Los dispositivos de almacenamiento extraíble, como las memorias USB, discos duros portátiles o tarjetas de memoria, son un complemento más de nuestro día a día, casi tan imprescindibles como un ordenador o teléfono móvil, pero a la vez tan pequeños y discretos que no los prestamos el nivel de atención y seguridad necesarios. ¿Cuántas veces hemos sentido pedir un USB o disco llevar para poder compartir un archivo, ese último informe o toda una recopilación de materiales para un compañero que acaba de incorporarse al proyecto?
Este tipo de prácticas pueden tener consecuencias indeseadas si no tomamos las medidas de seguridad adecuadas, como por ejemplo, infectar la red corporativa con algún tipo de malware. Esta infección podría ser no intencionada al compartir un USB entre compañeros sin saber que contiene un archivo malicioso, o formar parte de un ataque deliberado contra la empresa como en el caso de regalos que se conectan en la red o warshipping. Por este motivo, aquellos dispositivos extraíbles que sean de tipo promocional o no estemos seguros de por qué manso han pasado con anterioridad, no tenemos que usarlos en el ámbito laboral en ningún concepto, y mucho menos 'estrenarlos' en un equipo corporativo.
Recordáis que en la Universitat de València, no se recomienda el uso de dispositus extraíbles puesto que disponemos de espacios de almacenamiento como DISCO, nUVol, y también OneDrive de Microsoft.
Los riesgos principales del uso de estos dispositivos son el extravío, el acceso a la información contenida por personas no autorizadas o la infección por malware. A continuación mostramos una serie de medidas para evitar posibles incidentes de seguridad:
En el supuesto de que vayamos a almacenar información sensible o confidencial en un dispositivo externo, tenemos que utilizar siempre discos duros y USB corporativos debidamente protegidos y con las medidas de seguridad adecuadas, según lo establecido en la política de uso de dispositivos de almacenamiento externo, cifrando la información, almacenándolos en lugares seguros e informando el departamento de IT de cualquier incidente que pueda ocurrir, como puede ser el robo o pérdida del dispositivo.
Tenemos que tener especial cura con la información altamente sensible que manejamos, y añadir medidas de seguridad adicionales para evitar que esta información pueda ser sustraída o robada, bloqueando los puertos USB en los equipos que contengan este tipo de información.
Si utilizamos un dispositivo personal (BYOD) para almacenar información no confidencial (por ejemplo una presentación corporativa, manuales o instrucciones de un producto o servicio para mostrar a un cliente, etc.), por seguridad, tenemos que contar con la autorización del responsable técnico y aplicar las mismas medidas de protección establecidas para los dispositivos corporativos, cumpliendo con las políticas de uso de estos medios (xifratge, borrado seguro, etc.).
Establecer cambios periódicos de contraseña de acceso en los dispositivos y controlar los permisos de lectura y escritura.
Llevar a cabo análisis frecuentes para detectar cualquier tipo de malware.
Registrar los dispositivos externos utilizados dentro de la empresa mediante un inventario que incluya un identificador para cada uno, comprobando periódicamente su ubicación física y su contenido, y evitando que los dispositivos que no estén registrados puedan conectarse a cualquier equipo de la organización.
Siempre que sea posible, verificar que los dispositivos son seguros y están actualizados en uno en torno a prueba.
Utilizar soluciones denominadas DLP o Fecha Loss Prevention (sistema de prevención de pérdida de datos).
Formar a los empleados para garantizar el buen uso de estos dispositivos. La prevención y el sentido común son las claves principales para evitar sufrir un incidente de seguridad a causa de un mal uso.
Otro de los aspectos al cual tenemos que prestar especial atención es la eliminación de la información contenida en este tipo de dispositivos, puesto que es muy habitual utilizar los comandos de borrado del sistema operativo para eliminarlos sin realizar ninguna acción adicional. Sin embargo, no se puede considerar una forma de borrado seguro porque no se elimina totalmente la información, puesto que con las herramientas adecuadas es posible recuperar los datos de un dispositivo formateado o ficheros después de vaciar la papelera de reciclaje.
Por eso, para deshacerse de la información de manera definitiva, con la certeza que nadie podrá acceder a los datos una vez sean eliminados, existen métodos de borrado seguro, como la destrucción física del dispositivo, la desmagnetización, la sobre-escritura y el borrado criptográfico. En función del tipo de dispositivo habrá que elegir el borrado más conveniente.
Aunque con estas medidas hemos cubierto la protección de dispositivos extraíbles, no tenemos que olvidar que también hay que proteger aquello al que van ligado, los equipos de trabajo donde los conectaremos. Desactivando la opción de autoarranque obtendremos una capa de protección adicional al no permitir que los dispositivos realizan cualquier acción cuando son enchufados, porque en caso contrario estas acciones podrían no ser reversibles e infectar todos los equipos de la red corporativa.
En definitiva, podemos hacer todo esto y mucho más para proteger la integridad de nuestros datos, pero desde aquí te invitamos a realizar una campaña de concienciación en tu empresa para, no solo concienciar a tu equipo de los riesgos existentes, sino que además puedan evitarlos y actuar en consecuencia frente a ellos. La prevención es tu mejor aliada.
