En un entorn com l’actual, on totes les empreses estan digitalitzades o en procés de fer-ho, la tecnologia és protagonista indiscutible. Els treballadors utilitzen de manera natural i diària infinitat d’eines digitals amb les que mouen informació i dades arreu del planeta en qüestió de segons. Si a més hi sumem el fet que en plena pandèmia per COVID molts d’aquests treballadors realitzen les seves tasques de manera remota fent teletreball, l’ús d’aquestes eines és encara superior. Responem correu, descarreguem informació, accedim a portals web, comprem online i compartim tot tipus d’informació sense cap limitació.
Aquesta gran obertura al món que ens fa més competitius, també ens exposa a riscos fins ara desconeguts. Uns riscos que muten diàriament i s’adapten als interessos d’aquells que volen treure profit de la nostra informació. Un simple correu electrònic maliciós, pot desencadenar un segrest de dades total. Un falta de comprovació pot generar una fuga econòmica descontrolada i irrecuperable. Un descuit al lloc de treball pot provocar el robatori d’informació rellevant i confidencial. Son molts els riscos als que estem sotmesos, i no sempre poden evitar-se amb eines de seguretat informàtica.
Eines com els tallafocs poden evitar accessos indesitjats a la nostra informació, tot i això, aquestes son eines pensades com a portes digitals que impedeixin l’accés a qui no se li permet. Però què passa quan un usuari de l’empresa obre la porta involuntàriament? Què passa quan un usuari, per falta de reconeixement d’un risc, es converteix en el desencadenant del problema?

Segons les estadístiques, un 60% dels atacs a les empreses son a conseqüència de comportaments no intencionats dels seus usuaris. Això significa que un usuari no format és un risc enorme per a la integritat i seguretat de la informació de l’empresa.

Un usuari no format pot suposar que aquest caigui a una de les infinites trampes que ens envolten contínuament. Un simple correu electrònic fent-se passar per un directiu, o una pàgina web imitant-ne una altra, pots desencadenar una pèrdua econòmica molt important.
La Prevenció de Riscos Informàtics (PRI) o Conscienciació, busca educar i formar a l’usuari sobre les tècniques més utilitzades pels atacants, i les bones pràctiques que garanteixen identificar les trampes per evitar-les satisfactòriament.
En aquest article, volem aportar uns consells bàsics per garantir un ús segur de les tecnologies en l’empresa.

Comprovació de la validesa del correu electrònic

Existeixen infinitat de correus electrònics maliciosos. La major part, son filtrats per sistemes antispam, d’altres acaben accedint al sistema però son evidents enganys, però alguns d’aquests estan molt ben pensats i utilitzen estratègies no tan populars que poden confondre l’usuari.
És vital que qualsevol missatge que no esperem, que demana accions importants o que implica transaccions econòmiques, sigui validat i se’n comprovi l’origen. Comprovar el remitent del correu és bàsic per donar-li validesa. Els atacants poden enviar utilitzant noms d’altres persones i sovint en el moment de respondre estarem enviant a un correu electrònic. Comprovar-ne les capçaleres també és una bona acció per assegurar-ne la validesa. Eines com Messageheader de Google ens ajuden a validar-ne el contingut.
Altres detalls del cos del missatge poden revelar males intencions. Arxius adjunts amb extension .exe, .vbs, .docm o .xlsm poden simular arxius Office legítims però en realitat amaguen malware perillós. Analitzar-lo amb l’antivirus és la millor opció.
Revisar la redacció del missatge, analitzant si és lògica o està ben escrita, i comprovar que la firma del correu existeix i és la normal en aquest remitent, ajudarà també a donar per bo el missatge.

Protegir el lloc de treball

Pot semblar irrellevant però tenir un lloc de treball en condicions és un dels principals requisits per garantir la informació de l’empresa. Alguns de les principals pràctiques a tenir en compte son:

• Mantenir ordenat el lloc de treball: ja no només per higiene sinó també per seguretat. No hem de deixar mai papers innecessaris, dispositius USB descontrolats ni contrasenyes a la vista
• Sessió bloquejada: pot semblar irrellevant però aixecar-nos momentàniament del nostre lloc de treball sense bloquejar la sessió pot exposar innecessàriament les dades a les que tenim accés. No costa res prémer Win+L i bloquejar la sessió.
• Software actualitzat: totes les aplicacions del nostre equip tenen actualitzacions de seguretat que reaccionen i prevenen possibles nous atacs. Mantenir el software al dia és la millor manera que les nostres aplicacions ens ajudin a mantenir segura la informació.
• Antivirus: els softwares antivirus no només reaccionen davant de software maliciós que pot entrar al nostre equip, sinó que també ens ajudarà a detectar webs fraudulentes i evitarà contagis per ransomware.

Contrasenyes complexes

Tots tenim un gran volum de contrasenyes que a més no para d’augmentar. Una bona política de generació i manteniment d’aquestes és clau per mantenir segurs els sistemes de l’empresa. Les contrasenyes no s’han de compartir, han de ser úniques i han de ser robustes (mínim 8 caràcters, amb majúscules, minúscules, números i símbols). Aquestes 3 claus fan que possiblement necessitem ajuda per gestionar-les i per tant els gestors de contrasenyes seran de gran ajuda. Eines com els mateixos gestors dels navegadors web o plataformes com 1Password entre altres son ideals per tenir sota control tota aquesta informació.

Còpies de seguretat

Més val tard que mai. Això és aplicable també a la seguretat informàtica. Si tot i les mesures de control i prevenció de l’usuari els atacants aconsegueixen penetrar a la nostra organització, les còpies de seguretat seran l’última mesura per recuperar la normalitat. Si totes les barreres fallen, hem de tenir la capacitat de recuperar la normalitat i sobretot, recuperar la informació. Per aquest motiu, una bona política de còpies de seguretat ens pot salvar d’un enorme problema que podria acabar amb la continuïtat de l’empresa.
L’estratègia de còpia més interessant i equilibrada és la coneguda com a estratègia 3-2-1. Les seves claus son:

3: Mantenir 3 còpies de cada arxiu, l’arxiu original i dues còpies
2: Utilitzar 2 suports de còpia diferents per protegir la informació de diferents riscos
1: Ubicar una de les còpies fora de l’empresa, ja sigui al cloud o en una altra ubicació

Aquest plantejament és capaç de donar resposta i solució a infinitat de possibilitats i per tant és l’estratègia més completa i simple possible.

Si vols seguir aprofundint més sobre com aportar formació als usuaris i garantir el correcte ús de les eines de l’empresa, disposem de propostes de conscienciació que centren els esforços en transmetre a l’usuari tota aquella informació que l’ajudarà a anticipar-se i prevenir qualsevol atac. 

La formació és sempre la millor de les estratègies.