Jose Antonio Perea Yustres

Jefe de la Unidad de Innovación, Gestión Tecnológica y Movilidad en la SGAD (SEFP-MINHAFP) y miembro del Comité Operativo del Centro de Estudios en Movilidad.

Gestión integral de la movilidad corporativa

La utilización y amplia adopción de los dispositivos móviles como herramientas básicas de productividad en el ámbito profesional, junto a su utilización simultánea en el ámbito personal, hace necesario, para las Organizaciones, evaluar en profundidad la seguridad ofrecida por este tipo de dispositivos, así como de los mecanismos de protección de la información corporativa que gestionan. El dispositivo móvil, es por tanto, la herramienta principal de la movilización y debe estar alineado con la política corporativa de uso definida para el usuario del terminal, cumpliendo el cometido por el que está en la cadena de la movilidad.

Pese a que los dispositivos móviles se utilizan para comunicaciones personales y profesionales, privadas y relevantes, y para el almacenamiento de información sensible, el nivel de percepción de la amenaza de seguridad real existente no ha tenido suficiente trascendencia en los usuarios finales y las organizaciones. El informe de amenazas de 2017 del CCN-CERT sobre dispositivos y comunicaciones móviles señala a los dispositivos móviles como uno de los objetivos principales de las ciberamenazas para los próximos años. Para 2019, el malware móvil representará alrededor del 33% de todo el malware, según la "Guía de Market for Mobile Threat Defense Solutions" de Gartner. Este vector móvil de ataque de alto riesgo impulsa la necesidad y la búsqueda urgente de soluciones de defensa confiables, para proteger los datos y los dispositivos móviles del usuario.

Los dispositivos móviles, las redes a las que se conectan y las aplicaciones que ejecutan pueden explotarse para robar información sensible. Los ciberdelincuentes pueden obtener, a través de las herramientas del dispositivo móvil (micrófono, cámara…), el uso de redes no seguras o mediante aplicaciones maliciosas (como ejemplo, malware que es capaz de cambiar el PIN de acceso y cifrar los datos de un dispositivo), obtener acceso prácticamente ilimitado a un dispositivo, sus datos y su red.

Es muy importante proteger el ecosistema móvil, debido al riesgo de impacto en la productividad y reputación que puede suponer una brecha de seguridad en los dispositivos móviles. Por este motivo las Organizaciones requieren de una estrategia de seguridad mediante múltiples herramientas orientadas a satisfacer la necesidad de contar con una movilidad segura. Esta estrategia, conocida como “gestión integral de la movilidad corporativa”, permitirá a los usuarios llevar a cabo sus actividades diarias a través de dispositivos móviles seguros, que aprovechan las tecnologías que facilitan el acceso remoto a los datos corporativos, incrementando su eficiencia y productividad con independencia de la ubicación física en la que se encuentren.

El servicio de gestión integral de la movilidad corporativa debe basarse en la ciberresiliencia entendida como la capacidad de anticipar, resistir, recuperarse y evolucionar frente a condiciones adversas,  debidas al aumento de los ciberataques que se producen a nivel mundial.

Es imprescindible contar con una solución integral de gestión de la movilidad corporativa que ofrezca seguridad, acorde con las políticas de seguridad de la Organización, de extremo a extremo y que se extienda a los niveles de usuario, dispositivo, aplicaciones, contenido, datos y red. La solución deberá incluir los siguientes sistemas y servicios:

• Sistema de gestión de la movilidad corporativa EMM (Enterprise Mobility Management).La solución de EMM proporciona la visibilidad y el control necesario para administrar y proteger dispositivos, aplicaciones y contenido en la Organización, pero tiene limitaciones en el sentido de que no puede detectar las vulnerabilidades y las amenazas de la plataforma y la aplicación, y también tiene una capacidad limitada para detectar por su cuenta las amenazas avanzadas. Las herramientas de seguridad móvil tradicionales, basadas en firmas, tampoco son suficientes para prevenir y detectar las amenazas móviles avanzadas y los nuevos vectores de ataque. Hay que diferenciar, por tanto, esta herramienta de administración, de las soluciones propias de seguridad móvil que se indican a continuación. Estas soluciones de seguridad móvil deben integrarse con la solución EMM para conseguir el enfoque adecuado de seguridad integral para nuestra organización.

• Sistema de defensa frente a amenazas móviles MTD (Mobile Threat Defense).Anteriormente conocidas como soluciones de prevención de amenazas móviles MTP (Mobile Threat Prevention), el sistema de defensa frente a amenazas móviles MTD, se orienta a proteger a las organizaciones de las amenazas avanzadas en plataformas móviles. La solución MTD complementa la solución de gestión de movilidad empresarial (EMM) ya que gestiona el dispositivo y el acceso a los datos administrando reglas de cumplimiento, pero necesita de un sistema MTD para activar las reglas de cumplimiento de las amenazas cibernéticas en los dispositivos administrados.

• Servicios de gestión, inscripción y plataformado móvil. Se identifican algunos servicios imprescindibles para el servicio integral de la movilidad corporativa:
  • Contenedor seguro
  • Gestión de actualizaciones de SW
  • Plataformado remoto y masivo de dispositivos
  • Programas de inscripción de dispositivos (enrolamiento de fábrica)

• Servicio de Gestión de incidentes de seguridad en las comunicaciones móviles. El objetivo del Servicio de Gestión de Incidentes de Seguridad en las comunicaciones móviles, es la articulación de una gestión de respuesta a Incidentes graduada que permita responder eficaz y proporcionalmente a los eventos no deseados e intencionados que impacten en la operativa normal de la Organización.

• Servicio de auditoria, análisis de vulnerabilidades y test de intrusión. Es fundamental evaluar el estado de la seguridad de los activos, acorde a sus vulnerabilidades y a las amenazas sobre los mismos,  identificando los puntos de mejora, ayudando a prevenir,  mitigar y remediar los problemas encontrados. Este servicio deberá realizar pruebas de seguridad acorde a los vectores de ataque posibles inherentes a este tipo de soluciones de movilidad. 

• Otros servicios
  • Soporte y mantenimiento remoto de dispositivos móviles
  • Herramienta de borrado seguro de la información contenida en los dispositivos móviles
  • Certificados SSL
  • Sistema de Gestión de eventos e información de seguridad (SIEM)
  • Sistema de Gestión de Identidad