Seguridad TIC en las PYMES: uso indebido de las infraestructuras

El abaratamiento del acceso a Internet, la proliferación de las redes sociales o las tecnologías móviles, ha traído consigo un enorme crecimiento del consumo de contenidos digitales, una consecuencia de los cambios que se han producido en los hábitos de los usuarios, que pasan cada vez más tiempo navegando en Internet, consultando información, o realizando compras on-line, muchas veces, independientemente del entorno en el que se desarrollen esas actividades y es esto último lo que está suponiendo un problema para las empresas. Estas ven como sus empleados, de forma cada vez más habitual, utilizan parte de su tiempo de trabajo para actividades que no están relacionadas con su actividad profesional o cómo llevan a cabo un uso poco adecuado de las infraestructuras que estas ponen a disposición de sus trabajadores para el desempeño de su actividad.

Hasta hace unos años, las medidas de seguridad que implementaban las empresas iban enfocadas sobre todo a la protección contra las amenazas externas, cuyo origen está en Internet, como los accesos no autorizados, los troyanos o el correo basura. Pero hoy día, este planteamiento ha cambiado, hasta el punto de que las amenazas que provienen del interior de las empresas y organizaciones se consideran, en algunos casos, incluso más importantes, sobre todo por las consecuencias que pueden ocasionar al originarse en el propio corazón de las organizaciones y las empresas.

El uso inadecuado de las infraestructuras tiene muchas formas, como las que indicamos a continuación:

• Descarga y visualización de contenido no relacionado con la actividad.
• Uso de redes de intercambio de ficheros (P2P).
• Uso del correo electrónico del trabajo para enviar y recibir correos personales.
• Envío de información confidencial a través, del correo electrónico personal o de otros servicios de Internet.
• Uso inadecuado de soportes de almacenamiento.
• Sustracción o pérdida de información confidencial de la empresa.
• Acceso a redes sociales y uso de programas de mensajería instantánea durante el horario de trabajo.
• Utilización de teléfonos u ordenadores personales para el acceso a recursos y servicios de la empresa.

El uso indebido de los recursos e infraestructuras, que pone la empresa a disposición de sus empleados, se ha convertido en una de las principales causas de incidentes de seguridad, en ocasiones con consecuencias desastrosas, pero también, es un problema que impacta muy negativamente en la productividad. Afortunadamente, las empresas cuentan con diversas herramientas y mecanismos para limitar el uso indebido de las infraestructuras y minimizar las consecuencias.

Desde INTECO-CERT, proponemos una serie de recomendaciones destinadas a luchar contra este problema, cada vez más presente en las empresas y en cualquier organización. Las citamos a continuación:

• Si no lo hacen ellos, yo tampoco. Uno de los primeros aspectos a tener en cuenta, de cara a conseguir el buen uso de los recursos e infraestructuras, es que todos los empleados tienen que cumplir, desde el gerente o el responsable, hasta el administrativo. De poco sirve tratar de que nuestros empleados cumplan con unas buenas prácticas o políticas de seguridad, si finalmente, los responsables no dan ejemplo.
• Formación e información. En muchas ocasiones, el empleado, realiza un uso inadecuado por desconocimiento o falta de información. Por tanto, se hace necesario formar e informar a todos los trabajadores, de manera que cuenten con la información necesaria para desempeñar su labor de la forma más adecuada posible.
• Hábitos, usos y responsabilidad. Por pequeña que sea la empresa u organización, es necesario contar con una guía de buenas prácticas o en su defecto una política de seguridad, donde se reflejen todos aquellos aspectos que el trabajador debe conocer en relación con el adecuado uso de las infraestructuras y los recursos que la empresa pone a su disposición, dejando claro además, cual es su responsabilidad.
• Soluciones de seguridad y medios técnicos. Finalmente, la dirección puede estar concienciada, los empleados formados, la empresa dispone de una política de seguridad y un documento de buenas prácticas que todo el mundo conoce, pero si todo ello no lo sustentamos sobre herramientas o soluciones de seguridad, habremos conseguido el objetivo a medias. Además de lo anterior, es necesario contar con soluciones de seguridad: copias de seguridad, protección contra código malicioso, fraude o ingeniería social, cortafuegos, filtrado de contenidos, registro de accesos, etc.

Al final, el adecuado uso de las infraestructuras y los recursos, que ponen las empresas y organizaciones a disposición de sus empleados, recaen en el empleado que es, al fin y al cabo, quien debe tomar la decisión de actuar adecuadamente y hacer un uso responsable.

Fuente: Inteco