Introducció a la ciberseguretat en el teletreball-supervisors
vídeo 1 Què hem de tenir en compte per protegir les dades?
vídeo 2 Com compartir un document de manera segura amb l'emmagatzemament al núvol d'One Drive
vídeo 3 Què hem de tenir en compte per no caure en enganys?
vídeo 4 Com protegir-nos davant atacs de virus informàtics (ransomware)
vídeo 5 Revisa privacitat, amb Màrius Serra
El teletreball és l'exercici de la prestació de serveis fora de les instal·lacions, des de la casa del treballador o la treballadora, o a través d'espais habilitats de la Generalitat de Catalunya per fer aquestes funcions.
La virtualització de l'oficina i l'aposta per la mobilitat i altres formes de prestació dels serveis plantegen una sèrie de reptes a l'hora de generar cultura adequada sobre ciberseguretat i protecció de dades, extensibles a tots els empleats.
En aquest sentit, teletreballar comporta el risc de treballar en llocs desprotegits, fora d'un perímetre de seguretat on les amenaces i els riscos són més evidents, que fa necessari que el teletreballador adopti algunes mesures.
El departament o organisme competent haurà d'avaluar i aprovar, a instàncies de l'òrgan competent per autoritzar el teletreball, els mitjans propis que la persona interessada es proposi utilitzar.
Per això es concretarà un pla personal de treball que emplenaran la persona teletreballadora i la persona supervisora on, a més d'altres aspectes, s'hi descriurà:
En aquest curs es preveuen, per tant, dos escenaris de teletreball:
Els tres temes següents descriuen mesures de seguretat orientades a garantir la confidencialitat, la privacitat, la integritat, la disponibilitat, l'autenticitat i la traçabilitat de la informació.
En un escenari de teletreball els riscos poden ser més importants i cal minimitzar-los amb unes proteccions addicionals.
S'implementen nous sistemes que milloren la seguretat de la xarxa sense comprometre la usabilitat de les persones usuàries.
Però es fa imprescindible la generalització de l'ús d'eines corporatives que incorporen elements essencials de seguretat.
Qui no s'ha deixat alguna vegada el portàtil desbloquejat quan marxa a fer un cafè?
Per aquest motiu, hem de tenir cura mentre treballem (i també quan no treballem) i seguir les bones pràctiques que us mostrem a continuació.
L'escenari habitual al lloc de treball, amb formularis de declaracions, actes de controls, pagaments, informes jurídics en pantalla o sobre la taula, s'ha transformat de manera radical.
Aquesta situació parteix d'una sèrie de mesures organitzatives bàsiques i imprescindibles.
Autoritzar teletreballar a l'equip de col·laboradors comporta el risc que treballin en llocs desprotegits, és a dir, sense barreres de seguretat físiques i lògiques implantades a les instal·lacions.
Fora d'aquest perímetre de seguretat, augmenten les amenaces i les vulnerabilitats, la qual cosa fa necessari d'adoptar mesures de seguretat addicionals segons el grau de criticitat de la
No pel fet de teletreballar s'ha de deixar d'estar atent a quina documentació tens sobre la taula i quins documents vols imprimir.
Moltes vegades, un document s'imprimeix per comoditat, però potser després acaba en una paperera on qualsevol persona el podrà agafar i llegir-hi dades patrimonials o de comissió d'infraccions, per exemple.
Per aquest motiu, has d'evitar o limitar la impressió en paper.
A més dels documents que se solen imprimir, l'espai de treball també es pot arribar a convertir en un arc de Sant Martí amb tots els colors de les notes adhesives enganxades.
Una d'aquestes notes adhesives pot ser la contrasenya d'accés al correu que sempre s'oblida o el PIN de la targeta d'identificació electrònica d'empleat públic (la targeta T-CAT ).
Per tant, cal prendre les mesures adients per evitar que persones alienes puguin visualitzar o accedir a la informació del mitjà tecnològic, sense autorització.
Recordem-los, doncs, que cal custodiar, si en tenen, la targeta T-CAT després d'usar-la.
Finalment, cal que consideris que, en el cas del teletreball, el lloc de treball es pot diversificar: una taula a casa, una sala de reunions, un espai compartit, un espai en un hotel, etc. Per tant, has de procurar d'aplicar les mesures de seguretat a tots els escenaris.
Segons la Llei orgànica de protecció de dades i garantia de drets digitals (LOPDGDD), la informació amb dades de caràcter personal (que contenen expedients, currículums, historials mèdics, etc.), s'ha de mantenir custodiada sempre que no s'hi estigui treballant (consulta la normativa aplicable ).
Si en el lloc de treball on no es genera documentació en paper, cal treballar mínimament en paper o llapis de memòria, sempre s'ha de guardar als calaixos amb clau quan no s'utilitzi (sobretot si es tracta de dades sensibles o especialment protegides); evidentment, cal tenir cura si per algun motiu, com ara una reunió en àrees de col·laboració, reunió informal o fora del departament, es fa ús d'aquesta documentació o s'hi accedeix (física o en llapis de memòria).
En cas d'haver autoritzat a algú a treure informació del Departament (segons procediment del Departament), en teletreballar fora de les instal·lacions, majoritàriament des del domicili o en espais habilitats on t'acompanyen altres persones, cal tenir-ne molta més cura, i també haurem de disposar de sistemes per encadenar el portàtil a la taula i mai deixar cap tipus de documentació a la vista.
En tant que personal teletreballador, el dispositiu tecnològic ha d'estar configurat amb un mètode d'autenticació robust per accedir a la sessió d'inici.
A l'hora d'utilitzar un ordinador o entrar en una aplicació, la dada més important és la teva credencial d'accés.
Si algú amb males intencions roba aquesta identitat i contrasenya, pot suplantar la identitat i accedir a tot arreu on tinguem permisos (correu, contactes, agenda, documents de compartits al núvol, etc.).
Cal, doncs, que tinguem molt present que tot el personal teletreballador és responsable de fer un ús segur dels mitjans amb què treballa, tant si són mitjans corporatius com propis.
Per aquest motiu, cal tenir en compte una sèrie de mesures per gestionar credencials.
Un cop rebuda una credencial a l'ordinador o de qualsevol aplicació per primer cop, sempre cal fer-la canviar per una que sigui pròpia de la persona usuària, que només ella conegui.
Aquesta situació és igualment aplicable després de la reactivació d'una clau oblidada (típica situació que pot passar, per exemple, quan es torna de vacances).
Cal recordar que mai no s'han de compartir contrasenyes amb ningú, ni tampoc la targeta T-Cat ni el PIN associat!
Així mateix, si no és una bona pràctica apuntar les contrasenyes en una nota adhesiva, tampoc no ho és fer-ho en llibretes o en qualsevol full de paper.
De la mateixa manera, si es deixen les contrasenyes en un fitxer de text dins de l'ordinador, i un dia treballant en un espai compartit el deixes desbloquejat, permetria que qualsevol accedís a aquest fitxer i pogués robar totes les contrasenyes que conté.
Hi ha gestors de contrasenyes que et poden ajudar en aquesta tasca.
Tampoc no és segur utilitzar l'opció de recordar contrasenyes dels navegadors, ja que, si un usuari maliciós entra al sistema, podrà accedir a totes les aplicacions web que facin servir aquestes credencials.
És important seguir les recomanacions del sistema de Gestió d'Identitats i Accés a Recursos corporatiu (GICAR), i canviar les
contrasenyes periòdicament, tal com defineixen les polítiques aprovades que asseguren la complexitat.
Arribats en aquest punt, hi ha l'enllaç al portal d'autogestió de contrasenyes, davant de qualsevol problema que puguis tenir amb les teves credencials corporatives.
KeePass és un gestor de contrasenyes amb moltes funcionalitats que ofereixen seguretat quan utilitzem moltes contrasenyes en el dia a dia.
El dispositiu tecnològic corporatiu emprat per teletreballar no ha de quedar mai desatès, especialment si s'ha superat el procés d'identificació i autenticació per accedir a sistemes i/o aplicacions.
Cal recordar que quan s'hagi de desatendre'l temporalment, cal que romangui bloquejat i, si convé, encadenat (hi ha sistemes per poder-ho fer).
En el cas que la persona teletreballadora faci ús d'un dispositiu tecnològic propi, és recomanable actuar de la mateixa manera.
Finalment, cal que s'apagui l'ordinador quan es tanca la jornada laboral, encara que s'estigui treballant a casa.
Quan es reinicia el sistema operatiu, permetem que s'actualitzi el programari i es descarreguin les darreres proteccions de seguretat necessàries (actualitzacions d'antivirus, etc.).
Les tecnologies de la informació i les comunicacions (TIC) són part indispensable del funcionament de l'Administració.
La implantació de les TIC esdevé un element d'eficiència i modernitat que permet l'accés electrònic dels ciutadans als serveis públics per fer totes les seves gestions i tràmits, i afavoreix l'acostament de l'Administració als ciutadans.
Cal abstenir-se de fer ús de xarxes wifi públiques que no siguin proporcionades per la Generalitat de Catalunya (per exemple, xarxes wifi públiques de cibercafès, centres comercials, aeroports, hotels, etc.).
S'han d'emprar les xarxes wifi securitzades conegudes que requereixin una contrasenya per establir connexió (per exemple, les xarxes domèstiques).
Aquest tipus de xarxes wifi utilitzen com a mínim l'estàndard de seguretat WPA2 (amb usuari i contrasenya).
Què hem de tenir en compte per protegir les dades?
Per tal d'evitar que persones alienes a la Generalitat de Catalunya puguin visualitzar informació del mitjà tecnològic o accedir-hi, sense autorització, en els mitjans corporatius, a banda de sistemes de bloqueig de dispositiu, es permetrà l'accés a través de VPN en determinats serveis (intranet, aplicacions amb client pesat, servidor de fitxers corporatiu, tractament de dades confidencials, etc.) si són necessaris per teletreballar i els heu autoritzat.
Cal utilitzar serveis d' emmagatzemament al núvol i eines col·laboratives que estiguin autoritzades corporativament per processar dades de la Generalitat de Catalunya.
Consulteu el projecte Espai de col·laboració.
Davant l'ús de serveis al núvol, tot i que estiguin autoritzats, sempre pensa dues vegades la sensibilitat de la informació que hi emmagatzemes i a qui atorgues permisos per accedir-hi.
L'entorn Office 365 ofereix moltes eines i serveis que estan autoritzats i et permetran organitzar el teletreball.
Com compartir un document de manera segura amb l'emmagatzemament al núvol d'One Drive
El web del CTTI té un apartat amb les guies d'ús de treball en mobilitat amb diversos recursos i eines per treballar col·laborativament en entorns on-line.
En aquest bloc s'explicaran els perills més comuns amb els quals es pot topar el personal d'una organització, i el camí per combatre i evitar aquests riscos tot promovent la navegació segura a la xarxa.
L' enginyeria social és un mètode que consisteix a eludir els sistemes de seguretat amb enganys.
El concepte enginyeria social es refereix a una sèrie de
tècniques que s'utilitzen per tal d'obtenir, a través de l'engany, informació privada sobre el nostre entorn, i així poder fer atacs més sofisticats, com ara accedir als nostres sistemes o fer un robatori d'informació.
A través del correu electrònic o de les xarxes socials ens solen arribar molts atacs d'aquest tipus, com per exemple els missatges que ens arriben en els quals
hi sol haver un fitxer adjunt o ens indiquen que cal fer clic en un enllaç.
El que pretenen és infectar l'ordinador amb algun tipus de programari maliciós ( malware ) per robar informació.
Els ciberdelinqüents cerquen informació sobre la vida personal o els dispositius, a través
de les dades públiques presents a Internet o amb enganys previs, per sobrepassar la seguretat dels sistemes.
El correu electrònic, els SMS, la missatgeria instantània i, fins i tot, les trucades telefòniques, poden ser utilitzades per enganyar la persona usuària, amb l'objectiu de robar-li les credencials o fer-li instal·lar programes maliciosos.
La pesca de credencials ( phishing ) és una pràctica exercida a través d'Internet que consisteix a suplantar la identitat electrònica d'una organització determinada amb l'objectiu de
convèncer algú perquè reveli informació confidencial com ara contrasenyes,
dades de targetes de crèdit, de la Seguretat Social o números de comptes
bancaris, que posteriorment seran utilitzats amb finalitats fraudulentes.
La pesca de credencials és un tipus d'atac molt utilitzat pels ciberdelinqüents.
Els missatges de pesca de credencials semblen provenir d'organitzacions legítimes, com un departament de l'Administració o el teu banc.
No obstant això, en realitat es tracta d'imitacions.
electrònics fraudulents redirigeixen a una pàgina web falsa per robar les credencials.
Imagina que arriba aquest correu electrònic:
Per aquest motiu és molt important verificar que el correu electrònic és de confiança i no sembla sospitós.
En aquest cas era evident que no era així ( mailto: [EMAIL] ), ni amb la signatura corporativa de correu corresponent.
Un altre punt que has de tenir en compte és que el correu electrònic no és l'única eina vulnerable a la pesca de credencials.
L'ús habitual del mòbil també ha portat a modalitats vinculats a l'ús de missatgeria instantània, SMS o, fins i tot, ús de la veu en les trucades.
Consells a fomentar per no caure víctima d'aquest tipus d'engany:
Vídeo que es pot difondre per conscienciar usuaris: Parlem de... frau digital
Exemple de pesca de credencials que suplantava la Generalitat de Catalunya i demanava credencials d'accés de l'adreça electrònica corporativa:
El programari de segrest ( ransomware ) és un tipus de programari maliciós, el qual, si infecta el teu ordinador, li donaria al ciberdelinqüent la capacitat, des d'una ubicació remota, de bloquejar, segrestar i/o xifrar els arxius de l'equip.
Aleshores, el ciberdelinqüent podria exigir-te un rescat a canvi, per exemple, de la recuperació de tot allò que s'ha segrestat.
La via d'entrada del programari de segrest a l'ordinador pot ser un adjunt o un enllaç dins un correu electrònic o mitjançant el navegador (si es visita una pàgina web infectada amb aquest tipus de programari maliciós).
També pot accedir al portàtil a través de la connexió a la xarxa.
N'hi ha que, un cop infecten la primera màquina, es propaguen a la resta d'equipaments connectats a la xarxa, sense cap intervenció per part dels usuaris, i exploten vulnerabilitats conegudes del programari.
El 'ransomware' és un codi maliciós molt perillós, ja que pot acabar xifrant o segrestant les carpetes compartides de la xarxa corporativa.
Què podem explicar per evitar que això succeeixi?
Així mateix, si els dispositius (mòbils, tauletes, ordinador) són propis:
Com protegir-nos davant atacs de virus informàtics (ransomware)
Parlem de correu brossa ( spam ) quan s'abusa dels sistemes de missatgeria electrònica i s'envien missatges massius no sol·licitats de manera indiscriminada.
La teva adreça electrònica, com la de la majoria, té un sistema de filtratge que impedeix que aquest tipus de correus ensorri la teva bústia, però en algunes ocasions aquest filtre no funciona de manera adequada i és important saber
Els que fan correu brossa solen comprar bases de dades amb milers d'adreces electròniques per enviar publicitats i altres tipus de
missatges, generalment enganyosos i molt molestos per als destinataris.
Factors que cal tenir en compte:
La navegació segura evita comprometre l'equip dels perills que hi ha a la xarxa.
Cal fomentar algunes recomanacions per navegar de manera segura:
Procurar navegar per pàgines web que tinguin xifrat HTTPS, per evitar que un ciberdelinqüent pugui interceptar i interpretar la informació.
El protocol HTTPS és visible a l'inici de l' URL del web.
900 828 282 (servei de 24 hores, 7 dies a la setmana).
Recordeu aquests canals en el Pla personal de treball dels teletreballadors.
Qualsevol informació relativa que t'identifiqui o que et faci identificable és una dada de caràcter personal.
Encara que no tinguem el nom i cognoms d'una persona, disposem d'informació suficient per poder arribar a identificar-la.
Les dades personals engloben dades identificatives:
I també inclouen dades més sensibles com ara:
La persona treballadora és responsable de seguir les recomanacions d'ús i les normes de seguretat per donar compliment al marc normatiu vigent.
És responsable de la seguretat de les dades personals que tracta i de seguir els procediments establerts per donar compliment a la normativa segons els tractaments de dades establerts.
El tractament de dades, segons el RGPD, és l'operació o el conjunt d'operacions que duem a terme sobre les dades personals, com ara quan les consultem, registrem o comuniquem.
Si fins fa poc temps la legislació establia un catàleg de mesures de ciberseguretat que s'havien d'aplicar en virtut de la naturalesa i les finalitats de les dades, el RGPD i l'aplicació de la nova LOPDGDD obliga a fer una valoració dels riscos dels tractaments de dades i, en virtut d'aquesta, a través d'un enfocament basat en la proporcionalitat, adoptar les mesures de ciberseguretat adients.
Revisa privacitat, amb Màrius Serra
De vegades, no te n'adones i comparteixes informació involuntàriament amb persones o en zones inadequades, i aquesta informació es pot veure compromesa.
Per exemple, cal evitar parlar de feina quan quedes per esmorzar o dinar amb companys, o en espais com ara un ascensor: alguna persona podria aprofitar aquesta fuita d'informació no intencionada.
D'altra banda, també cal mantenir el secret professional com a membre d'una institució pública i, per tant, evitar parlar d'assumptes concrets de treball en determinats llocs.
Tampoc no s'haurien d'emmagatzemar dades a programari no autoritzat, com pot ser el cas de Dropbox (no és un proveïdor de núvol autoritzat): quan compartim informació a través d'aquest servei, perdem la traçabilitat de les dades i mai no podem estar segur de com es tracten.
A l'hora de compartir informació amb persones internes o externes al teu departament, ho has de fer amb les eines que aquest et proporciona, ja que, igual que en el cas anterior, es perd la traçabilitat de la informació i poses en perill les dades.
Cal advertir que no s'han d'utilitzar adreces electròniques que no siguin de l'organització per enviar dades confidencials.
Si per motius de seguretat el correu electrònic no deixa enviar dades a certs contactes externs a l'organització, és per algun motiu de seguretat establert al Departament i no s'ha d'infringir.
Si cal compartir dades amb un contacte bloquejat, s'ha de parlar amb el responsable de tractament de la informació perquè ho autoritzi o determini com cal fer-ho.
Les dades personals tenen moltes categories que cal considerar:
Les dades que estan protegides especialment,
i que ara s'anomenen " categories especials de dades ", són:
Es recomana explicitar quines mesures tècniques i organitzatives s'han establert en el Pla personal de treball del teletreballador per a cadascuna de les activitats de tractament de dades associades.
Trobareu les dades de contacte en l'apartat de Protecció de dades del web del Departament de gencat.cat.
Anar al web del Departament > Menú Departament > Apartat Protecció de dades
És important fomentar el xifratge (encriptació) de dades quan no hi ha més remei que enviar informació sensible o confidencial per correu electrònic, ja que podrien interceptar-la o podríem enviar informació confidencial a alguna persona no autoritzada sense adonar-nos-en.
Per tant, s'ha de xifrar la informació i comunicar personalment a la persona involucrada a través d'un mitjà diferent al de l'enviament de les dades, la contrasenya per desxifrar la informació.
Comprimir arxius amb contrasenya d'accés
Usa opcions de xifrat de 7Z, WinRAR o WinZIP quan hagis d'enviar per correu o per moure informació a través de llapis de memòria USB expressament autoritzats.
Xifrar els documents de Microsoft Office amb les eines que et facilita
Les versions més recents de l'Office de Windows permeten el xifratge d'informació en el document mateix.
Un incident és qualsevol situació en la qual les eines mitjançant les quals es poden fer els processos de negoci (activitat habitual diària) es veuen degradades o, fins i tot, sense possibilitat d'operació.
Un dels aspectes clau per garantir l'èxit de la gestió i la solució dels incidents és la rapidesa amb què es detecten i es notifiquen les incidències.
Per això cal conèixer, en primera instància, quan s'experimenta una incidència, saber amb qui cal posar-se en contacte i per quin canal.
En cas d'incident de ciberseguretat s'ha de desconnectar de la xarxa el mitjà tecnològic i notificar-ho a través del Procediment de notificació d'incidents de ciberseguretat.
En cas de pèrdua o robatori, a més, s'ha de presentar una denúncia davant dels cossos de seguretat i lliurar-ne una còpia a l'organisme competent.
En adreçar-se al SAU-Remedy, totes les peticions s'han de demanar a partir de tres categories generals:
La informació es pot reflectir en diversos formats, que has de poder tractar, classificar, arxivar i emmagatzemar, seguint les mesures de seguretat adients, segons la confidencialitat de la informació continguda.
Cal recordar que ens hem d'abstenir de tractar i emmagatzemar informació de la Generalitat de Catalunya en el disc local o en suports externs a través dels mitjans tecnològics emprats per teletreballar.
Només pots emmagatzemar la informació en els espais habilitats per l'organisme competent.
Així mateix, has de tenir ben present que tampoc no pots fer còpies de seguretat en local de la informació de l'organisme competent en els mitjans tecnològics emprats per teletreballar.
La informació digital cal que sigui tractada, editada i emmagatzemada a les carpetes de xarxa, al gestor de continguts i a les aplicacions que el teu departament posa a la teva disposició.
Si el mitjà tecnològic és corporatiu, cal assegurar-se, preguntant a l'Àrea TIC, que els discs durs estan dotats dels mecanismes de xifratge corresponents.
Quan vols protegir la informació no digitalitzada, cal que tinguis en compte tant l'emmagatzemament de la informació com la manera en què aquesta és transmesa.
Tant en la transmissió d'informació com en l'emmagatzemament, sempre cal que utilitzis les aplicacions i eines corporatives, que estan dissenyades tenint en compte els aspectes de seguretat adients.
És important que no s'utilitzin correus personals per transmetre informació confidencial i que sempre s'intenti emmagatzemar-la en alguna ubicació a la xarxa corporativa (per exemple, servidor de fitxers corporatiu, aplicacions corporatives, etc.) en lloc d'emmagatzemar-la en els equips dels teletreballadors (disc dur de l'ordinador) o en un suport extraïble (DVD, memòria USB, disc dur extern, etc.).
Les eines de l'O365 permeten un emmagatzemament temporal però no definitiu, i cal tenir-ho en compte.
La informació digital que contenen els sistemes informàtics és sensible a ser modificada, esborrada o corrompuda per error humà, o de manera malintencionada.
D'aquesta manera, les aplicacions corporatives o les persones que hagin d'utilitzar aquesta informació sensible no la podran fer servir.
Per tal d'evitar costos en la recuperació de la informació digital (de vegades, fins i tot, és impossible), cal fer còpies per emmagatzemar-la periòdicament en algun sistema diferent, que no estigui exposat a les mateixes amenaces de manera simultània.
Les còpies de seguretat es fan de tota la informació continguda en carpetes de la xarxa corporativa (o en espais d'emmagatzemament habilitats en l'Office 365, que permeten sincronització, versions de documentació anterior, mantenir durant un temps els arxius esborrats, etc.).
Per això cal recordar que és important abstenir-se de guardar en aquests espais continguts personals que no tenen relació amb la funció professional.
A més, cal abstenir-se de fer còpies de seguretat en local de la informació de l'organisme competent en els dispositius tecnològics emprats per teletreballar.
Existeixen eines alternatives com ara Veracrypt (en aquest enllaç hi ha un petit tutorial de com usar-lo).
Aquests mètodes de xifratge estan disponibles per a les persones usuàries de l'Administració.
En cas que sigui necessari, cal que la persona interessada es posi en contacte amb el responsable TIC del Departament o el SAU.
A l'últim, dispositius mòbils intel·ligents, corporatius o propis, requereixen manteniment i actualització si volem accedir de manera segura a les eines de treball.
Cal seguir algunes recomanacions:
Anar al web del Departament > Menú Departament > Apartat Protecció de dades.
Per exemple, Protecció de dades del Departament de Justícia
Anar a la intranet del Departament > Menú Departament > Apartat Normativa > Pestanya Procediments.
Avís legal: D\'acord amb l'article 17.1 de la Llei 19/2014, la ©Generalitat de Catalunya permet la reutilització dels continguts i de les dades sempre que se'n citi la font i la data d'actualització i que no es desnaturalitzi la informació (article 8 de la Llei 37/2007) i també que no es contradigui amb una llicència específica.