Uso y promoción de unidades Flash USB cifradas en su organización

Recomendaciones para ayudar a su organización a mantener confidencial la información así clasificada, y cumplir normativas como el RGPD de la UE y el Reglamento del NYDFS de Nueva York.

Creación de un plan de USB cifradas: Protección y cumplimiento normativo

• El momento óptimo para elaborar un plan de USB cifrado es antes de tener que demostrar que dispone de uno. Incorpore las unidades flash USB cifradas, y las políticas correspondientes, a la estrategia general de seguridad de su organización.
• Establezca buenas prácticas de uso de unidades USB cifradas o externas, como la expedición de identificadores de empleados y/o dispositivos portátiles de la empresa como norma práctica de política y orientación.
• Disponga de un plan de contingencias para recuperar unidades perdidas.

Si no tiene un plan (ni directrices) para el uso de unidades USB cifradas o externas, ni directrices de uso, carecerá de una base sobre la cual construir y su organización está en riesgo a todo nivel, incluso de incumplir las normas. Las pérdidas y vulneraciones de datos se han hecho más onerosas para las empresas, ya que los métodos de los atacantes se han hecho más sofisticados. Un estudio de ciberseguridad realizado en 2021 llegó a la conclusión de que el coste medio de las vulneraciones de datos en todo el mundo fue de 4,24 millones de dólares. Eso supuso un incremento del 10% con respecto a 2020. Evite estos costes elaborando un plan práctico de protección de los datos —y aténgase al mismo— que evite ataques de BadUSB utilizando solamente unidades USB cifradas o externas aprobadas.

Formación y educación

Establezca un programa de formación que eduque a los empleados en lo relativo a usos admisibles e inadmisible de las unidades Flash USB y externas, y en materia de políticas de uso de dispositivos propios (BYOD, por sus siglas en inglés).

• Exponga a los usuarios los incidentes de intrusión reales, así como otras consecuencias negativas, que se producen por utilizar unidades USB y externas no cifradas.
• Involucre a RR.HH. y a los altos directivos para que le apoyen en sus iniciativas de protección de datos. Tanto los empleados nuevos como los existentes deben ser capacitados, como parte de la orientación de la empresa y la formación continua, en las normas y políticas.
• Establezca un programa de canje. Comprometa a los empleados ofreciéndoles canjear sus USB personales, o los que utilizan para trabajar o como dispositivos de almacenamiento adquiridos en ferias comerciales, etc., por unidades USB y cifradas autorizadas por la organización.

El no capacitar y educar a los usuarios finales implica no tener una estrategia de prevención de fuga de datos perfectamente estanca, por lo cual su organización queda expuesta a vulneraciones de datos. Un estudio de seguridad de los dispositivos USB realizado por Ponemon observó que el 72% de los empleados utilizan unidades Flash que recibieron como obsequio en ferias comerciales, eventos empresariales, etc., incluso en organizaciones que ofrecen opciones de dispositivos ‘aprobados’.

Establecimiento e implementación de pólizas

Establezca políticas de uso adecuado de soportes portátiles de almacenamiento electrónico, incluyendo unidades Flash USB. Empiece por:

• Identificar a las personas y grupos que tengan que acceder a datos sensibles y confidenciales, o descargarlos, en unidades USB y externas cifradas, y establecer una política que posibilite dicho acceso.
• Documentar las políticas para equipos de TI y usuarios finales
• Imponer que todos los empleados asistan a las actividades de formación, y que firmen un acuerdo una vez concluidas, para que entiendan las políticas de uso admisible y las consecuencias de incumplir las directrices.

Si no ha implementado las políticas adecuadas de obligado cumplimiento, las unidades USB y externas pueden ser el talón de Aquiles de su estrategia de protección de datos. Establecer una política es el primer paso, y muy importante. Además, el estudio de Ponemon concluyó que prácticamente el 50% de las organizaciones confirmaron que habían perdido dispositivos con información sensible o confidencial en los 24 meses anteriores a la encuesta.