Si bien casi 9 de cada 10 empresas no solo permiten, sino que en realidad confían en que sus empleados accedan a aplicaciones comerciales críticas utilizando sus dispositivos personales, según un reciente Informe Fortinet Threat Landscape, el malware basado en Android ahora representa el 14% de todas las amenazas cibernéticas. Además de los ataques directos, la cantidad de sitios web comprometidos, campañas de phishing por correo electrónico y puntos de acceso maliciosos continúan creciendo exponencialmente, infectando a los usuarios desprevenidos, independientemente de sus dispositivos, con spyware, malware, aplicaciones comprometidas e incluso ransomware.
Y siempre que un dispositivo personal de cualquiera de sus empleados se vea comprometido, también pueden representar un mayor riesgo para su organización. Además de implementar software de administración de dispositivos móviles y clientes de seguridad para sus empleados, es fundamental que establezca un programa de concientización de seguridad cibernética que brinde información crítica sobre cómo pueden evitar estos riesgos.
Aquí hay cinco elementos críticos que deberían ser parte de cualquier programa de concientización sobre seguridad cibernética .
1. Cuidado con el wifi público
Si bien la mayoría de los puntos de acceso Wi-Fi públicos son perfectamente seguros, eso no siempre es cierto. Los delincuentes a menudo transmiten su dispositivo como un punto de acceso público, especialmente en lugares públicos como patios de comida o en grandes eventos. Luego, cuando un usuario se conecta a Internet a través de ellos, el delincuente puede interceptar todos los datos que se mueven entre la víctima y su sitio de compras en línea, banco o cualquier otro lugar al que navegue.
Muchos dispositivos inteligentes también buscarán automáticamente puntos de conexión conocidos, como el Wi-Fi de su hogar. Los ataques más nuevos observan este comportamiento y simplemente preguntan al dispositivo qué SSID están buscando. Cuando el teléfono les dice que está buscando su enrutador ‘hogar’, el ataque responde: «Soy el enrutador de su hogar», y el teléfono continúa y se conecta. Los dispositivos inteligentes harán lo mismo con las conexiones Bluetooth, conectándose automáticamente a los puntos de acceso disponibles.
Para combatir estos problemas, es una buena práctica que los usuarios apaguen el Wi-Fi y Bluetooth hasta que sean necesarios. En el caso del acceso inalámbrico, deben verificar el SSID de una ubicación, a menudo simplemente preguntando a un establecimiento el nombre de su punto de acceso Wi-Fi antes de conectarse. Los usuarios también deben considerar instalar un software VPN para asegurarse de que solo hagan conexiones seguras y encriptadas a servicios conocidos.
2. Utilice mejores contraseñas
Otro error que cometen los usuarios es usar exactamente la misma contraseña para todas sus cuentas en línea, generalmente porque recordar una contraseña única para cada sitio en el que tienen una cuenta puede ser imposible. Pero si un delincuente logra interceptar esa contraseña, ahora tiene acceso a todas las cuentas del usuario, incluidos los sitios bancarios y de compras.
La mejor opción es utilizar una bóveda de contraseñas que almacene el nombre de usuario y la contraseña para cada cuenta, por lo que todo lo que debe recordarse es la contraseña de la bóveda. Por supuesto, se debe tener especial cuidado para garantizar que la contraseña de la bóveda sea especialmente segura y fácil de recordar. Un truco para crear contraseñas seguras es utilizar las primeras letras de una oración, letra de canción o frase, insertar letras mayúsculas, números y caracteres especiales, y obtendrá una contraseña bastante segura.
Para estar aún más seguro, considere agregar autenticación de dos factores para cualquier ubicación donde se almacenen datos confidenciales. Es un paso adicional en el proceso de inicio de sesión, pero aumentará significativamente la seguridad de sus cuentas y datos.
3. Reconocer el phishing
Probablemente le haya repetido a sus usuarios que nunca hagan clic en los enlaces en los anuncios enviados a su correo electrónico o publicados en sitios web a menos que los revisen primero. Hay muchos avisos, como una mala redacción o gramática, URL complejas o mal escritas, y un diseño deficiente que puede ser un indicio clave de que un correo electrónico es malicioso.
Pero resulta que siempre habrá alguien que no pueda resistirse a abrir un correo electrónico, lanzar un archivo adjunto de alguien que no conoce o hacer clic en un enlace en un sitio web, especialmente cuando incluye una línea de asunto atractiva. Es por eso que cualquier esfuerzo educativo debe complementarse con soluciones efectivas de Email Security Gateway y Web Application Firewall que puedan detectar spam y phishing, validar enlaces y ejecutar archivos ejecutables en un entorno limitado, incluso para correo electrónico personal, para garantizar que las trampas maliciosas simplemente funcionen no llegar a un usuario final.
4. Actualizar dispositivos y usar software de seguridad
Los usuarios deben tener un agente de seguridad aprobado por la empresa o una solución MDM instalada en cualquier dispositivo que tenga acceso a los recursos corporativos. Este software también necesita mantenerse actualizado, y los análisis de dispositivos deben ejecutarse regularmente.
Del mismo modo, los dispositivos de punto final deben actualizarse y parchearse regularmente. Los controles de acceso a la red deberían poder detectar si la seguridad y el software del sistema operativo son actuales, y si no, los usuarios deberían ser redirigidos a un servidor de corrección para realizar las actualizaciones necesarias o alertados sobre el estado no seguro de su dispositivo.
5. Monitorear las redes sociales
Los delincuentes a menudo personalizarán un ataque para que sea más probable que una víctima haga clic en un enlace. Y el lugar más común para que obtengan esa información personal es de los sitios de redes sociales. La forma más fácil de evitar eso es simplemente configurar controles de privacidad estrictos que solo permitan que las personas preseleccionadas vean su página. Las personas que desean un perfil abierto de redes sociales deben seleccionar cuidadosamente a quién van a hacer amigos. Si no conoce a alguien, o si algo en su sitio personal parece extraño, rechace su solicitud. E incluso si la persona es alguien que usted conoce, primero verifique si ya es un amigo. Si es así, existe una posibilidad significativa de que su cuenta haya sido secuestrada o duplicada.
Mantenga los mensajes de entrenamiento cortos, claros y regulares
Es esencial que desarrolle una estrategia de seguridad integral y efectiva para sus usuarios que tienen dispositivos de punto final personales conectados a su red. Pero no cometas el error de enterrarlos en información. Divide la información en trozos fácilmente digeribles. Proporcione un consejo de seguridad diario. Publique mensajes en la empresa, como en los pasillos o sala de descanso. Haga que el equipo ejecutivo lo mencione en las reuniones de personal. Y proporcione comprobaciones, como sus propios correos electrónicos de phishing, para ayudar a identificar a los usuarios que puedan necesitar atención adicional.
Obtenga más información sobre los programas de seguridad de fortinet
Sona Green Blog 