La guía de seguridad de Windows 10: cómo proteger su negocio.

¿Cómo configura las PC con Windows 10 para evitar problemas de seguridad comunes? Desafortunadamente, no hay una solución mágica para el software y las herramientas son diferentes para las pequeñas empresas y las empresas. Esto es lo que hay que tener en cuenta.

Es tentador pensar que el proceso de asegurar un dispositivo con Windows 10 puede reducirse a una simple lista de verificación. Instale algún software de seguridad, ajuste algunas configuraciones, lleve a cabo una o dos sesiones de entrenamiento y podrá pasar al siguiente elemento de su lista de tareas pendientes.

Por desgracia, el mundo real es mucho más complicado que eso.

No hay una solución mágica para el software, y su configuración inicial simplemente establece una línea de base de seguridad. Una vez que se completa la configuración inicial, la seguridad requiere vigilancia continua y esfuerzo continuo. Gran parte del trabajo de asegurar un dispositivo con Windows 10 se aleja del propio dispositivo. Una política de seguridad bien planificada presta atención al tráfico de red, las cuentas de correo electrónico, los mecanismos de autenticación, los servidores de administración y otras conexiones externas.

Esta guía cubre un amplio espectro de casos de uso empresarial, con cada encabezado que discute un problema que los responsables de la toma de decisiones deben considerar al implementar PC con Windows 10. Y aunque cubre muchas opciones que están disponibles, esta no es una guía práctica.

En una gran empresa, su personal de TI debe incluir especialistas en seguridad que puedan administrar estos pasos. En una pequeña empresa sin personal de TI dedicado, subcontratar estas responsabilidades a un consultor con la experiencia necesaria podría ser el mejor enfoque.

Sin embargo, antes de tocar una única configuración de Windows, tómese un tiempo para realizar una evaluación de amenazas. En particular, tenga en cuenta sus responsabilidades legales y reglamentarias en caso de una violación de datos u otro evento relacionado con la seguridad. Para las empresas que están sujetas a los requisitos de cumplimiento, querrá contratar a un especialista que conozca su sector y pueda garantizar que sus sistemas cumplan con todos los requisitos aplicables.

Las siguientes categorías se aplican a empresas de todos los tamaños.

GESTIONANDO ACTUALIZACIONES

La configuración de seguridad más importante para cualquier PC con Windows 10 es garantizar que las actualizaciones se instalen en un horario regular y predecible. Por supuesto, esto se aplica a todos los dispositivos informáticos modernos, pero el modelo de "Windows como servicio" que Microsoft introdujo con Windows 10 cambia la forma en que administra las actualizaciones.

Vea también: Aquí es cómo Microsoft puede solucionar sus problemas de actualización de Windows 10

Sin embargo, antes de comenzar, es importante comprender los diferentes tipos de actualizaciones de Windows 10 y cómo funcionan.

Las actualizaciones de calidad se entregan mensualmente a través de Windows Update. Abordan los problemas de seguridad y confiabilidad y no incluyen nuevas funciones. (Estas actualizaciones también incluyen parches para fallas de microcódigo en los procesadores Intel).

Todas las actualizaciones de calidad son acumulativas, por lo que ya no tiene que descargar docenas o incluso cientos de actualizaciones después de realizar una instalación limpia de Windows 10. En su lugar, puede instalar la última actualización acumulativa y estará completamente actualizado.

Las actualizaciones de funciones son el equivalente de lo que se solía llamar actualizaciones de versión. Incluyen nuevas funciones y requieren una descarga de varios gigabytes y una configuración completa. Las actualizaciones de características de Windows 10 se lanzan dos veces al año, en abril y octubre, y también se entregan a través de Windows Update.

De forma predeterminada, los dispositivos con Windows 10 descargan e instalan actualizaciones tan pronto como están disponibles en los servidores de actualización de Microsoft. En los dispositivos que ejecutan Windows 10 Home, no hay una forma compatible de controlar cuándo se instalan las actualizaciones. Sin embargo, los administradores pueden ejercer cierto control sobre cuándo se instalan las actualizaciones en las PC que ejecutan las ediciones comerciales de Windows 10.

Al igual que con todas las decisiones de seguridad, elegir cuándo instalar actualizaciones implica un compromiso. La instalación de actualizaciones inmediatamente después de su lanzamiento ofrece la mejor protección; la postergación de las actualizaciones hace posible minimizar el tiempo de inactividad no programado asociado con esas actualizaciones.

Con las funciones de Windows Update for Business integradas en las ediciones Windows 10 Pro, Enterprise y Education, puede aplazar la instalación de actualizaciones de calidad hasta por 30 días. También puede retrasar las actualizaciones de funciones hasta dos años, dependiendo de la edición.

Aplazar las actualizaciones de calidad entre siete y 15 días es una forma de bajo riesgo de evitar el riesgo de una actualización defectuosa que puede causar problemas de estabilidad o compatibilidad. Puede ajustar la configuración de Windows Update for Business en PC individuales usando los controles en Configuración> Actualización y seguridad> Opciones avanzadas.

En organizaciones más grandes, los administradores pueden aplicar la configuración de Windows Update para empresas utilizando el software de directiva de grupo o de administración de dispositivos móviles (MDM). También puede administrar las actualizaciones de forma centralizada mediante una herramienta de administración como System Center Configuration Manager o Windows Server Update Services.

Finalmente, su estrategia de actualización de software no debería detenerse en el propio Windows. Asegúrese de que las actualizaciones para las aplicaciones de Windows, incluidas las aplicaciones de Microsoft Office y Adobe, se instalen automáticamente.

IDENTIDAD Y GESTIÓN DE CUENTAS DE USUARIO

Cada PC con Windows 10 requiere al menos una cuenta de usuario, que a su vez está protegida por una contraseña y mecanismos de autenticación opcionales. La forma en que configura esa cuenta (y cualquier cuenta secundaria) contribuye en gran medida a garantizar la seguridad del dispositivo.

Los dispositivos que ejecutan una edición empresarial de Windows 10 (Pro, Enterprise o Education) se pueden unir a un dominio de Windows. En esa configuración, los administradores de dominio tienen acceso a las funciones de Active Directory y pueden autorizar a los usuarios, grupos y computadoras a acceder a recursos locales y de red. Si es un administrador de dominio, puede administrar PC con Windows 10 usando el conjunto completo de herramientas de Active Directory basadas en servidor.

Para las PC con Windows 10 que no están unidas a un dominio, como es el caso en la mayoría de las pequeñas empresas, puede elegir entre tres tipos de cuenta:

Las cuentas locales utilizan credenciales que se almacenan solo en el dispositivo.

Las cuentas de Microsoft son gratuitas para el uso del consumidor y permiten la sincronización de datos y configuraciones en PC y dispositivos; También admiten la autenticación de dos factores y las opciones de recuperación de contraseña.

Las cuentas de Azure Active Directory (Azure AD) están asociadas con un dominio personalizado y se pueden administrar de forma centralizada. Las funciones básicas de Azure AD son gratuitas y están incluidas con las suscripciones de Office 365 Business y Enterprise; Las funciones adicionales de Azure AD están disponibles como actualizaciones de pago.

La primera cuenta en una PC con Windows 10 es miembro del grupo de administradores y tiene el derecho de instalar software y modificar la configuración del sistema. Las cuentas secundarias pueden y deben configurarse como usuarios estándar para evitar que usuarios no entrenados dañen inadvertidamente el sistema o instalen software no deseado.

Requerir una contraseña segura es un paso esencial independientemente del tipo de cuenta. En las redes administradas, los administradores pueden usar la Política de grupo o el software MDM para aplicar una política de contraseña de la organización.

Para aumentar la seguridad del proceso de inicio de sesión en un dispositivo específico, puede usar una función de Windows 10 llamada Windows Hello. Windows Hello requiere un proceso de verificación de dos pasos para inscribir el dispositivo en una cuenta de Microsoft, una cuenta de Active Directory, una cuenta de Azure AD o un proveedor de identidad de terceros que admita la versión 2.0 de FIDO.

Cuando se completa la inscripción, el usuario puede iniciar sesión con un PIN o, con el hardware compatible, la autenticación biométrica, como una huella dactilar o un reconocimiento facial. Los datos biométricos se almacenan solo en el dispositivo y previenen una variedad de ataques comunes de robo de contraseñas. En los dispositivos conectados a cuentas comerciales, los administradores pueden usar Windows Hello for Business para especificar los requisitos de complejidad del PIN.

Finalmente, al usar las cuentas de Microsoft o Azure AD en las PC de negocios, debe configurar la autenticación multifactor (MFA) para proteger la cuenta de ataques externos. En las cuentas de Microsoft, la configuración de verificación de dos pasos está disponible en https://account.live.com/proofs. Para las cuentas de Office 365 Business y Enterprise, un administrador primero debe habilitar la función desde el portal de Office, luego de lo cual los usuarios pueden administrar la configuración de MFA yendo a https://account.activedirectory.windowsazure.com/r#/profile.

PROTECCIÓN DE DATOS

La seguridad física es tan importante como las cuestiones relacionadas con el software o las redes. Una computadora portátil robada, o una que se deja en un taxi o en un restaurante, puede provocar un riesgo significativo de pérdida de datos. Para una empresa o una agencia gubernamental, el impacto puede ser desastroso y las consecuencias son aún peores en las industrias reguladas o donde las leyes de violación de datos requieren divulgación pública.

En un dispositivo con Windows 10, el cambio de configuración más importante que puede hacer es habilitar BitLocker cifrado del dispositivo. (BitLocker es el nombre de marca que Microsoft usa para las herramientas de cifrado disponibles en las ediciones comerciales de Windows).

Con BitLocker habilitado, cada bit de datos en el dispositivo se cifra utilizando el estándar XTS-AES. Con la configuración de la Política de grupo o las herramientas de administración de dispositivos, puede aumentar la potencia de cifrado de su configuración predeterminada de 128 bits a 256 bits.

La habilitación de BitLocker requiere un dispositivo que incluya un chip del Módulo de plataforma segura (TPM); Todas las PC comerciales fabricadas en los últimos seis años deberían calificar a este respecto. Además, BitLocker requiere una edición comercial de Windows 10 (Pro, Enterprise o Education); La edición Home admite un cifrado de dispositivo sólido, pero solo con una cuenta de Microsoft, y no permite la administración de un dispositivo BitLocker.

Para las capacidades de administración completas, también deberá configurar BitLocker usando una cuenta de Active Directory en un dominio de Windows o una cuenta de Azure Active Directory. En cualquiera de las configuraciones, la clave de recuperación se guarda en una ubicación que está disponible para el dominio o el administrador de AAD.

En un dispositivo no administrado que ejecuta una edición comercial de Windows 10, puede usar una cuenta local, pero deberá usar las herramientas de administración de BitLocker para habilitar el cifrado en las unidades disponibles.

Y no te olvides de cifrar dispositivos de almacenamiento portátiles. Unidades flash USB. Las tarjetas MicroSD se utilizan como almacenamiento de expansión y los discos duros portátiles se pierden fácilmente, pero los datos pueden protegerse de miradas indiscretas con el uso de BitLocker To Go, que utiliza una contraseña para descifrar el contenido de la unidad.

En las grandes organizaciones que utilizan Azure Active Directory, también es posible proteger el contenido de los archivos almacenados y los mensajes de correo electrónico mediante la Protección de información de Azure y el servicio de Gestión de derechos de Azure. Esa combinación permite a los administradores clasificar y restringir el acceso a los documentos creados en Office y otras aplicaciones, independientemente de su estado de cifrado local.

BLOQUEO DE CÓDIGO MALICIOSO

A medida que el mundo se ha vuelto más conectado y los atacantes en línea se han vuelto más sofisticados, el rol del software antivirus tradicional ha cambiado. En lugar de ser la herramienta principal para bloquear la instalación de códigos maliciosos, el software de seguridad ahora es solo otra capa en una estrategia defensiva.

Cada instalación de Windows 10 incluye un antivirus incorporado, un software antimalware llamado Windows Defender, que se actualiza utilizando el mismo mecanismo que Windows Update. Windows Defender está diseñado para ser una función de configuración y olvido y no requiere ninguna configuración manual. Si instala un paquete de seguridad de terceros, Windows Defender se hace a un lado y permite que el software detecte y elimine amenazas potenciales.

Las grandes organizaciones que utilizan la edición Windows Enterprise pueden implementar Windows Defender Advanced Threat Protection, una plataforma de seguridad que supervisa los puntos finales, como las PC con Windows 10 que utilizan sensores de comportamiento. Mediante el análisis basado en la nube, Windows Defender ATP puede identificar comportamientos sospechosos y alertar a los administradores sobre posibles amenazas.

Para las empresas más pequeñas, el desafío más importante es evitar que los códigos maliciosos lleguen a la PC en primer lugar. La tecnología SmartScreen de Microsoft es otra característica integrada que escanea las descargas y bloquea la ejecución de aquellas que se sabe que son maliciosas. La tecnología SmartScreen también bloquea programas no reconocidos, pero permite al usuario anular esas configuraciones si es necesario.

Vale la pena señalar que SmartScreen en Windows 10 funciona independientemente de la tecnología basada en navegador, como el servicio de navegación segura de Google y el servicio de filtro SmartScreen en Microsoft Edge.

En las PC no administradas, SmartScreen es otra característica que no requiere configuración manual. Puede ajustar su configuración usando la configuración de Control de la aplicación y del navegador en la aplicación Seguridad de Windows en Windows 10.

Otro vector crucial para administrar código potencialmente malicioso es el correo electrónico, donde los archivos adjuntos y enlaces a sitios web maliciosos, aparentemente inocuos, pueden resultar en una infección. Aunque el software de cliente de correo electrónico puede ofrecer cierta protección a este respecto, el bloqueo de estas amenazas en el nivel del servidor es la forma más efectiva de prevenir ataques en las PC.

Un enfoque eficaz para evitar que los usuarios ejecuten programas no deseados (incluido el código malicioso) es configurar una PC con Windows 10 para que ejecute cualquier aplicación, excepto las que usted autoriza específicamente. Para ajustar estas configuraciones en una sola PC, vaya a Configuración> Aplicaciones> Aplicaciones y características; Bajo el encabezado Instalar aplicaciones, elija Permitir aplicaciones solo de la tienda. Esta configuración permite que se ejecuten aplicaciones instaladas anteriormente, pero impide la instalación de cualquier programa descargado desde fuera de Microsoft Store.

Los administradores pueden configurar esta configuración a través de una red mediante la Política de grupo: Configuración del equipo> Plantillas administrativas> Componentes de Windows> Windows Defender SmartScreen> Explorer> Configurar control de instalación de aplicaciones.

El enfoque más extremo para bloquear una PC con Windows 10 es usar la función de acceso asignado para configurar el dispositivo de modo que solo pueda ejecutar una aplicación. Si elige Microsoft Edge como la aplicación, puede configurar el dispositivo para que se ejecute en modo de pantalla completa bloqueado en un solo sitio o como un navegador público con un conjunto limitado de funciones.

Para configurar esta función, vaya a Configuración> Familia y otros usuarios y haga clic en Acceso asignado. (En una PC conectada a una cuenta de negocios, esta opción se encuentra en Configuración> Otros usuarios).

REDES

Cada versión de Windows en los últimos 15 años ha incluido un firewall de inspección de estado. En Windows 10, este cortafuegos está habilitado de forma predeterminada y no necesita ningún ajuste para que sea efectivo. Al igual que sus predecesores, el firewall de Windows 10 admite tres configuraciones de red diferentes: Dominio, Privado y Público. Las aplicaciones que necesitan acceso a los recursos de la red generalmente pueden configurarse como parte de la configuración inicial.

Para ajustar la configuración básica del firewall de Windows, use la pestaña Firewall y Protección de red en la aplicación Seguridad de Windows. Para obtener un conjunto de herramientas de configuración mucho más completo y solo para expertos, haga clic en Configuración avanzada para abrir el tradicional Windows Defender Firewall con la consola de seguridad avanzada. En las redes administradas, estas configuraciones se pueden controlar a través de una combinación de Directiva de grupo y configuraciones del lado del servidor.

Desde un punto de vista de seguridad, las mayores amenazas basadas en la red a una PC con Windows 10 surgen al conectarse a redes inalámbricas. Las grandes organizaciones pueden mejorar significativamente la seguridad de las conexiones inalámbricas al agregar soporte para el estándar 802.1x, que usa controles de acceso en lugar de contraseñas compartidas como en las redes inalámbricas WPA2. Windows 10 solicitará un nombre de usuario y una contraseña cuando intente conectarse a este tipo de red y rechazará las conexiones no autorizadas.

En las redes basadas en el dominio de Windows, puede usar la función nativa de DirectAccess para permitir el acceso remoto seguro.

Para los momentos en que debe conectarse a una red inalámbrica no confiable, la mejor alternativa es configurar una red privada virtual (VPN). Windows 10 es compatible con los paquetes VPN más populares utilizados en redes corporativas; para configurar este tipo de conexión, vaya a Configuración> Redes e Internet> VPN. Las pequeñas empresas y las personas pueden elegir entre una variedad de servicios de VPN de terceros compatibles con Windows.