El valor tangible que levanta la niebla sobre la nube

Cloud

Especialmente desde la pandemia, la transición de aplicaciones y sistemas de comunicación a la nube ha sido una prioridad para muchas empresas. Después de todo, el valor de esta configuración resulta obvio y se ha evidenciado incluso más en los periodos de confinamiento: con una instalación en la nube, la ubicación del usuario no tiene ninguna relevancia en la actividad de la empresa, al menos en muchos casos. Comunicarte, acceder a archivos, acumular datos o incluso formar a nuevos empleados: la nube garantiza que nada de esto tenga que limitarse a una oficina física y que resulte siempre accesible.

No nos extraña que esta idea haya calado tanto hasta el momento, pues parece un campo increíblemente mágico.

De hecho, tal vez sea demasiado mágico.

Al pensar en la nube, hay demasiadas empresas que caen en la trampa de imaginar esta tecnología como una salvación universal para la continuidad y la seguridad de las empresas. No hay duda de que la nube puede crear una infraestructura de comunicaciones más segura, más fiable y más accesible. Pero igual que cualquier otra solución, no todas las opciones están diseñadas con los mismos fines. Y hay más, no todas están diseñadas con la misma calidad o funcionalidad.

Así que para desmitificar la nube (e, idealmente, mostrar de qué es capaz de verdad), ten en cuenta estas siete claves que definen a un proveedor de servicios Cloud eficiente.

1. Certificación

No debería hacer falta recordarlo, pero nunca está de más insistir en la importancia del reconocimiento del sector para los proveedores de servicios en la nube. Un proveedor de servicios Cloud tiene que ser fiable, después de todo, y una estupenda forma de comprobar su solidez es comprobar lo que dicen los expertos. En concreto, es especialmente importante comprobar el cumplimiento ISO 27001 o verificar que el sistema recibe auditorías periódicas.

Igualmente, evaluar si el sistema está certificado y cumple con requisitos legales como la HIPAA estadounidense o el RGPD europeo. Si el proveedor en la nube y su infraestructura garantizan este cumplimiento desde el principio, tu empresa se ahorrará muchos quebraderos de cabeza.

2. Tecnología

Como hemos dicho, no todas las opciones en la nube son iguales ni están diseñadas con los mismos fines. Igual que cualquier otra tecnología, algunas se adaptarán mejor a los resultados que buscas que otras.

Sin perder esto de vista, es esencial evaluar a cada proveedor teniendo una idea clara de lo que quieres obtener de sus servicios, ¿Qué aplicaciones quieres llevarte a la nube contigo? ¿Qué procesos te gustaría que fueran accesibles a distancia? ¿Cuánto tiempo piensas invertir en la personalización?

Muchos proveedores de estos servicios pueden ayudarte a hacerte una idea sobre lo que ofrecen, pero tu transición será mucho más sencilla si te planteas la búsqueda con unas expectativas claras.

3. Centros de datos

Aunque la «magia» de la nube es que parece que se lleva el almacenamiento de datos al éter, la realidad es que la nube también está hecha de centros de datos con dirección postal en la Tierra. Además, si estos centros de datos se apagan o tienen algún tipo de problemas, tu posibilidad de acceder a la nube podría verse comprometida.

Así que a la hora de valorar a los proveedores Cloud, es importante que consideres la arquitectura física y no solo la parte digital. Un proveedor ideal tendrá centros de datos en ubicaciones seguras para mitigar posibles desastres que puedan afectar a los servidores. En realidad, debería disponer de varios centros de datos repartidos por todo el mundo para garantizar la continuidad del servicio en todo momento en el caso de que aparezca un problema en uno de los centros.

Si bien el planteamiento general al hablar de la nube coincide con el abandono de la dependencia de las oficinas físicas, los elementos físicos sí que importan en la red. Asumiendo esto, es fundamental que elijas a un proveedor con una estructura inteligente y a prueba de interrupciones.

4. Gestión de datos

En el mismo sentido, recuerda que cuando almacenas o envías datos usando la nube, esos datos siguen existiendo en un sistema físico en alguna parte. Eso implica que cuando valores a los proveedores Cloud, deberás evaluar si se mantiene la confidencialidad de tus datos con determinados proveedores. Valora qué personas vinculadas a tu proveedor tendrán acceso a tus datos y en qué circunstancias; considera también el plan de acción del proveedor en caso de una posible filtración de datos u otro acontecimiento inesperado que pueda afectar a tus datos.

La ubicación de los centros de datos entra en juego en esta categoría también porque la normativa local puede afectar a los casos en los que alguien puede acceder a tus datos y en quiénes pueden hacerlo. Un proveedor Cloud de confianza debería enumerar todos los casos en los que se puede producir este acceso o exponer explícitamente cuándo estos casos no serán aplicables.

5. Seguridad

No está de más repetir que la seguridad es un gran beneficio al migrar a la nube. La nube no solo mitiga el malware y reduce la probabilidad de sufrir ataques DDoS, además garantiza que las actualizaciones de seguridad se apliquen automáticamente y mantiene el mayor nivel de protección posible en todo momento.

Por supuesto, al final del día, la efectividad de tu protección depende de lo que tu proveedor en la nube pueda ofrecerte. Si te paras a pensar en cuánta seguridad estás dejando en manos de tu proveedor, es clave que realices una búsqueda minuciosa sobre cómo mantendrá la seguridad de su red y de tus datos a salvo de las amenazas externas. Aquí, de nuevo, la certificación y los reconocimientos son un excelente indicador de las garantías de seguridad.

Como en los puntos anteriores, el elemento físico es muy relevante en la seguridad. Los centros de datos son lugares reales que teóricamente pueden sufrir intrusiones, así que es crucial saber si estas ubicaciones están bien protegidas. Ya sabes, un buen proveedor debería ser capaz de tranquilizarte cuando le lances estas preguntas.

6. Tiempo de actividad

Al ponderar varios de estos factores en conjunto podemos hacernos una idea de la fiabilidad virtual de una determinada red. ¿Experimenta periodos de actividad relevantes? De media, ¿con cuánta frecuencia está caída durante un año? Considerando que los fallos pueden afectar a tu capacidad para comunicarte o incluso para acceder a tus archivos, es vital que el tiempo de actividad ronde el 100 % o se le acerque tanto como sea posible mediante un diseño efectivo y opciones de recuperación (failover) eficientes.

7. Servicio al cliente

La realidad es que es posible que tengas que realizar alguna consulta o solucionar un inconveniente con cualquier servicio Cloud, ya se trate de una interrupción o de una simple confusión sobre cómo utilizar determinado elemento. Así que, por descontado, el proveedor en la nube debería ofrecer un servicio de atención al cliente ágil y resolutivo para echarte una mano con lo que surja.

Por encima de todos los elementos tecnológicos que debes ponderar en tu proveedor en la nube, comprueba que la atención al cliente es razonablemente buena. Si aparece algún imprevisto, no querrás quedarte atrapado en un tono de espera rezando para que alguien conteste al teléfono en un centro de llamadas subcontratado. Al contrario, ante una emergencia, te sentirás mucho mejor si optas por un proveedor que te ponga en contacto con un agente experto cuanto antes.

Bajando de las nubes

Aunque es muy fácil tener la cabeza en las nubes (por así decirlo) sobre esta nueva tecnología, al ponderar todos los factores que entran en juego en un contexto empresarial podrás concluir si lo más conveniente es adoptar este sistema o no. La lista que hemos elaborado no es exhaustiva, al contrario, dependiendo de tu situación, es posible que existan muchos puntos adicionales a tener en cuenta para identificar lo que realmente estás buscando.

Insistimos: por mucho que una solución Cloud bien instalada pueda resolver muchos problemas, es esencial recordar que esta tecnología proviene de proveedores reales con servidores y ubicaciones reales. Solo después de evaluar minuciosamente estos aspectos del mundo real sobre el servicio en la nube será el momento de decidir si te interesa explorar todos los beneficios de la plataforma en la nube.

Para saber por qué Wildix destaca como proveedor de comunicaciones digitales en la nube, consulta este otro post de nuestro blog o nuestra documentación sobre procedimientos de alojamiento de datos.

Para más consejos sobre cómo gestionar un entorno laboral en la oficina e implementar software, ¡suscríbete para recibir nuestra Magazine gratuita!

¿Tu teléfono fijo te está escuchando?

Los agujeros de seguridad de Yealink demuestran que la seguridad UCC importa

Yealink vulnerabilities show how that in UCC, security matters

Para bien o para mal, casi todos nos hemos acostumbrado ya a la recopilación de nuestros datos. Desde las cookies en las páginas web al seguimiento de los términos de búsqueda, nuestra actividad en internet siempre está monitorizada de una forma u otra y hemos llegado a un punto en que la aceptación general valida esta práctica sin mucha reflexión.

Dicho esto, por mucho que estamos habituados a ese nivel de seguimiento digital, nos choca profundamente saber que en los sistemas de telefonía empresarial se produce un seguimiento similar. Después de todo, es muy poco habitual que los teléfonos fijos recopilen nuestros datos, principalmente porque, para la mayoría de las empresas, las llamadas de voz contienen valiosa información confidencial.

Entonces, ¿qué ocurre si sospechas que tu sistema de telefonía tiene la capacidad de escuchar activamente lo que dices?

O peor aún, ¿qué ocurre si no sabes quién está poniendo la oreja al otro lado del auricular?

Problemas de seguridad en Yealink

Estas cuestiones son especialmente relevantes para los responsables de las empresas que se han visto afectadas por la grave revelación que afecta a los teléfonos del proveedor chino Yealink y especialmente a sus equipos T54W, que ha despertado mucha preocupación sobre la privacidad y la seguridad del hardware de esta empresa.

El 28 de septiembre del año pasado, el Senador estadounidense Chris Van Hollen (D-Md) envió una carta al Departamento de Comercio de EE UU comunicando un informe realizado por la consultora Chain Security. En dicho informe, Chain Security observó numerosos fallos de seguridad en los dispositivos Yealink, junto a varias funciones que parecen estar recopilando intencionadamente los datos de los usuarios.

Y hay algo más preocupante: el informe de Chain Security concluyó que es “altamente probable” que Yealink esté compartiendo información de sus clientes directamente con el gobierno chino, especialmente a través de su hardware.

Esta recogida de datos se produciría principalmente gracias al modo en que los teléfonos Yealink interactúan con las redes y los PC de la empresa. En concreto, los equipos Yealink utilizan una plataforma de administración de dispositivos (DMP) para conectarse a los programas que se ejecutan en el ordenador. En casi todos los casos, esto sería completamente normal para la amplia mayoría del hardware VoIP que se conecta a un sistema basado en el PC.

Lo que ya no es tan normal (al contrario, es más bien alarmante) es que la DMP de Yealink sea capaz de grabar llamadas de voz e incluso de rastrear el historial web en un PC conectado sin que el usuario lo sepa.

Componentes con capacidad para fisgonear

Según el informe de Chain Security, el DMP de Yealink “recopila y conserva la IP WAN” del equipo del usuario y puede registrar todo el tráfico web de los equipos que tiene conectados. Esto se suma a que la DMP recopila grabaciones de llamadas realizadas en el teléfono o en los dispositivos conectados al teléfono.

Vale la pena insistir en todo esto, especialmente porque la DMP de Yealink puede ser operada por un empleado de Yealink a distancia, que además puede usar la plataforma para acceder a los datos recogidos (la dirección IP, el tráfico web y todas las llamadas grabadas).

Y la preocupación no acaba aquí: usando el DMP de Yealink, los empleados remotos de Yealink pueden activar cuando quieran la grabación de una llamada activa y conservar la grabación.

No parece que Yealink utilice este acceso de forma puntual. Chain Security también apunta que durante la “actividad normal”, los teléfonos de Yealink se comunican con los servidores AliCloud, bajo control chino, sugiriendo un control e interceptación potencial como el que hemos apuntado en párrafos anteriores.

Haciendo una analogía, tal vez no veamos la llama, pero la actividad de supervisión combinada con el contacto con el servidor sin duda emite un montón de humo. (Y aún resulta más sospechoso si consideramos los estrechos y permanentes vínculos de Yealink con el gobierno chino y el hecho de que compartan datos continuamente con las autoridades, según recoge Chain Security).

La preocupación por la seguridad no se queda aquí

Más allá de estos problemas, los equipos Yealink en cuestión parecen tener evidentes defectos de seguridad que pueden comprometer todo un servidor de una empresa.

Chain Security destaca que los teléfonos de Yealink están “preconfigurados para aceptar credenciales de conexión y acceso al dispositivo de 187 autoridades de certificación digital ‘fiables’”. En otras palabras: sin que el usuario sea consciente de ello, los equipos de Yealink pueden ser accesibles para una enorme cantidad de entidades adicionales, por lo que si alguna de ellas lo considera, podrá entrar fácilmente a las redes de los usuarios finales de Yealink.

Es más, ni siquiera es necesario que los hackers sean una autoridad “fiable”. El acceso desconocido al equipo queda abierto por su incapacidad de proteger frente a intentos de inicio de sesión de fuerza bruta, por lo que los hackers son perfectamente capaces de acceder simplemente adivinando la combinación de nombre de usuario y contraseña.

Como si todo esto no fuera bastante grave, los dispositivos de Yealink no cuentan con las firmas digitales habituales en el sector para autenticar los cambios en el firmware. En consecuencia, si actores externos consiguen acceder a los teléfonos, instantáneamente podrán modificar el software siempre y cuando el nuevo firmware sea compatible con el hardware.

En otras palabras, esto implica que un hacker puede instalar firmware que controla no solo lo que se graba en el teléfono Yealink (usando la recogida de datos como ya hemos expuesto), sino que también accede a la actividad de toda la red de la empresa.

El balance final de los equipos Yealink

Todo esto nos deja con un teléfono que puede grabar llamadas, direcciones IP y actividad web (en cualquier momento y sin que el usuario final lo sepa) y compartir estos datos con terceros. 

Aunque es sencillo e incluso natural asumir que los datos acabarán en Yealink o incluso en el gobierno chino, es igual de posible que agentes completamente desconocidos puedan aprovechar la vulnerabilidad de estos teléfonos para sus propios fines. En cualquier caso, el resultado es cualquier cosa menos deseable para las empresas.

Según todos los indicios, incluso en una época en la que la recogida de datos es algo que se da por descontado, la arquitectura de seguridad de los teléfonos de Yealink permite un grado de vigilancia muy por encima de lo que cualquier empresa está dispuesta a soportar.

 Lecciones aprendidas

Todo esto constituye una seria advertencia para cualquier interesado en los teléfonos Yealink, pero también podemos sacar conclusiones más amplias en materia de seguridad.

En primer lugar, cabe insistir en que usar este ejemplo para desconfiar de todos los productos de hardware de origen chino sería ridículo. Después de todo, una enorme cantidad de dispositivos se fabrican en China y no presentan ninguno de estos problemas.

El problema serio en realidad es una cuestión de seguridad y confianza en general. Como muestra este ejemplo, el hardware de comunicación tiene un potencial increíble para inmiscuirse en tu privacidad, hasta el punto de actuar como un dispositivo de vigilancia encubierto justo encima de tu mesa de trabajo.

Para mantenerte seguro es fundamental que puedas confiar en tu proveedor de dispositivos VoIP. El proveedor tiene que ser capaz de demostrar que cuenta con medidas de seguridad efectivas y además que mantiene una sólida voluntad de renunciar a controlar los dispositivos, sin perjuicio de la instalación de las actualizaciones necesarias, siempre con tu conocimiento.

Al valorar un nuevo proveedor, hay un montón de preguntas importantes que puedes hacerte. Por ejemplo, ¿cuánto te cuenta tu proveedor sobre los parámetros de seguridad que tiene su hardware? ¿Qué papel juega el proveedor en la gestión del dispositivo una vez te lo ha vendido? ¿Qué vínculos tiene tu proveedor con otras entidades que pueden desear tu información comercial?

Por encima de todo, si un proveedor mantiene, por ejemplo, un acceso permanente a la DMP, mejor que estés atento. La posibilidad de ejercer un control a distancia de esta forma seguro que implica un pobre diseño de seguridad en el mejor de los casos o un intento activo de fisgonear tus datos en el peor escenario.

Para mantener la seguridad de tu empresa, es esencial valorar estos factores con la misma importancia que otorgas a otros aspectos de la seguridad. Si no puedes confiar en que tu proveedor protege tu privacidad, ¿vale la pena que sea tu socio tecnológico? Si además es evidente que está compartiendo datos con un gobierno activo en la guerra de la información, la situación se vuelve mucho más problemática.

Al ponderar tus opciones de hardware, no pienses solo en la seguridad en términos generales. Igual de vital es tener en cuenta cuánta confianza puedes depositar en tu proveedor a la hora de mantener tu seguridad (o, más importante aún, si el propio proveedor es una amenaza potencial para la seguridad).

Para ver cómo Wildix implementa la seguridad en los sistemas UCC, consulta nuestra guía gratuita.

Para recibir más actualizaciones de seguridad en el sector UCC, ¡suscríbete y recibe gratis nuestro magazine!