Usar el portátil y el teléfono de forma segura

Módulo 5: Dispositivos, software y red · Tiempo de lectura: 10 minutos

Objetivo de aprendizaje: después de esta lección podrá proteger portátiles y teléfonos frente a pérdida, robo y malware, y sabrá qué hacer en la primera hora si un dispositivo desaparece.
Conceptos clave: bloqueo de pantalla, cifrado de disco, clave de recuperación, buscar y borrar un dispositivo, protección integrada, usuario estándar, cuenta de administrador, permisos de aplicaciones, gestión remota (MDM)

El dispositivo es el manojo de llaves

En el portátil o teléfono de un empresario no solo hay archivos. También hay sesiones iniciadas de correo, contabilidad y banca, contraseñas guardadas, la aplicación de autenticación para la verificación en dos pasos, datos de clientes en la carpeta de descargas y fotos de pasaportes que alguien le envió "solo un momento". Un dispositivo perdido o robado es, por tanto, casi siempre más que una simple pérdida material. Puede dar acceso a toda su empresa y puede constituir una filtración de datos (lección 8.2).

Hay dos tipos de riesgos, con medidas distintas:

Bloqueo de pantalla: la primera puerta

Sin bloqueo, cualquiera que coja su dispositivo puede continuar justo donde usted lo dejó. Configure por tanto:

• un código PIN o contraseña en cada dispositivo, con biometría (huella dactilar o rostro) como comodidad adicional. Un PIN de seis cifras o más es mucho más seguro que uno de cuatro; un patrón de desbloqueo a menudo se puede leer por las marcas de deslizamiento en la pantalla;
• bloqueo automático tras unos minutos de inactividad;
• el hábito de bloquear usted mismo el dispositivo al alejarse. En Windows es tecla de Windows + L, en un Mac es Control + Command + Q;
• limitar las notificaciones en la pantalla de bloqueo. Un código de inicio de sesión por SMS o un fragmento de un correo confidencial no tiene por qué ser visible para quien vea su teléfono sobre la mesa.

Cifrado de disco: lo que un ladrón no puede leer

Un bloqueo de pantalla detiene a un curioso, pero no a un ladrón con tiempo. Este puede extraer el disco de un portátil y leerlo en otro ordenador. Contra ese escenario ayuda el cifrado de disco: todos los datos del almacenamiento se cifran con una clave que solo se libera cuando usted inicia sesión. Sin esa clave, el disco es un conjunto de caracteres ilegibles.

El cifrado va acompañado de una clave de recuperación: un código largo con el que puede acceder a los datos si su contraseña deja de funcionar o tras un cambio importante en el dispositivo. Guarde esa clave en un lugar al que también pueda acceder si el propio portátil ha desaparecido, por ejemplo en su gestor de contraseñas o en la cuenta de su organización. Una clave de recuperación en una nota dentro de la funda del portátil es tan útil como la llave de casa debajo del felpudo.

Por qué esto importa para el RGPD: si pierde un dispositivo cifrado cuya clave está a salvo, la probabilidad de uso indebido de los datos es pequeña. Con un portátil sin cifrar que contiene datos de clientes, la situación es distinta. Cómo valorar esto lo aprenderá en la lección 8.2.

¿Perdido? La primera hora

Configúrelo ahora, así funcionará cuando lo necesite:

1. Active la búsqueda y el borrado remotos. Apple, Google y Microsoft tienen cada uno una función para mostrar un dispositivo en el mapa, hacerlo sonar, bloquearlo y borrarlo. Solo funciona si se ha activado de antemano.
2. Sepa dónde inicia sesión para hacerlo, y asegúrese de poder hacerlo también sin el dispositivo perdido. Si su verificación en dos pasos está solo en ese teléfono, necesitará sus códigos de recuperación (lección 2.3).

Si el dispositivo se ha perdido:

1. Bloquéelo de forma remota y muestre un mensaje con un número de teléfono.
2. Cierre las sesiones de sus servicios más importantes: correo, almacenamiento en la nube, contabilidad. En Nextcloud, por ejemplo, puede revocar el acceso por dispositivo u ordenar al dispositivo que borre los datos de ese servicio.
3. Cambie las contraseñas de las cuentas que estaban abiertas en el dispositivo, desde otro dispositivo limpio.
4. Borre el dispositivo en remoto si no lo recupera pronto.
5. Evalúe y documente si contenía datos personales, y presente denuncia en caso de robo.

Malware: protección integrada y permisos mínimos

Un portátil o teléfono moderno ya incorpora mucha protección: Windows tiene Microsoft Defender, macOS tiene sus propios controles sobre los programas, y las tiendas de aplicaciones de Apple y Google revisan las aplicaciones antes de ofrecerlas. Un paquete antivirus independiente puede ofrecer funciones adicionales, pero lo más importante es que la protección integrada esté activada y se mantenga actualizada.

Dos hábitos marcan una gran diferencia:

• Trabaje a diario como usuario estándar, no como administrador. El malware que inicia por accidente obtiene los mismos permisos que usted. Como usuario estándar puede hacer mucho menos: no puede instalar software, no puede cambiar la configuración del sistema, no puede desactivar la protección. Si alguna vez necesita permisos de administrador, el sistema le pedirá la contraseña de administrador. Ese momento de reflexión es precisamente la intención.
• Instale únicamente desde la tienda de aplicaciones oficial o desde el sitio del fabricante. En Android esto significa dejar desactivada la opción de "instalar desde fuentes desconocidas". En los fraudes de petición de ayuda o en los falsos avisos bancarios, los estafadores suelen enviar un enlace a una "aplicación" que en realidad toma el control de su pantalla.

Permisos de aplicaciones: ¿qué puede hacer una aplicación?

Cada aplicación solicita permisos: cámara, micrófono, ubicación, contactos, archivos. Una aplicación de linterna que pide acceso a sus contactos no tiene una buena razón para ello. Revise los permisos una vez por trimestre en los ajustes de su teléfono:

• conceda la ubicación solo "mientras se usa la aplicación", no de forma permanente;
• revoque el acceso a contactos y archivos en las aplicaciones que no lo necesiten. Sus contactos son datos personales de otras personas;
• elimine las aplicaciones que ya no use;
• preste especial atención a las aplicaciones que solicitan permisos de accesibilidad o compartir pantalla. Con ellos, una aplicación puede ver y pulsar todo lo que usted ve.

¿Más dispositivos? Gestión remota

Si trabaja con varias personas o más, el "que cada uno se encargue de lo suyo" se vuelve difícil de controlar. Con la gestión remota (Mobile Device Management, MDM) configura de forma centralizada que cada dispositivo esté cifrado, tenga un bloqueo, reciba actualizaciones y pueda borrarse de forma remota. Existen soluciones integradas en los grandes paquetes ofimáticos empresariales, servicios independientes y opciones de código abierto. Para los teléfonos propios de los empleados (bring your own device), a menudo solo puede gestionar la parte profesional, de modo que no pueda acceder a las fotos privadas de nadie.

Incluso sin MDM, puede establecer acuerdos y revisarlos juntos una vez al año. La lista de verificación del ejercicio le ayuda con esto.

En la práctica: así se ve

En Nextcloud, tal como lo ofrece WebOké, en Ajustes, Seguridad encontrará una lista llamada Dispositivos y sesiones. Allí verá cada navegador, aplicación y contraseña de aplicación que tiene acceso. Mediante los tres puntos puede revocar el acceso de un dispositivo concreto, o hacer que el dispositivo borre los datos de Nextcloud en cuanto vuelva a conectarse. En otros servicios en la nube esto suele llamarse "dispositivos", "sesiones" o "resumen de seguridad" y funciona de forma similar.

Resumen

• Un dispositivo es un manojo de llaves: en él hay sesiones, contraseñas y la aplicación de verificación en dos pasos.
• Active el bloqueo automático, use un PIN seguro y limite las notificaciones en la pantalla de bloqueo.
• Active el cifrado de disco y guarde la clave de recuperación en un lugar distinto al del dispositivo.
• Active de antemano la búsqueda y el borrado remotos; en caso de pérdida: bloquear, cerrar sesiones, cambiar contraseñas, borrar, evaluar.
• Trabaje como usuario estándar, instale solo desde fuentes oficiales y revise los permisos de las aplicaciones.

Cuestionario

Ejercicio

Ejercicio D5.2: Revisar su portátil y su teléfono. Compruebe en su propio portátil y teléfono el bloqueo, el cifrado de disco, la clave de recuperación, la búsqueda y el borrado remotos, el tipo de cuenta y los permisos de las aplicaciones. Marque la lista de verificación y anote qué haría si le robaran el teléfono mañana.

Para saber más

Los pasos de los artículos de WebOké se aplican al entorno de WebOké; en otros proveedores funciona de forma similar.

• Manual de Nextcloud 3.6: Ver, anular o borrar dispositivos y sesiones a distancia
• Manual de Nextcloud 3.10: Teléfono perdido o 2FA perdido: así vuelve a entrar
• Manual de WebOké 3.6: Ver y cerrar sesiones activas
• INCIBE, dispositivos móviles: https://www.incibe.es/empresas
• Microsoft, cifrado de dispositivo en Windows: https://support.microsoft.com/nl-nl/windows/apparaatversleuteling-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df
• Apple, códigos de acceso y protección de datos (en inglés): https://support.apple.com/guide/security/passcodes-and-passwords-sec20230a10d/web