Seguretat en dispositius i xarxes

Biblioteca Universitària

Les teues Dades, La teua Responsabilitat

Avui dia, és quasi impossible imaginar la nostra vida sense el núvol. Uses Google Drive per als treballs en grup, Dropbox per a compartir apunts, Mega per a sincronitzar documents, o potser iCloud per a les teues fotos. El núvol, al final, no és més que un munt de servidors remots on pots guardar les teues dades i accedir-hi des de qualsevol lloc i dispositiu. La veritat és que resulta molt còmode, però aquesta mateixa comoditat amaga importants desafiaments en termes de seguretat i privacitat.

núvol xifrat

El principal inconvenient del núvol, si és que podem considerar-ho així, és que quan un arxiu està en el núvol, ja no està en el teu disc dur, sinó en un servidor d’una empresa. Tot aquest tòpic ve al cas perquè, una vegada que els arxius estan en el servidor, la seua seguretat dependrà, òbviament, de les mesures de seguretat que adopte el proveïdor d’emmagatzematge. Però no tota la responsabilitat recau en el proveïdor, una part important també depèn de tu.
En aquest punt t’explicarem què pots fer perquè les teues dades en el núvol estiguen sempre segures, amb unes pràctiques senzilles i, com sempre, aplicant el sentit comú.

Seguretat en el núvol: què hem de tenir en compte

Bàsicament, tres punts:

L’encriptació dels arxius

Eines automàtiques de backup (còpia de seguretat)

L'avaluació de proveïdors segons el nivell de seguretat

L’ENCRIPTACIÓ D’ARXIUS

L’encriptació és el teu millor amic quan parlem de seguretat en el núvol. Pensa en l’encriptació com un cadenat invisible i ultraresistent que poses als teus arxius. Si algú no autoritzat aconsegueix accedir-hi (per exemple, per una bretxa de seguretat en el proveïdor o perquè ha endevinat la teua contrasenya), el que trobarà serà un galimaties indesxifrable, un embull de caràcters sense sentit perquè no té la clau d’encriptació.

Moments clau per a l’encriptació

Encriptació en trànsit: això significa que les teues dades s’encripte mentre viatgen del teu dispositiu als servidors del núvol (i viceversa). És el que assegura l’HTTPS que ja coneixes. Qualsevol proveïdor de serveis d’emmagatzematge en el núvol seriós hauria d’oferir-lo per defecte. Si no ho fa, oblida-te’n.
Encriptació en repòs (encryption at rest): això és encara més important, i significa que els teus arxius estan encriptats una vegada que ja estan guardats en els servidors del núvol. Encara que un atacant aconseguira accedir directament als discos durs del proveïdor, les teues dades continuarien sent il·legibles. Es coneix també, segons el context, com a encriptació d’emmagatzematge o storage encryption.

Què pots fer tu sobre aquest tema

Assegura't que el teu proveïdor encripta en repòs. La majoria dels grans proveïdors ho fan, però és una cosa que has de verificar en les seues polítiques de seguretat.
Encripta els teus arxius abans de pujar-los. Per a dades realment sensibles (documents personals molt privats, informació financera, treballs de recerca confidencials), considera encriptar-los tu mateix abans de pujar-los al núvol, usant eines com 7-Zip amb encriptació o Veracrypt, o, fins i tot, les opcions d’encriptació de disc del teu sistema operatiu. D’aquesta manera, tens el control total de la clau d’encriptació i el proveïdor del núvol no pot accedir al seu contingut, ni tan sols sota requeriment legal. D’això se’n diu encriptació d’extrem a extrem.

EINES DE CÒPIA DE SEGURETAT AUTOMÀTICA

Les eines de còpia de seguretat automàtica estan dissenyades per a crear còpies de seguretat dels teus arxius de manera regular i sense que hages de pensar-hi.

Les necessites perquè davant d’un robatori o un accident que t’impedisca accedir a les dades del teu dispositiu, aquestes poden ser restaurades a un punt anterior en el temps, reduint al mínim les teues pèrdues d’informació.

Com pots fer aquestes còpies?

Mitjançant aplicacions de tercers, que ofereixen còpies de seguretat automàtiques i encriptades al núvol, o bé en discos externs. Parlem d’aplicacions com Backblaze, Acronis True Image o Duplicati. Encara que disposen de versions gratuïtes, per a aprofitar tot el seu potencial és necessari pagar una subscripció.
Mitjançant les eines de sincronització dels proveïdors de núvol: aquesta és la nostra opció favorita, ja que ens permet un suficient nivell de seguretat.

AVALUACIÓ DE PROVEÏDORS SEGONS NIVELL DE SEGURETAT

Criteris com el nivell de seguretat o com gestionen les teues dades haurien de ser els principals criteris d'elecció, per damunt de la quantitat d'emmagatzematge que ens puguen oferir.

Criteris d'avaluació

Polítiques d’encriptació: encripten les dades en trànsit i en repòs? Qui té accés a les claus d’encriptació? L’ideal és que només tu les tingues, com en el cas de l’encriptació d’extrem a extrem, encara que no sempre és així.
Autenticació de dos factors (2FA/MFA): Ofereixen i obliguen a l'ús de 2FA per a accedir al teu compte? Aquest punt és indispensable.
Ubicació dels servidors: on estan físicament els centres de dades? Les lleis de privacitat del país (com el RGPD a Europa) afectaran com es tracten les teues dades. Alguns proveïdors et garanteixen que les teues dades estaran en servidors europeus, d’altres no ho fan (recorda que, als Estats Units, la normativa d’accés a dades és molt més laxa que l’europea).
Auditories i certificacions de seguretat: els proveïdors seriosos se sotmeten a auditories regulars, i obtenen certificacions ( com l'ISO 27001 i SOC 2) que avalen les seues bones pràctiques de seguretat. Això demostra un compromís real.
Historial de bretxes de seguretat: És important saber si han patit bretxes de seguretat en algun moment, i com les han gestionades.
Polítiques de privacitat i condicions de servei: Encara que siga tediós, cal llegir-les perquè et diuen com usaran les teues dades, si els compartiran amb tercers, si hi tenen accés, etc.
Suport i recuperació de dades: Avalua quines opcions et donen si perds un arxiu o si tens un problema de seguretat

BONES PRÀCTIQUES PER A LA SEGURETAT EN EL NÚVOL

Activa sempre l'Autenticació de Dos Factors (2FA/MFA): per a qualsevol servei en el núvol que uses (Google Drive, Dropbox, iCloud, etc.), la 2FA és una barrera fonamental contra accessos no autoritzats.
Usa contrasenyes fortes i úniques: combina majúscules, minúscules, números i símbols, i usa un gestor de contrasenyes per a recordar-les totes de manera segura.
Verifica l’encriptació del proveïdor: assegura’t que el teu proveïdor de serveis en el núvol encripta les teues dades tant en trànsit (mentre les puges o les baixes) com en repòs (una vegada que ja estan emmagatzemades en els seus servidors).
Considera l’encriptació d’extrem a extrem per a dades sensibles: per a arxius realment privats o confidencials, encripta els documents tu mateix abans de pujar-los al núvol (usant eines com VeraCrypt o 7-Zip amb contrasenya). Així, només tu tens la clau i ningú més, ni tan sols el proveïdor, els pot llegir.
Realitza còpies de seguretat regulars (i fora del núvol principal): no confies únicament en el núvol com la teua única còpia de seguretat. Tingues copies dels teus arxius més importants en un disc dur extern encriptat, o en un servei de núvol diferent. Diversificar és clau.
Revisa les polítiques de privacitat del proveïdor: abans de comprometre’t amb un servei, dedica uns quants minuts a llegir les seues condicions de privacitat. Entén com manegen les teues dades, si les comparteixen o si hi tenen accés.
Avalua críticament al teu proveïdor: no et deixes emportar només per la capacitat d’emmagatzematge gratuïta. Investiga la reputació del proveïdor en seguretat, les seues certificacions (com ISO 27001) i el seu historial de gestió de bretxes.
Sigues cautelós amb el que comparteixes: quan compartisques arxius des del núvol, revisa sempre els permisos. Assegura’t que només les persones adequades hi tinguen accés i evita els enllaços públics si el contingut és privat.
Mantín el sistema operatiu i les aplicacions actualitzats: això inclou les apps de sincronització del núvol en el teu dispositiu. Les actualitzacions sovint inclouen pedaços de seguretat que tenen vulnerabilitats.