¿Debería una política de seguridad de TI permitir que los empleados usen Wi-Fi público? [cerrado]

El tráfico de Wi-fi puede ser interceptado a voluntad. Es esencialmente una transmisión, claramente en abierto, o encriptada con la contraseña si está presente; la mayoría de las veces, incluso el cifrado es inseguro.

El wi-fi público es generalmente redes no seguras o redes con una clave compartida. Esto permite a un atacante acceso sin restricciones. Un viajero típico no sabrá cuál de las muchas redes con nombre apropiado en el aeropuerto es oficial, y cuál es un atacante oportunista. Por lo tanto, es una suposición segura de que el tráfico que se envía de forma rutinaria a través de redes abiertas de Wi-Fi en algún momento, en alguna red, eventualmente se interceptará.

En cuanto a si se trata de un problema de seguridad, en el escenario perfecto donde los datos confidenciales simplemente se encuentran en la unidad, preferiblemente encriptados, el usuario no es un administrador, solo usa el wi-fi para sus necesidades personales, nunca para enviar El correo confidencial o el acceso a los datos de la empresa, y utilizan cifrado y autenticación de todo su tráfico, no lo es.

En el escenario imperfecto del mundo real, donde se mezclan datos confidenciales y personales, los usuarios alternan entre usar su computadora portátil como una estación de trabajo y como una terminal pública (sin tener en cuenta la seguridad, ya que están "simplemente revisando el clima") , es. Confiaría en varias protecciones para la seguridad dependientes de personas, la violación de una de las cuales filtrará los datos. En el peor de los casos, la computadora portátil del usuario puede cargar un RAT (troyano de acceso remoto).

No es un fallo de seguridad automático: gran parte de la web usa SSL ahora, por lo que no todos ven todo, y el tráfico de VPN también se puede cifrar. Pero es una gran superficie de ataque para un atacante dedicado u oportunista.

La mejor solución es, IMO, garantizar que las computadoras portátiles utilizadas para viajar no contengan información confidencial, y que no estén conectadas a las partes vulnerables de la intranet (suponiendo que no exista confianza de confianza). Además de eso , asegúrese de que el personal en viajes siga al menos un mínimo de prácticas de seguridad, como no usar redes abiertas y no enviar datos confidenciales sin cifrado de extremo a extremo.

Si es absolutamente necesario transferir datos confidenciales más allá del correo desde y hacia las computadoras portátiles mientras viaja, es posible diseñar una red corporativa que sea segura en canales inseguros, pero se necesita mucha más experiencia en seguridad para configurar y mantener segura de lo que puede ser realista. Cubierto en una respuesta SE. La VPN tiene que estar segura y siempre activa, las computadoras portátiles deben rechazar todas las demás conexiones, incluso para la actualización de Windows, no debería haber ninguna forma de evitarlo, y así sucesivamente.

Dado el costo insignificante de las tarjetas SIM locales en comparación con el costo de los viajes de negocios, es mejor usarlas en favor del wi-fi público, juntos con otras medidas de seguridad (correo cifrado, archivos cifrados , bajos privilegios, compartimentación, monitoreo, VPN). Incluso el wi-fi seguro sigue siendo la red de otra persona, alguien local que se puede suplantar y que tiene acceso de doble vía a su tráfico.

Creo que la pregunta tiene un enfoque equivocado al preguntar solo acerca de Wi-Fi público. En general, es una mala idea transmitir cualquier tipo de información confidencial a través de redes no confiables sin protección adicional. Dichas redes que no son de confianza pueden ser Wi-Fi públicas, pero también Wi-Fi de pago en hoteles, acceso a la red cuando se visita a algún cliente o contratista, redes móviles, ....

Es posible utilizar cualquiera de estas redes no confiables con la protección adicional adecuada en la parte superior, preferiblemente una VPN en la red de la compañía de confianza. Por supuesto, es necesario asegurarse de que realmente todo el tráfico pasa siempre a través de la VPN, es decir, no solo los sitios específicos de la empresa, no solo IPv4 y no solo el tráfico web, sino también el DNS y que no haya tráfico relevante antes de que se establezca la VPN. Esto no es fácil y muchos productos VPN no lo hacen correctamente, pero hay maneras de hacerlo correctamente.

Aparte de eso, los datos confidenciales de la computadora portátil en sí deben estar bien protegidos, incluso si la computadora portátil no está dentro de alguna red. Las computadoras portátiles se roban fácilmente, por lo que los datos confidenciales deben protegerse contra el robo, tal vez combinados con la pérdida previa de contraseñas en la navegación.

Como mencionó steffen, una buena solución puede ser una VPN de la empresa. Probablemente quiera tener uno de todos modos, así que solo debe hacer cumplir todo el tráfico a través de la VPN. Los empleados pueden acceder a internet y los datos son en su mayoría seguros. Sin embargo, todas las demás precauciones y advertencias de la publicación de Theracs se aplican, al igual que todas las mejores prácticas, por ejemplo, cifrar los datos de trabajo y separarlos de los datos personales.     

Como ya se ha referido a los demás, uno de los problemas más importantes relacionados con este escenario es que el acceso a WiFi pública presenta importantes desafíos de seguridad. Este es el caso debido a puntos de acceso inalámbrico (WAP) mal asegurados. Además, luego te enfrentas a la amenaza de puntos de acceso no autorizados y puntos de acceso de clonación (utilizados para los ataques de Evil Twin). Mitigar la amenaza que representan estos fallos de seguridad es difícil, pero si uno debe conectarse a puntos de acceso públicos, el mejor enfoque es utilizar una VPN.

Sin embargo, se podría argumentar que una VPN no es suficiente en esta instancia. Si estamos discutiendo la posibilidad de utilizar una máquina que contiene información vital en una red pública, entonces debemos encontrar otros medios para asegurarla. Básicamente, la máquina debe tener una contraseña segura, tener un software antimalware a bordo, estar actualizado con las firmas de malware comunes y potencialmente tener un disco duro cifrado (piense en FDE [Full Disk Encryption]).

Sin embargo, vale la pena señalar que es improbable que cualquier sistema que contenga material clasificado / sensible salga de las instalaciones. Al retirar dicho dispositivo de las instalaciones, un empleado generalmente corre el riesgo de violar su autorización, violar los términos de su contrato y potencialmente violar los acuerdos de no divulgación (NDA). También podría correr el riesgo de ser acusado de robar esa información por algún motivo nefasto.

En la era posterior a Snowden, se le puede garantizar que la mayoría de las compañías que tienen información altamente confidencial se asegurarán de que sus empleados no puedan llevar esta información a casa. La única excepción se puede encontrar con los empleados remotos, de los cuales trabajan desde casa y tienen diferentes condiciones aplicadas a su acceso a material sensible. En términos generales, los especialistas en seguridad de la información (especialmente los expertos en seguridad de la información) deben asegurarse de que los empleados sigan las denominadas mejores prácticas y no violen su propia seguridad y / o la de la compañía.