Tópicos y mitos de la Seguridad Móvil

En los últimos tiempos se ha generado una gran atención sobre la Seguridad de los dispositivos móviles. Es natural la preocupación, debido a que la presencia de los Smartphones en las empresas es algo habitual e imprescindible en muchos casos, para la productividad personal o incluso para desarrollar eficientemente algunos procesos de negocios más que otro tipo de terminales informáticos.

Ahora bien, ¿Cuáles son las características particulares a tener en cuenta en la Seguridad de los Dispositivos móviles? ¿En qué se diferencia de las medidas de Seguridad habituales que se toma con otro tipo de terminales o de enlaces? ¿Es verdad que estamos ante una amenaza grave para las organizaciones? ¿Debemos reducir la exposición de nuestros empleados y clientes a la movilidad por estos riesgos?

Particularidades de la Movilidad

Por definición, el dispositivo móvil (Smartphone, Tablet o Phablet) está más expuesto que los terminales fijos a riesgos físicos.  Un equipo fijo está protegido físicamente por la medias de seguridad de las instalaciones donde se encuentra.  Un dispositivo móvil está sujeto a muchos más riegos: extravíos, hurtos callejeros, accidentes.  Estos son mucho más habituales que en los terminales laptop por varias razones: son más fáciles de robar, muchos equipos tienen un alto valor de reventa y son, en general, mucho más frágiles. 

De hecho, la ENISA (Agencia Europea para la Seguridad de Redes e Información), dice que el principal riesgo que corre el usuario de Smartphone es el de pérdida de información por robo o extravío.(https://www.enisa.europa.eu/activities/Resilience-and-CIIP/critical-applications/smartphone-security-1/top-ten-risks). 

Si observamos los otros dos riesgos altos que identifica la ENISA  no tienen que ver con la tecnología Smartphone:

•             Filtrado de información por un mal uso involuntario por parte del usuario

•             Captura de datos por una mala reposición o reciclado de equipos

Es decir, no importa que la tecnología sea más o menos segura. La propia movilidad entraña mayores riesgos y hay que mitigarlos como tales. Tampoco es un elemento novedoso, esto ya se había descubierto hace años con las comunicaciones militares.

El robo de Smartphones en algunas ciudades alcanza proporciones alarmantes y es una de las actividades más lucrativas de los ladrones callejeros: en la foto una Web para combartir los robos en el subterráneo de Buenos Aires.

 

Para la época de la I Guerra Mundial, los equipos de comunicaciones eran grandes y pesados y estaban ligados a una ubicación física.  Una estación telegráfica o central telefónica estaba limitada por el recorrido de sus cables, una estación de radiotelegrafía necesitaba de suministro eléctrico, antenas y operadores especializados. Por eso estaban lejos de las líneas del frente de combate y, por la misma razón, eran fáciles de proteger con tropas, búnkeres y otras medidas.  A la línea de frente se llegaba con mensajeros humanos y a veces por medio de animales (palomas o perros entrenados).

Es algo parecido a lo que ocurría con los equipos comerciales antes de la aparición de la telefonía móvil. A principios de los ´90 me tocó ver como los equipos comerciales de una empresa de consumo masivo en Argentina se reunían diariamente en "sacas". ¿Que era una "saca"? Era un punto de reunión prefijado entre el jefe de la zona y los vendedores (normalmente un bar o restaurante), con teléfono, donde el equipo se reunían ponía en común los pedidos y los transmitía telefónicamente a la central.  Y donde el jefe daba las pautas de los días siguientes a los vendedores.

Cuando se pudo comenzar a miniaturizar los equipos de comunicación por radio, en los años ´30, estos empezaron a acercarse a las "líneas de frente", logrando una comunicación más directa y más rápida con los centros de comando.  La disponibilidad de radio pasó a ser un elemento de ventaja sobre las técnicas más antiguas.  Algo así como el advenimiento de la telefonía móvil e Internet, para la fuerzas de campo en las empresas.

Pronto la radio pasó a ser utilizada por todo tipo de fuerzas móviles: vehículos terrestres militares, aviones, barcos, submarinos y unidades de infantería. Se usaba la radio para todo.  Pero esta creciente movilidad tenía como contrapartida que ya no era tan fácil proteger los equipos de comunicaciones.  Estaban por todas partes y era mucho más fácil extraviarlos o que fueran capturados.

La captura de un equipo u operador de comunicaciones en el frente implicaba dos riesgos: (1) la divulgación de los mensajes ya decodificados y en poder del operador, (2) el acceso a los "libros de claves" para codificar mensajes y (3) el uso del equipo/operador de comunicación apresado para decodificar nuevos mensajes (o incluso enviar mensajes falsos).   Es por esto que, antes de caer en poder del enemigo, la principal obligación de los operadores era destruir los equipos, mensajes y libros de claves (en algunos casos, hasta eliminar al propio operador, como se puede ver en la película Windtalkers).

Sin embargo, pese a los riesgos, nadie dejó de utilizar los equipos móviles de radio. Por el contrario, su uso se hizo cada vez más frecuente.  Las medidas mencionadas anteriormente, por supuesto, reducían la exposición, pero no podían garantizar que ningún equipo fuera capturado y sus secretos divulgados.De hecho, se complementaron con otras estrategias, a saber:

• Una de las principales estrategias que aplican instituciones militares y de inteligencia es la clasificación de la información según su nivel de sensibilidad, es decir según el daño potencial que puede causar su revelación.  De acuerdo con esta clasificación, la información más sensible (ergo, la más potencialmente dañina) debe tener una circulación mucho más restringida. Es decir, limitar el número de copias y retransmisiones, utilizando para esto los medios más seguros y el mayor nivel de protección (esto podía excluir directamente el uso de las radios portables).
  
• Otra estrategia es la fragmentación de la información.  La información no se transmite en forma integral desde la cúpula de las decisiones político/militares.  Cada nivel retiene una parte de los datos y transmite hacia abajo sólo lo que cada unidad subordinada debe saber estrictamente. De esta forma, si se pierde información en la línea de frente, que estos sólo tengan un impacto directo en el ámbito táctico de esa unidad.
  
• Para mitigar el problema de que alguien pueda acceder a descifrar mensajes utilizando equipos, claves u operadores perdidos, la principal estrategia es cambiar códigos y claves con frecuencia.  Adicionalmente, disponer de mecanismos de doble autorización o doble codificación (que requieren la coordinación de más de un operador) para poder acceder a ciertos mensajes.  Por otro lado, se entrenaba a los operadores para disponer de alguna señal o marca que indicara que, en caso de ser capturado, se estaba enviando el mensaje bajo coacción.

De esta experiencia podemos extraer algunas políticas prácticas para un programa de seguridad corporativo:

• Analizar y clasificar los datos según su sensibilidad.  Los más sensibles deben, por definición, escasos.  Si estamos clasificando gran cantidad de datos como, "sensibles" seguramente no estamos midiendo bien el posible impacto de su divulgación. 
• Dar acceso a datos sensibles sólo al personal imprescindible. El número de personas con acceso a los datos más sensibles debe ser muy limitado.
• El personal debe estar adecuadamente entrenado y concientizado para limitar la difusión y el número de copias de los datos sensibles en su nivel de responsabilidad.
• Depurar/Eliminar todo dato sensible cuando ya no sea útil o no tenga ninguna finalidad.
• Establecer mecanismos de doble autenticación para el acceso a datos y procesos críticos (como Fórmulas/Diseños de Producto, Órdenes de Pago, etc).  Que no se pueda acceder, si no interviene una segunda persona responsable de autorizar un acceso o transacción.
• Cambiar claves con frecuencia y establecer mecanismos para protegerlas sin que se generen copias de "ficheros de claves", para lo cual ya existen muchas soluciones.

Niveles de clasificación de la información en el Reino Unido antes y después de 2014
Gráfico de Bobrayner bajo licencia Creative Commons

http://creativecommons.org/licenses/by-sa/3.0/legalcode

(¡Cuidado !  A veces la clasificación de la sensibilidad de la información no es tan evidente, como se indica en este ejemplo, relacionado con Big Data, pero también con un mal análisis de "sensibilidad")

Como podemos ver, si aplicamos estos principios en el marco de un Plan Director de Seguridad de la Información, la mayor exposición de los datos por la pérdida o extravío de equipos móviles se mitiga mucho (aunque la seguridad perfecta no exista).  Al menos, no aumenta el riesgo en una medida que nos haga desistir de usar estos dispositivos en nuestras operaciones de negocios. 

¿Quiere decir esto que no debemos utilizar ninguna tecnología de Seguridad en rspecial para proteger los equipos móviles? No necesariamente.  Estas medidas son las primordiales para prevenir los principales riesgos, como señala la ENISA.  Sin embargo, hay algunas tecnologías específicas que permiten mejorar aún más la seguridad (que perderán eficacia si no forman parte de una programa como el mencionado).  Enumeraremos las más comunes y eficaces:

• Borrado remoto: la mayoría de los sistemas de gestión de movilidad para empresas, facilitan la posibilidad de realizar un bloqueo y un borrado automático del equipo, reduciendo la posibilidad de que los datos puedan ser leídos por personas no autorizadas.
  
• Antivirus/Antimalware: los sistemas operativos móviles están siendo invadidos cada vez más por virus y malware,  que pueden causar trastornos como el re-envío de datos que el usuario guarde en el dispositivo (claves, números de tarjeta) hasta el bloqueo de terminales o aplicaciones, causando un problema de pérdida de productividad.  Es necesario disponer de alguna capa de protección de este tipo.  Los fabricantes apelan a diferentes estrategias al respecto.
  
• Políticas de descarga de aplicaciones: una de las vías más peligrosas para la seguridad del móvil es el proceso de descargas desde una tienda abierta como Google Play o Apple Store.  Actualmente, un móvil corporativo puede configurarse para aceptar o rechazar determinadas descargas de aplicaciones, evitando también aplicaciones maliciosas o que puedan poner en riesgo el equipo (por ejemplo, informando la localización de una persona cuando ésta deba ser confidencial).

En síntesis, en mi opinión no hay motivo para limitar nuestra exposición en el "mundo móvil", son muchísimo mayores las ventajas que los riesgos. El empleo masivo de la tecnología de Smartphone no agrega mayores desafíos a una organización que cuente con una adecuada planificación de Seguridad de la Información, que incluya un detallado análisis de la sensibilidad los datos y un adecuado programa de sensibilización y formación del personal, sobre todo entre quienes manejen información más sensible. Por supuesto, hay algunas medidas adicionales que se pueden tomar para mitigar contigencias y mejorar la productividad, pero son accesorias al Plan Director de Seguridad.