Como mantenerse protegido al trabajar con un freelancer

Trabajar con freelancer hace ya un tiempo que se convirtió en parte de la rutina de varias empresas. De hecho en una organización grande, no todas las tareas pueden resolverse dentro del equipo; ni hablar de las pequeñas empresas, que no pueden darse el lujo de contratar un empleado adicional. Sin importar esto, conectar a una persona ajena al flujo de trabajo digital puede introducir riesgos cibernéticos adicionales, sobre todo cuando se trabaja con una persona directamente sin una agencia de por medio. 

Los peligros en la bandeja de entrada del correo electrónico 

A la hora de buscar al freelancer correcto, no te olvides de contemplar las posibles amenazas. Es muy poco probable que se contrate a alguien sin antes haber visto su trabajo, por ello, es algo habitual que el freelancer te envíe un documento, un archivo con varios trabajos, un book o un enlace a un sitio externo, información que te verás obligado a descargar o visitar. Pero lo cierto es que ese archivo o sitio podría contener casi cualquier cosa.  

Con frecuencia, los investigadores descubren vulnerabilidades en navegadores o suites ofimáticas. Los atacantes buscan la manera para obtener el control de los ordenadores corporativos al introducir scripts maliciosos en un documento de texto o al incrustar un paquete de exploits en el código de un sitio web. Pero a veces estos trucos podrían no ser necesarios. Algunos empleados ya están dispuestos a hacer clic en un archivo recibido sin ni siquiera comprobar la extensión, por lo que podrían lanzar un archivo ejecutable. 

Toma en cuenta que un atacante podría mostrar un portafolio completamente normal (a veces podría ser falso) y enviar un archivo malicioso más tarde como resultado de una tarea. Además, alguien podría tomar el control del ordenador del freelancer o de su bandeja de entrada y utilizarlos para atacar a tu empresa. Después de todo, nadie sabe qué tipo de protección hay en su dispositivo o cuenta, y tu seguridad informática no puede controlar lo que sucede ahí. No debes considerar los archivos recibidos como de confianza, incluso aunque lleguen de parte de un freelancer aunque lleves trabajando años con el o ella. 

¿Cómo te puedes defender? 

Si necesitas trabajar con documentos creados fuera de la infraestructura de la empresa, mantener una higiene digital es lo más importante. Todos los empleados deben estar al tanto de las ciberamenazas relevantes, así que vale la pena elevar su nivel de concienciación en seguridad. Además, de seguir estos consejos prácticos: 

1. Asigna reglas estrictas para el intercambio de documentos, informa a los freelancers y no abras archivos si no cumplen estas reglas. ¿Archivo autoextraíble? NO ¿Un archivo con una contraseña que se especifica en la misma correspondencia? Esto podría solo ser necesario para evadir los filtros antimalware del correo electrónico.  
2. Utiliza un ordenador independiente, aislado del resto de la red, o una máquina virtual únicamente para trabajar con los archivos de fuentes externas o, al menos, para comprobarlos. Así podrás reducir de forma significativa cualquier daño potencial en caso de infección. 
3. Asegúrate de equipar este ordenador o máquina virtual con una solución de seguridad que bloquee la explotación de vulnerabilidades o los clics a un sitio web malicioso. 

Derechos de acceso para un freelancer

Para colaborar en un proyecto, los freelancers obtienen acceso a los sistemas digitales de la empresa: plataformas de intercambio de documentos, sistemas de gestión de proyectos, servicios de conferencia, mensajería interna, servicios en la nube, etc. Aquí debes evitar dos errores: no otorgar demasiados permisos al freelancer y no olvidar revocar su acceso una vez que haya terminado su trabajo.  

En lo que respecta a otorgar derechos, lo mejor es seguir el principio del menor privilegio. Un freelancer solo debería tener acceso a aquellos recursos que son necesarios para el proyecto actual. Un acceso ilimitado al almacenamiento de archivos o incluso al historial de conversaciones podría resultar una amenaza. No subestimes la información almacenada, incluso en los servicios auxiliares. De acuerdo con los medios de comunicación, el hackeo de Twitter en el 2020 comenzó cuando los atacantes obtuvieron acceso al chat interno de la organización. Y con métodos de ingeniería social, pudieron convencer a un empleado de la empresa de que les concediera acceso a docenas de cuentas. 

La revocación de derechos después de finalizar un proyecto tampoco es una formalidad. No estamos diciendo que una vez terminado el trabajo, el freelancer inmediatamente comience a hackear tu sistema de gestión de proyectos. La misma existencia de una cuenta adicional con acceso a información corporativa no es nada bueno. Por su parte si el freelancer configura una contraseña débil o reutiliza la contraseña de sus otras cuentas, en caso de filtración, existirá un punto de vulnerabilidad adicional en tu red corporativa. 

VER: StartUp: Riesgos y errores comunes de ciberseguridad

Defensa

Lo más importante es eliminar o desactivar la cuenta del freelancer una vez terminada la relación laboral. O, al menos, cambiar el correo y contraseña asociados; esto podría ser necesario en los sistemas que eliminan todos los datos asociados a una cuenta. Tambien se te recomienda: 

• Mantener un registro centralizado de quién tiene acceso a qué servicios. Por un lado, esto ayudará a revocar todos los derechos después de finalizar el proyecto y, por otro, puede ser útil a la hora de investigar un incidente. 
• Solicitar a los contratistas que mantengan una buena higiene digital y utilicen soluciones de seguridad en los dispositivos que usen para conectarse a los recursos de la empresa. 

• Implementar la autentificación en dos pasos en todos los sistemas de la nube siempre que sea posible. 
• Montar una infraestructura independiente para los proyectos con trabajadores autónomos o subcontratistas y sus archivos, si es posible. 
• Escanear todos los archivos cargados al almacenamiento en la nube o al servidor corporativo en busca de malware. 

^{Con información de Kaspersky}