ISO 27001 y la Seguridad de la Información en el trabajo remoto

Cuando el trabajo remoto dejó de ser una excepción, la Seguridad de la Información dejó de ser un tema exclusivo del área de TI. Hoy, con modelos remotos e híbridos ya instalados en muchas organizaciones, proteger la información que circula fuera de la oficina es parte del día a día de cualquier equipo. En este artículo vemos cómo la ISO 27001 puede ayudarte a hacerlo.

Los cambios en el trabajo por el aislamiento social

Hace algunos años, con los colaboradores en la empresa, el trabajo funcionaba muy bien. Los proyectos avanzaban a todo vapor, las entregas se hacían de forma consistente y no teníamos tantas dificultades para ejecutar las actividades del día a día.

De repente, todo cambió y, en algunos casos, el 100 % de los colaboradores pasó al modelo de home office. Con ello, tuvimos que hacer una enorme cantidad de cambios en muy poco tiempo. Vivimos una etapa de incertidumbre y de nuevos desafíos, y el mayor de ellos fue el trabajo remoto. ¿Qué observamos en el cambio de modelo de trabajo? ¿Estábamos trabajando de forma efectiva?

Entre las muchas características que observamos:

• la reestructuración en la entrega de productos y servicios;
• la dificultad para supervisar y monitorear los procesos;
• la dificultad para determinar el grado de autonomía de los colaboradores;
• la dificultad para realizar trabajos que antes eran muy simples;
• discursos sobre el trabajo en los que creíamos y que, en estas condiciones, dejamos de creer porque no reflejaban la realidad;
• etc.

La cantidad de personas en home office, junto con la rapidez con que ocurrió todo, generó una explosión de riesgos que, en muchos casos, no logramos reconocer de inmediato. Varios de esos riesgos están ligados a la seguridad de la información. Por ejemplo, utilizar una red doméstica sin las configuraciones de seguridad adecuadas.

Los riesgos de la información en el trabajo remoto

Cuando el trabajo sale de la oficina, también salen de ella los controles que ya estaban establecidos: la red corporativa, los equipos administrados por TI, el control físico de los accesos. Algunos de los riesgos más comunes en el trabajo remoto son:

• Redes domésticas sin protección: routers con contraseñas de fábrica, sin cifrado adecuado o sin actualizaciones.
• Dispositivos personales: computadoras y celulares compartidos con la familia, sin antivirus o con el sistema desactualizado, usados para acceder a información de la empresa.
• Phishing y fraudes: correos, mensajes y llamadas falsas que aprovechan la distancia y la dificultad de verificar con un compañero si una solicitud es real.
• Redes públicas: conexiones en cafeterías, aeropuertos o espacios de coworking sin protección.
• Herramientas no autorizadas: aplicaciones de mensajería o almacenamiento en la nube que el equipo adopta por practicidad, pero que la empresa no controla.
• Pérdida o robo de equipos: una laptop olvidada o robada con información sin cifrar es un incidente de seguridad.
• Entorno físico: pantallas visibles para otras personas, conversaciones en espacios compartidos o documentos impresos sin cuidado.

Frente a este escenario, nos hacemos algunas preguntas: ¿se están aplicando controles de seguridad? ¿Cómo mantenemos la seguridad de la información que pasa por nuestras manos todos los días? ¿Estamos garantizando con efectividad los tres pilares de la seguridad de la información?

Los tres pilares de la seguridad de la información

La seguridad de la información se apoya en tres pilares:

• Confidencialidad: la información solo debe ser accedida por quienes tienen autorización para ello.
• Integridad: la información debe mantenerse completa y exacta, sin alteraciones indebidas.
• Disponibilidad: la información debe estar disponible para quienes la necesitan, cuando la necesitan.

En el trabajo remoto, los tres pilares están expuestos: una red insegura compromete la confidencialidad, un archivo editado por la persona equivocada afecta la integridad y una falla de conexión o la pérdida de un equipo sin respaldo compromete la disponibilidad.

¿Cómo ayuda la ISO 27001 en este escenario?

La ISO 27001 y la Seguridad de la Información pueden ayudarnos con este desafío. La norma es un estándar internacional para la gestión de la seguridad de la información y debemos adoptarla como una herramienta para los negocios de la empresa. Por eso, aunque todavía no tengas la intención de certificarte en esta norma, como buena práctica puedes usar algunas de sus partes y aplicarlas a tu realidad.

En su Anexo A, la ISO 27001 enumera los controles que podemos implementar según la aplicabilidad de cada requisito. En la edición ISO/IEC 27001:2022, esos controles se organizan en cuatro temas (organizacionales, de personas, físicos y tecnológicos) e incluyen un control específico para el trabajo remoto. Además, están alineados con la ISO 27002, que es un código de prácticas que ayuda a aplicar el Sistema de Gestión de la Seguridad de la Información (SGSI).

Una de las ventajas de este enfoque es que no obliga a empezar de cero. Puedes identificar qué controles ya tienes, cuáles aplican a tu realidad y cuáles faltan, y definirlos en función de los riesgos que realmente enfrenta tu organización.

La seguridad de la información no es solo tecnología

Vale recordar que, cuando hablamos de seguridad de la información, no nos referimos únicamente a la tecnología, sino a todo lo que involucre información. La seguridad también tiene que ver con situaciones como abrir un informe o hablar de información no pública cerca de otras personas. También ocurre cuando conversas con alguien sobre determinada información, cuando envías datos por aplicaciones no seguras, cuando dejas la pantalla desbloqueada o cuando imprimes un documento y lo dejas a la vista, entre otros casos.

En casa, estos descuidos son más fáciles de cometer, porque el entorno es informal y no tenemos a nadie cerca que nos lo recuerde. Por eso, los controles técnicos por sí solos no alcanzan: es necesario que las personas entiendan por qué importan.

Controles y cultura de seguridad de la información

Para mantener la seguridad de la información durante el trabajo remoto es necesario implementar algunos controles y buenas prácticas. Algunos ejemplos:

• mantener una conexión segura a la red local;
• conectarse mediante VPN;
• contar con una política sobre el uso de redes no seguras;
• mantener el equipo siempre protegido (de amenazas físicas y de sistemas, por ejemplo, con el antivirus activado);
• mantener el sistema operativo siempre actualizado;
• usar autenticación de dos factores (2FA) en los sistemas corporativos;
• usar contraseñas robustas y únicas, preferentemente con un gestor de contraseñas;
• cifrar los equipos y los dispositivos de almacenamiento;
• realizar copias de respaldo periódicas de la información importante;
• bloquear la pantalla cada vez que te alejes del equipo;
• establecer una política formal de trabajo remoto, con reglas claras sobre qué se puede hacer y qué no;
• definir cómo reportar rápidamente cualquier incidente o sospecha, como la pérdida de un equipo o un correo extraño;
• y, lo más importante, concientizar al equipo sobre la seguridad de la información y sobre las consecuencias de no cuidarla.

Concientización: el control más importante

Además de implementar controles, es necesario cultivar e incorporar la Seguridad de la Información en la cultura de la organización. Lo hacemos trabajando la concientización y la mentalidad de riesgos y, sobre todo, llevando el tema al día a día y a la realidad de la empresa.

Algunas acciones que ayudan:

• Capacitaciones breves y periódicas: mejor mensajes cortos y frecuentes que una gran capacitación anual que nadie recuerda.
• Simulacros de phishing: enviar correos falsos controlados para que el equipo aprenda a reconocerlos en un entorno seguro.
• Ejemplos reales: compartir casos cercanos al trabajo de las personas, en lugar de conceptos abstractos.
• Un canal fácil para reportar: si reportar un error genera miedo a una sanción, las personas dejarán de hacerlo y los incidentes pasarán inadvertidos.
• Liderazgo que da el ejemplo: si la dirección no cumple las reglas, nadie más lo hará.

Por dónde empezar

Si todavía no sabes por dónde empezar, estos pasos pueden servirte como guía:

1. Identifica qué información es crítica para tu empresa y dónde está almacenada y quién accede a ella.
2. Analiza los riesgos del trabajo remoto en tu contexto, como las redes, los dispositivos y las herramientas que se usan.
3. Elige, entre los controles del Anexo A de la ISO 27001 y las prácticas de la ISO 27002, los que respondan a esos riesgos.
4. Define y comunica una política de trabajo remoto, con reglas claras y fáciles de entender.
5. Capacita al equipo y revisa los resultados de forma periódica, ajustando lo que haga falta.

Conclusión

El trabajo remoto llegó para quedarse en muchas organizaciones, y con él también llegó la necesidad de proteger la información fuera de las paredes de la empresa. La ISO 27001 ofrece un marco probado para hacerlo, y no hace falta certificarse para beneficiarse de él. Con controles adecuados y, sobre todo, con una cultura de seguridad presente en el día a día, es posible trabajar desde cualquier lugar sin poner en riesgo lo más valioso: la información.