Entre enero y marzo de 2020, a medida que las infecciones por COVID-19 se extendieron por todo el mundo, en Colombia se dieron instrucciones a los empleadores de cerrar sus operaciones y de ser posible, aplicar el teletrabajo a tiempo completo para sus trabajadores, con muy poco tiempo de preparación tanto para los empleadores como para los trabajadores, algo que se planeó como una solución temporal y a corto plazo ha estado sucediendo desde hace meses, esto ha dejado muy mal parado a las áreas de TI, que se han visto forzadas a implementar esquemas de teletrabajo en tiempos récord, sin tener en cuenta una arquitectura sólida y un diseño exhaustivo de los componentes informáticos que asegure la disponibilidad de la información, y mucho menos sin tener en cuentas las múltiples amenazas de seguridad que esto conlleva para la operación de las organizaciones, generando desconfianza y falta de expectativas de los usuarios hacía las áreas de tecnología.

Con respecto al Instituto Nacional de Cancerología o también llamado INC esto no ha sido una excepción, en el INC se han venido presentando una serie de problemáticas tanto tecnológicas como administrativas asociadas a la rápida proliferación del trabajo desde casa, dichas problemáticas las hemos dividido en 3 principales focos.

En esta sección describimos en un nivel amplio todo lo necesario para permitir que los empleados trabajen desde casa, las siguientes definiciones representan los procesos para definir quién es elegible para trabajar desde casa, el proceso para solicitar privilegios, así como el proceso de aprobación.

Estos componentes de alto nivel son indispensables para la elaboración de la política de trabajo remoto del INC, debido a que esta política es un acuerdo entre el Cancerológico y el empleado donde se declararán las expectativas y responsabilidades de los empleados que trabajan remotamente.

Elegibilidad De Trabajo En Casa

No todas las funciones dentro del instituto nacional de cancerología pueden realizarse a distancia, mientras que un desarrollador de software puede desempeñar fácilmente sus funciones desde casa a través de un ordenador y una conexión a Internet, un conductor de carretilla elevadora para la farmacia no puede hacerlo. Por eso uno de los pilares de la política de trabajo en casa es determinar desde el principio qué funciones pueden pasar de la oficina al hogar, con fluidez.

Se identificarán qué puestos están disponibles para el trabajo a distancia dentro del INC teniendo en cuenta las responsabilidades de cara a los pacientes, las limitaciones del software y los riesgos de seguridad del trabajo a distancia. Esto ayudará al instituto a reducir las solicitudes excesivas o innecesarias de trabajo desde casa.

Proceso Aprobatorio De Trabajo En Casa

El proceso aprobatorio de las solicitudes para trabajar desde casa en el instituto nacional de cancerología consta de tres pasos. En primer lugar, la solicitud del funcionario a su jefe inmediato, centrándose en si su puesto y sus características personales son adecuadas para el trabajo en casa. El segundo paso del proceso consiste en la evaluación mediante el diligenciamiento de un formato del entorno doméstico del empleado, para identificar si es adecuado para el trabajo en casa. Y el tercero es el diligenciamiento de un nuevo formato para tener consignadas las condiciones del domicilio.

Las solicitudes de trabajo desde casa serán aprobadas por RRHH y el oficial de seguridad con el visto bueno u observaciones del jefe inmediato, la respuesta de esta solicitud en caso de ser positiva mencionarán con que modalidad el funcionario del INC podrá trabajar desde casa:

• En determinadas ocasiones.

• Tiempo completo.

• Alternancia, repartiendo su tiempo entre el lugar de trabajo físico y su puesto de trabajo a distancia.

Equipamiento & Soporte Técnico

Una vez se haya aprobado la solicitud de trabajo en casa, se iniciará un proceso de alistamiento en la mesa de ayuda, la política de trabajo desde casa es clara en no permitir bajo ningún motivo el uso de computadoras personales para el trabajo remoto, por esta razón la mesa de ayuda identificará inicialmente si el funcionario ya cuenta con un equipo portátil corporativo asignado y en caso de que no, se le asignara uno, en conjunto de su respectivo cargador, mouse, pad-mouse y opcionalmente un teclado si el funcionario lo indica. Las computadoras alistadas para trabajo a distancia se les configurarán determinadas características técnicas como el cifrado de disco y el bloqueo de los puertos USB, antivirus entre otros.

Acuerdos

Siempre que una solicitud de trabajo en casa haya superado con éxito el proceso de evaluación, al funcionario del INC se le entregará un acuerdo de trabajo en casa. Este acuerdo será emitido por la dirección de RRHH junto con cualquier modificación del contrato. Se pedirá al empleado que firme y devuelva una copia del acuerdo de trabajo en casa, que se conservará en su expediente personal.

Canales De Comunicación

Dado que en el INC la comunicación en persona ya no es una opción para todos, las comunicaciones internas deben definirse estrictamente. Esto significa que se auditarán los canales de comunicación existentes y se designará el propósito principal de cada uno. Esto también implicará la eliminación de los canales redundantes, por ejemplo, el uso simultaneo de Slack, Teams y G-chat. Se exigirá a los miembros del instituto que se ciñan a los canales de comunicaciones propuestos para reducir la ineficacia.

Seguridad & Privacidad

De acuerdo con el manual del empleado y el acuerdo de confidencialidad firmado por el funcionario al momento de su contratación, la seguridad de los datos y la información del instituto debe ser de máxima preocupación y prioridad. Cualquier infracción del protocolo de seguridad dará lugar a medidas disciplinarias estrictas e inmediatas.

Los empleados que trabajen desde casa están obligados a cumplir de igual manera con la política de seguridad y privacidad del instituto nacional de cancerología y con todos los requisitos de seguridad y confidencialidad informática propuestos en la política de trabajo en casa. El trabajador remoto tendrá una responsabilidad directa sobre todo el material que tenga en su en su casa y debe asegurarse de que no sea accesible a personas no autorizadas, como, por ejemplo, otros miembros de su hogar.

Esta sección es clave para el desarrollo de nuestro planteamiento debido a que acá se condensan las investigaciones y análisis realizados para poder plantear y desarrollar la solución de este proyecto. Inicialmente se aborda la selección del marco de referencia, esta selección tiene como finalidad elegir la guía más apropiada para ayudar mitigar los riesgos asociados a las tecnologías empresariales utilizadas para el teletrabajo, siendo un insumo para el diseño de la política y la arquitectura propuesta.

Como segunda parte se detalla la selección de la tecnología remota, esta selección muestra el análisis realizado para determinar cuál es la tecnología o solución integral que responda las necesidades de conexión de los trabajadores remotos en el cancerológico.

Identificación Marcos De Referencia

Se tendrán en cuenta los diferentes marcos de referencia relacionados con la seguridad de la información. Se analizará cuál de estos ayudará para con el desarrollo de la política de teletrabajo que se implementará en el instituto nacional de cancerología.

-ISO 27001:2013

-SOC 2 tipo 2

-NIST 800-46 

-COBIT 5

Matriz Multicriterio Estándares de Seguridad

Para poder determinar los criterios de evaluación, se realizó una mesa de seguridad con el coordinador de sistemas, el oficial de seguridad y el administrador de seguridad informática; en la cual se evaluaron los 10 criterios con base a los conocimientos que se tenían sobre los estándares y cual está en mayor sincronía con el Instituto Nacional de Cancerología para poder construir la política de teletrabajo. 

Grafica Multicriterio Estándares de Seguridad

Para cada uno de los criterios evaluados se realizó un análisis con el oficial de seguridad de la información del INC y el coordinador de sistemas los cuales conocen el instituto debido a su larga trayectoria con el mismo. Al obtener los resultados se puede observar que el estándar NIST 800-46 con un valor ponderado de 4,87 es el marco más apropiado para tener como referencia para creación de la política de teletrabajo, rediseño de los servicios expuestos y el modelamiento del esquema de conexión remoto.

Identificación Tecnologías De Conexión Remota 

Las conexiones remotas es un punto esencial para realizar el modelamiento de la manera en la que los funcionarios podrán acceder a la infraestructura corporativa para poder cumplir con sus labores diarias, para esto se optó por las siguientes soluciones:

-AnyDesk

-TeamViewer

-VPN

-Escritorios virtuales 

Matriz Multicriterio Soluciones Tecnológicas de Conexión Remota

Los criterios que se utilizaron para construir la matriz fueron establecidos de acuerdo con la problemática que posee Instituto Nacional de Cancerología que se basa en el acceso a los servicios y aplicaciones que solo están en la red corporativa, para ello se evaluaron las principales tecnologías que se encuentran en el mercado, se analizó y otorgo un mayor valor a los criterios que cumplen con el aseguramiento de la información para que estén alineados con la confidencialidad de los datos sensibles que se manejan en el INC y la administración centralizada sobre la herramienta para poder generar controles de seguridad sobre la misma, con ello se obtuvieron 89 criterios de evaluación en el cual la sumatoria total es del 100%.

Grafica Multicriterio Soluciones Tecnológicas de Conexión Remota

Al obtener los resultados se puede observar que la tecnología que se puede implementar para solucionar la problemática de acceso a la red corporativa es la VPN con un valor ponderados de 4,43, esta herramienta es la más apropiada analizándolo desde varios puntos de vista, desde costo, fácil implementación y seguridad de la información corporativa.

Identificación Tipos De Usuario

Con base al análisis del organigrama del INC, fue posible realizar una agrupación más detallada de los usuarios para que con este insumo sea posible segregar o segmentar roles y funciones más precisas de acuerdo con las características o naturaleza de cada puesto de trabajo.

Controles A Nivel De Host

La gran parte de acciones y tareas que realiza el instituto nacional de cancerología genera un gran volumen de información confidencial recogida en forma de distintos documentos asociados principalmente a datos clínicos de los pacientes, implementar las medidas de seguridad a nivel de host es de vital importancia para que el INC pueda trabajar de forma correcta y pueda cumplir con normativas vigentes sobre protección de datos y otras reglamentaciones del ministerio de salud. Los controles de seguridad propuestos refuerzan la posición del Cancerológico en la gestión contra de virus, spywares, malwares o troyanos que pueden alterar totalmente el funcionamiento de los dispositivos y son capaces de generar daño severo en los equipos, se plantean los siguientes:

-Antivirus & Antimalware

-Bloqueo de puertos USB

-Firewall 

-Control de navegación WEB 

-Antispam 

-Respaldos 

-DLP

-Cifrado

 

ARQUITECTURA

Topología Física Actual.

De acuerdo con la investigación realizada junto con el administrador de redes del cancerológico, se presenta a continuación la topología física que conforma la red del INC:

Esta topología física se compone inicialmente de dos enrutadores, configurados de manera independiente, es decir, que entre ellos no conforman ninguna clase de redundancia, estos equipos de red se conectan directamente a un firewall, este cortafuegos se comporta como el dispositivo capa 3 principal del instituto, se encarga de enrutar todas las redes LAN entre sí y hacia Internet. Adicionalmente el firewall está conectado a otro enrutador para establecer una conectividad y así dar conexión de red a una sede satélite.

Topología Lógica Actual.

La topología lógica se compone de múltiples redes que conforman la LAN del INC, dichas redes se ubican detrás de un firewall y son enrutadas a través de este, el cual delimita el perímetro hacia Internet.

Exposición De Servicios Actual.

La arquitectura actual para exponer los servicios en el INC se basa principalmente en el NAT, la configuración utilizada en este caso se le domina Destination NAT, en la cual la IP que se traslada es la destino, es decir, la IP publica a la cual el usuario remoto hace las consultas se cambia a nivel del firewall a la dirección privada que tiene el servidor en la red interna del INC, todo esto sin que el usuario remoto se entere.

La gran desventaja a nivel de seguridad de este tipo de arquitecturas y de configuraciones, es que en caso de que algún servidor se comprometa, el atacante podría hacer movimientos laterales en la red, es decir, con el acceso a algún servidor comprometido, se podría utilizar esa ubicación en la red para expandir el ataque e intentar infectar o alterar a otros servidores cercanos.

Topología Física Propuesta.

La topología física propuesta comienza en realizar el HSRP de los dos enrutadores, el HSRP es un protocolo propiedad de CISCO que permite el despliegue de enrutadores redundantes tolerantes de fallos en una red, este protocolo evita la existencia de puntos de fallo únicos mediante técnicas de redundancia y de esta manera tener mayor disponibilidad en los servicios que dependen de la WAN. Como segundo paso, se propone conectar los mismos enrutadores del ISP a un switch WAN y no directamente al firewall, esto proporciona flexibilidad para pruebas de conexión, por ejemplo, algún canal adicional o la configuración de un enlace WAN con otro dispositivo capa 3, además proporciona la capacidad de centralizar las VLAN de las redes MAN como MPLS o en general demás conexión de área muy amplia.

Con respecto a la red LAN, se propone no conectar los servidores a switches de distribución, sino que los servidores se conecten a un switch TOR con mayores prestaciones de conmutación.

Topología Lógica Propuesta.

Con respecto al diseño lógico, se propone un esquema basado en zonas, las zonas son un grupo de una o más interfaces, tanto físicas como virtuales, a las que se puede aplicar políticas de seguridad para controlar el tráfico entrante y saliente. Agrupar las interfaces o VLAN en zonas simplifica la creación de políticas de seguridad, donde varios segmentos de red pueden usar la misma configuración de políticas o pueden manejarse de forma independiente, además, tienen la gran ventaja de que posibilitan el establecimiento de permisos de red preconfigurados.

El esquema de zonas propuesto adicionalmente estará acompañado del enfoque de microsegmentación, la microsegmentación es un método para crear zonas seguras en centros de datos, que les permite aislar las cargas de trabajo entre ellas y protegerlas individualmente. Está dirigido a hacer que la seguridad de la red sea más granular, es decir, la red se dividirá en múltiples redes más pequeñas para minimizar brechas. 

Exposición De Servicios Propuesta.

La exposición se servicios propuesta se basa en la creación de una zona DMZ que contenga múltiples redes DMZ agrupadas por servicios o funciones en común, la red DMZ estará diseñada para los servidores que expongan servicios hacia redes hostiles como Internet, usualmente los enfoques de seguridad tradiciones se utiliza una única red DMZ, la cual contiene todos los servidores que se pueden acceder desde Internet o que exponen servicio ahí, y de esa manera se aísla ese tráfico posiblemente malicioso hacia otras redes internas, como la de usuarios o la red de servidores, sin embargo, una red que comparte múltiples servidores hace que compartan medios en común, por ejemplo broadcast y eso puede ser utilizado para ataques en capa 2, pero con el esquema de exposición de servicios de servicios propuesto con una DMZ basada en zonas y microsegmentación cada red DMZ será una habitación aislada con permisos de red extremadamente rigurosos evitando así que si un servidor en un red DMZ se comprometa no represente un riesgo para otros servidores DMZ.

RIESGOS

La gestión de riesgos realizada es este proyecto en el INC consistió en identificar, planificar y controlar los riesgos potenciales. Se realizó una evaluación proactiva de los riesgos con el objetivo de estar preparados y corregir el curso rápidamente en caso de necesitarlo; y, así, cumplir con los objetivos del proyecto a tiempo y dentro del presupuesto.

Como primer paso reunimos una lista de todos los casos en los que se podrían presentar, potencialmente, riesgos que podrían afectar al proyecto. Con el oficial de seguridad del instituto se definió caso de riesgo como cualquier cosa que pudiese afectar negativamente al programa, al presupuesto o, en definitiva, al éxito del proyecto en sí.

Para determinar los riesgos identificados se utilizaron las siguientes tres herramientas en varias sesiones junto con el equipo del proyecto:

1. Juicio de expertos

2. Lluvia de ideas

3. Lista de verificación

Como resultados se obtuvieron los siguientes riesgos:

R1 No identificar la totalidad de servicios digitales expuestos en el INC.

R2 No identificar la totalidad de las áreas elegibles para trabajo desde casa.

R3 El tiempo requerido para la identificación de servicios se extienda más de lo planeado teniendo en cuenta la disponibilidad de los recursos de los administradores del INC genere desfases en el cronograma.

R4 La tecnología remota escogida no cumpla con todas las necesidades del INC.

R5 La arquitectura de seguridad supere las habilidades técnicas del administrador de seguridad.

R6 La plantilla de endurecimiento o hardening propuesta no sea implementada por completo en el INC.

R7 Que los usuarios del INC continúen usando canales de comunicación diferentes a los establecidos.

R8 La implementación de la tecnología remota sea muy disruptiva y genere rechazo por parte de los usuarios.

R9 No encontrar disponibilidad necesaria de los usuarios para impartir las capacitaciones para la conexión remota.

R10 Pasar por alto componentes de infraestructura que no se identifiquen en las fases de inicio, lo que genere incompatibilidad con la arquitectura de seguridad en fases posteriores del proyecto.

R11 No estar alineado con la estrategia de la alta dirección.

A cada riesgo identificado se le realizó un análisis de la probabilidad de su materialización y su gravedad o impacto en el Cancerológico. Teniendo en cuenta la complejidad de los riesgos de este proyecto, se consideró llevar a cabo el análisis con el equipo del proyecto y con algunos involucrados claves como el coordinador de sistemas y el administrador SAP debido a su larga carrera y experiencia en el INC. Para determinar la gravedad, se pensó el impacto que tendría el riesgo en los objetivos del proyecto, si retrasaría lo programado con el cronograma, afectará al presupuesto o reducirá el alcance que tendrían las entregas del proyecto.

Con base a esta matriz de riesgo realizada fue posible realizar un análisis más detallado de cada uno de los riesgos, se identificó que los riesgos más urgentes de tratar están relacionados con la fase de planificación del proyecto, más exactamente con la no identificación de áreas o servicios además de no encontrar la disponibilidad de los usuarios para capacitarlos en cuanto al uso de las tecnologías remotas para el acceso al trabajo remoto. La respuesta al riesgo ideada para estos riesgos etiquetados como “muy graves” es la mitigación, se realizaron varias iteraciones para identificar a todos los posibles interesados en el proyecto, de esta manera poder recopilar requisitos y expectativas como también posibles variables a fin de que no pasar por alto ninguno. Con respecto a la disponibilidad del personal para capacitarlo se involucró a la alta dirección como también a los líderes de cada área para que estuvieran enterados y muy atentos al proyecto y de esta manera poder contar con su apoyo a la hora de tener la disponibilidad de sus equipos y realizar las capacitaciones de manera satisfactoria.