Seguridad digital

Notas orientativas

1. Evalúe los diferentes tipos de información que posee y trate de comprender mejor tanto el valor para su trabajo como los daños para usted y otros que podrían surgir si un atacante accede a ellos. Implemente medidas adicionales para proteger aquellos activos de mayor valor o con mayor daño potencial.

La realidad es que no será posible proteger toda la información de todas las formas posibles en las que podría verse comprometida, por lo que debe priorizar. Debe proceder de forma sistemática sobre la base del riesgo. Debe considerar tanto el valor de la información para su trabajo como los daños potenciales para usted y otros que podrían surgir si resulta comprometida o se pierde. También puede considerar qué tan probable es que se realice el valor o que ocurra un daño determinado. Esto proporciona una base racional a fin de priorizar dónde debe enfocar la atención. En general, puede archivar información de poco valor y poco daño, eliminar información de bajo valor pero de alto daño y hacer copias de seguridad de la información de alto valor y poco daño. Puede concentrarse en primera instancia en la implementación de medidas de seguridad para la información que representa tanto un alto valor como un gran daño.

2. Si debe compartirse, comunique información confidencial con sus compañeros de trabajo en persona o mediante herramientas de comunicación que permitan el cifrado integral y la desaparición de mensajes.

Cuando comparte información con otras personas, sus adversarios tienen una mayor posibilidad de acceder a ella, ya sea en el momento en que se envía, durante la transferencia o una vez que el destinatario la tiene. Puede reducir las posibilidades de una interceptación exitosa durante la transferencia con la comunicación de la información confidencial cara a cara, siendo consciente de su entorno, o, si eso no es factible, a través de herramientas que utilizan cifrado integral (E2EE), como Signal y ProtonMail.

Cuando utiliza el cifrado integral para enviar un mensaje o correo electrónico, se firma (con su clave privada) y se convierte en un formulario codificado (con la clave pública del destinatario) en su dispositivo antes de transmitirse a través de los proveedores del destinatario y suyos como también en el dispositivo del destinatario, donde se verifica la firma (con su clave pública) y el mensaje o correo electrónico se descifra en texto legible (con su clave privada). Ni los proveedores ni nadie que intente interceptar el texto durante la transferencia podrá leer el mensaje sin un esfuerzo poco práctico.

El cifrado integral aún presenta riesgos. Su identidad y la del destinatario, y el vínculo entre ambos, no se ocultarán, ya que el sistema necesita enrutar el mensaje o el correo electrónico entre ustedes de forma correcta. La línea de asunto de un correo electrónico tampoco se cifrará. Además, aunque el mensaje o el correo electrónico puedan asegurarse durante la transferencia, siguen siendo vulnerables en su dispositivo o en el del destinatario si este se ha visto comprometido o incautado (los mensajes que desaparecen pueden reducir este riesgo, pero es posible que existan copias). Además, el uso de encriptación integral puede en sí mismo despertar sospechas en las autoridades, en especial si existe una prohibición sobre el uso de dicha tecnología en su país.

Recuerde, al igual que en la comunicación cara a cara con alguien que no ha conocido antes, es fundamental que verifique que la persona al otro lado de la comunicación es más probable que sea quien usted cree que es y no un adversario. Las diferentes herramientas proporcionan diferentes formas de hacer esto. Signal, por ejemplo, le permite verificar números de seguridad únicos entre sí personalmente o mediante un canal de comunicación diferente para ayudar a garantizar que no se esté produciendo ningún ataque de intermediario.

3. Asegúrese de que cualquier computadora o dispositivo móvil que utilice:

a. No se pueda acceder de forma física por personas no autorizadas.

Una de las formas más fáciles en que un adversario puede obtener acceso a la información es mediante el acceso físico a los dispositivos. Luego, por ejemplo, pueden crear una copia exacta de su unidad o instalar un dispositivo de monitoreo físico, como un registrador de teclas.

Cuando se trata de prevenir dicho acceso, no existen reglas estrictas. Por ejemplo, llevar todos sus dispositivos a una protesta puede no ser práctico y aumenta el riesgo de que la policía los incaute. Pero dejarlos en casa le da al adversario la oportunidad de acceder a ellos sin su conocimiento. Debe considerar las circunstancias y las probables intenciones y capacidades de los adversarios y hacer la mejor valoración que pueda en cada situación.

b. Requiere una contraseña o código para su desbloqueo.

Es esencial proteger las cuentas de los dispositivos con contraseñas o códigos de acceso que sean lo suficientemente complejos como para evitar que un adversario los adivine dentro de un período de tiempo razonable. También puede considerar implementar una función de borrado automático, donde el dispositivo eliminará las claves de cifrado de todos sus datos si una contraseña o código de acceso se ingresa de forma incorrecta una cierta cantidad de veces. Pero tenga en cuenta el riesgo de activarlo por accidente y perder los datos.

Los dispositivos modernos también suelen permitir cierta entrada biométrica a fin de desbloquear un dispositivo, como el reconocimiento de huellas dactilares o facial. Si bien esto puede ser útil, tenga en cuenta que podría verse obligado fácilmente a desbloquear el dispositivo de esta manera sin tener que entregar su contraseña o código de acceso. Los fabricantes de dispositivos han reconocido esta preocupación e implementaron algunas formas simples de deshabilitar el acceso biométrico con rapidez si es necesario.

Debe tener en cuenta que habilitar una contraseña o código de acceso solo puede evitar que un adversario inicie sesión en su cuenta de usuario; es posible que no proteja los datos reales. Un atacante aún podría tomar una copia del medio de almacenamiento y evitar la necesidad de una contraseña por completo. A fin de solucionar este problema, debe asegurarse de que el cifrado completo del disco esté habilitado. Esto es esencial para computadoras portátiles y de escritorio que pueden no implementar el cifrado de disco completo de forma predeterminada.

c. Está ejecutando las últimas versiones disponibles del sistema operativo y todas las aplicaciones/software instalados.

Casi todas las piezas de software que se ejecutan en un dispositivo proporcionan una vía potencial para un ataque. En consecuencia, debe limitar el software instalado en su dispositivo a solo lo que de verdad necesita. También debe verificar con frecuencia, y de forma automática, las actualizaciones del sistema operativo y cualquier software instalado y aplicarlas lo antes posible, ya que pueden contener parches de seguridad importantes.

Tenga en cuenta que los atacantes pueden intentar aprovechar este consejo con alertas falsas para instalar actualizaciones (a través de un canal no oficial) que en su lugar instalarán malware en su dispositivo. Debe tratar cualquier alerta como una indicación de que debe realizar una actualización de la manera normal para su sistema operativo y, si una actualización no está disponible, es posible que haya sido el objetivo de un intento de pirateo.

d. Tiene habilitado el cifrado de disco completo, si esto es legal en su país.

El cifrado de disco completo (FDE, por sus siglas en inglés) cifra casi todo el disco duro de un dispositivo (o medios de almacenamiento externos, como unidades flash USB), incluso el sistema operativo y sus datos. Esto significa que si su dispositivo se pierde, es robado o confiscado, un adversario no podrá acceder a sus datos con tan solo tomar una copia del almacenamiento. Es fundamental que utilice una contraseña única y segura cuando habilite el cifrado completo del disco (y no la misma contraseña que utiliza para iniciar sesión en su dispositivo). No obstante, tenga en cuenta que si olvida esta contraseña, puede perder el acceso a sus datos. También tenga en cuenta que una contraseña FDE segura se verá socavada por una contraseña de inicio de sesión de cuenta de usuario débil si esto también puede desbloquear la clave FDE. La relación precisa entre la contraseña de la cuenta de usuario y las claves de descifrado FDE dependerá de su dispositivo y sistema operativo.

e. Tiene software antivirus y un firewall instalado, actualizado y configurado de manera correcta.

Un virus es un tipo de código o programa malicioso que altera el funcionamiento de una computadora. El software antivirus tradicionalmente busca patrones que sean indicativos de virus conocidos y otro malware. A fin que esto funcione de manera efectiva, el antivirus debe actualizarse con los patrones que necesita buscar y el malware en cuestión debe escribirse en el dispositivo de almacenamiento. Si bien se han realizado mejoras para complementar este enfoque basado en firmas con verificación heurística, que verifica los programas en busca de comportamientos sospechosos que puedan indicar un virus nuevo y desconocido, esto no es lo suficientemente sólido.

Un firewall se utiliza para administrar las conexiones y el flujo de datos que entran a su dispositivo y que salen hacia otros. Un firewall puede detectar un intento de conexión entrante malicioso y bloquearlo. Sin embargo, es menos deseable bloquear de forma automática los intentos de conexión salientes , ya que por lo general los inicia el usuario o los programas legítimos. Los atacantes pueden explotar esto enviándole un virus y engañándole para que lo active. Una vez activado, el malware originará una conexión saliente a un servidor para recibir comandos, código malicioso adicional y transferir los datos.

Como toda medida de seguridad, estas limitaciones significan que tanto un antivirus actualizado como un firewall configurado de forma correcta son necesarios, pero no suficientes por sí solos.

f. No está rooteado ni manipulado y que no tiene instalado ningún software pirateado.

Muchos dispositivos móviles tienen restricciones de seguridad; sin embargo, los usuarios no siempre las aprecian o desean. Puede tentarse a eludirlos mediante el rooting (Android) o el jailbreak (iOS), por ejemplo, que elevan los privilegios del usuario en el dispositivo al máximo disponible (rooting) o eliminan algunas de las restricciones en los comandos que pueden ejecutar (jailbreaking). Esto coloca al dispositivo en un estado que los diseñadores no habían considerado, lo que puede resultar en que el dispositivo se vuelva menos estable, las medidas de seguridad se vean socavadas y lo deje vulnerable al malware.

g. Se apagada o desconecta tan frecuentemente como sea posible, en lugar de tan solo colocarlo en el modo de suspensión o hibernación.

Existen dos elementos clave que dictan lo que puede hacer un atacante en relación con su información: la superficie de ataque (espacio) y la ventana de ataque (tiempo).

La superficie de ataque está compuesta por todos los dispositivos, medios de almacenamiento externos y materiales escritos o impresos donde se encuentra la información. También lo incluye a usted y a otras personas que conocen la información. Cuantas más copias de la información existan, mayor será la superficie de ataque y más oportunidades habrá para que un atacante tenga éxito. A fin de limitar esto, puede restringir dónde se encuentra la información y la forma que toma.

La ventana de ataque se refiere al momento en que cada componente de la superficie de ataque es vulnerable. La información que contienen las notas escritas a mano que se destruyen después de un día solo es vulnerable para ese día (siempre que no retenga la información en su cabeza). Lo mismo ocurre con sus dispositivos; un atacante remoto solo tendrá la oportunidad de atacar un dispositivo cuando esté encendido y en funcionamiento. La ventana de ataque se reduce al apagar por completo los dispositivos cuando no están en uso.

Existe un beneficio de seguridad adicional que se obtiene al apagar los dispositivos. Un virus solo puede realizar acciones mientras el software que ha explotado esté en ejecución. A fin de evitarlo, los atacantes intentarán ganar persistencia en el dispositivo comprometido para que el virus esté activo siempre que este esté en funcionamiento. Al apagar los dispositivos, significa que solo el malware más sofisticado que puede lograr la persistencia puede resultar efectivo contra usted a largo plazo. También debe considerar limpiar los dispositivos y reinstalar todo con la mayor frecuencia posible a fin de eliminar la mayoría, pero no todo, el malware persistente. La limpieza frecuente también lo alentará a limitar el software instalado en su dispositivo a solo lo que realmente necesita.

4. Asegúrese de que el servicio en línea que utiliza:

a. Requiere una contraseña compleja y única para acceder.

Los servicios en línea, como el almacenamiento en la nube, pueden garantizar que sus datos estén siempre disponibles cuando los necesite. Sin embargo, aumentan de manera potencial tanto la superficie de ataque como la ventana de ataque al replicar los datos en múltiples ubicaciones y estar siempre activos.

Al igual que con sus dispositivos, es importante utilizar una contraseña única y segura para cada servicio en línea. Cada contraseña debe ser única; de lo contrario, un atacante puede aprovechar la contraseña de una cuenta comprometida para obtener acceso a todos los demás servicios para los que ha utilizado la misma contraseña. Incluso cualquier patrón que utilice para generar contraseñas puede resultarle útil a un atacante. (Puede verificar si tiene una cuenta que resultó comprometida en una violación de datos en ¿Me han engañado?).

Crear y recordar numerosas contraseñas sólidas y únicas mediante consejos tradicionales sería imposible con la cantidad de servicios en línea que probablemente utilice. En su lugar, puede utilizar un administrador de contraseñas cifradas, como 1Password o LastPass, a fin de generar contraseñas adecuadas y almacenar las credenciales de inicio de sesión. Tenga en cuenta que un atacante que obtenga acceso a los datos de su administrador de contraseñas puede también hacerlo a todas sus cuentas en línea. Por lo tanto, debe asegurarse de que la contraseña que utiliza para iniciar sesión en su administrador de contraseñas sea en sí misma fuerte, única y memorable y que habilite la autenticación de dos factores. Como no puede utilizar el administrador de contraseñas para almacenar esta contraseña, puede utilizar uno de dos métodos similares para crear de forma manual una contraseña que sea segura y fácil de recordar. También puede utilizar estos métodos para crear las contraseñas para las cuentas de usuario de su dispositivo y el cifrado de disco completo:

• El método de la frase de contraseña: elija un conjunto de cuatro a seis palabras no relacionadas con las que pueda crear una imagen mental. Luego sustituya números o símbolos por algunas de las letras de estas palabras (evite las sustituciones comunes, conocidas como “leetspeak”, como 4 por A y 3 por E).

• El método de la oración: elija una oración larga a partir de la cual pueda crear una imagen mental. Construya la contraseña a partir de la primera letra de cada palabra y luego sustituya números o símbolos por algunas de estas letras como se indicó anteriormente (evite también en este caso las sustituciones comunes).

Tenga en cuenta que si habilitó el acceso biométrico al administrador de contraseñas mediante su huella digital o su rostro, esto también puede permitir que un atacante obtenga acceso sin la contraseña.

b. Tenga habilitada la autenticación de dos factores (2FA/2SV), si la misma está disponible.

La autenticación de dos factores (2FA) es una medida de seguridad adicional que requiere dos formas distintas de autenticación para acceder a algo. Para los servicios en línea que admiten 2FA, el primer factor es algo que sepa (su contraseña) con algo que tenga (un código numérico de una aplicación de autenticación) o algo que usted sea (datos biométricos con su huella digital, rostro o huella de voz). Agrega una capa de seguridad a sus cuentas en línea, ya que un atacante no debería poder acceder solo con su contraseña.

Estrictamente hablando, cuando se le envía el código numérico en un mensaje de texto (en lugar de utilizar una aplicación de autenticación), se trata de una verificación de dos pasos (2SV), ya que es algo que se le envía , no algo que tiene. Es vulnerable a la interceptación, y siempre debe optar por utilizar una aplicación de autenticación, como Authy, en lugar de SMS si tiene la opción. Pero la verificación en dos pasos sigue siendo más segura que la protección con contraseña por sí sola.

5. Utilice una VPN centrada en la privacidad si accede a Internet a través de una red pública o no confiable.

Cuando accede a Internet, su proveedor de servicios de Internet (ISP, por sus siglas en inglés) puede registrar los sitios web que visita y puede compartir información con las autoridades. Puede utilizar software, llamado VPN o red privada virtual, como Mullvad, para enviar su tráfico de Internet a través de un túnel cifrado desde su dispositivo a uno de los servidores del proveedor de VPN y luego a los sitios web que está visitando. Esto ocultará su dirección IP de esos sitios web, su ISP y cierta vigilancia basada en la red (aunque es posible que aún se le rastree de otras maneras, como huellas digitales de dispositivos y rastreadores de sitios web).

Las VPN pueden ser útiles cuando accede a Internet a través de una red pública o que no es de confianza, como una cafetería o un hotel. Si el proveedor de red es malintencionado, es posible que pueda controlar su tráfico e incluso obtener las contraseñas de sus cuentas en línea. Dado que la VPN proporciona un túnel seguro desde su dispositivo a uno de los servidores del proveedor de VPN, el operador de red no debería poder monitorear sus otras actividades en línea.

Tenga en cuenta que el proveedor de VPN o cualquier centro de datos de terceros (y sus ISP) que utilizan pueden mantener registros de tráfico y otros datos que podrían usarse para identificarlo y/o rastrearlo. El servidor VPN también puede estar ubicado en una jurisdicción que tenga un régimen de vigilancia o recolección masiva que también podría desenmascararlo a usted y a sus actividades a través del análisis de datos. También debe tener en cuenta que el uso de una VPN podría en sí mismo desencadenar una alerta o sospecha sobre usted y que las VPN son ilegales o controladas por el gobierno en varios países.

6. Elimine de forma segura la información confidencial en todas sus formas y variaciones tan pronto como ya no sea necesaria, y asegúrese de que no se pueda recuperar.

La efectividad de esto puede variar cuando elimina información de sus dispositivos o medios de almacenamiento externos. Por lo general, una unidad de disco duro (HDD) se puede borrar al escribir repetidamente datos aleatorios en toda el área de almacenamiento. Sin embargo, esto no es posible en las unidades de estado sólido (SSD) modernas. En un SSD, una cantidad significativa de datos se guarda en un área que se mantiene libre para limitar el desgaste de la unidad. Esto significa que la eliminación segura de los medios de almacenamiento que contienen datos no cifrados puede que no sea posible solo con el software; La destrucción física adecuada de la unidad puede ser la única opción segura. Si está utilizando cifrado de disco completo en un dispositivo, incluidos aquellos con SSD, la necesidad de una eliminación segura se reduce pero sigue presente.

Tenga en cuenta que no toda la información se almacenará en dispositivos electrónicos. Debe almacenar de forma segura cualquier medio físico que contenga información confidencial, como cuadernos o impresiones. Cuando la información ya no sea necesaria o si su existencia continua presenta un riesgo demasiado grande, debe destruirla con una trituradora de corte transversal e incinerarla, aunque el método más efectivo variará de un medio a otro. La destrucción debe resultar en residuos a partir de los cuales el material original no pueda prácticamente recrearse. Nunca arroje información sensible a la basura, ya que es muy común que las autoridades inspeccionen la basura de casas y oficinas para descubrir documentos y otra información comprometedora.