Competencias, Tecnología

La seguridad de las aplicaciones que residen en la nube es uno de los principales elementos que se han de salvaguardar para todas las empresas. Aunque Office 365 ofrece seguridad y protección excepcional para sus usuarios, dispositivos y datos, tenemos que tener en cuenta las amenazas a las que nos enfrentamos

  • Pérdida de datos. Los datos se convierten en inservibles o directamente desaparecen porque se han eliminado.
  • Fuga de datos. En este caso hablamos de información sensible referente a una compañía que se expone con diversas finalidades ya sea espionaje industrial o exponer datos internos confidenciales.
  • Robo de datos. En este caso se viola la seguridad para obtener datos y obtener un beneficio económico de la venta de los mismos.
  • Bloqueo de sistemas. El atacante logra bloquear el sistema y pide un importe por el desbloqueo del mismo.
  • Secuestro de redes. El agresor utiliza la red corporativa para que ésta a su vez se convierta en atacante de otros sistemas.

Existen varios tipos de malware o software malicioso, como pueden ser:

  • Virus. Pueden autoreplicarse y propagarse a través de correo electrónico o la red interna de la compañía.
  • Gusanos. Intentan propagarse a otros dispositivos a través de la red mediante agujeros de seguridad al no haberse aplicado los últimos parches de seguridad o no haberse descubierto aún este problema de seguridad.
  • Caballos de troya. Pueden esconderse en la instalación aún de software legítimo cuyo instalador ha sido modificado para incluirlos.
  • Spyware o programas espía. Se instalan en un dispositivo y van recopilando información para enviarla al atacante detectando los lugares que visita el usuario o las teclas que va pulsando sin que el usuario tenga constancia de esta situación.
  • Rootkit. Este tipo de software puede obtener el control a nivel de administrador de la máquina donde se han alojado lo que los hace prácticamente indetectables.
  • Adware. Quizá uno de los malware menos perniciosos, pero no por ello menos molesto. Mediante la publicidad invasiva puede engañar al usuario para que se descargue un parche de seguridad que obviamente consistirá en un software que infecte definitivamente la máquina.
  • Ransomware. Este tipo de malware es uno de los más peligrosos porque encripta toda la información a la que ha podido acceder, enviando a continuación una advertencia al propietario en la que indica si éste no realiza un pago en un plazo de tiempo determinado, esta información será eliminada de forma definitiva.
  • Ataque de denegación de servicio o ataque DOS. Su objetivo es sobrecargar un servicio o sistema simulando el acceso simultáneo de cientos o miles de usuarios, de modo que no esté disponible para los usuarios que legítimamente desean utilizar se servicio.
  • Desbordamiento de búfer. En este caso se altera el comportamiento de una aplicación legítima de modo que llene la memoria de la máquina donde se está ejecutando, provocando un error grave e incluso paralizando la aplicación.
  • Spam. En cuanto a popularidad en su alcance, el spam con un 90% del tráfico de correo electrónico a nivel mundial, es uno de los grandes problemas de seguridad de la mayor parte de las organizaciones, obligando a las mismas a realizar un sobreesfuerzo para llegar a controlarlo.

Cómo proteger los datos frente a las amenazas

Podemos proteger los datos contra la fuga, pérdida o robo en tres escenarios, el primero en cuanto a la seguridad física de los datos, el segundo referente a la protección de los datos en tránsito y el último sobre la protección de datos cuando están almacenados y no se está accediendo a los mismos.

  • Seguridad física. Microsoft O365 almacena los datos fuera de las instalaciones físicas de la empresa. Es muy importante que el centro de datos donde se está almacenando esta información esté correctamente protegido y preparado para contingencias como incendios, inundaciones, falta de energía o cualquier otra eventualidad que pudiera poner en peligro los datos. Los controles que se van a establecer en esas ubicaciones físicas incluyen por ejemplo la contratación de personal de seguridad, control por circuito cerrado de televisión, limitación de acceso a la sala de servidores y control del personal que accede a las instalaciones. En cuanto a ventajas los datos están protegidos mediante copias de seguridad y conmutación de servidores en tiempo real de modo que siempre se pueda dar servicio en cualquier eventualidad.
  • Datos en tránsito. La definición de esta situación consiste en el momento que se inicia la transmisión de datos desde el almacenamiento en la nube hacia el dispositivo del usuario que solicita la información y ésta llega al dispositivo. Por ejemplo, cuando el usuario inicia la subida de un documento a OneDrive hasta que no finaliza, los datos son potencialmente vulnerables a los ataques. Es posible proteger los datos mediante passwords con determinado nivel de complejidad en los dispositivos, utilizando conexiones seguras siempre mediante HTTPS y SSL, asegurándonos que utilizamos encriptación cuando estamos transfiriendo archivos, incluyendo el uso de VPN.
  • Datos en reposo. Identificamos esta situación cuando no se está haciendo uso de los datos. Es habitual almacenar grandes cantidades de información en la nube y quizá no se acceda a algunos con demasiada frecuencia por tanto pueden no estar encriptados. La medida a tomar es como norma utilizar encriptación para todos.

Buenas prácticas para incrementar la seguridad en Office 365

Existe una guía básica de seguridad de Office 365 disponible en este enlace que incluye las principales recomendaciones de Microsoft para implementar las funciones de seguridad para proteger el entorno de Office 365.

Esto es un resumen de las buenas prácticas para los primeros 30 días de servicio, los primeros 90 y los siguientes, que además podrás verlo en nuestro curso de calendario Seguridad en Office 365

Microsoft recomienda realizar en primer lugar prácticas de seguridad en cuatro áreas:

  1. Gestión de la seguridad
    1. En primer lugar, comprobamos la puntuación obtenida con Secure Score. Mediante Secure Score es posible obtener información acerca de los cambios que ha de realizar una compañía para mejorar su seguridad. Accedemos al panel de control centralizado desde el que se puede monitorizar y mejorar la seguridad de Microsoft 365 en cuanto a datos, aplicaciones, dispositivos e infraestructura en la siguiente url: https://securescore.office.com/
    1. A continuación, habilitamos el registro de auditoría de Office 365
    1. Seguido, configuramos el inquilino de Office365 para aumentar la seguridad en las siguientes áreas: Antifishing, Anti-Malware, ATP adjuntos seguros, ATP para enlaces seguros, Anti-spam y autenticación de email.
    1. Revisión de forma continuada los paneles e informes del centro de seguridad y la seguridad de aplicaciones en la nube de Microsoft 365. Para mayor información consultar aquí el artículo correspondiente: Configurar su inquilino de Office 365 para aumentar la seguridad
  2. Protección de amenazas
    1. En primer lugar, conectar Office 365 a Microsoft Cloud App Security para empezar la monitorización mediante las políticas de detección de amenazas predeterminadas para detectar comportamientos sospechosos. Sin embargo, no es un proceso inmediato ya que se necesitan siete días para crear una línea de base para la detección de anomalías. Para mayor información consultar aquí el artículo correspondiente: Conectar Office 365 a Microsoft Cloud App Security
    1. En cuanto a la protección de cuentas de administrador se recomienda utilizar cuentas de administrador dedicadas exclusivamente para esta actividad de administración. Por otra parte, exigir la autenticación multifactor para estas cuentas de administrador. Por último, utilizar un dispositivo Windows 10 altamente seguro para esta actividad de administración. Sobre este último punto se puede consultar el artículo siguiente: Windows 10 Secured-core PCs
  3. Gestión de identidades y accesos
    1. En este ámbito, en primer lugar, es necesario habilitar la protección de identidades mediante el uso de Directorio Activo de Azure. Para obtener más información acerca de este punto se puede consultar el siguiente artículo: ¿Qué es Azure Active Directory Identity Protection?
    1. Si estamos en un entorno de identidades federadas, deberíamos exigir el cumplimiento de determinados requisitos en cuanto a longitud de contraseña, antigüedad de esta, máxima complejidad de la misma, etc.
  4. Protección de la información.
    1. Es necesario un esfuerzo en este sentido de toda la organización para implementar una buena protección de la información, y para ello, existen unas recomendaciones de protección de información como ejemplo. Para empezar, anotamos los siguientes artículos:
      1. Information Protection de Office 365 para RGPD. Este artículo habla sobre recomendaciones para descubrir, clasificar, proteger y supervisar datos de carácter personal. Mayor información en este artículo: Information Protection de Office 365 para RGPD
      1. Protección de archivos y sitios de Sharepoint Online. Este tema incluye información sobre cómo compartir, clasificar y prevenir la pérdida de datos y sobre Azure Information Protection. Se puede encontrar mayor información en este artículo: Protección de archivos y sitios de SharePoint Online

Estas son las prácticas iniciales que emprender durante los primeros 30 días de la implantación de una solución Office 365. En los siguientes 90 días se establecen protecciones mejoradas que requieren un poco más de tiempo para planificar e implementar, pero que aportarán un aumento considerable del nivel de seguridad. Las áreas en las que se va a incidir en los siguientes 90 días serán las mismas de las que hemos hablado, administración de seguridad, protección contra amenazas, administración de identidad y acceso y protección de la información.

Pasado este último periodo de 90 días se sugiere implementar una serie de medidas de seguridad importantes basada en el trabajo realizado anteriormente en las mismas cuatro áreas comentadas más arriba.

Como conclusión decir que mejorar la seguridad de Office 365 es obligatoria para poner un marco de seguridad de la información que maneja una empresa y evitar posibles inconvenientes por no aplicar unas medidas adecuadas.

Puedes conocer nuestras píldoras online de Office 365, así como el curso de Seguridad en Office 365, que lo desarrollamos de forma presencial y live online.