Servicios de protección de datos en Alcobendas

¿QUÉ MEDIDAS DE SEGURIDAD INFORMÁTICA DEBE ADOPTAR PARA CUMPLIR CON LAS NORMATIVAS DE PROTECCION DE DATOS?

8. PROCEDIMIENTOS DE PROTECCIÓN INFORMÁTICA PARA EQUIPOS, REDES Y APLICACIONES

La dirección de la empresa y los administradores informáticos deben establecer medidas de seguridad para los equipos, redes y aplicaciones informáticas, y además los usuarios deben tener algunas precauciones en el uso de los mismos.

En este manual de procedimientos se proponen distintas soluciones con costes diferentes, que pueden que no estén al alcance de muchas empresas, por tanto, deberá existir una ponderación de los beneficios de cada una de ellas en relación al gasto económico. Como señala el art. 32 del RGPD, las organizaciones que traten datos de carácter personal deberán establecer medidas de seguridad según el estado de la técnica, los costes de implantación y mantenimiento, el alcance material y geográfico, la naturaleza de los datos, el contexto y las finalidades de los tratamientos.

A continuación, se proponen una serie de medidas de seguridad que pueden servir de referencia para aplicarlas a los equipos, aplicaciones y redes informáticas de los sistemas de información de la empresa, así como varias medidas organizativas para controlar su eficacia:

8.1 Inventario de activos.
8.2 Actualización de softwares y sistemas operativos.
8.3 Licencias de software y sistemas operativos.
8.4 Impedir el acceso ilimitado a las webs de internet.
8.5 Impedir la ejecución de software ilegítimo.
8.6 Hacer particiones de unidades de almacenamiento.
8.7 Disponer de un software antimalware.
8.8 Actualización y activación de los dispositivos de protección.
8.9 Herramientas sofisticadas de prevención de intrusos.
8.10 Herramientas sofisticadas de prevención de fuga de información.
8.11 Evitar conexiones no autorizadas en tomas de Ethernet.
8.12 Segmentar la red para aislar ciertos servicios.
8.13 Configuración adecuada de la red wifi.
8.14 Configuración de seguridad del router.
8.15 Herramientas de control de tráfico de datos en redes informáticas…
8.16 Valorar la existencia de recursos suficientes.
8.17 Utilizar Sistemas de Alimentación ininterrumpida (SAI).
8.18 Medidas de seg. sobre apl. online, hosting web y correo electrónico.
8.19 Programas de gestión seguros.

8.1 Inventario de activos

8.1.1 Inventario de equipos y dispositivos informáticos

En el que se indique la marca, modelo, número de serie, sistema operativo utilizado, nos ayudará a gestionarlos mejor. Nos permitirá, conocer sus carencias, el estado de las licencias, qué usuarios lo utilizan y si se realiza adecuadamente, prever costes de mejora y mantenimiento, y en caso de robo, describir con exactitud qué equipo ha sido sustraído. Se deben inventariar ordenadores, portátiles, servidores, impresoras, smartphones, tablets, routers, firewalls, switches…

El inventario de equipos y dispositivos informáticos debe estar permanentemente actualizado.

8.1.2 Inventario de programas informáticos

Este inventario ayudará a asignar cada uno de los programas a los usuarios autorizados a utilizarlos, conocer cuáles se han descargado, y tener información actualizada sobre sus vulnerabilidades, conocer si existe alguno ilegal o sin licencia, en definitiva, optimizar el trabajo en el sistema de información de la empresa.

En organizaciones grandes conviene disponer de un software que permita gestionar los inventarios de equipos y aplicaciones. El software libre GLPI, permite la gestión de inventario de los recursos tecnológicos y otras funciones como la gestión de incidencias. Está disponible para su descarga en https://glpi-project.org/es/descargas/. Es posible contratar el servicio en la nube y también soporte técnico.

El inventario de programas debe estar permanentemente actualizado.

8.2 Actualización de softwares y sistemas operativos

Se deben Mantener permanentemente actualizados todos los sistemas operativos y aplicaciones informáticas en sus últimas versiones, para ello se recomienda tener activadas las actualizaciones automáticas.

Los sistemas y aplicaciones que no tienen actualizaciones tienen “agujeros de seguridad “por donde los delincuentes informáticos intentarán penetrar para acceder a los sistemas de información de la empresa. Muchas de las actualizaciones de los sistemas y aplicaciones informáticas conllevan la instalación de parches de seguridad que se encargan de “tapar esos agujeros”.

Existen sistemas que ya no tienen soporte y carecen de actualizaciones, como Windows XP desde abril de 2004, Windows server 2003 desde julio de 2015 y Windows 7 desde el 14 de enero de 2020. Por tanto, si algunos de los equipos de la empresa aún contienen alguno de estos sistemas operativos se deberán cambiar tan pronto como sea posible.

8.3 Licencias de software y sistemas operativos

Se prohíbe la instalación de cualquier software y sistemas operativos sin licencia, existen riesgos carácter legal por el uso ilícito, además los sistemas de información de la empresa estarán expuestos a mayores vulnerabilidades. Deberíamos tener en cuenta también a las aplicaciones ofimáticas, que pueden ser una fuente de amenazas que aprovechen los ciberdelincuentes. Los programas ofimáticos también deben tener licencia, por ejemplo, se pueden adquirir las aplicaciones incluidas en office 365 que incluyen la posibilidad de trabajar en la nube y no requiere de ninguna instalación.

Los softwares utilizados en la organización deben ser los más fiables posibles, se debe exigir al proveedor garantías de seguridad a nivel de código, por ejemplo, utilizar Famework de seguridad que integre entre otros, el control de acceso, el cifrado y la validación de entradas entre otras.

8.4 Impedir el acceso ilimitado a las webs de internet

Se pueden implementar medidas técnicas para evitar que los usuarios se descarguen aplicaciones de internet, e incluso limitar las páginas que puedan ser visitadas por los usuarios.

Los navegadores se pueden configurar de modo que se permita o bloquee el acceso a las webs que la empresa considere oportunas de una forma básica. Se pueden crear listas blancas de URLs, es decir, aquellas que se permiten, o bien, listas negras relativas a las que no se permite el acceso. En el navegador Google Chrome se puede realizar estas limitaciones siguiendo estos pasos: https://support.google.com/chrome/a/answer/7532419?hl=es

Existen opciones más avanzadas utilizando un servidor o programa proxy, para empresas con múltiples equipos, y también herramientas especializadas que permiten controlar la actividad web y analizar las descargas.

8.5 Impedir la ejecución de software ilegítimo

Inicialmente los usuarios no deberían tener permiso para instalar software, salvo el administrador, por eso, a los usuarios estándar no se le deben dar privilegios de administrador. Ahora bien, en determinados casos, puede que sea necesario que en un equipo determinado en cierto momento se le permita tener permisos de instalación de software, pero se quieran controlar cuáles les están permitidos.

También es posible limitar los programas informáticos que pueden utilizar los usuarios, para ello en el entorno Windows se puede utilizar la herramienta Applocker. Esa aplicación permite controlar qué programas y aplicaciones pueden ser ejecutadas por los distintos perfiles de usuarios.

En los teléfonos móviles con sistemas Android se puede utilizar la aplicación AppLock con una finalidad similar a la anterior, limitando el acceso a determinadas aplicaciones y archivos, quedando solo disponible para aquellos usuarios que conozcan la contraseña que otorga el permiso.

8.6 Hacer particiones de unidades de almacenamiento

En los equipos que se almacenen datos conviene realizar una o varias particiones del disco duro, es decir, realizar divisiones dentro del mismo. En los equipos informáticos que utilizan el sistema operativo Windows, estas particiones serán identificadas por una letra seguida de dos puntos.

Las particiones de disco mejoran el rendimiento del equipo, acelerando los procesos, y también permiten organizar mejor la información, según el criterio deseado, por ejemplo, almacenar los archivos ofimáticos en una partición determinada.

Se debe instalar el sistema operativo en una partición independiente, de esta manera si el sistema falla y debe reinstalarse desde el inicio, tan solo será necesario formatear esa partición, sin afectar a las demás donde se pueden almacenan los ficheros y las aplicaciones informáticas.
Además, se podrán encriptar las particiones que se deseen, por ejemplo, aquellas donde se almacenan los datos personales.

De igual manera las contraseñas para acceder a los programas deberán almacenarse en particiones distintas a dónde estos se almacenan.

8.7 Disponer de un software antimalware

Existen multitud de programas informáticos antimalware, que defienden el sistema de información de la empresa de multitud de ataques, se debe elegir uno que tenga la capacidad de monitorizar las actividades de los ataques en tiempo real y disponga al menos estas funcionalidades:

• Antispam. Son herramientas informáticas que se encargan de filtrar los correos electrónicos detectando aquellos que considera en no deseados (spam), utilizando diversas técnicas como la identificación de palabras y direcciones de correo que son fraudulentas. Estos spams se pueden enviar a la lista de correo no deseado, para su eliminación posterior, o a la lista negra donde se incluyen las direcciones IPs de esos remitentes. Los antispam pueden configurarse estableciendo distintos niveles de filtrado, debiéndose seleccionar un nivel alto para prevenir campañas de malware masivas.
• Antispyware. Son herramientas que tienen como objetivo detectar los Spywares, que son programas maliciosos que se instalan en los equipos con el objetivo de recoger la información almacenada en el mismo, pudiendo monitorizar su uso, e incluso instalar aplicaciones, y todo ello sin que el usuario perciba su actividad. Los antispywares tratan de detectar y bloquea a los spywares, de manera que si tiene la sospecha de que existe un programa que intenta espiar preguntará al usuario si le permite su acceso. También permiten realizar búsquedas de spywares en el equipo y ayudan a su eliminación.
• Antipop-ups. Son herramientas que permiten el bloqueo de ventanas emergentes (pop-ups) mientras se navega por internet. Estos pop-ups pueden ser molestos y pueden contener malware que se puede ser descargado por el usuario. Los antipop-ups suelen incorporarlos los navegadores de internet, debiendo activarse.
• Antiramsonware. Es un programa informático especializado en detectar y bloquear los ramsonwares, que con programas maliciosos que cifran los ficheros de la empresa, de manera que quedan inaccesibles para los usuarios de éste. Posteriormente, el ciberdelincuente solicita un rescate económico a cambio de descifrar los ficheros. Este tipo de ataque es muy frecuente y afecta a todo tipo de empresas, grandes y pequeñas.
• Antiphising. Herramientas que previenen el ataque por phising, que es un tipo de ataque de ingeniería social, mediante el cual los ciberdelincuentes suplantan la identidad, se hacen pasar por otras personas o entidades, con el objetivo de robar números de cuenta bancarias, contraseñas u otra información. Generalmente envían comunicaciones electrónicas con enlaces o ficheros adjuntos que al ejecutarlos inyectan un malware. Estos mensajes fraudulentos, a menudo se complementan con la realización de phising sobre una web, creando otra web que suplanta a la original, y a donde dirigen a los destinatarios de los mensajes fraudulentos.

8.8 Actualización y activación de los dispositivos de protección

Los distintos tipos de malware van evolucionando y se van creando otros nuevos continuamente, por este motivo es obligatorio tener actualizados los programas antimalware, y los demás dispositivos de protección como el firewall, el proxy, el switch administrable, la herramienta de prevención de intrusos, la herramienta de prevención de fuga de información. Si estos no estuvieran actualizados perderían su eficacia.

8.9 Herramientas sofisticadas de prevención de intrusos

En empresas que tienen una gran mucha actividad informática con una gran cantidad de registros (log), se requiere de una herramienta sofisticada de detección de intrusos, como IDS (sistema de detección de intrusos), IPS (sistema de prevención de intrusos), SIEM (sistema de gestión de eventos e información de seguridad).

8.10 Herramientas sofisticadas de prevención de fuga de información

Los DLP (Data Loss Prevention), son programas informáticos que controlan de manera centralizada qué datos transfieren los usuarios con el objetivo de prevenir las fugas de información. Permiten monitorizar el tráfico de la red interna y también de los teléfonos móviles, el correo electrónico y la mensajería instantánea, así como conocer qué información se ha copiado en los puertos USB… Todo ello según la política de seguridad existente.

El fabricante de software ESET comercializa este servicio https://www.eset.com/es/empresas/seguridad-para-endpoints/prevencion-fuga-datos/#

Existen herramientas que incluyen IPS y DLP.

8.11 Evitar conexiones no autorizadas en tomas de Ethernet

Las redes locales (LAN) que se conectan por cable, bien de cobre, o bien de fibra óptica, se denominan Ethernet, y se necesitan tomas de red RJ-45, otp o similares

Ciertos departamentos de la empresa pueden disponer de tomas de red que se utilizan ocasionalmente, como en salas de reuniones utilizadas para entrevistar a clientes, proveedores y colaboradores. Si no establecemos ninguna medida de seguridad, un usuario no autorizado podría conectarse con su equipo a la red de la empresa y acceder a su sistema de información.

Para evitar esto se pueden establecer algunas medidas de seguridad:

• Elaborar un mapa de las tomas Ethernet en todos los departamentos de la empresa. De esta forma podemos determinar si existen tomas que no deberían activarse, o incluso si están localizadas en lugares donde deberían anularse, por ejemplo, en una sala de espera.
• Si se dispone de un switch gestionable, se pueden activar sólo los puestos que queramos que estén disponibles para la conexión a la red de la empresa, y desactivar aquellos que no deban estar.

8.12 Segmentar la red para aislar ciertos servicios

La creación de varias redes VLAN dentro de una misma red física, permite aislar los dispositivos que se conectan a cada una de ellas, restringir el acceso a la información, y evitar la propagación de las incidencias de seguridad entre distintas redes.

Las VLAN se pueden crear en redes por cable (Ethernet) o inalámbricas (Wifi – WLAN), o ambas a la vez.

Si la dirección de una empresa desea que los clientes, proveedores y colaboradores puedan utilizar una red wifi gratuita hasta que sean atendidos, se deberían crear 2 VLAN:

• VLAN 1. De uso interno de la empresa.
• VLAN 2. De uso de las personas que permanecen en la sala de espera.

Con la creación de estas dos redes, conseguimos que los clientes, proveedores y colaboradores no puedan acceder a la VLAN 1, y por tanto salvaguardar los datos de la administración de la empresa.

8.13 Configuración adecuada de la red wifi

La wifi, Wireless Fidelity, es una red inalámbrica que permite conectar equipos mediante ondas de radio.

Una red wifi tiene mayor número de vulnerabilidades que la red por cable, y pueden ser aprovechadas por los ciberdelincuentes para acceder a nuestros sistemas de información. Por este motivo, sólo se deben utilizar en caso necesario y en condiciones de seguridad.

8.13.1 Configuración de seguridad de la Wifi corporativa

Esta red transmite datos dentro de su área de alcance, a diferencia de la red Ethernet que lo hace únicamente entre los puntos cableados, por tanto, inicialmente ya presenta mayores vulnerabilidades. Por este motivo debe evitarse su uso, solo se permitirá cuando la dirección de la empresa, en colaboración con el departamento de seguridad informática, lo permita.

La configuración de nuestra red debe establecer el protocolo WPA02 en su última versión que incorpora un algoritmo de cifrado más seguro, el protocolo AES.

Uno de los puntos clave para asegurar la red wifi es la utilización de contraseñas robustas, deben tener más de 20 caracteres, por lo general en el protocolo WPA02 se permite utilizar hasta 63. No se debe utilizar el nombre de la wifi y la contraseña establecidas por defecto.

8.13.2 Creación de una Wifi de cortesía para invitados

Si queremos habilitar una red wifi para el uso de nuestros clientes, debe realizarse de manera independiente a las redes corporativas internas de trabajo para no comprometer su seguridad, pues nunca se deben compartir con personas ajenas a la empresa.

Para habilitar una red wifi de cortesía en hoteles, consultas, colegios, bibliotecas… Se debe instalar un hotspot, que es un dispositivo que permite gestionar la red wifi de una forma más segura. El hotspot permite el acceso a los usuarios mediante credenciales de identificación y autenticación (usuario y contraseña), previo registro del mismo, obligándole a aceptar un disclaimer. Como puede que se recojan datos personales del usuario, en este documento se debe informar conforme a lo indicado en el art. 13 del Reglamento General de Protección de Datos (RGPD) y bajo qué términos y condiciones se utilizará. Pulse aquí, si desea conocer más información sobre los términos y condiciones de una red wifi.

8.14 Configuración de seguridad del router

Se debe entrar en el panel de configuración del router, mediante sus credenciales de acceso (no confundirse con las credenciales del wifi), y cambiar algunos parámetros:

• Se debe cambiar la clave de acceso establecida por defecto.
• Las contraseñas deben ser muy robustas, mínimo de 20 caracteres alfanuméricos, con mayúsculas y minúsculas.
• Se debe configurar para que sólo las mac de los usuarios autorizados puedan acceder a la red de la organización.
• Se debe vigilar que no existen mac de dispositivos que no pertenecen a la organización, pues se tratarán de usuarios no autorizados que desean aprovecharse gratuitamente de los recursos de internet, o bien, son delincuentes que quieren obtener datos de la empresa para tener rendimientos ilícitos.
• Activar el firewall del router, si es que dispone del mismo.
• Actualización del firmware. Se recomienda activar las actualizaciones automáticas en aquellos routers que lo permitan, y en caso de que no dispongan de esa funcionalidad se deberá visitar la web del fabricante para descargar las versiones más recientes.
• Cerrar los puertos no necesarios. Cada puerto es una puerta virtual que permite la entrada y salida de datos, y cada una de ellos se utiliza para la conexión a IPs que pertenecerán a equipos, redes, aplicaciones o dispositivos. Generalmente los routers tienen activado el protocolo DHCP que asigna a cada puerto una IP de un dispositivo o software. El router se pude configurar de manera que se permita asignar a cada equipo una IP fija, pudiendo observar la relación de todas las IPs con los puertos correspondientes. Conocer los puertos activos supone que se puedan cerrar aquellos que no se utilizan, puesto que tenerlos abiertos supondrán una fuente de vulnerabilidades.

8.15 Herramientas de control de tráfico de datos en redes informáticas

8.15.1 Firewall

Un firewall, también denominado cortafuegos, es un sistema de seguridad de carácter preventivo que permite filtrar el tráfico de entrada y salida de una red privada conectada a internet. Su objetivo es el de bloquear los accesos no autorizados a la misma, registra el tráfico de la empresa en internet, controlando todos los datos que llegan por el router, protegiéndola de ataques externos. Debe utilizarse junto con otros sistemas de seguridad como los antivirus, puesto que el firewall no elimina el malware.

Un firewall puede implementarse como:

Hardware. Generalmente está instalado en el router y protege a toda la red conectada al mismo.

Software. Protege a los equipos que los tengan instalados.

Utilizar un firewall es una cuestión básica para los equipos conectados a internet, se debe tener activado al menos el que suelen incluir algunos modelos de routers, además, si utilizamos un sistema operativo Windows 10 también se debería activar el firewall de Windows defender.

Relacionar accesos con el firewall. Vinculación entre los eventos de acceso erróneos y las reglas de filtrado de los firewalls corporativos. Hay aplicaciones que buscarían en nuestros registros de logs descubriendo los accesos erróneos reiterados de una IP en concreto, comunicándoselo a nuestro firewall para bloquear los intentos de accesos de los atacantes.

8.15.2 Proxy

Un proxy, también llamado Gateway, es un servidor o un programa informático que sirve de intermediario en las comunicaciones por internet. El proxy permite ocultar la dirección IP de los equipos que realizan tareas de internet, utilizando en su lugar la IP pública del propio proxy.

Pueden tener algunas funciones adicionales, como el control de acceso a internet de los usuarios que determine el administrador, también permite filtrar el contenido de acceso a los sitios webs que determine el administrador bloqueando aquellos sitios que considere oportuno. Algunos pueden realizar funciones de firewall.

8.15.3 Herramientas que permiten gestionar puertos

Los switches son dispositivos que permiten conectar varios equipos a una red, y los más avanzados incorporan un software que permiten administrar varias funciones:

Port-security. Es el puerto desde donde se puede configurar la seguridad del switch:

Permite a gestión de los puertos de conexión a la red, pueden restringir las mac que pueden conectarse a determinados puertos de la misma, e incluso limitar la cantidad de mac, generalmente 1 puerto del switch admite hasta 128 mac. En el caso de que se produzca el intento de conexión de una mac no autorizada, se podrá gestionar la violación de seguridad de varias formas:

• Bloquear el tráfico al dispositivo que tiene esa mac.
• Enviar una alerta al administrador del switch.
• Deshabilitar el puerto.
• Programación de encendido y apagado de los puertos del switch que queramos, pudiendo limitar su uso por horas.

8.15.4 Herramientas para analizar el tráfico de red

Existen herramientas para analizar el tráfico red en tiempo real y también para la detección de problemas en la misma.

El programa gratuito WireShark tiene esta funcionalidad y está disponible para sistemas operativos Windows, Unix y mac y se puede descargar desde su web https://www.wireshark.org/download.html

Se utiliza fundamentalmente para solucionar los problemas de la red, como la latencia, es decir, el tiempo que tarda un paquete de datos en transmitirse, también los saltos que se producen visualizando los intermediarios. También permite controlar la actividad de ataques cibernéticos sobre la red.

También se pueden utilizar switches administrables que dispongan de Port mirroring o puerto espejo. Éste permite replicar el tráfico de la red con el objetivo de monitorizarlo para propósitos de desarrollo, auditorías y detección de errores en la red o en los dispositivos.

8.16 Valorar la existencia de recursos suficientes

En empresas de bastantes puestos de trabajo se debe valorar el uso de máquinas virtuales, puesto que este sistema permite una mayor optimización de los recursos informáticos, así como una reducción de costes. También mejora la eficiencia de las medidas de seguridad, permite la creación de snapshots, que son copias de seguridad “congeladas” de las máquinas virtuales que permiten una fácil importación y exportación y, además, de un ahorro de tiempo en la solución de problemas.

8.17 Utilizar Sistemas de Alimentación ininterrumpida (SAI)

Un sistema de alimentación ininterrumpida (SAI), es un dispositivo que tiene como objetivo alimentar de corriente eléctrica a los terminales que estén conectados al mismo. El SAI dispone de baterías eléctricas para que en caso de que haya un apagón eléctrico, los terminales reciban el suministro eléctrico del mismo y mantengan activo su servicio durante un tiempo limitado. Los SAIs también protegen a los equipos informáticos de otros fallos eléctricos como las subidas y bajadas de tensión que pueden contribuir a su deterioro.

Si en la empresa resulta imprescindible tener en todo momento disponibles los datos, y aplicaciones informáticas, será necesario instalar uno o varios SAIs que den cobertura a los equipos informáticos imprescindibles y sobre todo al servidor que almacene los ficheros y los programas informáticos.

8.18 Medidas de seg. sobre apl. online, hosting web y correo electrónico

Las aplicaciones online son accesibles desde cualquier punto, luego deben adoptarse medidas para incrementar el control de acceso y la confidencialidad.

Se debe exigir a los prestadores de servicios de aplicaciones en la nube, así como a los de hosting web y correo electrónico que dispongan certificaciones como la NORMA ISO 27001 y 27002 sobre seguridad de información, y la ISO 27017 sobre seguridad en los sistemas de información de la nube, siendo también recomendables las certificaciones en mejores prácticas de gestión como ITiL, ISO 20000, CoBIT. También pueden acreditar si siguen las recomendaciones de OWASP https://owasp.org/, que es una fundación que promueve el desarrollo de software seguro.

Antes de firmar el contrato de prestación de servicios con el proveedor de servicios en la nube, ya sea de una aplicación online, de una web o de buzones de correo electrónico, se debe exigir:

• Contrato de RT-ET. Este contrato debe incluir las cláusulas que señala el art. 28 del RGPD.
• Certificaciones de seguridad. El Encargado de acreditar ante el Responsable que posee las certificaciones de seguridad y de protección de datos que hayan obtenido, por ejemplo, UNE-ISO 27001,27002, 27017, ENS, certificados del cumplimiento del RGPD y de la LOPD-GDD, … Los servicios de aplicaciones en la nube Microsoft Azure, Office 365, Google Cloud Plataform, Amazon Web Servicies, y OVH están certificadas en la norma ISO 27017 relativa a los controles de seguridad para servicios cloud.
• Técnica de Identificación y autenticación. Que verifique la identidad de un usuario de forma inequívoca y personalizada.
• Política de contraseñas seguras. Recuperación de la contraseña en dos pasos, limitación de intentos de accesos erróneos para acceder al sistema.
• Autentificación en dos pasos. Al acceder a un servicio con el nombre de usuario, se introduciría la contraseña y se derivaría al usuario a abrir otro dispositivo al cual se ha enviado otra contraseña (mediante sms por ejemplo) que sólo debería ser válida una sola vez.
• Doble factor de autentificación o bloqueo de red de los orígenes que accedan erróneamente. Con la autenticación de doble factor, solo se puede acceder a la cuenta en dispositivos de confianza. Cuando un usuario desee iniciar sesión en un nuevo dispositivo por primera vez, deberá proporcionar dos tipos de información (la contraseña y el código de verificación) en sus dispositivos de confianza. Al introducir el código, estará verificando que el nuevo dispositivo es de confianza.
• Cierre de sesión. Programación de cierre de sesión de usuarios si en un espacio corto de tiempo no se interactúa en la aplicación.
• Cifrado de ficheros en los sistemas de almacenamiento.
• Copia de seguridad. Realización de copias de seguridad de todos los ficheros cifradas con una periodicidad al menos diaria, verificar periódicamente que las copias se realizan adecuadamente para garantizar la restauración íntegra de todos los ficheros y del sistema en caso necesario.
• Cifrado de comunicaciones. Debemos asegurarnos que tanto las webs y aplicaciones online de nuestra organización que permitan el intercambio de datos, utilicen el protocolo de cifrado de conexiones a internet https://, en detrimento del protocolo http:// que no está cifrado. Si la información se transmitiera sin cifrar, “en claro”, un tercero podría descubrir y leer la información que se envía. Debemos exigir a nuestros prestadores de servicios de hosting que utilicen un certificado de seguridad confiable que sea reconocible por los navegadores más importantes. Habitualmente se utilizan certificados TLS y SLL.
• Transferencias de archivos entre sistemas mediante protocolos seguros. Generalmente para transferir datos de un equipo al servidor de hosting se utiliza el protocolo FTP, que es el más extendido y permite el intercambio de ficheros. Se debe utilizar la versión segura de este protocolo, el FTPS, utilizando un certificado SSL/TLS para cifrar las comunicaciones.
• Medidas de seguridad contra ataques informáticos. Exigir al prestador de servicios de hosting que incluya medidas de seguridad contra ataques informáticos. Si la web dispone de una base de datos SQL deberá exigirse medidas de seguridad concretas contra ataques SQL injection.
• Portabilidad. El Encargado debe garantizar la portabilidad, es decir, si en un momento dado se quiere utilizar otro servicio similar, el proveedor debe facilitar todos los datos que estén almacenados en sus sistemas al nuevo proveedor en un formato interoperable.
• Almacenamiento de datos en países con un nivel de protección de datos seguro. Se deben contratar servicios de almacenamiento de datos con prestadores de servicios confiables que almacenen los datos en territorios de la Unión Europea, o bien, en países que gocen de garanticen un nivel adecuado de protección de datos, o bien, con empresas que dispongan de cláusulas contractuales tipo avaladas por las Autoridades de Control, o bien, por la Comisión Europea de Protección de Datos. En la web de la Agencia Española de Protección de Datos se pueden consultar los países en los cuáles se pueden almacenar datos: https://www.aepd.es/es/derechos-y-deberes/cumple-tus-deberes/medidas-de-cumplimiento/transferencias-internacionales-
• Actualizar el software de la web y de la plataforma CMS. Para tener disponibles los parches de seguridad del fabricante.
• Publicación de fallos de seguridad. No publicar información de fallos de seguridad en los mensajes de error. Estos mensajes se deben personalizar para que sirvan de ayuda a los usuarios de la web.
• Utilización de contraseñas muy seguras. Se deben establecer contraseñas seguras y se recomida comprobar que no han sido filtradas. En el apartado de procedimientos de gestión de contraseñas se puede ampliar la información.
• Almacenamiento de contraseñas cifradas. Se debe exigir al prestador de servicios que las contraseñas de las webs y aplicaciones online se almacenen de manera cifrada.
• Gestión de incidencias. Disponer de un registro de notificación, registro y gestión de incidencias y tenerlo a disposición del Responsable del Tratamiento.
• Alta disponibilidad de los servicios.
• Seguridad a nivel de código.

8.18.1 Medidas adicionales sobre aplicaciones online

Además de las medidas de seguridad anteriores, debe exigir al Encargado del Tratamiento de las aplicaciones desarrolladas en la modalidad cloud computing que establezca las siguientes medidas de seguridad a título enunciativo, pero no limitativo:

• Limitación de acceso. Considerar si se debe implementar una limitación de acceso por franja horaria, limitación de acceso por IP o por certificado digital en su defecto.
• Política de gestión de Usuarios. Posibilitando la creación de grupos o perfiles con accesos y permisos restringidos a ficheros. Se debe permitir al administrador que pueda otorgar los permisos de acceso de los usuarios a cada fichero, creación, lectura, modificación, copia, exportación, impresión.
• Registro de accesos autorizados. Éste debe identificar al usuario, fecha y hora, fichero accedido, tipo acceso y si ha sido autorizado/denegado, y así como un mecanismo que permita al Responsable del Tratamiento obtener informes del mismo. Conservar los datos registrados (LOGS) por un período mínimo de 2 años.

8.18.2 Medidas adicionales sobre hosting web y correo electrónico

El desarrollador de la web además deberá seguir además las siguientes medidas de seguridad:

• Desconfiar de los archivos que suben los usuarios a la web. Estos archivos pueden contener malware, de manera que conviene almacenarlos en equipos aislados que no puedan comprometer el servidor web, ni el sistema de información de la empresa.
• Ocultar la url del acceso al panel de gestión de la web. Tener visible el login del gestor de contenidos facilita los ataques a la web por fuerza bruta, utilizando programas que realizan todas las combinaciones posibles para conocer las credenciales de acceso. Por tanto, se debe ocultar la url del acceso a la gestión de la web, y para ello existen plugins que tienen esta utilidad. De igual manera se debe evitar que el nombre del usuario no sea común, pues muchos webmaster establecen el usuario “admin”.
• Limpieza de metadatos de los archivos subidos a la web. Los metadatos son aquellos que describen a otros archivos y recursos. Por ejemplo, en un documento Word los metadatos se pueden visualizar en las propiedades del mismo, donde se facilita información sobre el título, el autor y ciertas palabras que identifican el contenido. Si se analizan los metadatos se pueden encontrar cuentas de usuarios, fechas de creación de documentos, e-mails, direcciones IP, contraseñas… Si los metadatos caen en manos de un ciberdelincuente podría ser la puerta de entrada de acceder a los sistemas de la empresa.El administrador web debe limpiar de metadatos los archivos que van a subir a la web y para ello puede utilizar varias herramientas como las publicadas por INCIBE.

8.19 Programas de gestión seguros y con alta disponibilida

Para adoptar medidas de seguridad en las empresas se pueden utilizar múltiples dispositivos y programas informáticos que deben estar coordinados, y muchas de estas empresas no disponen de recursos y conocimientos suficientes para implantarlas.

Una solución a este problema sería la de contratar un programa informático que fuera capaz de gestionar de manera efectiva los servicios de la empresa, y además pudiera hacerlo en totales condiciones de seguridad.

Recomendamos MN PROGRAM, que es un programa informático diseñado para la gestión de los servicios que prestan las empresas de distintos sectores, abogados, procuradores, asesorías, clínicas, odontólogos, academias, escuelas infantiles, arquitectos, ingenieros, consultores y otros más. Cumple con las normativas de protección de datos (RGPD y LOPD-GDD), puede instalarse de manera local en los servidores de la empresa, o también puede contratarse en la nube como SaaS (Software as a Servicie), es decir, el proveedor se encarga del mantenimiento, de las actualizaciones y de la seguridad.

La solución cloud de MN PROGRAM tiene entre otras las siguientes ventajas:

• Escalabilidad, se paga en función de las licencias de usuario que se adquieran.
• Servicio accesible durante todos los días del año.
• Acceso a la información desde todos los locales de la empresa y en otros en los que la dirección de la empresa lo permita.
• Permite el uso en distintos dispositivos, pcs, tablets, smartphones.
• Control del historial de cada cliente, de los trabajos realizados, correos electrónicos intercambiados, llamadas, vídeos…
• Cuadro de mandos, control de productividad y actividad.
• Integración con office 365 y Google.
• Gestión de citas mediante Whatsapp y sms.
• Permite Videoconferencias.
• Gestión de envíos y bajas de comunicaciones comerciales.
• Firma con certificado digital.
• Permite el uso de tablets digitalizadoras, como Wacom, donde se puede firmar electrónicamente.
• Soporte técnico.

Además, dispone de las siguientes medidas de seguridad entre otras:

• Permite la creación de distintos perfiles de usuario dotándole de acceso a los recursos que defina el administrador, así como la asignación de privilegios.
• Establecimiento de contraseñas según los niveles de seguridad.
• Gestor documental, control total de la documentación evitando la fuga y pérdida de documentación.
• Cifrado de documentos.
• Comunicaciones de datos cifradas con el servidor utilizando certificados SSL y archivos cifrados.
• Almacenamiento de datos sin límite.
• Copias de seguridad diarias en discos duros de alto rendimiento.
• Servicio de réplica de datos en sistemas de alto rendimiento y máxima seguridad, lo que garantiza que en caso de caída del servidor cloud principal, continúa el servicio de manera automática.
• No existen transferencias internacionales de datos, todos los datos están en España.
• Infraestructura del centro de datos certificada.
• Cumplimiento de estándares de seguridad, Norma UNE-ISO 27001 y el Esquema Nacional de Seguridad (ENS).
• Registro de acceso de logs de todas las actividades de los usuarios, se registra la fecha, dirección IP del emisor y del receptor de la información, identificación del usuario, nombre del fichero y destino. Disponer de este registro resulta esencial cuando se tratan datos sensibles, puesto permite analizar su trazabilidad.

Existen varias modalidades de contratación adaptados al número de usuarios y a las necesidades de distintos sectores. Para ampliar información acceda a su web, en este enlace podrá visualizar una comparativa de los planes para el sector clínico: https://www.mnprogram.net/precios-software-clinicas.asp

8.20 Auditoría informática

Conviene realizar una auditoría informática completa de los sistemas de información para verificar que su configuración sigue siendo adecuada, gestión de usuarios, de contraseñas, ficheros temporales, control de soportes, telecomunicaciones, copias de seguridad, revisión del registro de incidencias… La frecuencia de realización de esta auditoría variará en función de la complejidad del sistema, si bien, se recomienda realizarla al menos una vez al año.

A continuación, se relacionan un conjunto de procedimientos de seguridad que contienen medidas que se pueden desarrollar, ampliar o reducir según las necesidades de la empresa. Se pueden tomar como referencia para proteger los ficheros y así poder cumplir con lo señalado en el art. 32 de Reglamento General de Protección de datos (RGPD), que versa sobre la seguridad del tratamiento de datos. Pulse en cada una de ellas para obtener más información.

Procedimientos de Seguridad. Introducción

1. Procedimientos de gestión de usuarios y control de acceso.
2. Procedimientos de gestión de contraseñas.
3. Procedimientos de gestión de soportes.
4. Procedimientos de seguridad en locales, departamentos y dispositivos físicos.
5. Procedimientos de ficheros temporales y copias de trabajo de documentos.
6. Procedimientos de gestión de telecomunicaciones.
7. Procedimientos de trabajo fuera de los locales.
8. Procedimientos de protección en equipos, redes y aplicaciones informáticas.
9. Procedimientos de gestión de copias de seguridad.
10. Procedimientos de gestión de incidencias.