El estado de la seguridad de las aplicaciones

El estado de
la seguridad
de las
aplicaciones
Los recientes ataques dirigidos a aplicaciones y siistemas
operativos móviles, han puesto en riesgo una cantidad de
datos corporativos móviles sin precedente. Y son muchas
las empresas que siguen sin estar preparadas para
enfrentarse a las últimas amenazas móviles:
• Una de cada 10 empresas tiene al menos un dispositivo
en riesgo que accede a datos corporativos.
• Más del 53 % dispone de al menos un dispositivo que
no cumple las políticas de seguridad corporativa.
Este documento técnico explica la forma de proteger la
información corporativa, a la vez que pone de relieve la
capacidad transformadora de la tecnología móvil.
Para más información sobre cómo proteger la información
corporativa frente a las amenazas móviles, escuche el
webinar bajo demanda de MobileIron.
415 East Middlefield Road
Mountain View, CA 94043 EE. UU.
Tel. +1.650.919.8100
Fax +1.650.919.8006
[email protected]
Las aplicaciones impulsan los
negocios
Pero deben estar debidamente
aseguradas
El poder transformador de la tecnología móvil sólo
se puede llevar a cabo movilizando los procesos
corporativos esenciales. Tanto las aplicaciones
desarrolladas de forma personalizada como las
aplicaciones externas o de terceros están en el
núcleo de esta transformación.
A medida que el futuro del trabajo evoluciona en
dirección a la tecnología móvil, el futuro de las
infracciones de datos y la ciberdelincuencia yace en
las aplicaciones y en los sistemas operativos móviles.
Somos consumidores que entienden
de tecnología y esperamos que
nuestras herramientas de trabajo
estén a la altura del consumidor.
Los clientes de MobileIron
han implementado más de
300,000 aplicaciones
creadas de forma
personalizada para ser
utilizadas por los empleados.
Principales
aplicaciones
externas
implementadas:
1
2
3
4
5
6
7
8
9
10
Salesforce
Goodreader
Microsoft Office Suite
AnyConnect de Cisco
Box
Cisco Webex
Skype for Business
Google Docs
Evernote
Xora Mobile Worker
Algunos ataques recientes, como XcodeGhost,
Stagefright, Key Raider y YiSpecter, se están
dirigiendo por primera vez a las aplicaciones y
sistemas operativos móviles para apropiarse de
datos confidenciales, algo para lo que muchas
empresas no están preparadas.
Por ejemplo, las aplicaciones de iOS
infectadas con el malware XcodeGhost pueden
recopilar información sobre los dispositivos
y, seguidamente, cifrar y cargar esos datos
en servidores de comando y control (CnC)
controlados por atacantes a través del protocolo
HTTP. La empresa de detección de malware FireEye
identificó más de 4000 aplicaciones infectadas en
la App Store. Por su parte, la empresa de gestión
de riesgos en aplicaciones móviles Appthority,
descubrió que casi todas las organizaciones con un
mínimo de 100 dispositivos iOS tenían al menos un
dispositivo infectado.
Los atacantes están empezando
a capitalizar la incapacidad de
las empresas para prevenir y
detectar el malware móvil.
El malware KeyRaider se usó para robar
información de 225 000 iPhones a los que se
les practicó un “jailbreak”. Las herramientas
de ActiveSync/O365 y antivirus no están lo
suficientemente equipadas para hacer frente a
las amenazas móviles actuales, porque no son
visibles en los dispositivos expuestos a “jailbreaks”
o descifrados.
2
están atravesando redes no corporativas. Por
ejemplo, un empleado que viaja por motivos de
trabajo podría conectarse a una red wifi abierta
que puede o no ser legítima. El Control de Acceso
de Red (NAC) tradicional tiene una visibilidad muy
limitada con respecto al enfoque de seguridad de
un dispositivo móvil.
Una de cada 10 empresas tiene al menos un
dispositivo en riesgo que accede a datos
corporativos
El malware es cada vez más sofisticado; de hecho,
uno de los enfoques recientes es infiltrar redes
corporativas en la VPN para robar datos. Los
antivirus no son eficaces en esta situación, porque
los sistemas operativos móviles crean espacios
aislados para las aplicaciones, evitando así que los
antivirus puedan eliminar las amenazas. Cuando
los empleados utilizan la VPN para conectarse a
la red corporativa, las organizaciones están, sin
saberlo, permitiendo que todas las aplicaciones
puedan tener acceso a la red, incluidas las
aplicaciones maliciosas.
Más del 53 % de las empresas tienen al
menos un dispositivo que no cumple
las políticas de seguridad corporativa
Las organizaciones actuales tienen muchos tipos
diferentes de tecnología de seguridad que casi
nunca están totalmente integradas. Aún cuando lo
están, raramente incluyen información sobre los
dispositivos y aplicaciones móviles. Como cada vez
se trabaja más en dispositivos móviles y cada vez
más datos corporativos se mueven en aplicaciones
y en la nube, las organizaciones necesitan
asegurarse de que se están protegiendo frente a
las amenazas internas y externas.
Es el momento de reconsiderar la
seguridad de las aplicaciones
Las empresas deben
asegurarse de estar
usando antimalware
Asimismo, las empresas deben tener en cuenta
la pérdida de datos desde los puntos de acceso
no autorizados y los ataques de tipo “Man in
the Middle” (MitM). En el entorno móvil, existen
dispositivos propiedad (o no) de la empresa que
MobileIron asegura los datos corporativos en un
mundo de dispositivos de uso mixto, separando
los datos y aplicaciones corporativaos de los
personales, y autenticando a los usuarios, a las
aplicaciones y a los dispositivos antes de conceder
acceso a los recursos de la red. En función de la
identidad del usuario y su contexto de seguridad,
de la aplicación, el dispositivo, la red y la nube,
MobileIron permite a la empresa tomar decisiones
dinámicas sobre qué servicios proporcionar, a
quién y cuándo.
3
Para proteger los datos
confidenciales frente a las
amenazas futuras, las empresas
deben reconsiderar su enfoque de
seguridad y valorar una arquitectura
móvil totalmente diferente.
Defensas proactivas
La mayoría de las tecnologías de seguridad
actuales carecen de la conciencia móvil y de
la capacidad de evitar la pérdida de datos.
MobileIron da la bienvenida a las nuevas
características de la tecnología móvil, para
crear innovadoras formas de proteger los datos
móviles en las aplicaciones, la nube, la red y
los dispositivos que utilizan controles mediante
contenedores, cifrado y prevención de pérdida de
datos (DLP) a nivel de aplicación.
• MobileIron AppConnect asegura los datos en
reposo de las aplicaciones.
• MobileIron Tunnel asegura los datos en
movimiento de las aplicaciones.
• El Servicio de Control de Contenido de MobileIron
ofrece seguridad a nivel de documentos para
proteger el contenido corporativo en los servicios
personales de la nube.
• MobileIron Sentry, la puerta de enlace
inteligente de MobileIron, administra, cifra y
asegura el tráfico entre el dispositivo móvil y los
sistemas corporativos “back-end”.
Respuesta automática ante amenazas
Los mecanismos de respuesta actuales no están
logrando detectar y responder a las amenazas
móviles. MobileIron detecta el malware y los
riegos tanto en línea como sin conexión y genera
respuestas automatizadas en tiempo real, como el
borrado de datos y aplicaciones corporativas o el
bloqueo del acceso a la red. Por ejemplo,
• Un dispositivo en riesgo o que no cumpla las
políticas se puede poner en cuarentena y
eliminarse sus datos corporativos.
• El acceso a la red se puede limitar o bloquear
totalmente en respuesta a un descifrado o
“jailbreak” del dispositivo.
Seguridad de los datos en reposo y en
movimiento de las aplicaciones
La informática móvil pone los datos corporativos
en las aplicaciones. Por tanto, los datos
deben estar asegurados a nivel de aplicación.
AppConnect de MobileIron protege la
información en reposo dentro de la aplicación
y ofrece controles DLP para garantizar que los
datos corporativos sólo se compartan con las
aplicaciones de empresa y los servicios en la
nube autorizados. AppConnect elimina los datos
corporativos cuando se detecta una amenaza.
Los datos en movimiento se aseguran mediante
MobileIron Tunnel para la VPN por aplicación.
4
MobileIron Docs@Work ofrece controles de
prevención de pérdida de datos (DLP) para
proteger estos documentos de la distribución no
autorizada, y garantiza el acceso a los servicios
de almacenamiento de la empresa como
SharePoint, Office 365, OneDrive Pro y Box. Junto
con MobileIron Sentry, Docs@Work asegura los
adjuntos de correos electrónicos para que estén
cifrados y sólo se puedan visualizar con aplicaciones
autorizadas administradas por MobileIron.
• Poner algunas aplicaciones externas específicas
en listas blancas, para garantizar que el
contenido únicamente pueda abrirse en el resto
de aplicaciones administradas.
Integraciones para hacer que el sistema
de seguridad corporativa existente sea
compatible con la tecnología móvil
Conclusión
MobileIron ofrece una estrategia de defensa
exhaustiva reforzada por la existencia de un
ecosistema compuesto por los mejores socios, que
se integran con la compañía para conseguir que
la infraestructura de la empresa sea compatible
con las tecnologías móviles. MobileIron se ha
integrado con los principales proveedores de
gestión de amenazas, como FireEye, Veracode,
CheckPoint y Proofpoint para la detección y
mitigación de malware, y con los proveedores
líderes de Control de Acceso de Red Aruba, Cisco
y Forescout. Además, MobileIron se ha integrado
con Splunk para permitir a los departamentos
informáticos interceptar las amenazas de
seguridad, relacionando los datos de dispositivos
móviles con el modelo de información común de
Splunk para el diagnóstico de problemas.
• Restringir la capacidad de los usuarios de cortar,
copiar o pegar contenido.
Además de los socios EFSS, MobileIron cuenta con
más de 70 socios AppConnect y con más de 80
soluciones integradas existentes en el mercado.
MobileIron ha introducido una nueva arquitectura
de sistema operativo y modelo de aplicación.
Las expectativas de los usuarios y las posibles
amenazas han cambiado de tal forma que
la tecnología tradicional de seguridad de la
información ha dejado de ser efectiva.
MobileIron incorpora la obligatoriedad de identidad,
contexto de seguridad y privacidad, con el fin de
establecer el nivel adecuado de acceso a los datos
y servicios corporativos. Esto evita la pérdida de
datos corporativos en dispositivos móviles, en
aplicaciones, redes internas o en la nube.
Con MobileIron, únicamente los usuarios de
confianza en dispositivos seguros con aplicaciones
seguras y en sesiones garantizadas pueden
acceder a los datos corporativos. Esto es lo que se
entiende por seguridad corporativa moderna.
MobileIron AppConnect: un ecosistema
de aplicaciones móviles seguras
Los socios de MobileIron con proveedores de
Enterprise File Sync and Sharing (EFSS) permiten
al departamento informático ofrecer a los usuarios
acceso a las aplicaciones de consumidor que desean
utilizar, garantizando al mismo tiempo la protección
de los datos corporativos. Con MobileIron, las
empresas pueden instaurar controles en las
aplicaciones EFSS, como por ejemplo:
• Requerir que los usuarios inicien sesión en las
aplicaciones como Box sólo desde dispositivos
de confianza.
5