El estado de la seguridad de las aplicaciones

Transcripción

1 El estado de la seguridad de las aplicaciones Los recientes ataques dirigidos a aplicaciones y siistemas operativos móviles, han puesto en riesgo una cantidad de datos corporativos móviles sin precedente. Y son muchas las empresas que siguen sin estar preparadas para enfrentarse a las últimas amenazas móviles: Una de cada 10 empresas tiene al menos un dispositivo en riesgo que accede a datos corporativos. Más del 53 % dispone de al menos un dispositivo que no cumple las políticas de seguridad corporativa. Este documento técnico explica la forma de proteger la información corporativa, a la vez que pone de relieve la capacidad transformadora de la tecnología móvil. Para más información sobre cómo proteger la información corporativa frente a las amenazas móviles, escuche el webinar bajo demanda de MobileIron. 415 East Middlefield Road Mountain View, CA EE. UU. Tel Fax info@mobileiron.com

2 Las aplicaciones impulsan los negocios El poder transformador de la tecnología móvil sólo se puede llevar a cabo movilizando los procesos corporativos esenciales. Tanto las aplicaciones desarrolladas de forma personalizada como las aplicaciones externas o de terceros están en el núcleo de esta transformación. Somos consumidores que entienden de tecnología y esperamos que nuestras herramientas de trabajo estén a la altura del consumidor. Principales aplicaciones externas implementadas: Los clientes de MobileIron han implementado más de 300,000 aplicaciones creadas de forma personalizada para ser utilizadas por los empleados Salesforce Goodreader Microsoft Office Suite AnyConnect de Cisco Box Cisco Webex Skype for Business Google Docs Evernote Xora Mobile Worker Pero deben estar debidamente aseguradas A medida que el futuro del trabajo evoluciona en dirección a la tecnología móvil, el futuro de las infracciones de datos y la ciberdelincuencia yace en las aplicaciones y en los sistemas operativos móviles. Algunos ataques recientes, como XcodeGhost, Stagefright, Key Raider y YiSpecter, se están dirigiendo por primera vez a las aplicaciones y sistemas operativos móviles para apropiarse de datos confidenciales, algo para lo que muchas empresas no están preparadas. Por ejemplo, las aplicaciones de ios infectadas con el malware XcodeGhost pueden recopilar información sobre los dispositivos y, seguidamente, cifrar y cargar esos datos en servidores de comando y control (CnC) controlados por atacantes a través del protocolo HTTP. La empresa de detección de malware FireEye identificó más de 4000 aplicaciones infectadas en la App Store. Por su parte, la empresa de gestión de riesgos en aplicaciones móviles Appthority, descubrió que casi todas las organizaciones con un mínimo de 100 dispositivos ios tenían al menos un dispositivo infectado. Los atacantes están empezando a capitalizar la incapacidad de las empresas para prevenir y detectar el malware móvil. El malware KeyRaider se usó para robar información de iphones a los que se les practicó un jailbreak. Las herramientas de ActiveSync/O365 y antivirus no están lo suficientemente equipadas para hacer frente a las amenazas móviles actuales, porque no son visibles en los dispositivos expuestos a jailbreaks o descifrados. 2

3 están atravesando redes no corporativas. Por ejemplo, un empleado que viaja por motivos de trabajo podría conectarse a una red wifi abierta que puede o no ser legítima. El Control de Acceso de Red (NAC) tradicional tiene una visibilidad muy limitada con respecto al enfoque de seguridad de un dispositivo móvil. Una de cada 10 empresas tiene al menos un dispositivo en riesgo que accede a datos corporativos El malware es cada vez más sofisticado; de hecho, uno de los enfoques recientes es infiltrar redes corporativas en la VPN para robar datos. Los antivirus no son eficaces en esta situación, porque los sistemas operativos móviles crean espacios aislados para las aplicaciones, evitando así que los antivirus puedan eliminar las amenazas. Cuando los empleados utilizan la VPN para conectarse a la red corporativa, las organizaciones están, sin saberlo, permitiendo que todas las aplicaciones puedan tener acceso a la red, incluidas las aplicaciones maliciosas. Más del 53 % de las empresas tienen al menos un dispositivo que no cumple las políticas de seguridad corporativa Las organizaciones actuales tienen muchos tipos diferentes de tecnología de seguridad que casi nunca están totalmente integradas. Aún cuando lo están, raramente incluyen información sobre los dispositivos y aplicaciones móviles. Como cada vez se trabaja más en dispositivos móviles y cada vez más datos corporativos se mueven en aplicaciones y en la nube, las organizaciones necesitan asegurarse de que se están protegiendo frente a las amenazas internas y externas. Es el momento de reconsiderar la seguridad de las aplicaciones Las empresas deben asegurarse de estar usando antimalware Asimismo, las empresas deben tener en cuenta la pérdida de datos desde los puntos de acceso no autorizados y los ataques de tipo Man in the Middle (MitM). En el entorno móvil, existen dispositivos propiedad (o no) de la empresa que MobileIron asegura los datos corporativos en un mundo de dispositivos de uso mixto, separando los datos y aplicaciones corporativaos de los personales, y autenticando a los usuarios, a las aplicaciones y a los dispositivos antes de conceder acceso a los recursos de la red. En función de la identidad del usuario y su contexto de seguridad, de la aplicación, el dispositivo, la red y la nube, MobileIron permite a la empresa tomar decisiones dinámicas sobre qué servicios proporcionar, a quién y cuándo. 3

4 Para proteger los datos confidenciales frente a las amenazas futuras, las empresas deben reconsiderar su enfoque de seguridad y valorar una arquitectura móvil totalmente diferente. Defensas proactivas La mayoría de las tecnologías de seguridad actuales carecen de la conciencia móvil y de la capacidad de evitar la pérdida de datos. MobileIron da la bienvenida a las nuevas características de la tecnología móvil, para crear innovadoras formas de proteger los datos móviles en las aplicaciones, la nube, la red y los dispositivos que utilizan controles mediante contenedores, cifrado y prevención de pérdida de datos (DLP) a nivel de aplicación. MobileIron AppConnect asegura los datos en reposo de las aplicaciones. MobileIron Tunnel asegura los datos en movimiento de las aplicaciones. El Servicio de Control de Contenido de MobileIron ofrece seguridad a nivel de documentos para proteger el contenido corporativo en los servicios personales de la nube. MobileIron Sentry, la puerta de enlace inteligente de MobileIron, administra, cifra y asegura el tráfico entre el dispositivo móvil y los sistemas corporativos back-end. Respuesta automática ante amenazas Los mecanismos de respuesta actuales no están logrando detectar y responder a las amenazas móviles. MobileIron detecta el malware y los riegos tanto en línea como sin conexión y genera respuestas automatizadas en tiempo real, como el borrado de datos y aplicaciones corporativas o el bloqueo del acceso a la red. Por ejemplo, Un dispositivo en riesgo o que no cumpla las políticas se puede poner en cuarentena y eliminarse sus datos corporativos. El acceso a la red se puede limitar o bloquear totalmente en respuesta a un descifrado o jailbreak del dispositivo. Seguridad de los datos en reposo y en movimiento de las aplicaciones La informática móvil pone los datos corporativos en las aplicaciones. Por tanto, los datos deben estar asegurados a nivel de aplicación. AppConnect de MobileIron protege la información en reposo dentro de la aplicación y ofrece controles DLP para garantizar que los datos corporativos sólo se compartan con las aplicaciones de empresa y los servicios en la nube autorizados. AppConnect elimina los datos corporativos cuando se detecta una amenaza. Los datos en movimiento se aseguran mediante MobileIron Tunnel para la VPN por aplicación. 4

5 MobileIron ofrece controles de prevención de pérdida de datos (DLP) para proteger estos documentos de la distribución no autorizada, y garantiza el acceso a los servicios de almacenamiento de la empresa como SharePoint, Office 365, OneDrive Pro y Box. Junto con MobileIron Sentry, Docs@Work asegura los adjuntos de correos electrónicos para que estén cifrados y sólo se puedan visualizar con aplicaciones autorizadas administradas por MobileIron. Integraciones para hacer que el sistema de seguridad corporativa existente sea compatible con la tecnología móvil MobileIron ofrece una estrategia de defensa exhaustiva reforzada por la existencia de un ecosistema compuesto por los mejores socios, que se integran con la compañía para conseguir que la infraestructura de la empresa sea compatible con las tecnologías móviles. MobileIron se ha integrado con los principales proveedores de gestión de amenazas, como FireEye, Veracode, CheckPoint y Proofpoint para la detección y mitigación de malware, y con los proveedores líderes de Control de Acceso de Red Aruba, Cisco y Forescout. Además, MobileIron se ha integrado con Splunk para permitir a los departamentos informáticos interceptar las amenazas de seguridad, relacionando los datos de dispositivos móviles con el modelo de información común de Splunk para el diagnóstico de problemas. Poner algunas aplicaciones externas específicas en listas blancas, para garantizar que el contenido únicamente pueda abrirse en el resto de aplicaciones administradas. Restringir la capacidad de los usuarios de cortar, copiar o pegar contenido. Además de los socios EFSS, MobileIron cuenta con más de 70 socios AppConnect y con más de 80 soluciones integradas existentes en el mercado. Conclusión MobileIron ha introducido una nueva arquitectura de sistema operativo y modelo de aplicación. Las expectativas de los usuarios y las posibles amenazas han cambiado de tal forma que la tecnología tradicional de seguridad de la información ha dejado de ser efectiva. MobileIron incorpora la obligatoriedad de identidad, contexto de seguridad y privacidad, con el fin de establecer el nivel adecuado de acceso a los datos y servicios corporativos. Esto evita la pérdida de datos corporativos en dispositivos móviles, en aplicaciones, redes internas o en la nube. Con MobileIron, únicamente los usuarios de confianza en dispositivos seguros con aplicaciones seguras y en sesiones garantizadas pueden acceder a los datos corporativos. Esto es lo que se entiende por seguridad corporativa moderna. MobileIron AppConnect: un ecosistema de aplicaciones móviles seguras Los socios de MobileIron con proveedores de Enterprise File Sync and Sharing (EFSS) permiten al departamento informático ofrecer a los usuarios acceso a las aplicaciones de consumidor que desean utilizar, garantizando al mismo tiempo la protección de los datos corporativos. Con MobileIron, las empresas pueden instaurar controles en las aplicaciones EFSS, como por ejemplo: Requerir que los usuarios inicien sesión en las aplicaciones como Box sólo desde dispositivos de confianza. 5