El trabajo remoto llegó para quedarse. Pero la mayoría de PYMEs lo implementaron con la urgencia de la pandemia y nunca revisaron la seguridad. Estos son los riesgos que probablemente tiene tu empresa hoy.
La pandemia cambió el perímetro de seguridad para siempre
Antes de 2020, el modelo de seguridad asumía que datos y empleados estaban en la misma red. El firewall protegía el perímetro. Ese modelo colapsó cuando todos empezaron a trabajar desde casa.
Los riesgos reales del trabajo remoto mal gestionado
El equipo personal como puerta de entrada: cuando un empleado usa su laptop personal para trabajar, esa laptop también navega y descarga. Un malware en el equipo personal ahora tiene acceso a recursos corporativos.
La red doméstica como punto débil: el router WiFi doméstico promedio tiene configuración por defecto, contraseñas débiles y firmware desactualizado. Dispositivos IoT en la misma red pueden ser comprometidos e interceptar tráfico corporativo.
El trabajo desde cafeterías: una red WiFi pública permite interceptar tráfico no protegido. Sin VPN, las credenciales corporativas viajan expuestas.
La mezcla de dispositivos: cuando el mismo equipo se usa para trabajo y uso personal, los datos corporativos y personales comparten el mismo espacio.
Los controles que toda empresa remota necesita
VPN corporativa obligatoria: todo acceso a sistemas internos debe pasar por VPN.
Gestión de dispositivos (MDM): herramientas que garantizan que los equipos cumplan estándares mínimos antes de conectarse: disco cifrado, antivirus activo, sistema actualizado.
MFA para todo: si las credenciales son robadas, el MFA evita que el atacante pueda usarlas.
Política clara de dispositivos: definir formalmente si se permiten equipos personales (BYOD) y bajo qué condiciones.
El primer paso es la visibilidad
Antes de implementar controles: cuántos empleados trabajan remotamente, desde qué dispositivos, a qué sistemas acceden, si tienen VPN y si la usan. Sin visibilidad, cualquier control será parcial.
Qué debe cubrir una política de trabajo remoto
Una política que cabe en una página y que la gente lee sirve más que un manual de treinta que nadie abre. Estos son los puntos que no pueden faltar:
- Qué equipos pueden acceder a qué. Un equipo de la empresa, administrado y cifrado, accede a todo lo que su rol necesita; un equipo personal solo a lo que usted haya decidido exponer, preferiblemente por un escritorio virtual o aplicaciones web con autenticación fuerte, nunca con descargas libres.
- Cómo se conectan. Qué VPN o acceso seguro se usa, y que está prohibido saltárselo «solo por esta vez».
- Dónde se guardan los archivos. En el almacenamiento corporativo, no en el escritorio del equipo ni en el correo personal.
- Qué hacer con redes y espacios públicos. Pantalla con filtro de privacidad, no dejar el equipo desatendido y evitar redes abiertas sin VPN.
- A quién y cómo se reporta un problema. Una pérdida, un robo o un correo sospechoso se reportan en minutos, sin miedo a un regaño. Esta es la regla que más se subestima.
Si se pierde o roban un equipo
Con un equipo cifrado y administrado, un robo es un trámite. Sin ellos, es un incidente. El orden recomendado:
- Reportar de inmediato a TI, sin esperar a confirmar que se perdió de verdad.
- Bloquear o borrar el equipo de forma remota si tiene gestión de dispositivos, y cerrar todas las sesiones abiertas de la persona.
- Cambiar las credenciales de esa cuenta y revocar los tokens de acceso de las aplicaciones conectadas.
- Revisar qué datos tenía el equipo y si estaban cifrados; de eso depende si hay que notificar a alguien.
- Documentar qué pasó, cuándo y qué se hizo.
Riesgo, control y cómo verificarlo
| Riesgo | Control | Cómo comprobar que funciona |
|---|---|---|
| Credenciales robadas | Autenticación multifactor en todo lo que sea accesible desde internet | Pedir el informe de cuentas sin MFA: debe estar vacío |
| Equipo personal sin protección | Gestión de dispositivos con requisitos mínimos de acceso | Probar a conectar un equipo sin cifrar: debe ser rechazado |
| Tráfico expuesto en redes públicas | VPN o acceso seguro obligatorio | Revisar los registros: ¿hay accesos a sistemas internos fuera de la VPN? |
| Archivos fuera del control de la empresa | Almacenamiento corporativo y bloqueo de descargas en equipos no gestionados | Buscar archivos corporativos en cuentas personales de la nube |
| Equipo perdido o robado | Cifrado de disco y borrado remoto | Hacer un simulacro: ¿en cuánto tiempo se bloquea un equipo de prueba? |
Errores frecuentes
- Dar acceso a «todo» por comodidad. Si una cuenta de ventas puede ver la contabilidad, un correo robado se convierte en una brecha completa. El modelo Zero Trust parte de lo contrario: cada acceso se justifica.
- Dejar el trabajo remoto fuera de las auditorías. Los controles existen en la oficina y nadie verifica si se cumplen en casa.
- Confiar en la VPN como única defensa. Una VPN protege el trayecto, no el equipo ni la cuenta. Sin autenticación multifactor, una contraseña robada entra por la VPN igual que cualquier otra.
- Olvidar a los proveedores y contratistas. Las personas externas con acceso remoto también son parte de tu superficie de ataque. Revisa sus permisos con la misma frecuencia.
Para profundizar
Si en tu empresa se usan equipos personales, el artículo sobre BYOD y seguridad móvil detalla cómo separar datos corporativos y personales. Para decidir qué accesos dar a cada rol, la guía de accesos privilegiados y la de Zero Trust para PYMEs son el siguiente paso, y las configuraciones críticas de Microsoft 365 cubren buena parte de los controles de identidad. Si prefieres que alguien revise tu situación actual, una auditoría de seguridad informática es un buen punto de partida.
¿Necesita convertir estas recomendaciones en responsables, evidencia y un plan verificable? Conozca nuestro servicio de acompañamiento de Virtual CISO.
¿Prefiere formarse en el tema? La Academia de Structa Defense ofrece, sin costo, un curso gratuito de fundamentos de ciberseguridad en español.
Artículos relacionados
Continúe con estas guías del tema cultura y personas.