IBM ha decidido tomar una decisión tajante: no más memorias USB.
En vez de intentar gestionar el problema de quién copió que en que memoria USB desde que ordenador usando que tipo de cifrado, el rumor es que IBM ha decidido atajar el problema de una forma contundente “si tienes que mover ficheros utiliza la red”.
Es una medida audaz, y en la era actual de la nube, no es tan alocada como puede parecer a primera vista.
Muchos usuarios están perfectamente acostumbrados a guardar sus datos en la nube, incluso subiendo ficheros, como fotos, automáticamente desde un dispositivo y sincronizándose sin problemas con otros.
¿Pero puede funcionar una prohibición en algo tan usado como las memorias USB?
Le hemos preguntado a nuestro CISO, Ross McKerchar, quien cree:
Los dispositivos de almacenamiento extraíble son una gran preocupación. Mientras que actualmente son un vector de infección de malware menos común (pero aún real), el mayor problema reside en la filtración de datos.
Con la GDPR europea a punto de entrar en vigor, amenazando con mayores multas a las empresas que no se tomen lo suficientemente en serio la protección de los datos, el momento que ha escogido IBM para instaurar esta nueva regla no ha sido una sorpresa.
Sin lugar a dudas, si no tienes una memoria USB no la puedes perder, por lo que es una forma menos en la que tus datos lleguen a manos equivocadas.
Pero Ross avisa:
La prohibición total de una tecnología útil alimenta “shadow IT” [donde los usuarios buscan realizar su propia tecnología]. Los seres humanos somos muy creativos y a menudo encontramos soluciones que son más peligrosas que la que ha sido prohibida. Siempre que sea posible, las organizaciones serán más efectivas haciendo que el camino más sencillo sea el camino seguro.
Obligar al cifrado USB en una empresa del tamaño de IBM puede ser muy complicado, pero para una compañía de tamaño medio, puede ser una buena solución para mitigar el riesgo y permitir que los empleados trabajen de una manera cómoda.
Ofrecer servicios autorizados de almacenamiento en la nube, combinados con los controles correctos y la formación, puede ser una ayuda extra ya que puede evitar la necesidad de copiar datos en memorias USB. Un punto interesante sobre el compartir en vez de copiar es que es mucho más sencillo de auditar y eliminar si es necesario.
¿Qué es una memoria USB?
Un tema difícil con la prohibición total de memorias USB es que existen muchos tipos de memorias extraíbles, incluyendo dispositivos que se presentan con dos caras.
Por ejemplo, una grabadora de voz que se emplea para podcasts, ya sea conectada a un portátil como si fuera un potente micrófono o de manera autónoma desde donde descargarás los ficheros posteriormente.
Sin embargo este dispositivo también funciona como una memoria USB que te permite el intercambio de ficheros. ¿Qué decisiones tomamos con este dispositivo? ¿Lo prohíbes porque es en parte una memoria USB? ¿Me das a mi permiso de usarlo porque tengo que publicar podcast?
Como nos explica Ross:
Las amenazas internas son una preocupación para todas las empresas. La primera defensa es un equipo directivo vigilante, que frustre los intentos de los empleados de realizar actividades peligrosas.
¿Qué hacer?
Podemos entender las razones de IBM, un gigante de la informática y un proveedor de servicios en la nube, por las que quiere cambiar las memorias USB por almacenamiento en red, y que esa decisión funcione correctamente y que sus empleados la adopten mayoritariamente.
Pero en otro tipo de empresas el almacenamiento USB puede seguir siendo una opción correcta. Nuestros consejos si los vas a continuar usando son:
- Cifra todas las memorias USB. Puede que sea un poco más latoso pero por lo menos no será una preocupación en caso de que se pierdan.
- Ofrece alternativas fáciles de usar. Si quieres que se dejen de usar ofrece servicios que sean fáciles de utilizar y de aprender.
- Asegúrate de que todos conozcan los peligros. Prohibir los USB no solucionará las filtraciones de datos por lo que debemos hace hincapié en lo importante que es la seguridad.
- Chequea los logs. Independientemente de que tipo de almacenamiento utilices chequea los logs para saber quien está guardando que tipo de ficheros. Y si no los vas a chequear, no los tengas: nunca recopiles información sin un objetivo.
Para manteneros al día de las últimas amenazas haceros fans de nuestra página de Facebook o síguenos en Twitter para intercambiar experiencias en torno al mundo de la seguridad. Si deseas recibir nuestro boletín de seguridad en tu correo electrónico, suscríbete en la siguiente aplicación:
