Hace 30 años se creó el primer virus de computadora personal (estándar x86). Se llamaba “Brain” y fue obra de dos hermanos paquistaníes, tenía por objetivo inicial impedir el uso no autorizado de un software médico. Sin embargo, se propagó de disquete en disquete exhibiendo un mensaje que decía que la computadora estaba infectada. Inocentemente, dentro de su código tenía el nombre, la dirección y el teléfono de los creadores, para que se les solicitara la desinfección. Incluso un documental reciente que pasó en la televisión, menciona que ambos pueden ser encontrados hasta hoy en la misma dirección.
Brain y sus creadores se convirtieron en una curiosidad histórica. Pero desde entonces, los virus y el malware, de manera general, evolucionaron bastante. Aumentaron en términos de agresividad, se convirtieron en parte de un negocio de ciberdelincuencia que mueve miles de millones de dólares todos los años. Y llegaron a diferentes plataformas, incluyendo los cada vez más omnipresentes dispositivos móviles.
Un nuevo capítulo fue recientemente añadido a esta historia. Se estima que el malware conocido como “Hummer”, para plataformas Android, llegó al record de 1,2 millones de dispositivos conectados. Si las estimaciones de los especialistas son más o menos precisas, se trata de la mayor amenaza en plataformas móviles registrada hasta la fecha. Hummer tiene la capacidad de obtener acceso de administrador en el teléfono y con eso, tener acceso total al mismo, bajar e instalar propaganda, e incluso aplicaciones no deseadas.
Pero, ¿qué implicaciones tiene eso para la seguridad de su empresa?
Tal vez la amenaza sea menor en un entorno en el que los aparatos son propiedad de la empresa, y se asegura a ella el derecho exclusivo de instalar herramientas, y dictar estándares y políticas corporativas que mejor le convengan. En este caso, la organización asume la gestión y el control del dispositivo como un todo. Las políticas de la empresa prohíben la instalación de aplicaciones ajenas al negocio, o que sean diferentes de un conjunto homologado y aprobado, lo que reduce riesgos (con algún costo en experiencia y flexibilidad del usuario, desde luego). Las soluciones Mobile Device Management (MDM) se encajan dentro de ese escenario.
En las organizaciones que adoptaron el modelo BYOD (Bring Your Own Device o Traiga Su Propio Dispositivo), la historia puede ser diferente. Bajo este entorno, el dispositivo es propiedad del empelado (o tercero) y los datos corporativos se descargan en un dispositivo en el que no se tiene mucho control de las actualizaciones, o sobre qué aplicaciones serán instaladas y utilizadas. Se trata, sin duda alguna, de un entorno con un menor control y, por lo tanto, más susceptible a infecciones de malware.
En este caso, se hace necesario adoptar soluciones de seguridad móvil, destinadas a proteger individualmente aplicaciones y sus datos, no a proteger el dispositivo como un todo. Las soluciones avanzadas que crean una “capa” alrededor de la aplicación y sus datos, en un proceso conocido como “Application Wrapping”, pueden ser la solución. Esta técnica permite crear para cada aplicación individualmente un entorno virtual totalmente aislado dentro del dispositivo (no importa si está infectado o no). Este entorno aislado es transparente para los usuarios (no necesita containers, instalación de agentes o técnicas similares). Y presenta un aislamiento criptográfico que blinda a las aplicaciones y datos corporativos de cualquier amenaza traída por otras aplicaciones o usuarios no autorizados en ese mismo equipo. De esa manera, la aplicación protegida y sus datos, no serán visibles para otras aplicaciones ni para usuarios no autorizados. O sea, un acceso indebido al dispositivo, o malware que lo contamine, no tendrá visibilidad ni acceso hacia ese segmento de memoria protegido para la aplicación. El usuario puede, de esta manera, realizar la descarga de aplicaciones sin poner en riesgo la seguridad de los datos corporativos.
Se añaden a este aislamiento otras capacidades de seguridad, como: un robusto sistema de autenticación (con múltiples factores de autenticación, como tokens, certificados digitales y biometría); un túnel IPSec, individual para cada aplicación, conectándola de modo seguro al Data Center (o Nube) donde reside el servidor de aplicación; identificación de dispositivos en riesgo (jailbreak); fecha de validez para el uso de las aplicaciones, lo que facilita el control en caso de terceros con contratos de trabajo aislado; habilitación o no de funcionalidades de acuerdo con la geolocalización del dispositivo; desactivación de funciones como copiar y pegar, para protección adicional de los datos visualizados en la aplicación, entre otras cosas. Todo eso a un nivel de granularidad de aplicaciones. O sea, usted puede aplicar diferentes reglas para diferentes aplicaciones. Varios túneles IPSec, por ejemplo, uno para cada aplicación para que acceda con seguridad a su respectivo servidor.
Tan importante como aumentar la seguridad, es hacerlo rápidamente y a un costo accesible. Y esto ya es ofrecido también por buenas soluciones de seguridad de aplicaciones móviles que están disponibles en el mercado. Observe que algunas de ellas permiten que la seguridad sea suministrada rápidamente, sin alterar ninguna línea de código y sin requerir de adopción de APIs. Se gana tiempo para el lanzamiento de nuevas aplicaciones en el mercado, y se reduce el costo y el tiempo para la protección de aplicaciones móviles ya desarrolladas.
Finalmente, las amenazas para las plataformas móviles crecen de modo tan acelerado como el uso de estas herramientas dentro de las empresas. Las soluciones de seguridad para aplicaciones móviles se convierten en una alternativa segura, flexible y económica para la protección de datos corporativos en dispositivos móviles, sean de propiedad de quien sea. En la medida en que las necesidades de negocios demanden más aplicaciones móviles, es imprescindible la adopción de abordajes de seguridad de fácil implementación, que sean transparentes para las aplicaciones y eficaces. Los casos como el de Hummer serán más, y se presentarán con una mayor frecuencia. No se puede actuar con negligencia en relación a la seguridad de los entornos móviles.
