//
you're reading...
Privacidad

Acceso al correo electrónico personal en la empresa… un problema de seguridad.


Las comunicaciones electrónicas y los medios para realizarlas están logrando cierta dósis de dependencia personal por parte de los usuarios. La necesidad de consultar los mensajes recibidos, la necesidad de enviar un correo a alguien, o el mero ejercicio de ocio que resulta el abrir correos y contestar, se está convirtiendo en todo una cultura que está creando dependencia.

Hasta el punto de que muchos usuarios desean, en sus horas laborales y desde sus puestos de trabajo, acceder a sus cuenas de correo. ¿Es esta una medida oportuna? ¿Se trata de un derecho del trabajador? ¿Puede la empresa impedirnos el acceso a nuestras cuentas de correo en horario de trabajo? ¿Qué consecuencias podría traer para la seguridad de la información de una empresa el que sus empleados accedan a sus cuentas personales (tipo hotmail, yahoo, gmail, msn, etc.)?.

Lo primero que debemos tener presente es la doctrina jurídica implicada. Esta doctrina ha venido a establecer que el ordenador que usamos en la empresa es una herramienta DE LA EMPRESA. La sentencia del TS 26-9-2007 viene a decir que declara que “lo que debe hacer la empresa de acuerdo con las exigencias de buena fe es establecer previamente las reglas de uso de esos medios con aplicación de prohibiciones absolutas o parciales”.

¿Por qué es conveniente que las empresas establezcan las reglas de uso de esos medios y las divulguen? Desde el punto de vista de la seguridad, que es el enfoque que queremos dar, al establecer unas reglas básicas, los usuarios sabrán si cuentan o no con autorización para acceder a sus cuentas de correo personal. Lo normal, es que desde un punto de visto pragmático, se prohiba el acceso a las mismas.

Para entender cómo esta decisión de la empresa cuenta con motivación suficiente pensemos un poquito en las consecuencias que se pueden derivar del acceso a las cuentas de correo personales en los dispotivos informáticos y de comunicaciones de la empresa.  Ya no hablamos solo de la posibilidad de que el usuario abra el correo personal que pueda estar infectado o de abrir algún fichero adjunto que contenga algún tipo de malware, sino que también estamos hablando de correos que con tan solo la VISTA PREVIA del mismo lanzan un script desde una url remota.

¿Qué pasa si un trabajador accede a su correo personal y algunos de esos email recibidos contiene este tipo de malware? El atacante puede acceder a la información mas sensible de la empresa , incluyendo contactos y correos electrónicos. Este tipo de actos COMPROMETEN LA SEGURIDAD, LA INTEGRIDAD Y LA CONFIDENCIALIDAD de la información de la empresa. De ahí la necesidad de extremar la vigilancia, la necesidad de concienciar a los trabajadores, la necesidad de establecer REGLAS.

Pero no solo bastan con establecer estas reglas, y que el trabajador las conozcan en el momento que firma su contrato de trabajo, sino que es necesario ir mas lejos, se necesita una verdadera política de comunicación y de concienciación. Es aquí donde entra los planes de formación de las empresas, donde deben incluirse jornadas y/o seminarios que ayuden a tomar conciencia a los trabajadores sobre la vulnerabilidad de la información.

Algunas empresas, en su afán de lograr esta concienciación han diseñado planes de comunicación como si se trataran de una política de marketing. Diseñan almanaques, tazas, alfombrillas, salvapantallas, etc… con mensajes de recordatorios sobre la necesidad imperiosa de salvaguardar la seguridad de la información. Estos planes, cuidadosamente elegidos y renovados cada cierto tiempo, son muy eficaces y son muy valorados por los auditores de seguridad.

Comentarios

Aún no hay comentarios.

Responder

Introduce tus datos o haz clic en un icono para iniciar sesión:

Logo de WordPress.com

Estás comentando usando tu cuenta de WordPress.com. Cerrar sesión /  Cambiar )

Google photo

Estás comentando usando tu cuenta de Google. Cerrar sesión /  Cambiar )

Imagen de Twitter

Estás comentando usando tu cuenta de Twitter. Cerrar sesión /  Cambiar )

Foto de Facebook

Estás comentando usando tu cuenta de Facebook. Cerrar sesión /  Cambiar )

Conectando a %s

Estadística del blog

  • 165.821 Visitas

Agujero de seguridad; incidente de seguridad APEP ASNEF auditoría técnica cesión de datos sin consentimiento cifrado consentimiento informado conservación historia clínica cumplimiento lopd custodiar mal historias clínicas datos confidenciales deber de secreto denuncia destructoras de papel difundir lista de morosos envío de publicidad envío sin copia oculta estudio seguridad redes wifi facebook fichero de información y solvencia fondos de formación fraude fundación tripartita gestión de continuidad del negocio google Grupo de trabajo del Artículo 29 guía de protección de datos historia clínica incidencia de seguridad incluir a moroso sin requerir la deuda informe de auditoría infraestructuras en la pyme lista de morosos lista robinson lopd lopd canarias LOPD COSTE CERO LSSI marco legal marketing medidas de seguridad MOVISTAR plan de contingencia política de privacidad principio de calidad principio de consentimiento principio de seguridad privacidad privacidad objeto de garantía problema de seguridad propuesta de la Unión Europea protección de datos proteger menores publicación en internet publicación sin consentimiento de datos personales reconocimiento facial redes sociales redes sociales y menores reputación online robo de datos robo de identidad sancionada protección de datos Sanciones LOPD Canarias sanción seguridad seguridad en la nube seguridad informática servicios cloud smartphone smartphone con android usurpación de personalidad videovigilancia Whatsapp WhatsApp problemas seguridad wifi
A <span>%d</span> blogueros les gusta esto: