Publicado el: miércoles, 15 abril 2020
La pandemia del COVID-19 ha generado una mayor concienciación de la importancia que tiene la ciberseguridad en un escenario como el actual, en el que numerosas organizaciones, instituciones y profesionales desarrollan el grueso de su actividad profesional y personal de forma remota. El teletrabajo se ha generalizado y también lo ha hecho el empleo de herramientas y aplicaciones que permiten, a distancia, dar continuidad a las funciones y responsabilidades que numerosos profesionales tienen asignadas. Entre estas herramientas, destacan las aplicaciones que permiten la organización de reuniones virtuales y videollamadas. El Equipo de Respuesta a Incidentes de Seguridad del Centro Criptológico Nacional (CCN-CERT), consciente del uso cada vez más acentuado de este tipo de tecnologías, ha publicado una serie de recomendaciones de seguridad que, a nivel general, permitirían mejorar la seguridad de este tipo de comunicaciones. Entre las recomendaciones, se encuentra la descarga de aplicaciones únicamente de markets oficiales, como Apple Store o Play Store, la actualización constante de aplicaciones para mantener su seguridad o la implementación de diferentes medidas para llevar a cabo una correcta configuración de las reuniones virtuales.
|
Algunas pautas de seguridad TIC a tener en cuenta en el Teletrabajo
Hoy, por gentileza del área de seguridad informática de la Universidad de Pablo Olavide, os dejo unas pautas de seguridad de la información asociadas al teletrabajo y que han enviado a todo su personal , que podemos aplicárnoslas en UGR igualmente.
De igual forma os recuerdo que tenéis algunas medidas de seguridad a nivel general establecidas para trabajar con datos personales o cualquier tipo de información http://secretariageneral.ugr.es/pages/proteccion_datos/documentos/documentosobremedidasdeproteccion
Por supuesto he adaptado algunos emails y URL’s a nuestra universidad.
Proteja su equipo
➢ Intente realizar la conexión desde equipos cuyo sistema operativo tenga soporte de actualizaciones de seguridad (Windows 8.1 en adelante).
➢ Mantenga su equipo actualizado. Aplique las actualizaciones de sistema operativo y actualizaciones de aplicaciones instaladas, con especial atención a herramientas ofimáticas y navegadores.
➢ Instale una herramienta de detección y eliminación de malware y manténgala actualizada. Puede seguir las recomendaciones de herramientas de la página oficial la Oficina del Internauta https://www.osi.es/es/herramientas
➢ Realice escaneos periódicos con la herramienta de detección y eliminación de malware.
➢ Realice análisis con herramientas de detección de malware de unidades externas (pendrive, discos duros, etc.) antes de acceder a su contenido.
➢ Tenga precaución en la instalación de aplicaciones en su ordenador. Acuda siempre a la página de proveedores oficiales para la descarga de software. Extreme las precauciones en la instalación y uso de extensiones en los navegadores. Ante la duda sobre garantías de seguridad, deshabilite las extensiones de los navegadores.
➢ Si transporta equipo corporativo, manténgalo siempre bajo custodia, no lo abandone en coches ni en lugares visibles. Si el equipo sufre daños o es sustraído, proceda a comunicarlo de forma inmediata a la Universidad.
➢ Desde ubicaciones remotas no dispone de las medidas de protección perimetrales corporativas, por lo que debe extremar las precauciones frente a la llegada de correo no deseado o fraudulento:
• Asegúrese que el remitente del correo no ha sido suplantado, y que la cuenta corresponde una cuenta corporativa con dominio oficial (por ejemplo, @ugr.es para remitentes de la Universidad).
• Desconfíe de información no oficial sobre temas que despierten especial alerta (coronavirus, suspensión de servicios, situaciones de emergencia,etc.). No siga enlaces, ni descargue documentos desde ningún dispositivo.
• Desconfíe de correos de remitente desconocido, o de remitente conocido cuyo contenido no corresponda con la actividad usual del remitente.
• Desconfíe de correos que alertan sobre situaciones excepcionales (extravío de paquetes, caducidad o hackeo de cuentas de correos o cuentas de redes sociales, gangas o premios), que requieran acciones urgentes (registrarse en una página, facilitar datos personales, descargar un documento, instalar una aplicación, etc.), y cuyas consecuencias sean desfavorables que soliciten datos (pérdida de una ganga, perder cuentas de correo o redes sociales).
• No abra el correo los correos sospechosos. Si lo ha hecho, no siga ningún enlace, no abra documentos adjuntos, ni responda al propio correo. Si sospecha que ha podido ser víctima de un correo sospechoso, denúncielo y proceda a cambiar de forma inmediata sus contraseñas corporativas.
• Remita una copia del sospechoso a seguridadinformatica@ugr.es, le ayudaremos a identificar correos fraudulentos y denunciaremos a las autoridades cuando lo sea.
• No facilite en ningún caso datos personales como contraseñas o datos bancarios. Ningún servicio oficial se los solicitará por estos medios. Ante la duda, confirme con el remitente por una vía distinta (teléfono o presencial) sobre la acción requerida en el correo.
➢ No instale ninguna aplicación que le proponga una página web para poder visualizarsu contenido de forma correcta. Si necesita actualización o instalación de algún componente, acuda a la página web de sus distribuidores oficiales.
Proteja su conexión
➢ Conecte su equipo a redes seguras. Evite conectarse en redes wifi públicas o en locales públicos (hoteles, estaciones, aeropuertos, cafeterías…). Si necesitara conectarse a este tipo de redes inseguras, evite el intercambio de información confidencial o sensible (contraseñas, datos bancarios, datos de salud, etc.). Si, aun así, ha necesitado registrarse, cambie las contraseñas en cuanto se pueda conectar a una red segura.
➢ Evite conectarse desde equipos de uso compartido.
➢ Si conecta con un dispositivo móvil, fuera del hogar, recuerde que la red de datos de telefonía es más segura que la conexión wifi.
➢ Extreme las precauciones en la custodia de credenciales, en especial aquellas de uso temporal, que le puedan ser facilitadas para conexión excepcionales a los servicios de la Universidad. No las anote en un sitio visible, no las comparta y si sospecha que hayan podido ser sustraídas, proceda a cambiarlas de forma inmediata. Elija contraseñas siguiendo las recomendaciones de la política de contraseñas de la Universidad. http://secretariageneral.ugr.es/pages/seguridad-de-la-informacion/_doc/np04normasdecreaciaanyusodecontrasenaaasv02/%21
➢ Siga las recomendaciones de configuración segura de su proveedor de red Wifi. Protéjala con contraseñas seguras.
Proteja la información
➢ Proteja la información manteniendo su pantalla a salvo de miradas indiscretas.
➢ Bloquee la sesión de trabajo (tecla de Windows + L) cuando se ausente del equipo para evitar accesos no autorizados o acciones accidentales.
➢ Configure el bloqueo de sesión automático tras un tiempo de inactividad para que, si olvida bloquear la sesión de trabajo, el equipo lo haga de forma automática.
➢ Cuando inicie sesión en algún servicio corporativo (webmail, aula virtual, myapps,etc.). recuerde finalizar la sesión o realizar la desconexión cuando deje de utilizarlo.Esto liberará recursos y evitará accesos no autorizados.
➢ Si instala certificados personales en equipos de uso no habitual, proteja su uso concontraseñas y desinstálelo cuando ya no sea necesario.
➢ Evite almacenar en los navegadores información sobre contraseñas. Borre los archivos temporales y el historial antes de finalizar una sesión de trabajo.
➢ Evite transportar información corporativa en unidades extraíbles. Si fuera necesario,garantice que la información esté protegida de accesos no autorizados (protéjala con contraseñas u otros sistemas de encriptación). No etiquete el dispositivo de forma que pueda reconocerse el contenido del mismo. Custódielo en todo momento, evitando dejarlo abandonado o en sitios de fácil acceso. Extreme las precauciones para evitar pérdidas u olvidos accidentales.
➢ Evite descargar información corporativa en dispositivos propios (teléfonos, equipos personales, etc.). Si fuera necesario, mantenga las medidas de seguridad para que no sea accedida por terceras personas, incluidas aquellas que puedan compartir el equipo. Protéjalas con contraseña, no identifique la documentación de forma que pueda saberse el contenido de la misma.
➢ Evite imprimir o transportar información en soporte papel. Caso de realizarlo,mantenga las medidas de seguridad, extreme las precauciones en su custodia para evitar pérdidas o sustracciones, no etiquete la información que pueda reconocerse el contenido. Asegure que no se realizan accesos no autorizados.
➢ Con carácter general, no serán elegibles para su realización en modo de teletrabajo actividades que requieran el tratamiento de información y/o documentos que contengan datos de carácter personal u otros de especial relevancia que puedan comprometer, en caso de incidentes de seguridad o violaciones de seguridad, la obligada protección de los sistemas de información de la Universidad y, en particular, de los datos personales o la seguridad de instalaciones y personas. No obstante, en caso de que la tarea a desarrollar en teletrabajo sea identificada como susceptible de afectar a la protección de datos personales, seguridad de la información o derechos de las personas, deberá aplicar las medidas de seguridad adecuadas al tratamiento concreto que vaya a realizar. Con carácter general, en estos casos, evite descargar información sensible o que contenga datos de carácter personal. Antes de realizar cualquier descarga de este tipo de información,
reflexione sobre si es completamente necesario. Si así fuera, asegúrese que lo realiza con las medidas de seguridad requeridas para esto casos. Realice la descarga por canales de conexión segura. Protéjala por contraseña antes de realizar la comunicación. Cuando sea posible, disocie los datos. Custodie la información y las contraseñas de acceso para asegurar su confidencialidad. Tome medidas para que no sea accedido por personas no autorizadas.
➢ Elimine los datos o copias locales realizadas, incluso de forma automática, en cuanto dejen de ser necesarias. Para la información sensible o que contenga datos de carácter personal, asegúrese de realizar un borrado seguro que no permita la recuperación posterior. En este último caso, debe hacerlo al finalizar la jornada laboral. Para la información en soporte papel, elimine con procedimiento de destrucción segura.
➢ Si se produce cualquier pérdida o sustracción de información corporativa, con especial atención a información sensible o que contenga datos de carácter personal, comuníquelo de inmediato a protecciondedatos@ugr.es o a seguridadinformatica@ugr.es siguiendo el siguiente protocolo http://secretariageneral.ugr.es/pages/proteccion_datos/documentos/ugrprotocolonotificacioanbrechasdeseguridaddatospersonales
Teletrabajo y covid19
Algunos consejos que ya están distribuyendo en otras administraciones y que podemos aplicarnos:
Phishing:
- Sea muy cuidadoso con los correos recibidos con información sobre el COVID-19.
- No pulse enlaces ni abra archivos adjuntos en correos electrónicos, mensajes de texto, WhatsApp, etc.
- Desconfíe de correos que soliciten donaciones a supuestas víctimas.
- Ignore enlaces a páginas web donde ofrezcan vacunas o tratamientos para superar la enfermedad.
- Sospeche de posibles oportunidades de inversión en compañías que afirman poder detectar, prevenir o incluso curar los efectos del virus.
- Nunca conteste al remitente. Uno de sus objetivos es simplemente confirmar direcciones de e-mail.
Teletrabajo. Soporte Técnico ?:
Si recibe llamadas, correos, mensajes, etc., aparentemente provenientes de personal de la organización, centros de atención a usuarios, etc., recuerde que:
- Nunca debe facilitar información de medios de acceso (usuario y contraseña, tokens, códigos recibidos por SMS, etc.). Ni siquiera tratándose realmente del personal de atención a usuarios debe realizarse esta práctica, ya que el personal de atención a usuarios debe tener mecanismos para corregir incidencias, resetear contraseñas, etc., sin requerir que el usuario final se lo facilite.
- El personal de atención a usuarios de los organismos cuenta con medios de acceso a las infraestructuras que les deben permitir solventar los problemas sin requerir datos del acceso de los usuarios finales.
- Si no está detectando ningún problema en su acceso remoto, no debería recibir llamadas o correos del centro de atención a usuarios.
- Si está detectando problemas en su acceso remoto, contacte directamente con los medios de atención a usuarios que su organismo haya puesto a su disposición. No confíe en llamadas o correos “proactivos” de un supuesto centro de atención a usuarios si no puede confirmar que se trata realmente del centro de atención a usuarios del organismo.
Recuerda que cualquier información oficial se hará a través de los canales definidos por la Universidad en covid19.ugr.es y correo covid19@ugr.es
Cómo evitar incidentes relacionados con los archivos adjuntos al correo
Desde el INCIBE nos dan unos consejos de como evitar los incidentes de posibles phinsing con ficheros adjuntos, evitar que no caigamos en ellos. Puede ver el consejo entero en este enlace https://www.incibe.es/protege-tu-empresa/blog/evitar-incidentes-relacionados-los-archivos-adjuntos-al-correo
Recomendaciones del CCN para defenderse del cryptojacking.
Artículo del CCN, para evitar que utilicen nuestro ordenador para ‘minar’ criptomonedas sin que lo sepamos.
- Detalles
- Publicado: 22 Octubre 2019
- Estos consejos se encuentran disponibles en la sección de ciberconsejos del portal.
- Este nuevo contenido incluye un informe de buenas prácticas para evitar este tipo de malware, una infografía con información acerca de qué es el cryptojacking y un vídeo divulgativo sobre esta amenaza.
- A través de este material, que se suma a otra serie de ciberconsejos disponibles en la web, el CCN continua con su objetivo de divulgar buenos hábitos en el uso de las nuevas tecnologías y concienciar acerca de los riesgos asociados a estas.
El Centro Criptológico Nacional (CCN) continúa difundiendo buenas prácticas para hacer un uso seguro de la tecnología. En esta ocasión, se suman al contenido ya disponible en la sección de ‘ciberconsejos’ del portal una serie de recomendaciones para evitar los riesgos del cryotojacking. Esta práctica consiste en el uso ilegítimo de un dispositivo electrónico, sin el consentimiento ni conocimiento del usuario, por parte de criminales para minar criptomonedas.
En este nuevo apartado se incluye un informe de buenas prácticas para hacer frente a este tipo de malware, una infografía con información acerca de qué es el cryptojacking y un vídeo divulgativo sobre esta amenaza. En el informe que el CCN pone a disposición de los usuarios se encuentra un decálogo básico de seguridad con las siguientes recomendaciones:
- Deshabilitar JavaScript en los navegadores
- Tener actualizado el antivirus y utilizar cortafuegos personales para bloquear conexiones sospechosas
- Mantener al día las actualizaciones del sistema operativo, así como del software instalado
- Aplicar los filtros antispam en el correo para evitar phishing
- Monitorizar el uso de recursos por el sistema y estudiar el uso de la CPU
- Elegir un par de usuario y contraseña robusto
- No descargar ni instalar aplicaciones de sitios no oficiales
- Mantener actualizada una lista negra de páginas que usan cryptominers (uso de extensiones NoCoin o Minerblock)
- Mantener visibles las extensiones de los archivos
- Concienciación y educación (adopción de buenas prácticas por parte de los usuarios)
La sección de ciberconsejos, que se irá actualizando con nuevo contenido de utilidad para los usuarios, tiene como objetivo principal concienciar sobre el uso responsable de las Tecnologías de la Información y la Comunicación (TIC). De esta forma, el CCN demuestra su firme apuesta por promover una cultura de la ciberseguridad.
CCN-CERT (22/10/2019)
- « Página anterior
- 1
- …
- 3
- 4
- 5
- 6
- 7
- …
- 9
- Página siguiente »