Con las últimas noticias sobre las fallas de seguridad de Zoom, el Departamento de Ciberdefensa y Ciberseguridad de la Subsecretaría de Defensa publicó un comunicado recomendandó lo siguiente:
NO UTILIZAR Zoom para materias del Servicio ya sea de clasificación pública, reservada o secreta, puesto que información pude ser vulnerada, exponiendo datos de los usuarios y de los servicios, junto a los privilegios de las estaciones de trabajo
¿Cuál es la seguridad de los datos almacenados en Teams?
Ante esta situación, la pregunta que muchas personas se hacen es: ¿Están a salvo mis datos en Teams? Y la respuesta es que sí.
Dentro del marco de cumplimiento de Microsoft para servicios en línea, la compañía define mediante ejemplos, cómo dominar el cumplimiento y qué medidas objetivas de control se aplican para cumplir con las necesidades de la industria. La lista de estándares, protocolos y qué conforma dicho protocolo es muy extensa para incluirla acá, pero te invitamos a verla en el siguiente enlace o consultar esta tabla resumen:
Microsoft divide sus servicios en cuatro niveles, de la letra A a la D. Teams cumple con los requisitos del nivel D, lo que significa que Microsoft no utilizará los datos de los clientes para fines publicitarios, no se entregarán datos de clientes voluntariamente a fuerzas de orden y seguridad, cumple con la Family Educational Rights and Privacy Act, obligación contractual a mantener los datos en EE.UU. o la UE si el cliente reside en alguno de esos países, certificación FedRAMP, ISO 27001, ISO 27018 y un panel administrativo que permite configurar funciones avanzadas.como las que mencionaremos a continuación, entre otras.
¿Qué seguridad me da Teams ante amenazas de terceros?
Teams es un servicio modular, ya que su integración se da al sumar los componentes de múltiples servicios. Por ejemplo, todo el servicio de chat almacena el historial en el buzón de exchange del usuario y pueden aplicarse políticas de mensajería para controlar qué controles están disponibles para qué usuarios y bajo qué contextos de comunicación. Un ejemplo de estas políticas, es establecer la función compartir pantalla sólo dentro de la organización pero bloquearla para personas de fuera, no permitir la edición o borrado de mensajes o prohibir el chat privado entre alumnos y profesores en un colegio.
A esto también se pueden aplicar las tecnologías de Enterprise Mobility & Security, como la retención por juicio, archivado, prevención de pérdida de datos, políticas de enlaces seguros y auditorías avanzadas. Con esto, puedo establecer un mecanismo de análisis de direcciones web enviadas a través del chat, generar altertas o bloqueos automáticos cuando contenido no autorizado como números de tarjeta de crédito es compartido, realizar búsquedas globales sobre los mensajes de la organización para detectar posibles filtraciones ante posibles ataques de ransomware.
Pero la seguridad de Teams no se limita al envío de mensajes, políticas de mensajería y escaneo de enlaces. Los servicios asociados a un equipo de Teams también pueden ser gobernados y administrados con las mismas herramientas. Esto significa que si alguien intentara enviar un documento excel con los números de tarjeta de crédito, contrato u otro patrón de información sensible, se activarán los mecanismos de alerta. También es posible establecer las opciones de acceso compartido, que nos permitirán definir si es que los usuarios de organizaciones externas podrán acceder a nuestro contenido y cuál será el proceso para realizarlo.
Todo esto es posible gracias a los servicios de identidad de Microsoft, que nos permiten administrar nuestro Azure Active Directory con múltiples controles como el inicio de sesión restringido desde ciertas IP o ubicaciones geográficas, restringir el funcionamiento de algunos servicios sólo al interior de la organización, forzar o requerir la autenticación multifactor al identificarse, bloquear o establecer métodos controlados para prevenir el acceso de terceros a la organización, bloquear la descarga de documentos compartidos por internet y forzar a los usuarios externos a utilizar autenticación multifactor cada vez que ingrersen a nuestra organización.
¿Qué debo hacer para activar estas características?
Puedes encontrar los controles para activar estas características en el panel administrativo de cada herramienta, sin embargo, es importante que estos cambios sean parte de una estrategia de transformación digital y no simplemente abrir o cerrar servicios sin un hilo conductor que justifique hacerlo. Consulta con tu CPOR para que te asesore en la mejor estrategia digital.