Introducció al mòdul de ciberseguretat en el teletreball

💻 1. El lloc de treball

⚠️ 2. Precaucions pel que fa als riscos en l’ús de les eines TIC bàsiques

🔐 3. Gestionar dades personals, garantir la continuïtat i evitar pèrdues d'informació

Normativa aplicable

El teletreball és l’exercici de la prestació de serveis fora de les instal·lacions, des de la casa del treballador o la treballadora, o a través d’espais habilitats per l'administració pública local on treballem per fer aquestes funcions.

L’oficina virtual, l’aposta per la mobilitat i altres formes d'organització del treball i prestació dels serveis, plantegen una sèrie de reptes a l’hora de generar una cultura adequada sobre ciberseguretat i protecció de dades, extensibles a tots els empleats.

En aquest sentit, un projecte de teletreball comporta el risc de treballar en llocs desprotegits, fora d’un perímetre de seguretat on les amenaces i els riscos són més evidents, que fa necessari que la persona teletreballadora adopti algunes mesures.

En aquest curs es donen indicacions en dos escenaris de teletreball possibles:

1. Quan s'usa un dispositiu corporatiu, mitjançant les eines i els mitjans de treball que són propietat de la corporació local competent (per exemple, ordinadors corporatius amb connexió VPN o dispositius mòbils corporatius). En aquest cas és possible accessos als servidors de fitxers o intranets de forma segura quan es poden monitoritzar aquests accessos.
2. Quan s'usa un dispositiu propi, mitjançant les eines i els mitjans de treball que són propietat seva (per exemple, l'ordinador portàtil personal o dispositius mòbils personals). Aquest escenari ha d'estar expressament autoritzat i cal que es descriguin quins usos exactament s'autoritzen (habitualment els referits a accessos a portals corporatius -extranets amb accés amb credencials personals-, al correu electrònic via web, serveis digitals autoritzats on poder actuar remotament…). En cas que l'organisme tingui eines ofimàtiques al núvol també pot haver alguns permisos d'accés.

Els tres temes següents descriuen mesures de seguretat orientades a garantir la confidencialitat, la privacitat, la integritat, la disponibilitat, l'autenticitat i la traçabilitat de la informació.

Quan vas al despatx d'una oficina bancària, sovint et trobes una pila de papers a sobre de la taula de la persona que t'atén. T'has preguntat alguna vegada si en aquella pila hi deu haver dades teves? Tothom les veuria com veus ara mateix les dades d'un expedient d'una tal senyora Martínez? Aquest mateix escenari es trasllada fàcilment al nostre lloc de treball, amb formularis de declaracions, actes de controls, pagaments o informes jurídics en pantalla o sobre la taula. En el teu cas, teletreballar comporta el risc de treballar en llocs desprotegits, és a dir, sense barreres de seguretat físiques i lògiques implantades a les instal·lacions. Fora d'aquest perímetre de seguretat, augmenten les amenaces i les vulnerabilitats, la qual cosa fa necessari d'adoptar mesures de seguretat addicionals segons la informació que es manega.

No pel fet de teletreballar has de deixar d'estar atent a quina documentació tens sobre la taula i quins documents vols imprimir. Moltes vegades, un document s'imprimeix per comoditat, però potser després acaba en una paperera on qualsevol persona el podrà agafar i llegir-hi dades patrimonials o de comissió d'infraccions, per exemple. Per aquest motiu, has d'evitar o limitar la impressió en paper.

A més dels documents que se solen imprimir, l'espai de treball també es pot arribar a convertir en un arc de Sant Martí amb tots els colors de les notes adhesives enganxades. Una d'aquestes notes adhesives pot ser la contrasenya d'accés al correu que sempre s'oblida o el PIN de la identificació per la signatura electrònica (la targeta T-CAT i T-CAT P) o la identificació com a ciutadà (la IdCat i IdCat Mòbil). No seria la primera vegada, i a les pel·lícules també ens ho han mostrat, que un usuari maliciós entra al nostre sistema utilitzant la contrasenya que tenim en una nota adhesiva.

Per tant, cal prendre les mesures adients per evitar que persones alienes puguin visualitzar o accedir a la informació del mitjà tecnològic, sense autorització.

Recorda també de custodiar, si en tens, la targeta T-CAT o T-CAT P després d'usar-la.

Finalment, cal que consideris que, en el cas del teletreball, el lloc de treball es pot diversificar: una taula a casa, una sala de reunions, un espai compartit, un espai en un centre cívic, etc. Per tant, has de procurar d'aplicar les mesures de seguretat a tots els escenaris.

Recull de notícies que parlen de casos reals

• Les contrasenyes més utilitzades a Internet també són les més fàcils de piratejar.🔗enllaç
• Després de rebre un atac de hackers, en una entrevista a un responsable de la cadena de televisió TV5Monde es poden veure notes adhesives amb usuaris i contrasenyes. La contrasenya que es veia del compte de YouTube era “lemotdepassedeyoutube”. 🔗enllaç

↑ Inici del bloc | ↑ Índex de la unitat

Segons la Llei orgànica de protecció de dades i garantia de drets digitals (LOPDGDD), la informació amb dades de caràcter personal (per exemple, que contenen expedients, currículums, historials mèdics, etc.) s'ha de mantenir custodiada sempre que no s'hi estigui treballant.

Si en el lloc de treball on no es genera documentació en paper, cal treballar mínimament en paper o llapis de memòria, sempre s'ha de guardar als calaixos amb clau quan no s'utilitzi (sobretot si es tracta de dades sensibles o especialment protegides); evidentment, cal tenir cura si per algun motiu, com ara una reunió en àrees de col·laboració, reunió informal o fora del lloc físic de treball es fa ús d'aquesta documentació o s'hi accedeix (física o en llapis de memòria).

En cas d'estar autoritzats degudament per treure-la de l'edifici on habitualment estem, en teletreballar fora de les instal·lacions, majoritàriament des del domicili o en espais habilitats on hi ha altres persones, cal tenir-ne molta més cura: també haurem de disposar de sistemes per encadenar el portàtil a la taula i no deixar mai cap tipus de documentació a la vista (per exemple si imprimim en zones comunes on tothom pot tenir accés a les impressores).

Recull de notícies que parlen de casos reals

• Troben expedients amb dades personals d'usuaris de serveis municipals de Reus en un abocador de runa. 🔗enllaç
• Roben la cartera i el portàtil del cotxe del tinent d'alcalde de Barcelona. 🔗enllaç

↑ Inici del bloc | ↑ Índex de la unitat

En tant que personal teletreballador, el teu dispositiu tecnològic ha d'estar configurat amb un mètode d'autenticació robust per accedir a la sessió d'inici.

A l’hora d’utilitzar un ordinador o entrar en una aplicació, la dada més important és la teva contrasenya. Si algú amb males intencions et roba aquesta contrasenya, et podrà suplantar la identitat i accedir a tot arreu on tinguis permisos. Cal, doncs, que tinguis molt present que, com a personal teletreballador, ets responsable de fer un ús segur dels mitjans amb què treballes, tant si són corporatius com propis.

Per aquest motiu, t'expliquem una sèrie de mesures molt útils a l’hora d’utilitzar contrasenyes. Un cop rebis la contrasenya del teu ordinador o de qualsevol aplicació per primer cop, sempre cal canviar-la per una de pròpia, que només tu coneguis. Aquesta contrasenya te l'ha donat un administrador i, en cas que vulgui accedir al teu ordinador o comprovar una incidència en una aplicació, ho haurà de fer amb el seu compte d'administrador, no pas amb el teu. Aquesta situació és igualment aplicable després de la reactivació d’una clau oblidada (típica situació que pot passar, per exemple, quan es torna de vacances).

Per tant, recorda que mai no has de compartir les contrasenyes amb ningú, ni tampoc la targeta T-Cat ni el PIN associat!

Així mateix, si no és una bona pràctica apuntar les contrasenyes en una nota adhesiva, tampoc no ho és fer-ho en llibretes o en qualsevol full de paper. De la mateixa manera, si deixes les contrasenyes en un fitxer de text dins de l’ordinador i un dia treballant en un espai compartit el deixes desbloquejat, qualsevol podrà accedir a aquest fitxer i robar-te totes les teves contrasenyes. Si no tens bona memòria o utilitzes moltes contrasenyes, hi ha eines que et poden ajudar en aquesta tasca.

Tampoc no és segur utilitzar l’opció de recordar contrasenyes dels navegadors, ja que, si un usuari maliciós entra al teu sistema, podrà accedir a totes les aplicacions web on facis servir aquestes credencials.

També és important seguir les recomanacions específiques (complexitat mínima de les contrasenyes) del servei de suport i canviar les contrasenyes periòdicament.

Si utilitzes noms propis o paraules de diccionari, un atacant pot esbrinar la paraula de pas en menys d'un segon. Una mostra de les 20 més usades durant l'any 2020 i, per tant, les pitjors a usar són les següents:

Pots fer servir trucs o metodologies per generar contrasenyes noves, per exemple:

• Utilitzar una frase o cita i abreujar amb la primera lletra de cada paraula: Que tinguem sort aquest mes = Qtsam.
• Posar un caràcter especial i/o un número: Qtsam&4.
• Posar l'abreviatura del servei on accediràs: Qtsam&4Z.

Recorda que no es poden reutilitzar identificadors i contrasenyes corporatives en l'entorn personal (correu, xarxes socials, etc.).

També has de tenir en compte que com a persona teletreballadora només pots disposar dels permisos mínims necessaris per accedir als sistemes d'informació per desenvolupar les teves funcions, per garantir en tot moment el principi de segregació de funcions. Aquest precepte és especialment crític en la gestió d’ajuts i subvencions, per la qual cosa cal delimitar bé els perfils que poden participar en la sol·licitud, la gestió, el control o el pagament d'aquests ajuts i subvencions.

Per tant, per evitar l'acumulació de privilegis que pugui contravenir el principi de segregació de funcions, és important comunicar les baixes i els canvis d'àrea als responsables dels sistemes i aplicacions de l'organització.

Ús de gestors de contrasenyes

LastPass és un gestor de contrasenyes amb moltes funcionalitats que ofereixen seguretat quan utilitzem moltes contrasenyes en el dia a dia.

• Accés des de qualsevol dispositu
• Comparteix contrasenyes amb algú
• Desa i completa contrasenyes
• Genera contrasenyes complexes
• Notes segures
• Autenticació multifactor

Es pot descarregar pels diferents sistemes operatius a lastpass.com. Què són els gestors de contrasenyes? internetsegura.cat/faq-items/.

Recull de notícies que parlen de casos reals

• Perquè no és bona idea desar les contrasenyes en el navegador i com evitar-ho a Chrome i Firefox.🔗enllaç
• Perdre la contrasenya li pot costar 200 mil·lions...🔗enllaç

↑ Inici del bloc | ↑ Índex de la unitat

Pot passar que, si has anat a esmorzar o al lavabo, quan tornis et trobis amb un canvi de fons d'escriptori o un correu que convida a una festa a casa teva. S'han donat casos que no han estat companys simpàtics qui ens han fet una broma, sinó una altra persona amb males intencions. Imagina tot allò que pot arribar a passar si ens trobem en un espai de treball obert com un centre de cotreball.

Si busques notícies a les xarxes socials, trobaràs més d'un cas de suplantació d'identitat a gmail o Instagram. Això pot passar fàcilment si, a més a més, emmagatzemes les credencials als navegadors. Què passaria si aquest accés il·legítim esdevingués una fuita d'informació, una infracció o un frau?

El dispositiu tecnològic corporatiu emprat per teletreballar no ha de quedar mai desatès, especialment si s'ha superat el procés d'identificació i autenticació per accedir a sistemes i/o aplicacions. Quan hagis de desatendre’l temporalment, cal que romangui bloquejat i encadenat (hi ha sistemes per poder-ho fer).

En el cas de fer ús d'un dispositiu tecnològic propi es recomana actuar de la mateixa manera.

En els dispositius mòbils es recomana que estiguin sempre actius els sistemes de bloqueig automàtic (amb menys d'1 minut d'inactivitat) i usar opcions d'accés amb PIN, contrasenya o alguna dada biomètrica. Els patrons gràfics són menys segurs.

Per aquest motiu, cada cop que t’aixequis de la cadira, sobretot si estàs treballant en un espai compartit, cal adquirir l'hàbit de prémer les tecles Win + L. No només es tracta de bromes, sinó de tenir precaució davant d'un potencial robatori d'informació, frau o infecció de virus.

Finalment, cal que apaguis l'ordinador quan donis per tancada la jornada laboral, encara que estiguis treballant a casa. Quan es reinicia el sistema operatiu, permetem que s'actualitzin automàticament l'antivirus o els components de programari, navegadors o del sistema operatiu que així s'hagi previst en la configuració.

Recull de notícies que parlen de casos reals

• Quin mètode de desbloqueig de mòbil és més segur?🔗enllaç
• El que no has de fer mai si et roben el telèfon mòbil. 🔗enllaç
• És l’hora d’actualitzar els dispositius! 🔗enllaç

↑ Inici del bloc | ↑ Índex de la unitat

Les tecnologies de la informació i les comunicacions (TIC) són part indispensable del funcionament de l’Administració. La implantació de les TIC esdevé un element d’eficiència i modernitat que permet l’accés electrònic dels ciutadans als serveis públics per fer totes les seves gestions i tràmits, i afavoreix l'acostament de l’Administració als ciutadans.

Cal abstenir-se de fer ús de xarxes wifi públiques que no es coneguin els seus propietaris i sense confiança (per exemple, wifis públiques de cibercafès, centres comercials, aeroport, hotels, etc.).

S’han d’emprar les xarxes wifi securitzades conegudes (algunes poden ser de projectes europeus homologades) i requereixen un usuari i una contrasenya per establir connexió (per exemple, les xarxes domèstiques o wifis de serveis ad hoc).

Aquest tipus de xarxes wifi utilitzen com a mínim l’estàndard de seguretat WPA2 (amb usuari i contrasenya).

Les credencials d’accés a l’estació de treball i a les aplicacions (identificador/contrasenya i certificat digital / número secret (PIN), certificats digitals, entre d’altres) són d’ús personal i intransferible.

Què hem de tenir en compte per protegir les dades?

Compte! Que no et passi com a la Jordina.

↑ Inici del bloc | ↑ Índex de la unitat

Demana sempre al teu suport informàtic quins són els serveis autoritzats a usar per la corporació (xarxa corporativa, servidors d'emmagatzematge de fitxers, clients de correu, navegador recomanat…). Si hi ha programari que necessites per treballar i no tens instal·lats és important seguir les indicacions que et donin. Segueix el procediment per obtenir-los i informa't de les restriccions de seguretat per poder usar-los.

Mai instal·lis programari freeware sense l'autorització del suport informàtic. Per exemple, uTorrent o mikogo solen ser programaris prohibits d'instal·lar.

Cal utilitzar serveis d’emmagatzemament al núvol i eines col·laboratives que hagin estat autoritzades corporativament per processar dades de la teva organització.

Davant l’ús de serveis al núvol, tot i que estiguin autoritzats, sempre pensa dues vegades la sensibilitat de la informació que hi emmagatzemes i a qui atorgues permisos per accedir-hi, per exemple compartint enllaços d'accés.

Les eines col·laboratives que estan autoritzades t'han de permetre organitzar el teletreball. Amb el paquet d'eines ofimàtiques hauries de poder fer la majoria d'aquestes funcions:

• Mantenir reunions a distància amb vídeo i xat
• Planificar els objectius de treball
• Organitzar les tasques assignades a fer cada dia
• Mantenir contacte amb un equip i compartir documentació editable d'un projecte
• Donar accés temporal a carpetes on hi ha la documentació.

↑ Inici del bloc | ↑ Índex de la unitat

[FINAL DE BLOC] 💻 1. El lloc de treball

L'enginyeria social és un mètode que consisteix a eludir els sistemes de seguretat amb enganys. El concepte enginyeria social es refereix a una sèrie de tècniques que s'utilitzen per tal d'obtenir, a través de l’engany, informació privada sobre el nostre entorn, i així poder fer atacs més sofisticats, com ara accedir als nostres sistemes o fer un robatori d'informació.

Un exemple de les tècniques d'enginyeria social que més s'utilitzen és la d'un presumpte treballador del banc que, bé telefònicament o mitjançant un correu electrònic, evidentment fraudulent, et demana dades sobre el teu compte bancari, sobre targetes de crèdit, contrasenyes, etc. Cal saber que el banc mai no es posarà en contacte amb nosaltres per demanar-nos aquest tipus de dades via correu o telèfon; així que, davant el dubte, no donis mai cap dada, i pregunta directament a l'oficina del banc on vas habitualment.

A través del correu electrònic o de les xarxes socials ens solen arribar molts atacs d'aquest tipus, com per exemple missatges que ens arriben amb un fitxer adjunt o ens indiquen que cal fer clic en un enllaç. El que pretenen és infectar l'ordinador amb algun tipus de programari maliciós per robar informació.

Els ciberdelinqüents cerquen informació sobre la teva vida personal o els teus dispositius a través de les dades públiques presents a Internet o amb enganys previs, per sobrepassar la seguretat dels sistemes i, d’aquesta manera:

1. Robar dades personals (credencials d’accés a correus personals, xarxes socials, dades de targetes de crèdit, missatgeria electrònica, etc.).
2. Robar informació confidencial que continguin els dispositius i que pugui ser rellevant per a l’Administració.
3. Guanyar l'accés als sistemes d’informació corporatius a través de les teves claus d’accés.
4. Infectar l'equip amb codi maliciós, la qual cosa podria provocar la pèrdua d’informació o, fins i tot, que espiessin tot el que fas sense que te n’adonessis.

Els enganys es poden produir fent ús de les noves tecnologies: webs falsos, correus de suplantació, missatges de WhatsApp, SMS, etc.

En el cas següent es mostra com els ciberdelinqüents fan ús de l'enginyeria social i suplanten …

Recull de notícies que parlen de casos reals

• Fals suport tècnic de Microsoft. 🔗enllaç
• Estafen els ajuntaments d'Horta i de Vandellòs amb correus electrònics falsos d'un dels seus proveïdors". 🔗enllaç
• La Paeria de Cervera, víctima d'una estafa informàtica de 134.427 euros. 🔗enllaç

↑ Inici del bloc | ↑ Índex de la unitat

La pesca de credencials (phishing) és una pràctica exercida a través d'Internet que consisteix a suplantar la identitat electrònica d'una organització determinada amb l'objectiu de convèncer algú perquè reveli informació confidencial com ara contrasenyes, dades de targetes de crèdit, de la Seguretat Social o números de comptes bancaris, que posteriorment seran utilitzats amb finalitats fraudulentes.

Alerta als mètodes usats per la pesca de credencials!
Per saber-ne una mica més

La pesca de credencials és un tipus d’atac molt utilitzat pels ciberdelinqüents. Els missatges de pesca de credencials semblen provenir d'organitzacions legítimes, com un departament de l'Administració o el teu banc. No obstant això, en realitat es tracta d'imitacions. Els correus electrònics sol·liciten amablement que actualitzis, validis o confirmis la informació d'un compte, i sovint suggereixen que hi ha un problema. Llavors et redirigeixen a una pàgina web falsa per tal de facilitar informació sobre el teu compte, la qual cosa pot provocar el robatori de la teva identitat. Imagina que t'arriba aquest correu electrònic:

El correu és sofisticat, està escrit en català i fa referència al procés d'actualització del correu corporatiu.

En principi, sembla un correu poc sospitós. Si fessis clic on t’indiquen, et redirigiria cap a un web on t'hauries d’identificar amb les teves credencials d’accés del correu.

Això ja és més sospitós, però pots arribar a interpretar aquest fet com una capa més en la seguretat del sistema. ERROR! Així doncs, continues endavant amb el procés i t'indiquen que s'ha actualitzat el teu compte de correu satisfactòriament.

Una setmana més tard, es fan públiques dades confidencials publicades a la xarxa en les quals apareixen correus electrònics "pretesament" teus que comprometen la Corporació. El que, en principi, va ser un procediment rutinari de manteniment, en realitat era un atac de pesca de credencials molt elaborat, i ara et trobes en un bon embolic.

Per aquest motiu és molt important verificar que l'adreça electrònica és de confiança i no sembla sospitosa. En aquest cas era evident que no era així (mailto:xxx@cerdanyola.cat), ni amb la signatura corporativa de correu corresponent.

Els ciberdelinqüents es fan passar sovint per l'Agencia Tributaria per tractar de recopilar dades o buidar comptes dels qui piquen i donen la informació personal a desconeguts.

A través de correus electrónics fraudulents, suplanten la identitat fent ús de la imatge de la campanya de l'Agencia Tributaria instant a baixar un constrenyiment sobre l'impost de la renda 2019. El document, quan és descarregat des de l'enllaç i s'obre, instal·la un malware que infecta l'equip amb un troià persistent anomenat EMOTET.

Un altre punt que has de tenir en compte és que el correu electrònic no és l'única eina vulnerable a la pesca de credencials. L'ús habitual del mòbil també ha portat a modalitats vinculats a l'ús de missatgeria instantània, SMS o, fins i tot, ús de la veu en les trucades.

Què hem de tenir en compte per no caure en enganys?

• No contestis en cap cas aquests correus o sms.
• Precaució en seguir enllaços de correus, encara que siguin de contactes coneguts.
• Precaució a l’hora de rebre arxius adjunts de correus; encara que siguin de contactes coneguts, no els obris si no els esperes.
• No omplis en cap cas formularis de webs sospitosos que demanin la introducció de credencials.
• En cas de dubte, posa’t en contacte amb el servei d'assistència o suport que dona servei a la institució i explica ràpidament què t'has trobat.

Recull de notícies que parlen de casos reals

• Necessites entrenar-te per detectar phishing? Revisa aquests exemples recents.🔗enllaç
• L'Ajuntament de l'Escala pateix l'atac d'un virus informàtic d'origen rus. 🔗enllaç
• La Fiscalia veu delicte d’estafa d’un web que va suplantar la identitat de l’Ajuntament de València per cobrar per tràmits gratuïts. 🔗enllaç

↑ Inici del bloc | ↑ Índex de la unitat

El programari de segrest (ransomware) és un tipus de programari maliciós, el qual, si infecta el teu ordinador, li donaria al ciberdelinqüent la capacitat, des d'una ubicació remota, de bloquejar, segrestar i/o xifrar els arxius de l'equip. Aleshores, el ciberdelinqüent podria exigir-te un rescat a canvi, per exemple, de la recuperació de tot allò que s'ha segrestat.

La via d’entrada del programari de segrest al teu ordinador pot ser un adjunt o enllaç dins un correu electrònic o mitjançant el teu navegador (si visites un web infectat amb aquest tipus de programari maliciós). També pot accedir al teu portàtil a través de la xarxa.

L’any 2016 moltes organitzacions espanyoles es van infectar amb programari de segrest a causa d’un correu electrònic personalitzat amb una pretesa factura de la companyia ENDESA.

Si feies un clic a "Consulta tu factura y consumo", descarregaves un arxiu ZIP amb un programari de segrest que xifrava tota la informació del sistema i exigia un pagament amb bitcoins per desxifrar les dades o els sistemes afectats.

N’hi ha que, un cop infecten la primera màquina, es propaguen a la resta d’equipaments connectats a la xarxa, sense cap intervenció per part dels usuaris, i exploten vulnerabilitats conegudes del programari.

El programari de segrest és un codi maliciós molt perillós, ja que pot acabar xifrant o segrestant les carpetes compartides de xarxa.

Com evitaries que això succeís?

• Comprovant que la procedència del correu electrònic sigui de confiança.
• Evitant la descàrrega d'arxius si en desconeixes la procedència.
• No habilitant les macros de Microsoft Office per evitar que arxius Word o Excel amb macros malicioses xifrin els equips.
• Emmagatzemar la informació a les carpetes de xarxa per garantir l’existència de còpies de seguretat.
• El dispositiu tecnològic emprat per teletreballar haurà de tenir instal·lat programari antivirus, eines de neteja de programari maliciós / programari espia (spyware), i una política activa de pegats d’actualització.
• Actualitzant les versions de programari de mòbils i tauletes corporatives periòdicament.

Habilitar les macros quan apareix la barra de missatges
La imatge que apareix a la barra de missatges quan hi ha macros a l'arxiu de Word o Excel rebut en un correu és un advertiment de seguretat. Quan habilitem el contingut donem confiança a l'arxiu.

Així mateix, si els dispositius (mòbils, tauletes, ordinador) són propis:

• Mantenir els antivirus actualitzats de manera automàtica i programar escanejos periòdics.
• Fer regularment còpies de seguretat en diversos dispositius, tenint-ne en compte algun d'emmagatzemament extern que no estigui connectat a Internet i amb USB de manera contínua.

Com protegir-nos davant atacs de virus informàtics (ransomware)

Recull de notícies que parlen de casos reals

• Un ciberatac a l'Ajuntament de Cambrils bloqueja tots els serveis municipals. 🔗enllaç
• L’Ajuntament de Lliçà de Vall denuncia un atac informàtic als seus servidors.🔗enllaç
• Una vintena d'ajuntaments, atacats per ciberdelinqüents.🔗enllaç

↑ Inici del bloc | ↑ Índex de la unitat

Parlem de correu brossa (spam) quan s'abusa dels sistemes de missatgeria electrònica i s’envien missatges massius no sol·licitats de manera indiscriminada. La teva adreça electrònica, com la de la majoria, té un sistema de filtratge que impedeix que aquest tipus de correus ensorri la teva bústia, però en algunes ocasions aquest filtre no funciona de manera adequada i és important saber identificar el correu brossa. Els que fan correu brossa solen comprar bases de dades amb milers d'adreces electròniques per enviar publicitats i altres tipus de missatges, generalment enganyosos i molt molestos per als destinataris.

En essència, els correus brossa s’identifiquen amb facilitat, ja que són els correus desconeguts que intenten cridar l'atenció amb promocions, notícies extravagants o incentius.

Exemple de correu brossa

Factors que has de tenir en compte:

• El correu brossa s'utilitza sovint per distribuir codi maliciós.
• Pots acabar eliminant correus electrònics importants confonent-los amb correu brossa.
• El correu brossa malbarata el teu temps. Si no tinguessis protecció anti-correu brossa, hauries de comprovar quin correu electrònic és correu brossa i després eliminar-lo.
• Has de notificar al Servei de Suport Informàtic si detectes que el filtre de correu brossa no funciona correctament. D'aquesta manera evitaràs que tornin a aparèixer els correus que has detectat.

A vegades, el correu brossa s’utilitza com a eina de màrqueting en un intent de promocionar un esdeveniment. Aquest tipus d’ús dona molt mala imatge a l’organització, i per tant cal evitar-ne la difusió. Igualment, has d’evitar ser víctima de les cadenes de missatges, ja que s'incentiva l’ús del correu brossa i se satura tots els contactes amb informació inservible o maliciosa des d’un usuari de confiança.

Missatges de WhatsApp com els de les imatges mostrades provoquen que s’escampin centenars de promocions i/o notícies falses amb intencions malicioses. La intenció de l’usuari és compartir els beneficis que ha trobat a la xarxa, però en realitat només comparteix desavantatges entre els seus contactes.

↑ Inici del bloc | ↑ Índex de la unitat

Quan naveguis per la xarxa és important que ho facis de manera segura per evitar comprometre el teu equip amb els perills que hi ha a la xarxa. Alguns dels consells que hauries de seguir per navegar de manera segura són:

Quan naveguis per la xarxa has de procurar que les pàgines web tinguin xifrat HTTPS, per evitar que un ciberdelinqüent pugui interceptar i interpretar la informació. El protocol HTTPS és visible a l’inici de l'URL del web.

• En el cas de fer ús de dispositius tecnològics corporatius, cal assegurar la desconnexió obligatòria amb el servidor de l’organització mitjançant processos que eliminin la possibilitat de reutilització de la sessió tancada un cop s’hagi finalitzat.
• Desactivar les característiques de recordar contrasenyes del navegador en els mitjans corporatius (i recomanable en els propis).
• Activar l’opció d’esborrat automàtic de la informació registrada: històric de navegació, memòria cau, galetes, contrasenyes, sessions autenticades, etc. També és recomanable si ets usuari d'un dispositiu propi.
• En el cas dels dispositius tecnològics propis emprats per teletreballar, sempre que sigui possible utilitza el mode de "navegació privada", ja que aquest tipus de navegació no deixa traçabilitat.
• És recomanable estar al dia de les actualitzacions d'antivirus als dispositius tecnològics propis.
• Procurar fer cas del que l’antivirus adverteix, ja que avisa quan detecta que un web és maliciós o de poca confiança. D'altra banda, has de vigilar de no ser enganyat pels avisos falsos que intenten suplantar aquesta eina de suport.
• A l’hora de compartir dades a la xarxa o comprar en línia, has d’assegurar-te que el web complexi els requisits següents: que tingui xifrat de dades HTTPS, que disposi d'una política de privacitat i que contingui algun segell de confiança que verifiqui un nivell adequat de seguretat al web.

Evitar pàgines web de poca confiança:

• Has de procurar no fer difusió de notícies no contrastades. Internet és ple de notícies falses i difondre-les podria provocar la desinformació del personal de l’organització.
• No descarregar extensions no autoritzades als navegadors web. Podrien contenir codi maliciós o vulnerabilitats de seguretat.
• Evitar ser enganyat per anuncis emergents (pop-up) maliciosos. Aquests anuncis atrauen l’atenció de l’usuari amb rètols com el que pots veure a continuació:

• Has d’evitar les comunicacions d'igual a igual (peer-to-peer, sigla P2P) no controlades, com les aplicacions de descàrrega uTorrent o eMule, les quals són una font de codi maliciós i arxius sospitosos.
• No descarregar aplicacions mòbils falses o corruptes adquirides a la xarxa o fora dels mercats oficials d’aplicacions. Per detectar si una aplicació és de confiança cal verificar el creador de l’aplicació i si hi ha un mínim de valoracions de descàrregues fetes.
• Vigilar la suplantació d’identitat en grans webs. Sempre has de revisar que l’URL sigui l’adequat. Els ciberdelinqüents compren dominis d'Internet similars als de webs reconeguts per fer pesca o difondre programari maliciós a les persones que teclegen malament l'adreça.
• No compartiu mai un codi de verificació rebut de WhatsApp amb ningú, ni tan sols si us ho demana una persona coneguda. Aquest codi, de 6 dígits, podria arribar-nos per SMS.

Compte! Que no et passi com a en Joan.

Recull de notícies que parlen de casos reals

• WhatsApp, en el punt de mira dels ciberdelinqüents.🔗enllaç
• Elimina aquestes extensions de Chrome i Edge.🔗enllaç

↑ Inici del bloc | ↑ Índex de la unitat

• Si fent ús de dispositius tecnològics corporatius detectes un incident de ciberseguretat, cal bloquejar o desconnectar de la xarxa intranet o extranet els aparells utilitzats per teletreballar, si aquests representen una amenaça per a l'Administració on treballes.
• Si experimentes qualsevol incident relacionat amb la seguretat de la informació, és molt important que ho notifiquis a l'Àrea de suport TIC o de Noves Tecnologies.
• Comunicar-ho és molt important pel que fa a la continuïtat de l'organització i evitar que incidents similars es repeteixin entre els vostres companys.

↑ Inici del bloc | ↑ Índex de la unitat

[FINAL DE BLOC] ⚠️ 2. Precaucions pel que fa als riscos en l’ús de les eines TIC bàsiques

Qualsevol informació relativa que t’identifiqui o que et faci identificable és una dada de caràcter personal. Encara que no tinguem el nom i cognoms d'una persona, disposem d'informació suficient per poder arribar a identificar-la.

Les dades personals engloben dades identificatives:

• de característiques personals
• de circumstàncies socials
• acadèmiques i professionals
• d'ocupació
• econòmiques i financeres.

I també inclouen dades més sensibles com ara:

• Dades d'especial protecció: dades de salut, opinions polítiques, afiliació sindical, violència de gènere, vida i orientació sexual, etc.
• Dades biomètriques, obtingudes d'un tractament tècnic: imatges facials de reconeixement, dactilars, etc.
• Dades genètiques, que són úniques per a cada persona.

Has de ser responsable de la seguretat de les dades personals que tractes i seguir els procediments establerts per donar compliment a la normativa segons els tractaments de dades establerts. Cal abstenir-se de tractar dades de caràcter sensible a través dels mitjans tecnològics propis emprats per teletreballar.

El tractament de dades, segons el RGPD, és l'operació o el conjunt d’operacions que duem a terme sobre les dades personals, com ara quan les consultem, registrem o comuniquem.

Si fins fa poc temps la legislació establia un catàleg de mesures de ciberseguretat que s'havien d'aplicar en virtut de la naturalesa i les finalitats de les dades, el RGPD i l'aplicació de la nova LOPDGDD obliga a fer una valoració dels riscos dels tractaments de dades i, en virtut d'aquesta, a través d'un enfocament basat en la proporcionalitat, adoptar les mesures de ciberseguretat adients.

Revisa privacitat

Recull de notícies que parlen de casos reals

• Una vulnerabilitat de TikTok exposa dades de mil·lions d'usuaris de tot el món. 🔗enllaç

↑ Inici del bloc | ↑ Índex de la unitat

De vegades, no te n’adones i comparteixes informació involuntàriament amb persones o en zones inadequades, i aquesta informació es pot veure compromesa.

D'altra banda, també cal mantenir el secret professional com a membre d’una institució pública i, per tant, evitar parlar d’assumptes concrets de treball amb els amics. Algun amic, sense mala intenció, podria ajudar a algun tercer gràcies a la informació que li has proporcionat xerrant, per exemple, al gimnàs.

Tampoc no hauries d’emmagatzemar dades en programari no autoritzat. Per exemple el servei Dropbox o Wetransfer no són proveïdors de núvol que s'autoritzin per la corporació: quan comparteixes informació a través d'aquests serveis, perds la traçabilitat de les dades i mai no pots estar segur de com es tracten.

A l’hora de compartir informació amb persones internes o externes a la teva organització, ho has de fer només amb les eines que et proporcionen, ja que, igual que en el cas anterior, es perd la traçabilitat de la informació i poses en perill les dades.

No has d’utilitzar adreces electròniques que no siguin corporatives per enviar dades confidencials. Si el correu electrònic no et deixa enviar dades a certs contactes externs a l’organització, és per algun motiu de seguretat establert i no l’has d’infringir. Si has de compartir dades amb un contacte bloquejat, has de parlar amb el responsable de la informació perquè t’autoritzi a fer-ho.

↑ Inici del bloc | ↑ Índex de la unitat

Les dades personals tenen moltes categories que cal considerar:

• identificatives
• de característiques personals
• de circumstàncies socials
• acadèmiques i professionals
• d'ocupació
• econòmiques i financeres.

De quines dades estem parlant?

↑ Inici del bloc | ↑ Índex de la unitat

És important utilitzar el xifratge (encriptació) de dades quan enviem informació sensible o confidencial per correu electrònic, ja que podrien interceptar-la o podríem enviar informació confidencial a alguna persona no autoritzada sense adonar-nos-en. Per tant, s'ha de xifrar la informació i comunicar personalment a la persona involucrada, a través d'un mitjà diferent al de l'enviament de les dades, la contrasenya per desxifrar la informació.

1. Comprimir arxius amb contrasenya d’accés

Usa opcions de xifratge de 7Z, WinRAR o WinZIP quan hagis d'enviar per correu o per moure informació a través de llapis de memòria USB expressament autoritzats.

Com fer-ho?

1. Selecciona un fitxer a xifrar (.doc, .xls, etc.).
2. Opció: Afegir a 7Z > Afegir al fitxer > Tria Format de l'arxiu > Xifratge.
3. > Introduïu la contrasenya i torneu a introduir la contrasenya per a la verificació.
4. Especifica una contrasenya d’obertura segura (com més llarga, més segura).
5. Es crea un arxiu nou empaquetat i xifrat que ja pots annexar al correu.
6. Requereix que enviïs prèviament la contrasenya de xifratge i desxifratge a les persones que hauran de poder accedir a la informació. Aquest enviament, l'has de fer per un mitjà no informàtic (telèfon, SMS, en mà, per correu en sobre tancat i lacrat, etc.).
7. Per recordar la contrasenya usa un gestor de contrasenyes, per exemple, Last Pass.
8. Transferència segura per garantir la traçabilitat dels accessos a les dades de nivell alt (vigila les extraccions de dades de les aplicacions).

Tens un petit tutorial de com funciona a 7zip-es.updatestar.com.

2. Xifrar els documents de Microsoft Office amb les eines que et facilita

Les versions més recents de l'Office de Windows (en cas d'usar-lo) permeten el xifratge d'informació en el document mateix.

Com fer-ho?

1. Opció: Fitxer > Informació > Protegeix el document > Xifra-ho amb contrasenya.
2. Introdueix la contrasenya a la pantalla i torna a introduir-la per a la verificació.
3. Especifica una contrasenya d’obertura segura (vegeu l'apartat "Contrasenyes") a la pantalla següent. Verifica la contrasenya.
4. Requereix que enviïs prèviament la contrasenya de xifratge i desxifratge a les persones que hauran de poder accedir a la informació. Aquest enviament, l’has de fer per un mitjà no informàtic (telèfon, SMS, en mà, per correu en sobre tancat i lacrat, etc.).

↑ Inici del bloc | ↑ Índex de la unitat

Un incident és qualsevol situació en la qual les eines mitjançant les quals es poden fer els processos de negoci (activitat habitual diària) es veuen degradades o, fins i tot, sense possibilitat d’operació.

Un dels aspectes clau per garantir l’èxit de la gestió i la solució dels incidents és la rapidesa amb què es detecten i es notifiquen les incidències. Per això cal conèixer, en primera instància, quan s'experimenta una incidència, saber amb qui cal posar-se en contacte i per quin canal.

En cas d’incident de ciberseguretat s’ha de desconnectar de la xarxa el mitjà tecnològic i notificar-ho a través del Procediment de notificació d’incidents de ciberseguretat. En cas de pèrdua o robatori, a més, s’ha de presentar una denúncia davant dels cossos de seguretat i lliurar-ne una còpia a l’organisme competent.

Tingues en compte que el suport TIC sol atendre peticions sobre:

• Avaria de dispositius o connexió de la xarxa.
• Consultes sobre mal funcionament de programes.
• Sol·licituds de nou programari per les funcions que realitzem.

Recull de notícies que parlen de casos reals

• Barcelona, la capital del mòbil on cada dia es roben almenys cent telèfons. 🔗enllaç

↑ Inici del bloc | ↑ Índex de la unitat

La informació es pot reflectir en diversos formats, que has de poder tractar, classificar, arxivar i emmagatzemar, seguint les mesures de seguretat adients, segons la confidencialitat de la informació continguda.

T'has d'abstenir de tractar i emmagatzemar informació de la corporació en el disc local o en suports externs a través dels mitjans tecnològics emprats per teletreballar. Només hauries d'emmagatzemar la informació en els espais habilitats per l'organisme competent (a dins de les aplicacions o a les carpetes de xarxa establertes).

Així mateix, has de tenir ben present que s'ha d'evitar fer còpies de seguretat en local de la informació de l’organisme competent en els mitjans tecnològics emprats per teletreballar.

• Format digital: qualsevol document que tractis amb l’estació de treball, correu electrònic, dades que consultis o introdueixis en aplicacions corporatives, documents escanejats, etc.
• Format no digital: qualsevol document en suport paper com ara factures, informes, llibres, tríptics, carnets, dossiers, cartes, notificacions, formularis, etc.

La informació digital convé que només sigui tractada, editada i emmagatzemada a les carpetes de xarxa, al gestor de continguts i a les aplicacions que la corporació posa a la teva disposició.

Si el teu mitjà tecnològic és corporatiu, t'has d'assegurar que els discs durs estan dotats dels mecanismes de xifratge corresponents.

↑ Inici del bloc | ↑ Índex de la unitat

Quan vols protegir la informació no digitalitzada, cal que tinguis en compte tant l’emmagatzemament de la informació com la manera en què aquesta és transmesa.

Tant en la transmissió d’informació com en l’emmagatzemament, sempre cal que utilitzis les aplicacions i eines corporatives, que estan dissenyades tenint en compte els aspectes de seguretat adients.

És important que no utilitzis correus personals per transmetre informació confidencial i que sempre intentis emmagatzemar-la en alguna ubicació a la xarxa corporativa (per exemple, servidor de fitxers corporatiu, aplicacions corporatives, etc.), en lloc d’emmagatzemar-la al teu equip (disc dur de l’ordinador) o en un suport extraïble (DVD, memòria USB, disc dur extern, etc.).

↑ Inici del bloc | ↑ Índex de la unitat

La informació digital que contenen els sistemes informàtics és sensible a ser modificada, esborrada o corrompuda per error humà, o de manera malintencionada. D'aquesta manera, les aplicacions corporatives o les persones que hagin d'utilitzar aquesta informació sensible no la podran fer servir.

Per tal d’evitar costos en la recuperació de la informació digital (de vegades, fins i tot, és impossible), cal fer còpies per emmagatzemar-la periòdicament en algun sistema diferent, que no estigui exposat a les mateixes amenaces de manera simultània. Aquestes còpies s'anomenen "còpies de seguretat" (backup, en anglès).

Les còpies de seguretat haurien de fer-se de tota la informació continguda en les carpetes de la xarxa corporativa. Per això és important abstenir-se de guardar continguts personals en aquests espais corporatius que no tenen relació amb la funció professional.

A més, cal abstenir-se de fer còpies de seguretat en local de la informació de l’organisme competent en els dispositius tecnològics emprats per teletreballar.

En cas d’haver de recuperar informació per pèrdua d’integritat, corrupció o per haver estat afectada per un virus, cal demanar al Servei de Suport Informàtic una recuperació de dades amb data anterior a la pèrdua i, un cop recuperada, fer els canvis necessaris per poder deixar novament la informació totalment actualitzada.

↑ Inici del bloc| ↑ Índex de la unitat

A l'últim, dispositius mòbils intel·ligents, corporatius o propis, requereixen manteniment i actualització si volem accedir de manera segura a les eines de treball. Cal seguir algunes recomanacions:

• Actualització del sistema operatiu i de les aplicacions a les últimes versions.
• Establir el bloqueig automàtic en un minut. Es recomana també treure les notificacions d'aplicacions del primer pla.
• Ús d'un PIN de desbloqueig credencial per accedir al dispositiu.
• Vigilar els permisos que s'atorguen a les aplicacions instal·lades.

Parlem de… dispositius al dia

↑ Inici del bloc | ↑ Índex de la unitat

[FINAL DE TEMA] 🔐 3. Gestionar dades personals, garantir la continuïtat i evitar pèrdues d'informació

• Normes de ciberseguretat per a la prestació de serveis en la modalitat de teletreball (pdf).
• Marc normatiu. Portal de l'Agència de Ciberseguretat de Catalunya. (accés amb contrasenya)
• Llei orgànica 3/2018, de 5 de de desembre, de protecció de dades personals i garantia dels drets digitals.
• Reial decret 3/2010, de 8 de gener, pel qual es regula l’Esquema Nacional de Seguretat en l’àmbit de l’Administració electrònica., aplicable a totes les administracions públiques territorials i als organismes i entitats de dret públic que en depenen.

• La guia ràpida per teletreballar amb seguretat de l'AOC.
• Guia de ciberseguretat per a Ajuntaments i Entitats locals de l'ACM.
• Guia legal de seguretat: Esquema nacional de seguretat, part 1, guia metodològica.

↑ Inici del bloc | ↑ Índex de la unitat [FINAL DE BLOC]