TELETRABAJO O HOME OFFICE ¿ES POSIBLE?

¿ES POSIBLE EL TELETRABAJO O HOME OFFICE?

En base al Decreto emitido por nuestra Excelentísima Señora Presidente Jeanine Añez respecto a las medidas que debemos tomar frente al Corona Virus, se deben activar también protocolos de respuesta y planes para la continuidad de negocio.

El Ministerio de salud ha decretado medidas sanitarias, que incluyen el aislamiento por cuarentena, la prohibición de aglomeración de personas y las medidas de higiene mínimas para sobrellevar esta pandemia mundial.

Muchas oficinas y negocios se vieron (y se ven) afectadas por ésta ordenanza que evitará o disminuirá un contagio mayor dentro de nuestro país. Sin embargo, ¿Cómo deberíamos afrontar este cambio de horarios, el trabajo por turnos y hasta la suspensión de actividades y/o cierre de oficinas durante la cuarentena?

TELETRABAJO O TRABAJO A DISTANCIA

Muchas empresas e instituciones deben optar por el Teletrabajo, como medida para responder a la crisis pandemica que estamos atravesando, sin afectar las cadenas de suministro. Para llevar a cabo esto, es necesario tener en cuenta ciertas recomendaciones mínimas de seguridad para que nuestros trabajadores no sean víctimas de incidentes o ataques informáticos comprometiendo sus datos informáticos, ya que existen diferentes incidentes que pueden considerarse vectores de ataque durante el Teletrabajo, algunos de estos vectores pueden ser:

• Utilización de computadoras (propias de cada persona) que no cuenten con controles de seguridad apropiados (antivirus, actualizaciones, contraseñas, etc.)
• Utilización de redes públicas o no seguras (WIFI públicos).
• Falta de plan de concientización sobre ciber amenazas.
• Falta de planes de continuidad de negocios, de contingencia y/o manejo de crisis.
• Falta de Políticas, normas y procedimientos de seguridad.

VENTAJAS Y DESVENTAJAS DEL TELETRABAJO

La ventaja es que los empleados y funcionarios pueden acceder a información y recursos de su organización de forma remota, ya sea desde sus casas o donde se encuentren; mejor si es un ambiente controlado, de no ser así, la información se vuelve mucho más vulnerable.

El TELETRABAJO puede ser una muy excelente alternativa, no solo ante situaciones de contingencia o respuesta ante las crisis (como la que atravesamos hoy en día), sino como una modalidad adicional al trabajo convencional, que ofrece beneficios tanto a los empleados como a los empleadores.

A los empleados: mejora la calidad de vida, permite que pase más tiempo en familia, reduce costos asociados al traslado, alimentación y vestimenta y optimiza el tiempo productivo, al limitar las horas de traslado desde y hacia la oficina.

A los empleadores: ayuda a optimizar costos y recursos, como la energía eléctrica, limpieza, agua, café, etc. Y aumentar la productividad de sus empleados gracias a la flexibilidad que propone el trabajo más distendido desde el hogar.

Adicionalmente, esto tiene un impacto positivo en la sociedad y el medio ambiente, ya que al reducirse la cantidad de personas que se trasladan de sus casas a sus oficinas, el tránsito se vuelve más fluido, hay menos contaminación ambiental y menos polución sonora.

COMO IMPLEMENTAR UN TELETRABAJO SEGURO

Las recomendaciones mínimas para realizar un Teletrabajo seguro son:

1. Utilizar dispositivos (computadoras, notebooks, tablets, smartphones) seguros para acceder a la información y recursos de la empresa.

• Mantener actualizadas las políticas de seguridad, actualizaciones y software de Antivirus, para el caso de sistemas operativos comúnmente vulnerables.
• Contar con mecanismos de cifrado a nivel del dispositivo o disco.
• En caso de utilizar dispositivos móviles, configurar herramientas de administración del dispositivo (Ejemplo: Ms. Intune).
• Utilizar sistemas de control de acceso a la red (NAC) para gestionar las computadoras que podrán tener acceso a la red de la empresa.

2. Utilizar conexiones seguras a internet.

• Evitar conexiones inalámbricas gratuitas, públicas o que carezcan de protocolos de seguridad configurados (mínimamente, contraseña de acceso a la red).
• Si se trata de conexiones en el hogar, cambiar periódicamente las contraseñas de acceso a la red y ocultar el nombre del SSID, para mayor seguridad.

3. Establecer conexiones seguras entre los dispositivos del empleado y la organización.

• Registrar las direcciones MAC e IP desde las cuales se accederá a la red corporativa.
• Establecer conexiones VPN para el acceso remoto a los recursos y la información de la organización. Evitar el uso de conexiones vía escritorio remoto, ya que estos protocolos cuentan con varias vulnerabilidades de seguridad conocidas.
• Utilizar múltiples factores de autenticación – “MFA” (Ejemplo: Usuario, Contraseña, Token) para la conexión remota.
• Utilizar mecanismos de prevención de intrusiones (IDS) y de prevención de fuga de datos (DLP).
• Realizar análisis del tráfico entre redes a través de escaneos manuales o herramientas de aprendizaje automático (Network Traffic Analysis – NTA).
• Realizar pruebas de intrusión periódicas sobre los servicios y aplicaciones publicados hacia internet.

4. Utilizar contraseñas seguras y cambiarlas regularmente.

• Las contraseñas deben contar con números, letras y caracteres especiales, además, se recomienda una longitud mínima de 8 caracteres.
• No utilizar contraseñas triviales o fáciles de adivinar.
• Siempre que sea posible, forzar el cambio de contraseñas periódicamente o realizar el cambio de las mismas en forma manual.

5. Desarrollar políticas, normas y procedimientos de seguridad para el teletrabajo, que contemplen:

• Quiénes pueden (o deben) tener acceso a esta modalidad de trabajo y bajo qué condiciones (en situaciones de contingencia o como modalidad alternativa parcial o total al trabajo en las oficinas del empleador).
• Qué dispositivos podrán utilizarse para el efecto, considerar también políticas acerca del “Bring your own device – BYOD” o el uso de dispositivos propios del empleado.
• Restricciones para el almacenamiento de información en dispositivos externos y medios de almacenamiento en la nube.
• Responsabilidades, obligaciones y derechos del trabajador durante la modalidad del teletrabajo.
• Leyes o reglamentaciones vigentes sobre el teletrabajo.

6. Estar alertas a correos electrónicos y llamadas sospechosas, no proporcionar información a desconocidos ni acceder a enlaces o adjuntos sin confirmar que sean legítimos.

7. Reforzar las campañas de seguridad de la información con todos los colaboradores, haciendo énfasis en las amenazas derivadas de la Ingeniería Social.

LEGISLACION VIGENTE

Actualmente, Bolivia no cuenta con leyes o reglamentaciones acerca del Teletrabajo.

NORMAS Y ESTANDARES INTERNACIONALES

Existen diversos estándares de la industria de la seguridad de la información que incluyen lineamientos acerca del teletrabajo, sus implicancias y mejores prácticas para su implementación.

Entre los más conocidos se encuentran las publicaciones del NIST, Normas ISO 27001 (Políticas sobre acceso remoto) y Normas ISO 17799 – Informática Móvil y Teletrabajo.

Adicionalmente, el INCIBE (Instituto de Ciberseguridad de España) ha publicado un material sobre Protección en Movilidad y Conexiones Inalámbricas.

RECURSOS

NIST

https://csrc.nist.gov/publications/detail/sp/800-114/rev-1/final

https://csrc.nist.gov/publications/detail/sp/800-46/rev-2/final

https://csrc.nist.gov/publications/detail/itl-bulletin/2007/12/securing-external-computers-andother-devices-used-by-teleworker/final

https://csrc.nist.gov/Presentations/2011/Telework-Reference-Architecture

ISO

https://www.iso.org/obp/ui/#iso:std:iso-iec:27001:ed-2:v1:en

https://www.iso.org/obp/ui/#iso:std:iso-iec:27002:ed-2:v1:en

INCIBE

https://www.incibe.es/

https://www.incibe.es/sites/default/files/contenidos/dosieres/metad_proteccion_movilidad_y_conexiones_inalambricas.pdf

Fuente:
Angel Gaspar/ Paraguay
https://searchdatacenter.techtarget.com/es/definicion/Autenticacion-multifactor-MFA
https://www.conasa.es/blog/soluciones-nac-network-access-control/
http://www.ilo.ch/dyn/natlex/docs/ELECTRONIC/101724/122696/F-1565212389/Reglamento%20de%20Teletrabajo%20COSTA%20RICA.pdf

PROTECCIÓN DE DATOS PARA PACIENTES CON CORONA VIRUS

En nuestro país, no tenemos una "Ley de Protección de Datos" ni nada que regule nuestra información personal, muchas personas están siendo atacadas dentro de las redes sociales, simplemente porque sus datos han sido vulnerados y puestos en evidencia.

Dentro de unos días más, (esperemos que no suceda) en nuestro país puede existir un alto foco de infección del Corona virus, ya que en este momento nos encontramos (supuestamente) en proceso de incubación. Para ello, sean una o varias personas las infectadas, debemos analizar y prepararnos en el campo médico y legal. Es por eso que escribo este Blog para prevenir y precautelar principalmente la parte legal, y que en base a esto, muy pronto en nuestro país tengamos una "Ley de Protección de Datos".

¿Qué son los datos personales?

Los datos personales son cualquier tipo de información relativa a una persona física, viva, identificada o identificable. Todas o cada una de las distintas informaciones, que recopiladas pueden llevar a la identificación de una determinada persona, también constituyen datos de carácter personal. Estos datos pueden encontrarse en formato físico o digital y pueden estar almacenadas en cualquier tipo de formato, ya sea texto, video, audio, etc.

Algunos datos personales son:

a) Nombre y apellidos,

b) Domicilio,

c) Dirección de correo electrónico, del tipo nombre.apellido@empresa.com,

d) Número de cédula de identidad,

e) Datos de localización (como la función de los datos de localización de un teléfono móvil GPS),

f) Dirección de protocolo de Internet (IP),

g) El identificador de una cookie,

h) El número del teléfono,

i) Los datos médicos en poder de un hospital o clínica, etc.

Dentro de éstos datos personales, se encuentran los datos médicos, que son altamente sensibles, siendo los diagnósticos, uno de los más representativos.

Lastimosamente en nuestro país el diagnóstico de un paciente viaja de forma insegura por correos electrónicos o sistemas hospitalarios (fui parte de la implementación de uno, dentro de un seguro social y pude ver el manejo de cerca), en algunos casos, pasa desde secretaría, administración hasta llegar a los distintos doctores. Sin contar que en muchos casos pasan por los pasantes, residentes y practicantes médicos, quienes en afán de aprender y obtener más conocimiento, fotografían con el celular algunos diagnósticos, a algunos pacientes y también situaciones médicas que dan lugar al inicio de la ruptura de la privacidad del paciente.

Desde hace un par de días atrás, en nuestro país se pudo observar a pacientes enfermos de Corona virus, quienes fueron atacados de forma violenta (amenazas, insultos, etc.) por las Redes Sociales.

Todo ésto me parece injusto, ya que las buenas prácticas de recopilación de datos personales fueron nuevamente vulneradas.

Pensando en esas injusticias y malos tratos, recopilé algunas prácticas para que sean tomadas en cuenta:

1. Toda institución de Salud pública o privada debe resguardar los datos de un paciente identificado, ya que es considerada información sensible.

2. Recordar que los datos personales son eso, personales y además sensibles. Nadie debería tener derecho a publicar ni difundir datos de ésta sin su consentimiento.

3. Cada paciente es responsable de dar su consentimiento para dar la divulgación de sus datos.

4. Todos los datos generados dentro de una institución de salud, deben ser categorizados como datos sensibles y deben ser rigurosamente protegidos. En el caso específico del Corona virus, debe existir personal responsable que maneje de manera privada y con todas las medidas de seguridad ésta información, evitando la pérdida, destrucción, daño, acceso, modificación, etc.

5. Los datos recopilados con el fin de contener y prevenir la pandemia del Corona virus, no deberían utilizarse para propósitos distintos.

6. El Juramento Hipocrático debería regir entre los profesionales de salud que procesen y manejen o manipulen los datos del paciente.

7. Empresas e instituciones que intervienen en el proceso, deberían proteger la confidencialidad sobre los datos personales para evitar daño o discriminación al paciente afectado.

8. El Estado debería ser responsable de definir los plazos de conservación de los datos personales relacionados con el Corona virus, así como el mecanismo para eliminar esa información de forma segura, esto debido a la falta de un Marco Legal dentro de nuestro país.

En base a todas esas malas prácticas realizadas en el manejo de información sensible dentro de algunas instituciones de salud, es que nuevamente vemos necesaria una "Ley de Protección de Datos" para salvaguardar nuestra información personal. 

Fuente: 

https://ec.europa.eu/info/law/law-topic/data-protection/reform/what-personal-data_es

http://www.infodf.org.mx/index.php/protege-tus-datos-personales/%C2%BFqu%C3%A9-son-los-datos-personales.html

Miguel Gaspar / Paraguay