Como garantir a cibersegurança em dispositivos corporativos

A mobilidade corporativa abriu um mundo de possibilidades para expandir o alcance da organização, a imediatidade como arma e a colaboração como aliada para o negócio. Mas isso representa, sem dúvida, um enorme risco para a segurança, pois concede acesso a redes corporativas e bases de dados com informações confidenciais a partir de dispositivos potencialmente inseguros.

Para não ir muito longe, no mês passado de março, especialistas do Google localizaram 18 vulnerabilidades em alguns celulares Android que davam acesso aos terminais através de um processador dedicado. Já em maio, a Apple corrigiu 3 novos exploits de dia zero associados ao motor do navegador do dispositivo.

Esses exemplos demonstram que os cibercriminosos descobrem novas maneiras de realizar seus ataques a cada dia e que é essencial uma política sólida para proteger os dispositivos que se conectam diariamente à empresa.

Ameaças mais frequentes em dispositivos móveis

A seguir, detalham-se algumas das principais ameaças de segurança para os dispositivos móveis:

• Phishing. Nos computadores, o phishing se propaga normalmente através de mensagens falsas com anexos ou links maliciosos. No mundo móvel, no entanto, a maioria das tentativas de phishing provêm de redes sociais, mensagens de texto ou aplicativos. Uma variante é o smishing, que consiste no roubo de credenciais de um usuário quando acessa um link malicioso recebido via SMS.
• Malware e ransomware. O malware móvel mais comum são aplicativos maliciosos criados para danificar, interromper ou obter acesso ilegítimo a um dispositivo. Entre os tipos de malware, o ransomware destaca-se como a variante mais comum. Os custos são maiores a cada ano.
• Rooting e jailbreaking. Como já mencionamos, o jailbreaking e o rooting são métodos que permitem ao usuário obter acesso de administrador de seu dispositivo móvel para baixar aplicativos maliciosos ou para aumentar as permissões dos aplicativos.
• Ataques Man-in-the-Middle. Interceptam o tráfego de uma rede para obter dados confidenciais em trânsito ou modificar a informação que é transmitida. Os dispositivos móveis são particularmente vulneráveis a esses ataques, pois ao contrário do tráfego web (que utiliza um protocolo de criptografia SSL/TLS), os aplicativos móveis podem transferir dados sensíveis sem criptografia.
• Spyware. É um tipo de malware que monitora as atividades do usuário e dá acesso a dados como a localização do dispositivo, o histórico do navegador, as chamadas telefônicas, fotos e vídeos, etc. com o objetivo de realizar roubos de identidade, fraudes financeiras, etc.
• Aplicativos e sites maliciosos: são programas infectados de malware que atacam no momento de acessar uma página web ou ao baixar um aplicativo.
• Redes wifi não seguras. Quando se utilizam redes wifi públicas ou não seguras, aumenta o risco de que o tráfego de saída ou entrada ao dispositivo móvel seja interceptado e sua informação comprometida.

8 aspectos-chave a ter em conta…

As empresas devem aplicar todas as medidas necessárias para identificar os ataques de forma precoce e gerar respostas adequadas para limitar seu impacto. A seguir, são apresentados oito aspectos-chave a serem considerados para prevenir e/ou neutralizar os riscos de segurança dos dispositivos móveis. São eles:

• Segurança de aplicativos e endpoints. Os sistemas MAM (Mobile Application Management) e MDM (Mobile Device Management) permitem auditar e gerenciar o software utilizado pelos dispositivos móveis, e aplicar os critérios que a empresa exige. Por sua vez, as soluções CASB (Cloud Access Security Broker) protegem a segurança dos aplicativos em nuvem, conectando-se com as instalações e redes corporativas, aplicando normas de segurança e gerenciando o uso dos recursos na nuvem.
• Controles de acesso conforme ao usuário e conforme ao dispositivo. Os sistemas de gestão de usuários e identidades (IAM, pela sigla em inglês) permitem regular os privilégios dos usuários sobre suas informações. Ou seja, se pode adicionar, modificar, apagar ou copiar dados a partir do terminal móvel.
• Elementos de segurança avançada como antivírus, redes privadas virtuais (VPN), gateways, firewalls, IPS, etc. ajudarão a reforçar a segurança dos dispositivos. Os gateways, por exemplo, permitem estabelecer conexões de rede seguras entre dois dispositivos ou entre um dispositivo e a Internet, garantindo que a conexão cumpre com as políticas de cibersegurança da empresa, independentemente da localização e do tipo de dispositivo utilizado.
• Segurança do e-mail. O e-mail é uma das principais ferramentas utilizadas pelos cibercriminosos. Por isso, manter uma política de segurança rigorosa no e-mail corporativo é primordial. Isso inclui a ativação de capacidades de proteção avançadas que detectam e resolvem ameaças e protegem as informações confidenciais por meio de criptografia, evitando assim a perda de dados.
• Gestão de permissões de aplicativos móveis. As permissões concedidas aos aplicativos móveis determinam seu nível de funcionalidade. No entanto, conceder permissões a um aplicativo com vulnerabilidades pode dar acesso a cibercriminosos a dados confidenciais dentro do dispositivo.
• Conexões criptografadas. As empresas podem expandir sua rede corporativa para que seja acessível ao usuário de qualquer lugar utilizando redes privadas virtuais (VPN), que permitem criptografar a conexão dos dispositivos com qualquer rede (incluindo redes wifi públicas). Os sistemas de autenticação multi-fator (MFA) são atualmente o método mais eficaz para reforçar a segurança.
• Gestão de senhas: A política da organização pode e deve obrigar os funcionários a mudar as senhas regularmente e utilizar combinações robustas que, no mínimo, intercalem letras, símbolos e sinais de pontuação. Uma opção diferente ou adicional às senhas é a configuração do bloqueio de tela com a impressão digital ou reconhecimento facial do usuário do dispositivo, de forma que somente este possa acessar seu conteúdo.

Essas ações já representam um grande avanço na proteção dos dispositivos próprios e da empresa contra ciberataques e malware. No entanto, também deve ser complementado com uma arquitetura de TI completa que controle de forma centralizada as diferentes soluções de segurança.

… y 5 consejos para una correcta estrategia de Mobile Security

La gestión segura de dispositivos móviles puede marcar la diferencia a la hora de determinar los riesgos que asume la organización. He aquí 5 consejos para consolidar con éxito una red corporativa eficiente pero segura.

1. Establecer una política de seguridad móvil clara y completa que establezca las pautas a seguir en el uso de dispositivos móviles. Estas políticas de seguridad deberán incluir elementos como configuraciones obligatorias, formas de uso o medidas contra robos filtraciones de datos, así como coordinar los sistemas de supervisión y control remoto de los dispositivos.
2. Actualizar regularmente el sistema operativo y las aplicaciones móviles. Los sistemas operativos móviles, así como las aplicaciones móviles, son constantemente revisados por sus creadores para corregir vulnerabilidades de seguridad y optimizar su funcionamiento. Por ello, contar con versiones obsoletas implica exponerse a ciberataques que podrían poner en riesgo las operaciones de la empresa.
3. Backup regular y borrado remoto de datos. Es imprescindible configurar todos los dispositivos móviles para que realicen copias de seguridad que puedan almacenarse en las instalaciones o la nube. Lo ideal es que también se configure el borrado remoto de datos, que permite eliminar cualquier dato del dispositivo aunque no se tenga acceso directo al mismo.
4. Evitar la instalación de programas directamente en los dispositivos. El malware afecta a diario a cientos de miles de móviles, y una de las vías principales se da a través de la instalación de aplicaciones. Lo ideal es migrar las aplicaciones a un entorno web (o en la nube) que elimine la necesidad de instalar y reinstalar software en los terminales.
5. Formar a los empleados en ciberseguridad y amenazas de seguridad. Cuando se trata de utilizar dispositivos que pertenecen a la empresa, es importante invertir tiempo y recursos en la concienciación sobre ciberseguridad. Por ejemplo, no hacer clic en enlaces sospechosos, no descargar contenidos de fuentes no fiables, usar contraseñas complejas, hacer backup, usar antivirus… Y, por supuesto, la formación debe llegar hasta el nivel de dirección, incluyendo la formación de especialistas en ciberseguridad móvil.

Em conclusão

Como podemos ver, gerenciar a segurança dos dispositivos móveis para seu uso nas redes corporativas implica uma séria reflexão por parte das organizações e um desafio titânico para os departamentos de TI. É necessário ter consciência disso e implementar medidas para diminuir os riscos.

Em resumo, devemos estar cientes de que ter dispositivos em mobilidade com acesso aos dados requer uma segurança extra. Uma segurança que nos permitirá recorrer a soluções que deveriam ser quase obrigatórias, fáceis de implementar e que garantem uma segurança adequada tanto para a rede quanto para cada um de seus elementos.