trabajo en remoto
#QuédateEnCasa no es solo un hashtag de las redes sociales, sino también la cruda realidad de muchas empresas que, con motivo de la pandemia del coronavirus, se han visto obligadas a enviar a sus empleados a casa a trabajar en remoto. Las reuniones en persona se han visto remplazadas por las videollamadas. Pero en las conferencias corporativas se discuten de más cosas que el tiempo, por tanto, antes de comprometerte con una aplicación de videoconferencias, echa un vistazo a sus mecanismos de protección de datos. Para ser claros, no hemos probado estas aplicaciones en nuestros laboratorios, tan solo hemos revisado sus recursos a disposición del público en busca de información sobre problemas conocidos en los softwares más utilizados.
Google Meet y Google Duo
Google ofrece dos servicios de videollamadas: Meet y Duo. El primero es una aplicación que se integra con otros servicios de Google (el G Suite). Si tu empresa utiliza este paquete, Hangouts Meet encajará muy bien.
Seguridad: Google Meet
Entre las ventajas de Meet, el proveedor cita una infraestructura fiable para el procesamiento de datos, cifrado (aunque no de extremo a extremo) y un conjunto de herramientas de protección, todas activadas por defecto. Como la mayoría del resto de productos empresariales, G Suite, incluido Google Meet, cumple con los estándares de seguridad avanzados y ofrece opciones de configuración y gestión de derechos de acceso entre sus funciones.
Seguridad: Google Duo
Por otro lado, la aplicación para móvil Duo protege los datos con un cifrado de extremo a extremo. No obstante, se trata de una aplicación diseñada para usuarios particulares, no para empresas. Sus conferencias solo pueden acoger hasta 12 participantes.
Vulnerabilidades e inconvenientes
Además de algunos mensajes que nos recuerdan que Google recopila los datos de los usuarios y que, por tanto, puede ser una amenaza para los secretos comerciales, no pudimos encontrar información concreta sobre el rendimiento de seguridad de estas aplicaciones. Eso no quiere decir que los servicios de Google sean perfectos, sino que están respaldados por un equipo de seguridad muy fuerte que suele poner solución a los problemas antes de que se generen problemas.
Slack
En Slack puedes crear espacios de trabajo con conversaciones múltiples que se muestran en una única ventana, además de los canales dentro de tu espacio de trabajo dedicados a diferentes proyectos. Las conferencias tienen un límite de 15 participantes.
Seguridad
Slack cumple con una gran variedad de estándares de seguridad, incluido el SOC 2. El servicio se puede configurar para trabajar con datos financieros y médicos y permite a las empresas seleccionar una zona para el almacenamiento de datos. Además, para unirte a un espacio de trabajo necesitas una invitación o una dirección de correo electrónico que utilice el dominio corporativo.
Slack también ofrece a sus clientes instrumentos flexibles para la gestión de riesgos, integración con soluciones de prevención de pérdida de datos (DLP, por sus siglas en inglés) y herramientas para el control al acceso de los datos. Por ejemplo, los administradores pueden restringir el uso de Slack desde dispositivos personales y el copiado de información de sus canales.
Vulnerabilidades e inconvenientes
De acuerdo con los desarrolladores de Slack, solo un número limitado de empresas necesita un cifrado de extremo a extremo y la implementación de esta función podría limitar la funcionalidad. Por tanto, por lo que parece, Slack no tiene pensado añadir un cifrado de extremo a extremo.
Slack también te permite integrar aplicaciones de terceros, cuya seguridad no es responsabilidad de Slack.
Además, los investigadores encontraron vulnerabilidades, y serias, en Slack. Esta aplicación ha parcheado un error que permitía a los atacantes robar datos y otro que activaba la intercepción de la sesión de un usuario.
Teams
Microsoft Teams se integra con Office 365, lo que representa su principal ventaja para un usuario corporativo. En respuesta al aumento de la demanda de herramientas para el teletrabajo, Microsoft ahora ofrece una prueba gratuita de seis meses de Microsoft Teams, pero los usuarios de esta prueba no podrán configurar los ajustes y políticas, exponiéndose así a un posible compromiso de su seguridad.
Seguridad
Teams cumple con un gran número de estándares internacionales, se puede configurar para trabajar con datos médicos confidenciales y presume de unas opciones flexibles para la gestión de la seguridad. Bajo algunos planes de servicio, se pueden integrar en Teams herramientas adicionales, como una DLP o el análisis de los archivos de salida. Nuestra solución para proteger MS Office 365 analiza los datos intercambiados mediante Teams para evitar que el malware se expanda por toda la red corporativa.
Los datos que se envían al servidor, ya sea por las conversaciones o las videollamadas, se cifran, pero, al igual que en las aplicaciones anteriores, no se trata de un cifrado de extremo a extremo. Y ya que hablamos de almacenamiento y procesamiento, la información nunca abandona la zona en la que opera la compañía.
Vulnerabilidades
No es mala idea monitorizar las vulnerabilidades en Teams. Microsoft suele parchear las vulnerabilidades muy rápido, pero siguen apareciendo de vez en cuando. Por ejemplo, los investigadores descubrieron hace poco una vulnerabilidad (ya parcheada) que permitía la toma de control de la cuenta.
Skype Empresarial
La versión en la nube de Skype Empresarial, el predecesor de Teams en Office 365, se está convirtiendo poco a poco en cosa del pasado, pero aún puedes instalarlo en local. Algunos usuarios lo consideran más práctico que Teams, y Microsoft seguirá ofreciendo soporte a la versión local de Skype durante un par de años.
Seguridad
Skype Empresarial cifra la información, pero no de extremo a extremo, además, la protección de los servicios no se puede configurar. También utiliza un software de servidor local, por lo que las videollamadas y otros datos no abandonarán nunca la red corporativa, lo que supone una ventaja obvia.
Vulnerabilidades e inconvenientes
El soporte de este producto no durará para siempre. A menos que Microsoft cambie de planes, el soporte de esta aplicación finalizará en julio del 2021 y el de Skype empresarial Server 2019, hasta el 14 de octubre del 2025.
WebEx Meetings and WebEx Teams
Cisco WebEx Meetings es un servicio centrado exclusivamente en las videoconferencias y Cisco WebEx Teams es una herramienta completa para el cotrabajo que, entre otras cosas, permite las videollamadas. En lo que respecta a esta publicación, la diferencia está en la estrategia de cifrado.
Seguridad
Cisco WebEx Meetings incluye servicios para empresas y cifrado de extremo a extremo. (La opción está desactivada por defecto, pero el proveedor la activa bajo solicitud. Esto limita de alguna forma la funcionalidad de la herramienta, pero si tus empleados manejan información confidencial en las reuniones, sin duda es una opción que deberías tener en cuenta). Cisco WebEx Teams ofrece un cifrado de extremo a extremo solo para la correspondencia y los documentos, mientras que las videollamadas se descifran en los servidores de Cisco.
Vulnerabilidades e inconvenientes
Solo este marzo, el proveedor parcheó dos vulnerabilidades en WebEx Meetings que amenazaban la ejecución de código en remoto. Y a principios del año pasado, se descubrió un error grave en el cliente WebEx Teams que permitía la ejecución de comandos con los privilegios del usuario. Aún así, Cisco es famosa por tomarse muy en serio la seguridad y actualizar sus servicios rápidamente.
WhatsApp se desarrolló como una herramienta para la comunicación social, y no empresarial, pero esta aplicación gratuita puede cubrir las necesidades de videoconferencia que necesita cualquier equipo o empresa pequeña. Este programa no es adecuado para grandes empresas, ya que las videoconferencias solo admiten a 4 participantes a la vez.
Seguridad
WhatsApp cuenta con una ventaja indiscutible: un auténtico cifrado de extremo a extremo. Por tanto, ni terceras partes ni los empleados de WhatsApp podrán ver tus videollamadas. Pero, a diferencia de las aplicaciones empresariales, WhatsApp apenas ofrece opciones de gestión de seguridad para tus llamadas o conversaciones, solo lo que ya está incorporado por defecto.
Vulnerabilidades e inconvenientes
El año pasado, unos atacantes distribuyeron el spyware Pegasus mediante las videollamadas de WhatsApp. Este error se solucionó, pero, recuerda, la aplicación no está diseñada para ofrecer una protección a nivel empresarial, por lo que, como mínimo, los usuarios deberán seguir de cerca las noticias de ciberseguridad.
Zoom
Zoom, una plataforma de videoconferencia en la nube, lleva acaparando los titulares desde los inicios de la pandemia. Sus precios flexibles (con conferencias gratuitas de 40 minutos con un total de hasta 100 participantes) y su facilidad de uso ha atraído a muchísimos usuarios, pero los puntos débiles de la plataforma no han dejado indiferente a nadie.
Seguridad
El servicio cumple con el estándar de seguridad internacional SOC 2, ofrece un plan de servicio aparte compatible con HIPAA para proveedores de atención médica y cuenta con unos parámetros de configuración flexibles. Los organizadores de la sesión pueden bloquear a participantes, aunque estos cuenten con el hipervínculo y la contraseña correctos, prohibir la grabación, etc. Si fuera necesario, Zoom puede configurarse de forma que no salga tráfico de la empresa.
Zoom ha estado respondiendo a las vulnerabilidades y afirma que tiene pensado priorizar la seguridad del producto frente a la integración de nuevas funciones.
Vulnerabilidades e inconvenientes
Zoom afirma haber implementado un cifrado de extremo a extremo, pero está afirmación no está de todo justificada. Con un cifrado de extremo a extremo, solo el remitente y el destinatario pueden leer los datos intercambiados, pero Zoom descifra los datos de los vídeos en sus servidores y no siempre en el país de origen de tu empresa.
Se han descubierto vulnerabilidades de diferentes niveles de gravedad en las aplicaciones de Zoom. Los clientes de Zoom en Windows y macOS han informado sobre un error (ya solucionado) que permitía a los atacantes robar los datos de la cuenta del ordenador. Dos errores más en la aplicación de macOS permitían que los ciberdelincuentes tomaran el control por completo del dispositivo.
Además, surgieron muchas noticias de troles de Internet que visitaban conferencias abiertas, sin contraseña, para publicar comentarios y compartir su pantalla con contenido obsceno. En general, puedes solucionar este problema si configuras tu conferencia de la forma correcta, pero Zoom también ha añadido una protección con contraseña por defecto para mantenerte a salvo de miradas indiscretas.
Las noticias sobre los problemas de seguridad en Zoom han provocado que grandes actores menospreciaran el servicio. Pero todos los servicios tienen vulnerabilidades y, en el caso de Zoom, la explosión de popularidad ha traído consigo un escrutinio tremendo.
Elige la aplicación que mejor te convenga
No existe ninguna aplicación de videoconferencia que sea 100 % segura, ni ningún otro tipo de aplicación. Por tanto, quédate con ese servicio cuyos inconvenientes no supongan ningún problema para tu empresa. Y, recuerda, elegir la aplicación correcta es tan solo el primer paso.
- Tómate tu tiempo para configurar de forma correcta el servicio. Una configuración permisiva puede permitir filtraciones.
- Actualiza rápidamente tus aplicaciones para parchear las vulnerabilidades lo antes posible.
- Asegúrate de que tus empleados cuenten al menos con unas habilidades básicas de comportamiento seguro en Internet. De lo contrario, organiza una formación en remoto mediante nuestra plataforma Kaspersky Automated Security Awareness Platform.
Consejos