Muchas empresas nunca antes se habían propuesto la especificación de un plan de continuidad de negocio (BCP), y muchas veces avanzar en esta dirección depende de la ocurrencia de un evento particular, pero nunca es tarde hacerse asesorar por especialistas que ayuden a conformar rápidamente un modelo de acción que puede ser madurado conforme se implemente una estrategia posterior.

Un plan de continuidad de negocio entonces debiera cubrir ciertas tareas ineludibles:

  • Identificar y ordenar las amenazas.
  • Realizar un análisis del impacto en el negocio.
  • Crear un plan de respuesta y recuperación.
  • Probar el plan y corregir las deficiencias.

Cuando estamos en una situación de emergencia como la actual y nunca antes había pensado en este tipo de situación se hará necesario partir por el punto 3 anterior. “Crear un plan de respuesta y recuperación”, pero no olvide lo principal, la respuesta y recuperación debe obedecer a un plan alineado con la estrategia de negocio y un análisis de riesgo, de lo contrario, salvará la situación actual, pero no será replicable para otro escenario u otras amenazas.

Coronavirus podría obligar a los equipos a trabajar de forma remota

Esto tiene serias implicancias para los equipos de trabajo porque pueden cambiar los patrones de comportamiento y de trabajo, especialmente para las empresas que no tienen como cultura el trabajo remoto, por lo tanto, necesitan repensar cómo realizar sus tareas y asegurarse de que todos entiendan su función.

Una Red Privada virtual (VPN por sus siglas en inglés) es una parte muy importante para enfrentar el actual escenario de amenazas ya que permite a los trabajadores continuar operando remotamente desde sus casas o cualquier lugar como un nómada digital, sin embargo, la rápida respuesta en un contexto con información incompleta puede traer consigo otros problemas que, si no son bien atendidos, podrían afectar el negocio en el corto o mediano plazo.Una VPN básicamente coloca un paquete de datos dentro de otro paquete de datos. El proceso se conoce como encapsulación, y es el primer nivel de seguridad que una VPN utiliza para mantener la información confidencial. Sin embargo, existen otras medidas de protección que son necesarias pensar antes de habilitar. El método de cifrado, por ejemplo, es otra preocupación importante y se debe cuidar permitir solo los cifrados considerados fuertes.

Considere, por ejemplo, en el protocolo TLS 1.2 remover cifrados considerados inseguros:

  • TLS_RSA_WITH_AES_128_CBC_SHA
  • TLS_RSA_WITH_AES_128_CBC_SHA256
  • TLS_RSA_WITH_AES_128_CCMTLS_RSA_WITH_AES_128_CCM_8
  • TLS_RSA_WITH_AES_256_CBC_SHA
  • TLS_RSA_WITH_AES_256_CBC_SHA256
  • TLS_RSA_WITH_AES_256_CCM
  • TLS_RSA_WITH_AES_256_CCM_8Y

privilegiar cifrados fuertes como:

  • TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_DHE_RSA_WITH_AES_256_GCM_SHA384
  • TLS_DHE_RSA_WITH_AES_128_GCM_SHA256
  • TLS_ECDHE_ECDSA_WITH_AES_256_CBC_SHA384
  • TLS_ECDHE_ECDSA_WITH_AES_128_CBC_SHA256
  • TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384
  • TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256

La criptografía no es lo único y hay actividades operacionales que son, tal vez, mucho más importantes u olvidadas en el proceso de habilitación del trabajo remoto:

  • Establezca el personal clave (RUT, Nombre, dirección, método de traslado, contacto).
  • Identifica la cantidad mínima de personal presencial o remoto que necesita para seguir operando en una oficina central o sucursal.
  • Establezca roles y perfiles, el acceso VPN no puede permitir acceso full a la red de datos.
  • Use doble factor de autenticación.
  • ¿Permitirá conexiones VPN mediante BYOD?
  • Habilite canales de capacitación para las personas que no tienen experiencia en el trabajo remoto.
  • Prepare una mesa de ayuda para que tenga la capacidad de responder a consultas de los empleados respecto de la conexión remota y establecer escalamiento de problemas.
  • Procure realizar las comprar de equipos móviles que se necesitan, no espere comprar laptops a último momento, Ud. no es el único que está preparándose para trabajo remoto.
  • Defina protocolos de pandemia, si uno de sus trabajadores se enferma ¿esperará a que le den la licencia médica formal o le permitirá el trabajo remoto con la mera sospecha de contagio?.

Recuerde, el éxito de esta iniciativa está en la gestión del cambio, la VPN es solo el instrumento, la cultura organizacional prima para mantener la productividad. Y una pregunta más, si su estrategia de trabajo remoto resulta exitosa ¿por qué no mantenerla permanentemente?. Al menos en MonkeysLab hemos trabajado remotamente desde siempre.