Inicio Noticias ESET: uso no autorizado de hardware y software no autorizado por parte...

ESET: uso no autorizado de hardware y software no autorizado por parte de los empleados: un problema típico de seguridad de TI en la era del trabajo híbrido o remoto

87
0

El inicio de este período estuvo marcado por esfuerzos enfocados en completar tareas, apoyar una rápida migración al sistema de trabajo remoto y encontrar nuevas formas de llegar a los clientes. Por defecto, este enfoque ha ido acompañado de un debilitamiento de ciertas políticas de seguridad para apoyar al personal, ya que han realizado importantes ajustes en su estilo de trabajo, una estrategia que ciertamente es justificable.

Por el momento, sin embargo, nos encontramos en otra etapa del escenario de trabajo remoto, donde el sistema híbrido se está volviendo cada vez más popular, lo que implica un nivel completamente nuevo de procesos de TI, sin transparencia, de los cuales los equipos de seguridad de TI ahora son responsables. Los riesgos cibernéticos prosperan en este nuevo espacio de trabajo «en la sombra», trayendo más problemas.

Por lo tanto, el uso de software y equipos fuera de los límites impuestos por el departamento de TI por parte de los empleados podría ser una amenaza grave, siempre que no se controle cuidadosamente. La pregunta es qué se puede hacer al respecto, cuando incluso la escala del problema puede ser difícil de entender.

¿Cómo definimos «TI en la sombra»?

El concepto de Shadow IT no es nuevo en absoluto. En términos generales, se refiere a las aplicaciones, el software o el hardware que utilizan los empleados sin el consentimiento y el control del departamento de TI, pero también incluye tecnologías de nivel empresarial. Aunque a menudo se trata del uso de tecnología de consumo, en algunos casos pueden ser incluso tecnologías de tipo comercial, que se compran y utilizan sin notificar al personal de TI. Independientemente de las soluciones «sombra» utilizadas, pueden exponer a la organización a riesgos adicionales.

En el contexto de shadow IT, se debe tener en cuenta lo siguiente:

  • Mensajes y correos electrónicos enviados para agilizar la comunicación con los contactos en el trabajo y fuera del trabajo.

  • Herramientas de gestión de proyectos y productividad, que también pueden ayudar a los empleados a colaborar entre sí y pueden estimular la capacidad de realizar las tareas diarias.

  • Almacenamiento de archivos de nivel de consumidor, a menudo elegido ad hoc para facilitar la colaboración entre empleados.

  • Sistemas en la nube de infraestructura como servicio (IaaS) y plataforma como servicio (PaaS), que podrían usarse para alojar recursos no autorizados.

¿Por qué ocurre este fenómeno?

Cuando los empleados no están satisfechos con las herramientas comerciales de TI ineficientes, que en su opinión dificultan la productividad, generalmente aparece la TI en la sombra. En el contexto de la pandemia, muchas organizaciones han tenido que permitir el uso de los dispositivos personales de sus empleados para que puedan trabajar desde casa. Esto ha allanado el camino para las descargas de aplicaciones no autorizadas.

Bajo el pretexto de «arreglar las cosas más rápido», la TI en la sombra se ve exacerbada por el hecho de que los propios administradores de TI se han visto obligados a suspender algunas de sus políticas previas a la pandemia, pero también por el hecho de que muchos empleados desconocen la política de seguridad corporativa. . Según un estudio reciente, el 76% de los equipos de TI apoya la colocación de la gestión de la seguridad en un segundo plano a favor de la continuidad del negocio (en la era Covid-19), mientras que el 91% afirma que se ha fomentado la implementación de cambios en los flujos de trabajo. tuvo el efecto directo de debilitar la seguridad.

Por lo tanto, la pandemia alentó un uso más intensivo de las prácticas de TI en la sombra, ya que los equipos de TI eran menos visibles físicamente para los empleados. Al mismo tiempo, esta baja conciencia entre los empleados de la presencia del departamento de TI los hizo más propensos a desobedecer las políticas oficiales y dificultó que los usuarios verificaran con los gerentes de TI las nuevas herramientas elegidas antes de usarlas.

Investigaciones recientes muestran que, en todo el mundo, el 66 % de las personas que trabajan de forma remota admiten cargar datos de la empresa en una aplicación o equipo que en realidad no está diseñado para el entorno empresarial, y más de la mitad (56 %) dijo que usaba con frecuencia dicha aplicación. Casi un tercio (29%) dijo que sentía que el uso de una aplicación que no estaba estrictamente diseñada para funcionar en el entorno empresarial podría pasar desapercibido y que eligieron esta opción porque las soluciones ofrecidas por el departamento de TI eran demasiado complicadas o incluso «absurdas». ”.

La escala del problema

Los riesgos que plantea la TI en la sombra pueden estar asociados, en parte, con el equipo personal utilizado en escenarios de trabajo BYOD (traiga su propio dispositivo), pero en realidad, hay varias cuestiones a discutir. Otra amenaza proviene de unidades comerciales específicas que alojan recursos en la nube corporativa IaaS o PaaS. Los problemas a este nivel se deben a que muchos malinterpretan la naturaleza del modelo de responsabilidad compartida en la nube y asumen que el proveedor de servicios en la nube (CSP) es la autoridad responsable de la seguridad. La organización cliente es, de hecho, responsable de proteger las aplicaciones y los datos.

La naturaleza del fenómeno hace aún más difícil comprender la dimensión real del problema. El 64% de los empleados de EE. UU. creó al menos una cuenta en línea sin notificar al departamento de TI, según un estudio de 2019. Otros datos indican que usar herramientas no aprobadas por el departamento técnico ya era una práctica común entre los empleados remotos antes de la pandemia (65%). ), mientras que el 40% de los empleados actuales utilizan soluciones de comunicación y colaboración «en la sombra». El mismo estudio muestra que la edad influye en la tendencia de utilizar prácticas de TI en la sombra: la generación Millennials tiene un 54 % más de probabilidades de recurrir a tales prácticas, mientras que los Baby Boomers representan solo el 15 %.

¿Por qué Shadow IT es una amenaza?

El riesgo potencial para la empresa de las prácticas de TI en la sombra es real. Tomemos, por ejemplo, un caso el año pasado en el que una empresa de identificación de contactos de EE. UU. informó los datos de 70,000 personas después de que los empleados usaran cuentas de Google para compartir información como parte de un «canal de colaboración no autorizado».

Aquí hay un breve resumen del riesgo potencial de la TI en la sombra para las empresas:

  • No hay control de TI: los usuarios y los datos de la empresa están expuestos a ataques si el software se queda sin parches o está mal configurado (por ejemplo, con contraseñas débiles)

  • Las soluciones comerciales antimalware u otras soluciones de seguridad que protegen las redes o los activos de TI en la sombra no se utilizan con frecuencia.

  • La opción para controlar las fugas o el intercambio de datos accidental/intencionado no está disponible

  • Principales desafíos de cumplimiento y auditoría

  • Exposición a la pérdida de datos, ya que los procesos de respaldo no se extienden a las aplicaciones y datos de TI en la sombra

  • Daño financiero y reputacional, consecuencia directa de una violación potencialmente grave de la seguridad de los datos (personales y no solo)

Cómo abordar la TI en la sombra

Un primer paso esencial es comprender la escala potencial de la amenaza. Los departamentos de TI deben ser conscientes de la propagación del fenómeno y no subestimar los riesgos que plantea. Considere las siguientes medidas que pueden mitigar los riesgos de la TI en la sombra:

  • Desarrollar una política amplia para hacer frente a este fenómeno, que incluya una lista de software y hardware (aprobado y no aprobado) y un procedimiento para obtener una aprobación de uso clara.

  • Escuche y adapte las políticas relacionadas con las herramientas utilizadas: elija, en función de los comentarios de los empleados, qué funciona y qué no. Puede ser un buen momento para actualizar las políticas en esta nueva era de trabajo híbrido, donde es importante el mejor equilibrio posible entre seguridad y comodidad en el hogar.

  • Fomentar la transparencia entre los empleados, instruyéndolos sobre el impacto potencial de este fenómeno, con foco en el diálogo honesto en ambos sentidos.

  • Utilice herramientas de monitoreo para detectar el uso de Shadow IT en la empresa o cualquier actividad de riesgo y tome las medidas adecuadas contra los atacantes persistentes.

Shadow IT amplía la superficie de ataque a nivel corporativo y aumenta los riesgos cibernéticos. Los instrumentos y políticas actuales a menudo se consideran demasiado restrictivos, lo que aumenta el tamaño del fenómeno. Como primer paso, los equipos de TI deberán adaptar su propia cultura para acercarse lo más posible a la fuerza laboral de las empresas.

ESET, líder mundial en soluciones de ciberseguridad con más de 30 años de experiencia e innovación, ofrece una gama de soluciones antivirus y antimalware con protección multicapa integrada que puede detectar ataques de ransomware de manera oportuna, evitando así daños a los recursos y la reputación de la empresa. .

Sus paquetes vienen con protección multinivel integrada y tienen la capacidad de detectar ataques de ransomware de manera temprana para evitar daños a los recursos y la reputación.

ESET PROTECT Advanced es un paquete de soluciones antivirus y antimalware para empresas y ofrece, a través de la capa ESET Dynamic Threat Defense, protección de sandbox en la nube para sistemas (contra ransomware y amenazas de día cero), pero también protección de datos dedicada contra acceso no autorizado en caso de robo o pérdida de equipo (por encriptación completa de discos duros – para datos almacenados en computadoras portátiles). Así, el producto cumple con éxito el desafío de proteger y administrar las redes comerciales de TI en caso de ciberamenazas cada vez más dinámicas.

La solución puede ser probada gratuitamente por cualquier empresa, sin ninguna obligación posterior. Puede encontrar más detalles al respecto y descargar una versión de prueba aquí.

Artículo anteriorAdevărul Live desde las 13.30: dos años desde el primer trasplante de hígado realizado en el sistema médico privado en Rumania
Artículo siguienteOctavia Geamănu, sobre la relación con Marian Ionescu: «Pensaría que algo le pasó a ella si vino a mí con un regalo en un día determinado en el calendario»
Ingeniero mecánico de formación, trabajé en la industria durante 10 años, sobre todo en el sector nuclear. Llevo varios años trabajando como redactor web, utilizando mis conocimientos técnicos para escribir artículos sobre temas específicos, como las finanzas,