Krypton Solid

Krypton Solid
Krypton Solid

La última tecnología en raciones de 5 minutos

Las 11 mejores prácticas de seguridad del correo electrónico para 2022

En el pasado, las mejores prácticas de seguridad del correo electrónico se podían resumir rápidamente: no confíe en el correo electrónico porque el correo electrónico es un servicio de mensajería no autenticado y poco confiable. Esto sigue siendo cierto en su mayor parte, y las mismas mejores prácticas para la seguridad del correo electrónico para los empleados de 1989 todavía se mantienen: use contraseñas seguras, bloquee a los spammers, no confíe en las ofertas que son demasiado buenas para ser verdad y verifique las solicitudes incluso de entidades confiables.

Sin embargo, a medida que el correo electrónico se vuelve cada vez más crítico para el éxito empresarial, se recomienda un conjunto más sólido de mejores prácticas de seguridad del correo electrónico. Se pueden resumir de la siguiente manera:

  1. Capacite a los empleados sobre las mejores prácticas de seguridad del correo electrónico.
  2. Crea contraseñas seguras.
  3. No reutilice las contraseñas en todas las cuentas.
  4. Considerar no cambiar las contraseñas con regularidad.
  5. Utilice la autenticación multifactor (MFA).
  6. Tómate el phishing en serio.
  7. Tenga cuidado con los archivos adjuntos de correo electrónico.
  8. No haga clic en los enlaces de correo electrónico.
  9. No utilice el correo electrónico comercial para uso personal y viceversa.
  10. Evite las redes Wi-Fi públicas.
  11. Utilice protocolos y herramientas de seguridad de correo electrónico.

Exploremos cada una de las mejores prácticas con más detalle.

1. Capacite a los empleados sobre las mejores prácticas de seguridad del correo electrónico

La capacitación periódica de concienciación sobre seguridad informa a los usuarios sobre las mejores prácticas de seguridad y mantiene a los usuarios actualizados no solo con las políticas de seguridad corporativas y su función para mantener la seguridad de sus organizaciones, sino también con las amenazas que pueden encontrar.

Asegúrese de incluir capacitación y mejores prácticas en seguridad del correo electrónico en un programa de concientización sobre seguridad empresarial.

2. Cree contraseñas seguras

Una de las mejores prácticas de seguridad del correo electrónico más importantes es utilizar contraseñas seguras. El pensamiento anterior era que complejo igualaba fuerte. Obligar a los empleados a crear contraseñas complejas, sin embargo, como } m} {4p #[email protected], probablemente termine con la contraseña escrita en una nota adhesiva en el escritorio de un usuario o guardada en un archivo inseguro en el escritorio de un usuario.

Las recomendaciones actuales del NIST mantienen que la longitud de la contraseña, no la complejidad, es clave para la seguridad de la contraseña. Frases de contraseña: la combinación de algunas palabras, como kittEnsarEadorablE – son un método para crear contraseñas más largas, fáciles de recordar pero difíciles de adivinar que ayudan a defenderse de los atacantes que utilizan ataques de diccionario para apuntar a contraseñas débiles.

Conecte estos dos ejemplos a ¿Qué tan segura es mi contraseña? De Security.org y encontrará que } m} {4p #[email protected] una computadora tardaría 400.000 años en romperse, mientras que kittEnsarEadorablE tomaría 6 billones de años. Las frases de contraseña más fuertes deben encadenar palabras no relacionadas. Según la calculadora de Security.org, kittEnsmErryvisitortrEE una computadora tardaría 2 sextillones de años en adivinarlo.

El NIST recomienda además que las empresas no requieran caracteres especiales en las contraseñas, a diferencia de la adición de!, # O $, por ejemplo, y que no prohíban los caracteres repetidos consecutivamente.

3. No reutilice las contraseñas en todas las cuentas.

La reutilización de contraseñas es otra amenaza para la seguridad del correo electrónico. Si una cuenta que usa las mismas credenciales que otras cuentas se ve comprometida, los atacantes también pueden obtener acceso fácilmente a esas otras cuentas. Los atacantes saben que probar una contraseña reutilizada asociada con la cuenta de una persona en un sistema violado a menudo desbloquea otras cuentas. La reutilización de contraseñas es especialmente peligrosa cuando los empleados usan las mismas contraseñas para cuentas corporativas y personales.

Anime a los empleados a utilizar contraseñas únicas y seguras para cada cuenta. Este es un punto de dolor para muchos usuarios, especialmente aquellos con docenas o cientos de contraseñas para recordar. El inicio de sesión único o un administrador de contraseñas puede ayudar a aliviar el desafío.

4. Considere cambiar las contraseñas con regularidad

En los últimos años se ha debatido acaloradamente la orientación sobre la frecuencia de los cambios de contraseña. Cambiar las contraseñas cada 90 días solía ser la norma. Se suponía que los cambios frecuentes de contraseña ayudan a mantener los sistemas seguros, pero a menudo conduce a la frustración del usuario y, como resultado, al uso de contraseñas menos seguras. Más a menudo que no, Contraseña1 se convertirá en Contraseña2 después de 90 días.

NIST recomienda no forzar cambios periódicos de contraseña. Sin embargo, los cambios de contraseña forzados deben ser necesarios después de una sospecha de compromiso.

Tenga en cuenta que algunas regulaciones de cumplimiento, como PCI DSS, requieren cambios frecuentes de contraseña.

Las empresas deben sopesar los beneficios de los cambios regulares de contraseña con la tendencia de los usuarios a usar contraseñas más débiles que son más fáciles de recordar y, por lo tanto, más fáciles de explotar para los atacantes.

5. Utilice la autenticación multifactor

MFA implica el uso de más de un método para autenticar la identidad de un usuario. Esto podría incluir, por ejemplo, un nombre de usuario y contraseña en combinación con una contraseña de un solo uso o biométrico de huellas dactilares. Agregar un segundo, o tercer o más, método al proceso de autenticación agrega una capa adicional de defensa y defiende contra problemas comunes de seguridad del correo electrónico, como ataques de fuerza bruta y descifrado de contraseñas. Microsoft ha predicho que bloquear cuentas con MFA puede bloquear el 99,9% de los ataques de compromiso de cuentas.

Las empresas deben exigir el uso de MFA. Los empleados también deben protegerse mediante el uso de MFA siempre que esté disponible.

Imagen de diferentes factores de autenticación en la autenticación multifactor
La autenticación multifactor agrega una capa adicional de seguridad al correo electrónico y puede prevenir ataques de compromiso de cuentas.

6. Tome en serio el phishing

Si bien los productos de seguridad del correo electrónico evitan que muchos correos electrónicos no deseados lleguen a la bandeja de entrada de un usuario, una buena cantidad de ellos aún se reciben y contienen esquemas de phishing que se están volviendo cada vez más sofisticados y realistas. Estos pueden incluir estafas estándar de phishing, junto con spear phishing o ataques de caza de ballenas. Los usuarios deben estar atentos a las estafas de phishing y tener cuidado al abrir cualquier correo electrónico potencialmente malicioso. No responda, haga clic en enlaces o abra archivos adjuntos en correos electrónicos que parezcan sospechosos.

Cada vez más empresas incluyen capacitación en concientización sobre phishing en sus programas de capacitación en concientización sobre seguridad para ayudar a los empleados a identificar mensajes problemáticos y enseñarles cómo evitar hacer clic en los enlaces incorrectos o abrir los archivos adjuntos incorrectos.

Gráfico que explica el phishing frente al spear phishing frente a la caza de ballenas
Una de las mejores formas para que los empleados mantengan su correo electrónico seguro es comprender cómo funcionan las estafas de phishing.

7. Tenga cuidado con los archivos adjuntos de correo electrónico

Muchos ataques de correo electrónico se basan en la capacidad de enviar y recibir archivos adjuntos que contienen código ejecutable malicioso. Los archivos adjuntos maliciosos pueden ser bloqueados por software antimalware que detecta la fuente maliciosa. Sin embargo, los archivos adjuntos maliciosos también pueden ser enviados por fuentes confiables que han sido explotadas por atacantes.

Cualquiera sea la fuente, los empleados deben tener cuidado con los archivos adjuntos incluso cuando la organización utiliza software de detección de correo electrónico y de bloqueo de malware. Si un archivo adjunto tiene una extensión asociada con un programa ejecutable, como .exe (programa ejecutable), .jar (programa de aplicación Java) o .msi (Windows Installer), se debe tener especial cuidado antes de abrirlo. Los archivos como documentos de Word, hojas de cálculo y archivos PDF también pueden contener código malicioso, así que tenga cuidado al manipular cualquier tipo de archivo adjunto. Escanee archivos con un programa antimalware o evite abrirlos por completo.

8. No haga clic en los enlaces de correo electrónico.

Los hipervínculos en el correo electrónico a menudo pueden conectarse a un dominio web diferente de lo que parecen representar. Algunos enlaces pueden mostrar un nombre de dominio reconocible, como www.amazon.com, pero, de hecho, dirigen al usuario a un dominio malicioso diferente. Los atacantes también utilizan conjuntos de caracteres internacionales o errores ortográficos para crear dominios maliciosos que parecen pertenecer a marcas conocidas.

Siempre revise el contenido del enlace colocando el puntero del mouse sobre el enlace para ver si el enlace real es diferente del enlace que se muestra. En caso de duda, escriba dominios directamente en los navegadores para evitar hacer clic en los enlaces de los correos electrónicos.

9. No utilice el correo electrónico empresarial para uso personal y viceversa.

Si bien puede resultar tentador y conveniente para los empleados utilizar una cuenta de correo electrónico corporativo para asuntos personales, una de las mejores prácticas de seguridad del correo electrónico empresarial es prohibir esto. Del mismo modo, los correos electrónicos relacionados con el trabajo nunca deben enviarse desde cuentas personales. La combinación de negocios y personales puede resultar en amenazas como el spear phishing.

Describa las políticas de uso de correo electrónico aceptables y las restricciones en una política de correo electrónico corporativa.

10. Evite las redes Wi-Fi públicas

Los empleados pueden ver el Wi-Fi público como una bendición, pero recuérdeles que estas conexiones están listas para los ataques. Si los empleados inician sesión en el correo electrónico corporativo en una red Wi-Fi pública, cualquier persona de esa red también podría acceder a su correo electrónico. Los actores malintencionados pueden usar rastreadores de paquetes de código abierto, como Wireshark, para monitorear y obtener acceso a información personal a través del correo electrónico. Incluso si los usuarios no verifican activamente el correo electrónico en redes Wi-Fi públicas, casi todos los sistemas están configurados para actualizar automáticamente las bandejas de entrada cuando un dispositivo se conecta a una red. Si los usuarios están conectados a Wi-Fi, también lo está su correo electrónico, lo que pone en riesgo las credenciales de la cuenta.

Utilice únicamente redes Wi-Fi seguras y conocidas para consultar el correo electrónico.

11. Utilice protocolos y herramientas de seguridad del correo electrónico.

Tres estándares son clave para filtrar mensajes de spam: DomainKeys Identified Mail (DKIM), Sender Policy Framework (SPF) y Autenticación, Informes y Conformidad de Mensajes basados ​​en Dominios (DMARC).

  • DKIM utiliza criptografía asimétrica para evitar la suplantación de correo electrónico. Se agrega una firma digital a un correo electrónico para verificar que el mensaje no se modificó después de su envío. Si la firma no coincide con la clave pública del dominio de correo electrónico, se bloquea. Si coincide, se entrega.
  • SPF verifica que un correo electrónico proviene de su origen y está autorizado a enviar un correo electrónico desde ese dominio. Si se verifica, se entrega el correo electrónico. Si no es así, el correo electrónico está bloqueado.
  • DMARC extiende DKIM y SPF. Con DMARC, los propietarios de dominios pueden publicar sus requisitos DKIM y SPF, así como especificar qué sucede cuando un correo electrónico no cumple con esos requisitos, como informar al dominio remitente.

Estos controles técnicos evitan los correos electrónicos falsificados, pero no detienen todos los mensajes no deseados. Se deben considerar herramientas de seguridad de correo electrónico adicionales, como antimalware, antispam, filtrado de correo electrónico, pasarelas de seguridad de correo electrónico y sistemas de monitoreo de correo electrónico.

También te puede interesar...

Productos XaaS, a tu servicio

Los acrónimos facilitan hablar y leer sobre tecnología, pero a veces los detalles importantes se pierden en la confusión. Con tantos «como servicios» disponibles hoy en día, hacer un seguimiento de todos los nombres y

Queremos ser más relevantes para los socios.

El proveedor de continuidad Veeam Software ha revelado varias iniciativas que afectarán su canal de América del Norte, incluido un nuevo enfoque en el mercado empresarial y la expansión de su Programa de proveedores de

Explorando la versatilidad de la programación Groovy

Los desarrolladores a menudo pasan demasiado tiempo configurando dependencias de compilación mediante modificaciones de código estándar y agregando resistencia a los servicios y las implementaciones de contenedores. Apache Groovy permite a los desarrolladores secuenciar, encadenar

SOAR vs. SIEM: ¿Cuál es la diferencia?

No es fácil comprender las diferencias clave cuando se mira SOAR frente a SIEM, porque tienen muchos componentes en común. Las herramientas de gestión de eventos e información de seguridad, o SIEM, son una forma

Administre KVM a escala con estas prácticas recomendadas

KVM es una plataforma de virtualización popular que es fácil de administrar a bajas densidades, pero los administradores deben ser cuidadosos con la instalación y configuración para administrar KVM a escala. Las herramientas básicas, como

Inicio de un proyecto de virtualización de Oracle

La virtualización se ha convertido rápidamente en una tecnología imprescindible para los servidores modernos. En ninguna parte es esto más cierto que en el centro de datos, donde la virtualización de servidores ha ayudado a

Cómo crear una encuesta de satisfacción del cliente

Las encuestas de satisfacción del cliente pueden ser herramientas tremendas para recopilar datos de los clientes, si se realizan correctamente. Algunos expertos dicen que muchas empresas han perdido de vista el propósito de la encuesta.

¿Qué es la baliza (baliza de proximidad)?

Una baliza, en el contexto de los servicios basados ​​en la ubicación, es un pequeño dispositivo de hardware que permite la transmisión de datos a dispositivos móviles dentro de un rango específico del dispositivo. Para

Introducción a las mejores prácticas de AWS IAM

Los equipos de TI deben asegurarse de que solo los usuarios conocidos y de confianza puedan acceder a las aplicaciones y datos vitales de su organización. Los usuarios de la nube confían en servicios, como

SAP demuestra la nueva integración de Twitter

Como muchos de sus competidores, SAP ha comenzado a integrar las redes sociales en su producto CRM. Y, como muchos de sus competidores, SAP ha comenzado con Twitter. SAP CRM 7.0 tiene todos los objetos

Cálculo del retorno de la inversión de VDI

Si bien la idea de los escritorios virtuales ha llamado la atención de todos, el número real de instalaciones sigue siendo… pequeña. Las corporaciones que han pasado a la fase de prueba de concepto todavía

Cómo prevenir la inyección de XPath

Los ataques de inyección XPath pueden causar estragos en las aplicaciones web. El experto en seguridad de aplicaciones Chris Eng responde a la pregunta de un lector … pregunta sobre si la parametrización o la

Kurt Huhn analiza el papel del CISO en Ocean State

Rhode Island es el estado más pequeño en términos de superficie terrestre, pero es el segundo más densamente poblado, después de Nueva Jersey. Con una población de 1,022 personas por milla cuadrada, es el hogar

Contáctenos – SearchSAP

Envíanos tus comentarios SearchSAP agradece sus comentarios. Nuestro objetivo es crear el mejor sitio web específico de desarrollo / administración de SAP. Una forma de hacerlo es escuchando sus comentarios. Intentaremos abordar todos los comentarios

Puntos débiles y su facilidad de implementación

El software de planificación de recursos empresariales (ERP) suele ser la columna vertebral de una empresa. Sin el valor que proporciona, algunas empresas simplemente no funcionarían correctamente. Si bien el software ERP en el pasado

¿Qué es DVD (disco de video digital)?

El DVD es una tecnología de disco óptico con una capacidad de almacenamiento de 4,7 gigabytes en un disco de una sola cara y una capa, que es suficiente para una película de 133 minutos.

¿Qué es el intercambio de información sanitaria?

En las instituciones de atención médica de EE. UU., El modelo actual para recopilar información médica tiende a dar como resultado una vista centrada en el proveedor del historial del paciente. Las iniciativas de TI

¿Qué es una dirección IPv6?

Una dirección IPv6 es un valor alfanumérico de 128 bits que identifica un dispositivo de punto final en una red de Protocolo de Internet versión 6 (IPv6). IPv6 es el sucesor de una infraestructura de

Los 5 mejores consejos para el éxito de la conversión P2V

Las herramientas de conversión de físico a virtual (P2V) de hoy son excepcionalmente maduras, pero los procesos profundamente técnicos son ligeramente diferentes en cada producto de migración P2V. Las herramientas de migración de servidores virtuales

¿Cómo aumento la memoria caché?

Técnicamente hablando, la memoria caché se refiere a la memoria que es parte integral de la CPU, donde proporciona una velocidad de nanosegundos … acceso a instrucciones o datos a los que se hace referencia

Deja un comentario