En la primera parte sobre seguridad en las comunicaciones, escribí sobre la higiene de los mensajes, es decir, cómo podemos protegernos mejor contra el uso indebido de nuestros dominios de correo electrónico y mejorar las posibilidades de entrega de nuestros mensajes. En esta segunda parte, revisaremos qué se debe tener en cuenta para proteger el tráfico de correo electrónico entrante y, al mismo tiempo, a nuestros usuarios de mensajes dañinos.
Los métodos de ataque evolucionan
Algunos de los ataques de correo electrónico actuales están tan hábilmente ejecutados que cualquiera de nosotros puede caer en ellos. Los ataques más típicos contra las organizaciones son los llamados ataques BEC (Business Email Compromise), donde el atacante se hace pasar por un empleado de la misma organización o un socio comercial. En el peor de los casos, la cuenta de correo electrónico de un socio o colega ha sido secuestrada, lo que hace muy difícil para el usuario detectar con quién está realmente comunicándose.
Una táctica que se ha vuelto común es también el «Fake email forward», donde el atacante ha creado una cadena de mensajes falsa que contiene direcciones de correo electrónico reales y procedimientos de pago ficticios acordados, etc. Después, el atacante envía el mensaje al usuario desprevenido para que tome medidas. ¡Hay muchos ejemplos de ataques! Los métodos se han vuelto cada vez más astutos. La inteligencia artificial también complica el trabajo de defensa, por lo que naturalmente se debe aumentar la concienciación.
Cinco pilares fundamentales para asegurar las comunicaciones
¿Qué pueden hacer las organizaciones hoy en día para protegerse mejor? He resumido brevemente a continuación cinco áreas que componen el conjunto para minimizar las amenazas y riesgos de seguridad de la organización. El resumen no es de ninguna manera completo, pero es algo que posiblemente le dé ideas y una base de comparación con el estado actual de su organización.
Estrategia
Todo comienza con la estrategia. Sin ella, actuamos de manera reactiva y, lamentablemente, a menudo demasiado tarde. La estrategia define y dirige, entre otros:
- Legislación y estándares: Qué requisitos posibles se han establecido para nuestra organización. ISO 27001, NIS2, etc.
- Política de protección técnica
- Plan de respuesta a incidentes de seguridad
- Planes de recuperación y continuidad
- Formación del personal: Cómo asegurar la implementación de la seguridad para los usuarios finales
- Monitoreo y métricas continuas: Cómo pueden los usuarios informar de la manera más sencilla posible sobre las amenazas o incidentes de seguridad que detecten
- Cultura de seguridad: Cómo se involucra a los usuarios en los esfuerzos conjuntos de seguridad de la organización
El desarrollo de la estrategia de seguridad es un proceso continuo que debe revisarse regularmente y actualizarse cuando sea necesario. Además, debe ser parte de la gestión de riesgos de la organización, con compromiso desde la dirección y seguimiento continuo.
Medidas técnicas de protección
Formación de usuarios
Este es quizás el aspecto más importante a considerar en la estrategia. Formaciones específicas regulares que cubran las amenazas de seguridad actuales comunes. Hay excelentes servicios en el mercado que ofrecen microformación en seguridad. Es importante mantener a los usuarios finales regularmente informados sobre mensajes de phishing y otras amenazas de seguridad. Sin embargo, se debe recordar mantener el material de formación de manera que sea comprensible.
Procesos
Los procesos describen los principios de actuación para diferentes situaciones. Sirven como directrices sobre cómo actuamos en diferentes situaciones y en relación con la comunicación. Por ejemplo, cómo la organización tiene descrito el proceso para verificar las solicitudes de cambios en pagos recibidas por correo electrónico. Cómo se debe verificar la identidad de una persona cuando sea necesario. Y cómo actuamos en general en caso de incidentes de seguridad.
Informes y seguimiento
Los informes y el seguimiento pueden haber quedado en segundo plano en muchas organizaciones. Los usuarios finales deberían ser el centro y participar en la detección e informe de incidentes de seguridad. En cuanto a los mensajes de phishing y maliciosos, esto significa, por ejemplo, en el servicio M365, proporcionar a los usuarios un botón de informe de correo electrónico en el cliente Outlook. Una forma de abordar esto es crear un canal de Teams donde los usuarios puedan informar y al mismo tiempo dar a conocer el problema a otros en la organización. Es tarea del departamento de TI monitorear activamente los informes y realizar cambios necesarios en las reglas, formación o instrucciones.