Els dispositius d'emmagatzematge extraïble, com les memòries USB, discos durs portàtils o targetes de memòria, són un complement més del nostre dia a dia, quasi tan imprescindibles com un ordinador o telèfon mòbil, però alhora tan xicotets i discrets que no els prestem el nivell d'atenció i seguretat necessaris. Quantes vegades hem sentit demanar un USB o disc dur per a poder compartir un arxiu, aqueix últim informe o tota una recopilació de materials per a un company que acaba d'incorporar-se al projecte?

Aquest tipus de pràctiques poden tenir conseqüències indesitjades si no prenem les mesures de seguretat adequades, com per exemple, infectar la xarxa corporativa amb alguna mena de malware. Aquesta infecció podria ser no intencionada en compartir un USB entre companys sense saber que conté un arxiu maliciós, o formar part d'un atac deliberat contra l'empresa com en el cas de regals que es connecten a la xarxa o warshipping. Per aquest motiu, aquells dispositius extraïbles que siguen de tipus promocional o no estiguem segurs de per què mans han passat amb anterioritat, no hem d'usar-los en l'àmbit laboral en cap concepte, i molt menys 'estrenar-los' en un equip corporatiu.

Recordeu que a la Universitat de València, no es recomana l'ús de dispositus extraïbles ja que disposem d'espais d'emmagatzematge com DISCO, nUVol, i també OneDrive de Microsoft. 

Els riscos principals de l'ús d'aquests dispositius són l'extraviament, l'accés a la informació continguda per persones no autoritzades o la infecció per malware. A continuació vam mostrar una sèrie de mesures per a evitar possibles incidents de seguretat:

En el cas que anem a emmagatzemar informació sensible o confidencial en un dispositiu extern, hem d'utilitzar sempre discos durs i USB corporatius degudament protegits i amb les mesures de seguretat adequades, segons el que s'estableix en la política d'ús de dispositius d'emmagatzematge extern, xifrant la informació, emmagatzemant-los en llocs segurs i informant el departament d'IT de qualsevol incident que puga ocórrer, com pot ser el robatori o pèrdua del dispositiu.

Hem de tenir especial cura amb la informació altament sensible que manegem, i afegir mesures de seguretat addicionals per a evitar que aquesta informació puga ser sostreta o robada, bloquejant els ports USB en els equips que continguen aquest tipus d'informació.

Si utilitzem un dispositiu personal (BYOD) per a emmagatzemar informació no confidencial (per exemple una presentació corporativa, manuals o instruccions d'un producte o servei per a mostrar a un client, etc.), per seguretat, hem de comptar amb l'autorització del responsable tècnic i aplicar les mateixes mesures de protecció establides per als dispositius corporatius, complint amb les polítiques d'ús d'aquests mitjans (xifratge, esborrat segur, etc.).

Establir canvis periòdics de contrasenya d'accés als dispositius i controlar els permisos de lectura i escriptura.

Dur a terme anàlisis freqüents per a detectar qualsevol tipus de malware.

Registrar els dispositius externs utilitzats dins de l'empresa mitjançant un inventari que incloga un identificador per a cadascun, comprovant periòdicament la seua ubicació física i el seu contingut, i evitant que els dispositius que no estiguen registrats puguen connectar-se a qualsevol equip de l'organització.

Sempre que siga possible, verificar que els dispositius són segurs i estan actualitzats en un entorn de prova.

Utilitzar solucions denominades DLP o Data Loss Prevention (sistema de prevenció de pèrdua de dades).

Formar als empleats per a garantir el bon ús d'aquests dispositius. La prevenció i el sentit comú són les claus principals per a evitar patir un incident de seguretat a causa d'un mal ús.

Un altre dels aspectes al qual hem de prestar especial atenció és l'eliminació de la informació continguda en aquesta mena de dispositius, ja que és molt habitual utilitzar els comandos d'esborrat del sistema operatiu per a eliminar-los sense realitzar cap acció addicional. No obstant això, no es pot considerar una forma d'esborrat segur perquè no s'elimina totalment la informació, ja que amb les eines adequades és possible recuperar les dades d'un dispositiu formatat o fitxers després de buidar la paperera de reciclatge.

Per això, per a desfer-se de la informació de manera definitiva, amb la certesa que ningú podrà accedir a les dades una vegada siguen eliminats, existeixen mètodes d'esborrat segur, com la destrucció física del dispositiu, la desmagnetización, la sobre-escriptura i l'esborrat criptogràfic. En funció de la mena de dispositiu caldrà triar l'esborrat més convenient.

Encara que amb aquestes mesures hem cobert la protecció de dispositius extraïbles, no hem d'oblidar que també cal protegir allò al que van lligat, els equips de treball on els connectarem. Desactivant l'opció d'autoarranque obtindrem una capa de protecció addicional al no permetre que els dispositius realitzen qualsevol acció quan són endollats, perquè en cas contrari aquestes accions podrien no ser reversibles i infectar tots els equips de la xarxa corporativa.

En definitiva, podem fer tot això i molt més per a protegir la integritat de les nostres dades, però des d'ací et convidem a realitzar una campanya de conscienciació en la teua empresa per a, no solament conscienciar al teu equip dels riscos existents, sinó que a més puguen evitar-los i actuar en conseqüència enfront d'ells. La prevenció és la teua millor aliada.