Para muchas empresas el teletrabajo ha supuesto tener que adoptar medidas especiales para que sus trabajadores pudieran seguir desarrollando sus funciones desde casa. El mayor reto es permitir el acceso a la información empresarial con el menor riesgo e inversión posibles. Para ello, la solución más eficaz y comúnmente adoptada es la implementación de redes privadas virtuales (VPN, del inglés Virtual Private Network), llamadas así porque se emplea una red privada (virtualmente hablando) en un canal público (Internet).
El uso de este tipo de redes VPN en la empresa abarata los costes logísticos, permitiendo el acceso seguro a la información desde cualquier sitio con acceso a Internet y aportando privacidad absoluta a las comunicaciones. Conseguir que todo esto funcione conlleva la adopción de medidas de seguridad eficaces en cuanto a la adecuada autenticación de los usuarios y el cifrado de la información para evitar el robo de la misma.
A la hora de desplegar o escoger un servicio VPN debemos elegir cuidadosamente el protocolo que emplearemos y el tipo de cifrado, pues influyen de manera notable en la seguridad y en la velocidad. Los tipos de cifrado más seguros y usados actualmente son:
- L2TP/IPSec: por si solo L2TP no incluye cifrado se combina con IPSec, cuya clave de cifrado es de 256bit, lo que garantiza suficientemente la seguridad de una conexión. Se considera inseguro si se usan claves precompartidas, es decir, conocidas previamente por ambas partes a través de un canal que debería ser teóricamente seguro.
- SSTP: creado por Microsoft, con un cifrado a 256 bits y certificados seguros SSL/TLS de 2048 bits, sería suficiente para garantizar una buena seguridad en este protocolo.
- OpenVPN: protocolo de código abierto, lo que significa que cualquier fallo se identifica y corrige con total rapidez gracias a la comunidad de desarrolladores. Considerado de los más seguros, utiliza cifrado AES a 256bits y autenticación RSA a 2048 bits.
La elección del protocolo adecuado responde a las necesidades específicas de la empresa. Existen otros protocolos menos seguros, pero más rápidos y fáciles de implementar, que podrían ser suficientes para la transmisión de datos de baja confidencialidad en la empresa.
Finalmente, como recomendaciones generales, debemos recordar:
- Filtrar el tráfico y monitorizar las direcciones que utilizan la VPN. De esta forma, mejoramos la seguridad y ante un incidente podremos responder con más velocidad y eficacia.
- Utilizar algoritmos de cifrado seguros, como mínimo recomendado el SHA-256 con AES 128/256 o SHA-384, en caso de información muy sensible.
- Revisar ajustes por defecto de las configuraciones VPN, sobre todo en servidores, donde no debemos olvidar mantener una política de contraseñas seguras para clientes y servidor.
- Eliminar aquellos algoritmos no utilizados en servidores, evitando en lo posible la negociación del protocolo de cifrado por parte de los dispositivos.
- Actualizaciones de software y hardware de las máquinas que hospedan una VPN, evitando así vulnerabilidades.
- Fugas de DNS: comprobar periódicamente si el servidor VPN mantiene la privacidad o existen fugas a través de DNS no especificados en la configuración inicial.
- Segmentación de la red. Es un punto importante que, ante un acceso no autorizado, solo se vea comprometida la parte de red segmentada y no toda la red corporativa.
- Desactivar accesos a Internet que no vayan tunelizados, aumentando la privacidad y evitando así que terceras partes puedan acceder a la información o modificarla.
- Utilizar el doble factor de autenticación para acceder a las redes VPN, lo que permite identificar de manera más fidedigna a la persona que va a hacer uso de la conexión.
Desde la óptica del trabajador que emplea redes VPN, es necesario recalcar o concienciar acerca de unos puntos esenciales:
- Mantener el sistema operativo y las herramientas de conexión VPN actualizadas.
- Emplear una cuenta de usuario específica para trabajar con la VPN y sin privilegios de administrador.
- Disponer de un software antivirus y antimalware actualizados.
- Conectar por cable Ethernet para reforzar la seguridad y persistencia de la red VPN.
- Ante cualquier incidencia o comportamiento extraño, contactar inmediatamente con el Departamentos Informático de la empresa, prestando atención a los detalles que han motivado la misma.