Por Wilson Calderón, gerente técnico de ManageEngine Latam.
En un mundo donde cada empresa de alguna manera necesita un navegador, repensarlo como un nuevo punto final es esencial para proteger los datos corporativos
Es muy probable que un profesional de TI establezca los dispositivos móviles, laptops, computadoras de escritorio y servidores como puntos finales (endpoints) críticos de la red. Los navegadores probablemente no estarán en la lista, ya que comúnmente creemos que son aplicaciones que se ejecutan en puntos finales. Sin embargo, dado el valioso papel que desempeñan en el acceso a las aplicaciones y la información de las empresas, es hora de repensar cómo los clasificamos, gestionamos y protegemos.
A medida que el Cloud Computing se está convirtiendo en la nueva norma, un simple ataque a los navegadores puede llevar a los cibercriminales a tomar el control del navegador y, en el peor de los casos, acceder a datos corporativos confidenciales. Según una investigación realizada por Hosting Facts, de diciembre de 2018, todos los días, más de 90.000 sitios web de empresas son invadidos. Otra encuesta de W3Techs señala que solo el 11,4% de las empresas están protegidas actualmente por la sólida protección del sitio web HTTP Strict Transport Security. Y en América Latina, como el cuarto mercado móvil más grande del mundo; con un pronóstico de Statista que prevé un movimiento de 82 mil millones en el 2020 solo en operaciones de e-commerce, las empresas deben estar atentas a estas nuevas puertas de entrada para los cibercriminales.
El primer desafío es la filtración de datos corporativos confidenciales. Muchos usuarios finales usan el mismo navegador en la misma computadora, para fines personales y profesionales. El correo electrónico personal, operaciones bancarias y las compras son solo algunas de las aplicaciones no autorizadas que pueden comprometer los datos confidenciales tanto de las empresas, como la información privada. En general, estas aplicaciones no están controladas y no cumplen con los estándares de seguridad corporativos, y los datos están sujetos a pérdida o robo.
En segundo lugar, es creciente el número de ataques con la cantidad de extensiones de navegador instaladas por los usuarios. Estas extensiones pueden leer todos los datos intercambiados entre el navegador del dispositivo y el servidor back-end. Si bien los usuarios creen que las extensiones son seguras, pueden ser la puerta de entrada al ransomware, phishing y otros ataques de malware que se dirigen a una computadora y luego se propagan a otros sistemas en la red corporativa.
Finalmente, la mayoría de las empresas administra un entorno de aplicaciones híbridas que combinan HTML5 y tecnologías legacy. No todas las aplicaciones corporativas se moverán a la nube de inmediato. Para muchas organizaciones, ambos tipos de aplicaciones se utilizan simultáneamente.
Administre y asegure el navegador como un endpoint
Para enfrentar este nuevo desafío, los equipos de TI deben administrar los navegadores con la misma profesionalidad que usan para administrar otros dispositivos. Es clave ir más allá de ellos, administrando extensiones y complementos, actualizando todas estas tecnologías. Necesitan, sobre todo, visibilidad para determinar a qué se debe dar acceso, qué recursos y qué se debe restringir.
Para fortalecer los navegadores, los equipos de TI deben establecer marcadores, la página de inicio, sitios web confiables, ajustar la configuración para aumentar la privacidad y la seguridad. Algunos proveedores ofrecen ediciones corporativas, que incluyen administradores de políticas que rigen las aplicaciones y extensiones que pueden usar la seguridad y privacidad de los datos y la experiencia de navegación.
Del mismo modo, la actividad de los navegadores y sus extensiones deben protegerse para evitar la fuga de datos a terceros. Cuando se utiliza el mismo navegador para realizar operaciones personales y profesionales, los datos deben estar protegidos y administrarse para evitar cualquier fuga de datos. Por ejemplo, los usuarios no deberían poder descargar documentos de trabajo y adjuntarlos a un correo electrónico en su cuenta personal.
Finalmente, el equipo debe permitir el acceso a datos corporativos desde dispositivos confiables y prohibir el uso de dispositivos no confiables para propósitos corporativos. Existe una gran posibilidad de que en un sistema BYOD, el dispositivo del usuario no cumpla con los estándares de seguridad de la compañía. ¿La computadora está protegida por una contraseña segura? ¿Está ejecutando un software antivirus? ¿Se han aplicado todas las actualizaciones y parches de software? En otras palabras, es importante garantizar que se acceda a los datos corporativos desde navegadores aprobados y dispositivos confiables.
Al observar más de cerca el navegador y la importancia que tiene en la mayoría de las empresas en estos días, es necesario repensar su importancia como punto final. Es mucho más que una aplicación. Se ha convertido en el centro de colaboración corporativa, comunicación y operaciones comerciales. Como tal, ahora requiere una mayor administración y seguridad aplicada a sus contrapartes basadas en hardware.
