En Latinoamérica se ha duplicado el porcentaje de personas que hacen home-office de tiempo completo con respecto a las cifras que había previo a la pandemia, y todo indica que esto no hará sino incrementarse. ¿Qué representa, para las áreas de TI, pasar de una infraestructura de centro de datos contenida dentro de las 4 paredes de la empresa a una caracterizada por múltiples dispositivos, incluidos los propios de los empleados, para el acceso a datos y aplicaciones del negocio? Sin duda, desde el punto de vista de la seguridad cibernética, esto representa un reto mayúsculo.
Actualmente en América Latina, casi 7 de cada 10 personas (68% para ser exactos) hacen home-office de tiempo completo, y un 11% adicional tiene un esquema híbrido en el que trabajan desde casa algunos días de la semana, de acuerdo con la IAE Business School. Es un cambio importante considerando que para 1 de cada 4 es la primera vez que hacen uso de este modelo laboral y que, previamente a la situación actual de salud que se vive en el mundo, apenas 34% trabajaban de forma remota en tiempo completo en la región.
Ahora que organizaciones y empleados han visto algunos de los beneficios de trabajar de manera remota, es probable que continúe incrementándose el número de empresas que están incorporando acuerdos de trabajo más flexibles y ágiles en sus estrategias de largo plazo. Según la institución mencionada, un altísimo 93% de las organizaciones optaron, de hecho, por habilitar el teletrabajo u organizar esquemas de turnos mixtos combinando el trabajo en sitio con el remoto, en tanto que 4% decidió continuar con esquemas habituales y el 3% restante, suspender sus actividades.
Para las áreas de TI, el impacto de esto es enorme, al pasar de una infraestructura de TI contenida dentro de las 4 paredes de la empresa a un escenario completamente distinto.
La fortaleza digital
Anteriormente, el personal usaba hardware como equipos de cómputo, impresoras y teléfonos que permanecían seguros en la oficina, mientras los programas de software y los datos se almacenaban en centros de datos locales. El equipo de TI tenía el control total sobre el rendimiento, mantenimiento y seguridad de la pila tecnológica de la organización.
Las primeras iniciativas de trabajo remoto se controlaban estrictamente con usuarios que se conectaban a redes privadas virtuales (VPN), de modo que los únicos que abandonaban el data center eran los empleados y determinado hardware. Vía la VPN, el área de TI podía mantener la visibilidad de los protocolos de seguridad y los derechos de los administradores para garantizar que el personal no instalara software no aprobado y potencialmente de alto riesgo.
Llegó la nube, que permitió a los negocios ampliar su capacidad de almacenamiento de datos, así como la de respaldar archivos en ubicaciones remotas. No obstante, con ella vino también una mayor agilidad y opciones para los equipos de trabajo, incluido el llamado Shadow IT, fenómeno en el que los empleados usan aplicaciones de su propia elección para almacenar y acceder a datos de la empresa fuera de las 4 paredes del centro de datos, en dispositivos personales y cuentas online, mismo que se convirtió en un reto para las áreas de TI.
Haciendo un avance rápido hasta 2020, con cada vez más personas trabajando de forma remota al menos parcialmente, las 4 paredes del centro de datos se han derrumbado en lo que respecta a muchas organizaciones. Algunas se encontraron apoyando a los empleados remotos por primera vez, muchas veces con personal que no estaría trabajando desde laptops o smartphones de la empresa. Si bien las cifras varían, una encuesta de IBM Security y Morning Consult a 2,000 nuevos trabajadores remotos en Estados Unidos encontró que más de la mitad (53%) usaban equipos portátiles personales.
Desde una perspectiva de ciber-seguridad, éste es un riesgo crítico. Antes el data center era como una fortaleza: todo lo que entraba o salía se supervisaba de manera estricta y la amenaza de fuentes externas era baja. Esta es la razón por la que una de las formas más conocidas de ciberataque es un virus troyano, que engaña a la víctima para que piense que está recibiendo o abriendo un archivo, documento o enlace legítimo, pero en realidad está dejando pasar al atacante. Ahora, no sólo se han abierto de par en par las puertas de la fortaleza digital, sino que además las personas que solían estar dentro ahora se encuentran distribuidas. Y cada uno representa un posible punto de entrada para una amenaza maliciosa. El vector de ataque no sólo ha aumentado, sino que se ha disparado.
Vector de amenaza aumentado
De vuelta al estudio mencionado líneas arriba, más de la mitad de los nuevos empleados remotos no recibieron nuevas políticas de seguridad, y el 45% dijo que no había recibido capacitación sobre cómo trabajar desde casa de manera segura. Las áreas de TI a menudo tienen poca o nula visibilidad de si el personal se conecta o no a la VPN, en especial cuando los empleados usan dispositivos personales. Además, éstos no sólo se usan fuera de las 4 paredes del centro de datos, sino también en entornos familiares y de casas compartidas. Los equipos de TI no sólo tienen mucho menos control sobre las aplicaciones, sitios web y contenidos con los que interactúan los empleados, sino que no hay garantía de que ellos sean los únicos que usan ese dispositivo. Si bien es posible que la organización no tenga visibilidad de los datos que ahora se almacenan y usan fuera de las 4 paredes, en última instancia es responsable por ellos.
Dado este vector de amenazas enormemente aumentado y el riesgo para los sistemas de datos, las organizaciones deben asegurarse de tener una estrategia sólida de Gestión de Datos en la Nube para asegurar que los datos estén respaldados, protegidos y recuperables en todos los dispositivos y aplicaciones. Las mejores prácticas y la capacitación del personal son vitales para esto, pues ayudan a las áreas de TI a garantizar que los usuarios están conectados a través de la VPN y almacenan los datos de la empresa en entornos de nube seguros, en lugar de en cuentas personales o en sus propios escritorios.
Si no se pueden respaldar los datos dentro y fuera del centro de datos si no están protegidos y, en caso de un tiempo de inactividad no planificado o una violación cibernética, serían irrecuperables. Además, las organizaciones están adoptando soluciones de software como servicio (SaaS) en masa. Por ejemplo, Microsoft Teams creció de 32 millones a 72 millones de usuarios, entre marzo de 2019 y abril de 2020. Para las empresas que utilizan soluciones SaaS como Microsoft Teams y Microsoft Office 365, los respaldos de datos deben hacerse de forma continua, ya sea on-premise o en el almacenamiento de objetos en la nube. Esto protegerá a los negocios contra un único punto de falla que está fuera de su control.
A medida que la combinación de trabajo desde casa y oficina se vuelve cada vez más común, incluso para organizaciones que previamente tenían poco o ningún historial de apoyo al trabajo remoto, el vector de ciberataques seguirá a la alza. Por lo tanto, es fundamental que las empresas tengan una estrategia clara para gestionar los datos a lo largo de la nube y su plataforma de aprovisionamiento de datos. Esto incluye garantizar que los datos estén respaldados en todo momento; que se puedan recuperar ante un desastre, una interrupción del servicio o un ciberataque, y que estén lo más protegidos posible contra amenazas maliciosas externas.
Por Michael Cade,
Tecnólogo Global Senior de Veeam