Resumen
La evolución de las tecnologías inalámbricas, de las capacidades de memoria y de almacenamiento que hoy en día ostentan los dispositivos móviles, han originado una aceptación global de estos componentes. No obstante, estos avances han traído consigo una serie de retos para las organizaciones, con el objeto de implementar y mantener un entorno de seguridad razonable para el uso estas tecnologías y optimización de los beneficios.
2
Antecedentes
Los dispositivos móviles son aparatos de tamaño reducido, con capacidades especiales de procesamiento, con conexión a una red ya sea de manera permanente o intermitente y con memoria limitada; asimismo, permiten ser sincronizados con sistemas residentes en equipos de cómputo para actualizar aplicaciones y datos.
También los podemos asociar con el término handheld del idioma inglés que significa llevar en la mano y que su nombre completo es “Handheld Computer” o “Handheld Device”, el cual hace referencia a un computador portátil para diversas aplicaciones, que puede ser llevado a cualquier lugar mientras se utiliza y cuyas características básicas son una agenda, libreta de direcciones, lista de tareas, y bloc de notas.
A criterio de muchos expertos, el primer dispositivo móvil fue creado por Apple, su nombre era “Newton”, este era un producto sumamente revolucionario que fue comercializado entre los años de 1993 y 1998. Las compañías Casio y Hewlett Packard contribuyeron significativamente mediante el desarrollo de las calculadoras programables, posteriormente nuevas funcionalidades, mas pixeles en pantalla, mayor capacidad de memoria y puertos de comunicaciones infrarrojos eran solo algunas de las nuevas características que eran posibles encontrar en los dispositivos que se construían.
Se diseñaron originalmente como organizadores personales, tarea que ejecutan muy eficientemente, pero con los continuos avances tecnológicos se han ido incorporando nuevos procesadores y la disponibilidad de software ha crecido a pasos agigantados equipando a estos dispositivos con potentes aplicaciones.
Evolución
La vigencia de estos dispositivos es más que evidente, los usuarios de telefonía móvil se han multiplicado hasta límites no previstos, convirtiéndose en el mayor y más difundido exponente; sin embargo, otros casos de éxito se encuentran en la industria de reproductores de música digital, las consolas de juegos, las agendas y asistentes personales y las computadoras portátiles entre otros.
Tanto los dispositivos como los sistemas operativos que hacen posible su funcionamiento han ido
evolucionando según las necesidades de los usuarios finales. Entre las innovaciones destaca la pantalla táctil, lo que ha permitido la reducción del peso y tamaño, además de incrementar las horas de durabilidad de las baterías.
3
acceso), dispositivos criptográficos, cámaras digitales y tabletas, son sólo algunos ejemplos de la variedad de dispositivos disponibles en la actualidad.
Los Sistemas Operativos son el software que administra los recursos de los dispositivos, la diversidad es amplia tanto en alternativas de código abierto como de opciones licenciadas. Estos están orientados a la conectividad inalámbrica, los formatos multimedia y las diferentes maneras de introducir información en ellos. Estudios actuales muestran que Android (sistema operativo de código abierto basado en Linux) es el más difundido; sin embargo, otros como el iOS de Apple, BlackBerry OS, Symbian OS y Windows Mobile, tienen una importante cuota en el mercado.
Seguridad en los Dispositivos Móviles
La información hoy en día, es uno de los más importantes activos para las organizaciones, por lo que requiere ser asegurada y protegida en forma
apropiada, lo que a su vez permitirá la continuidad de la misma, el cumplimiento de la legislación, disminuir la posibilidad de actos ilícitos mediante el uso de la infraestructura tecnológica, por parte de entes internos o externos y la manipulación indebida de datos.
La administración, monitoreo y protección de los dispositivos móviles, es en la actualidad uno de los temas destacados en el ámbito de la Seguridad en las
Tecnologías de Información, lo que ha permitido profundizar en la necesidad de mejorar las prácticas de protección de datos, gestión del riesgo y de la auditoría.
La seguridad de la información se caracteriza por la preservación de la confidencialidad, integridad y disponibilidad, al respecto se han desarrollado distintos estándares internacionales para la seguridad de TI, ISO-27002 por ejemplo, mediante su apartado 11.7 denominado “Dispositivos Portátiles y Teletrabajo”, puntualiza en el aseguramiento de la seguridad de la información cuando se utilizan medios de computación y teletrabajo móviles.
Cuando se utilizan dispositivos informáticos móviles, se debe tener especial cuidado en garantizar que no se comprometa la información ni la infraestructura de la organización, para lo que se debe considerar cualquier dispositivo móvil y/o removible, así como desarrollar procedimientos oportunos que permitan hacer un uso razonable de los mismos, considerando conceptos como los detallados a continuación:
1. La protección física necesaria.
2. El acceso seguro a los dispositivos.
3. La utilización segura de los dispositivos en lugares públicos.
4. El acceso a los sistemas de información y servicios de la organización a través de dichos dispositivos.
5. Las técnicas criptográficas a utilizar para la transmisión de información clasificada.
6. Los mecanismos de resguardo de la información contenida en los dispositivos.
7. La protección contra software malicioso.
4
Teletrabajo
El teletrabajo o trabajo a distancia, se refiere al desempeño de un trabajo de manera regular en un lugar diferente del centro habitual. Suele referirse a trabajos de oficina que precisan de una interacción mínima entre las personas.
El Teletrabajo utiliza tecnología de comunicaciones para permitir que el personal trabaje en forma remota desde un lugar externo a la organización; no obstante, el responsable de Seguridad de la Información, debe certificar que el Hardware y Software que sea utilizado para esta metodología de trabajo, permitan establecer un entorno seguro y de alto rendimiento, para lo cual deberá evaluar la seguridad física existente en el sitio de trabajo remoto, los requerimientos de seguridad de comunicaciones tomando en cuenta la necesidad de acceso remoto a los sistemas internos, la sensibilidad de la información a la que se accederá y que pasará a través del vínculo de comunicación, la amenaza de acceso no autorizado a información o recursos por parte de otras personas, instalación de software no autorizado, definir la clasificación de la información que se puede almacenar en el equipo; además, la organización debe contar con un apropiado equipo de comunicación, con inclusión de métodos para asegurar el acceso remoto.
Retos de la Auditoria de TI
La movilidad alcanzada mediante la utilización de dispositivos inalámbricos, la mayor adopción de telefonía móvil y smartphones en las organizaciones, dispositivos que transportan información fuera de las empresas y la multiciplidad de plataformas que dificultan la seguridad y administración de los mismos, representan retos concretos para los Auditores de TI.
La mitigación del riesgo se hace más relevante dadas las problemáticas planteadas, las empresas aumentan su nivel de exposición debido a la movilidad de los usuarios actuales, la cual sigue en franco crecimiento, obligando a analizar soluciones específicamente diseñadas para resolver cada una de las situaciones señaladas.
Debido a que las políticas tradicionales no contemplan las características particulares que presentan los dispositivos móviles, los Auditores de Tecnologías de Información, deben evaluar si existen políticas especiales para los usuarios móviles que tengan en cuenta sus situaciones particulares como:
Los dispositivos móviles deben estar protegidos como el resto de la infraestructura en la organización.
Los dispositivos móviles están más expuestos al malware.
Los dispositivos móviles están más expuestos a ataques de ingeniería social. Existe una considerable tendencia a la utilización de software no licenciado
5
a) Brindar capacitación a los usuarios de dispositivos móviles, con el objetivo de crear conciencia sobre las amenazas existentes y entender los riesgos inherentes de la tecnología que utilizan. b) Mejores prácticas de seguridad:
b.1) Protección de acceso: Configurar un password de acceso del dispositivo, de manera que
sea solicitado cada vez que se encienda el dispositivo. El password seleccionado debe ser difícil de adivinar pero fácil de recordar. Adicionalmente, es una buena práctica habilitar la opción de bloqueo automático.
b.2) Conectividad: Activar las conexiones Bluetooth y WiFi, solo cuando se vayan a utilizar, de
esta manera las puertas de acceso al dispositivo se mantendrán cerradas.
b.3) Información sensible: Minimizar la cantidad de información personal y financiera que se
almacena en los dispositivos móviles, debido a que es mayor la incidencia de pérdida física de estos equipos.
b.4) Software de seguridad: Instalación de software antivirus.
b.5) Aplicaciones: Realizar la descarga de aplicaciones únicamente desde fuentes seguras.
c) El usuario móvil (Laptop/Teletrabajo) debe contar con protección EndPoint. Estas soluciones ofrecen seguridad permanente, actualizada y potente, proporcionando una protección integral (Antivirus, Antispam, Antispyware, firewall, entre otros), tanto para dispositivos móviles como para entornos virtualizados.
d) Implementar controles para la gestión de dispositivos inteligentes, con lo que es posible supervisar y restringir los datos copiados en dispositivos de almacenamiento y medios portátiles, bloqueando dispositivos como serial/paralelo, USB, Bluetooth, CD/DVD, entre otros.
No obstante, las soluciones EndPoint Protection permiten a su vez el uso de los dispositivos antes mencionados, por medio de un “Id de producto”, comúnmente suministrado por el administrador del software. Las políticas para la administración pueden ser controladas y auditadas por medio de la consola del antivirus; asimismo, las alertas y reportes se emitirán en tiempo real, los cuales se registrarán en bitácora.
6
Conclusión
Los dispositivos móviles han causado un cambio en la dinámica estratégica y operativa de las organizaciones, innovando con infraestructura tecnológica de notable capacidad de crecimiento, flexibilidad, portabilidad, además de ser relativamente accesible para amplios segmentos de mercado.
Existe una extensa gama de productos que impulsan y consolidan el desarrollo y proliferación de este tipo de dispositivos, entre los que se encuentran herramientas de desarrollo, sistemas operativos y aplicaciones interactivas, dejando en manifiesto la factibilidad existente de implementar este tipo de aplicaciones como herramienta de trabajo empresarial.
7
Desarrollo de Aplicaciones para Dispositivos Móviles, Armando Halbinger, Microsoft México. http://mosaic.uoc.edu/commons.html, Dispositivos Móviles y Multimedia, César Tardáguila
Moro.
Desarrollo de Aplicaciones para Dispositivos Móviles utilizando J2ME, Omar Salvador Gomez, Universidad de Guadalajara.
Dispositivos Móviles, Arturo Baz Alonso, Universidad de Oviedo.
