Cómo proteger a los empleados remotos

Comience con la identidad: MFA, SSO y mínimo privilegio

Cuando los empleados trabajan desde cualquier lugar, la pantalla de inicio de sesión es su nueva puerta de entrada. Las credenciales robadas son la vía más común por la que los atacantes ingresan a los entornos remotos, por lo que los controles de identidad ofrecen el mayor retorno por dólar invertido.

• Autenticación multifactor (MFA) en todas partes. Exija MFA en el correo electrónico, la VPN, las aplicaciones SaaS y el acceso a escritorio remoto, no solo en el directorio principal. Prefiera las aplicaciones de autenticación o las llaves de hardware por encima de los SMS.
• Inicio de sesión único (SSO) siempre que sea posible. El SSO centraliza la autenticación para que pueda aplicar una sola política, revocar el acceso desde un solo lugar y ver un solo conjunto de registros.
• Mínimo privilegio de forma predeterminada. Elimine los derechos de administrador local en los endpoints, mantenga las cuentas de administración separadas de las cuentas de uso diario y revise los accesos trimestralmente.
• Políticas de acceso condicional. Bloquee o cuestione los inicios de sesión desde viajes imposibles, dispositivos no administrados o países inesperados.

Si no hace nada más de lo que sugiere este artículo, haga esta sección. Nuestra solución de Identidad y Acceso cubre SSO, MFA y acceso privilegiado para equipos distribuidos.

Administre y aplique parches a cada endpoint

No puede proteger una laptop que no puede ver. Los endpoints remotos necesitan una administración centralizada que funcione a través de internet, no solo en la LAN, para que pueda enviar configuraciones, inventariar el software y exigir el cifrado sin importar dónde esté el dispositivo.

Lo que debería significar "administrado"

• Cifrado de disco completo exigido y claves de recuperación custodiadas de forma centralizada
• Bloqueo automático de pantalla y políticas de contraseñas aplicadas a cada dispositivo
• Un inventario actualizado de hardware, versiones de sistema operativo y software instalado
• La capacidad de bloquear o borrar remotamente un dispositivo perdido

La aplicación de parches (patching) importa igual de mucho. Las redes domésticas no cuentan con los controles compensatorios de una LAN corporativa, por lo que un navegador o un cliente de acceso remoto sin parches es una vía de entrada directa. Automatice la aplicación de parches del sistema operativo, del navegador y de las aplicaciones de terceros, y establezca fechas límite en lugar de confiar en que los usuarios hagan clic en "reiniciar". Una plataforma de gestión de parches se encarga de esto sin esfuerzo manual, y nuestra plantilla de política de gestión de parches le brinda un estándar escrito que puede exigir.

La gestión de endpoints integra estos controles en una única visión operativa de toda su flota de dispositivos.

Detecte amenazas en el endpoint, no solo en el firewall

El antivirus tradicional bloquea las firmas de malware conocidas, pero los trabajadores remotos enfrentan cargas útiles entregadas por phishing, ataques sin archivos y robo de credenciales que las firmas no detectan. La detección y respuesta en el endpoint (EDR, por sus siglas en inglés) registra el comportamiento de los procesos en cada dispositivo y señala patrones sospechosos: motores de scripting que se inician desde archivos adjuntos de correo, volcado de credenciales, movimientos laterales inusuales.

El inconveniente: EDR genera alertas que alguien tiene que vigilar. Si no cuenta con un equipo de seguridad que monitoree fuera del horario laboral, considere la detección y respuesta administrada (MDR, por sus siglas en inglés), que combina la misma telemetría con un SOC humano que opera 24/7 e investiga y responde por usted. Las ventajas y desventajas se analizan en profundidad en nuestra comparación de EDR frente a MDR frente a antivirus.

Elija el camino que elija, asegúrese de que todos los dispositivos remotos estén dados de alta: una laptop personal no administrada que sincroniza el correo de la empresa es justo la brecha que buscan los atacantes. Consulte las páginas de las soluciones de EDR y MDR para ver cómo luce una pila ya implementada.

Proteja la conexión: VPN, zero trust y redes domésticas

La respuesta tradicional a la conectividad remota es una VPN que canaliza todo el tráfico de regreso a la oficina. Funciona, pero le da a un dispositivo comprometido un acceso amplio a la red y dirige todo a través de un único punto de estrangulamiento. El acceso a la red de confianza cero (ZTNA, por sus siglas en inglés) invierte el modelo: los usuarios se conectan a aplicaciones específicas después de verificaciones de identidad y de salud del dispositivo, no a toda la red.

Recomendaciones prácticas

• Use VPN para las aplicaciones heredadas que necesitan acceso a nivel de red; prefiera ZTNA o acceso mediante proxy de aplicaciones para SaaS y aplicaciones web.
• Exija verificaciones de salud del dispositivo (cifrado activado, EDR en ejecución, parches al día) antes de conceder el acceso.
• Nunca exponga RDP ni las interfaces de administración remota directamente a internet: colóquelos detrás de una VPN o de ZTNA.
• Dé a los empleados recomendaciones sencillas para sus redes domésticas: cambiar las contraseñas predeterminadas del router, habilitar WPA2/WPA3 y aplicar las actualizaciones de firmware del router.

Los firewalls, la segmentación y el acceso de confianza cero forman parte de Seguridad de Red, la capa que decide a qué puede llegar una conexión remota una vez que se establece.

Defienda la bandeja de entrada: el phishing es el principal ataque contra el trabajo remoto

La mayoría de las brechas de seguridad en el trabajo remoto comienzan con un correo electrónico. Sin las conversaciones de pasillo para verificar una solicitud extraña, los empleados son más propensos a confiar en un mensaje convincente. Dos controles abordan este problema:

• Filtrado de seguridad de correo electrónico que atrapa enlaces maliciosos, archivos adjuntos e intentos de suplantación antes de que lleguen a la bandeja de entrada; consulte nuestra solución de Seguridad de Correo Electrónico.
• Capacitación continua en concienciación sobre seguridad con simulaciones de phishing, para que reconocer un engaño se convierta en una habilidad practicada y no en un documento de política; consulte Concienciación sobre Seguridad.

Respalde ambos con una vía de reporte clara: un botón de "reportar phishing" de un solo clic y una cultura sin culpables, para que los empleados señalen los mensajes sospechosos en lugar de eliminarlos en silencio.

Proteja los datos en sí mismos

Asuma que algunos endpoints se verán comprometidos o se perderán de todos modos, y asegúrese de que los datos sobrevivan a ello. La copia de seguridad de endpoints captura los archivos de las laptops directamente, de forma independiente a su régimen de copias de seguridad de servidores; ambos resuelven problemas distintos, como se explica en copia de seguridad de endpoints frente a copia de seguridad de servidores.

• Respalde los endpoints remotos automáticamente hacia un destino en la nube, con copias inmutables que el ransomware no pueda cifrar
• Cifre los datos en reposo en cada dispositivo y en tránsito entre servicios
• Restrinja las descargas de datos sensibles a dispositivos no administrados o personales
• Pruebe las restauraciones con regularidad: una copia de seguridad que nunca ha restaurado es una hipótesis, no un control

Las copias de seguridad inmutables y la planificación de la recuperación ante ransomware se cubren en Copia de Seguridad y Recuperación.

Escriba la política: incorporación, desvinculación y uso aceptable

La tecnología falla donde falta el proceso. Una política de seguridad para el trabajo remoto no necesita ser larga, pero debe cubrir:

• Incorporación: dispositivos entregados preconfigurados, MFA inscrito desde el primer día, capacitación completada en la primera semana.
• Desvinculación: cuentas deshabilitadas de inmediato, sesiones de SSO revocadas, dispositivos recuperados o borrados de forma remota. El retiro tardío de accesos es uno de los hallazgos de auditoría más comunes en los equipos distribuidos.
• Uso aceptable: reglas para dispositivos personales, redes Wi-Fi públicas y manejo de datos sensibles fuera de la oficina.
• Reporte de incidentes: a quién contactar y con qué rapidez cuando se pierde un dispositivo o un empleado hace clic en algo sospechoso. Combine esto con un plan escrito: nuestra guía para crear un plan de respuesta a incidentes lo explica paso a paso.

Por dónde empezar: un despliegue en 90 días

Intentar hacerlo todo a la vez es la forma en que los proyectos de seguridad remota se estancan. Una secuencia pragmática:

• Días 1 a 30: Exija MFA en todas partes, inventarie cada dispositivo que accede a los datos de la empresa y cierre los servicios de acceso remoto expuestos.
• Días 31 a 60: Despliegue la gestión de endpoints y la aplicación automatizada de parches; inscriba todos los dispositivos en EDR; active la copia de seguridad de endpoints.
• Días 61 a 90: Lance la capacitación de concienciación con simulaciones de phishing, redacte la política de trabajo remoto y pruebe de extremo a extremo una restauración y una desvinculación.

¿Quiere una línea base objetiva antes de empezar? La calculadora de Security Score evalúa su postura actual en estas capas en pocos minutos. Si usted es un MSP que construye esto para clientes y no para sí mismo, nuestra guía de la pila de seguridad para MSP cubre la versión multiinquilino de esta arquitectura, y la página de la división de Seguridad de SmashByte muestra cómo encajan las soluciones entre sí.