La pandemia causada por el COVID-19 aceleró la transformación digital de las organizaciones, obligándolas a reemplazar las reuniones presenciales por alternativas virtuales para comunicarse en grupo con trabajadores, proveedores, clientes, asociados y otros miembros de la organización, generando la necesidad de adoptar nuevas prácticas para lograr dicho objetivo. Sin embargo, esa digitalización exprés expuso a muchas empresas a riesgos cibernéticos que antes eran subestimados, como ataques de ransomware, fugas de datos o espionaje corporativo.
Las políticas de seguridad y privacidad deben perseguir dos objetivos: prevenir la intrusión de terceros no autorizados y garantizar la confidencialidad de las conversaciones y de la información compartida, ya que podrían estar expuestas a las siguientes amenazas:
- Las originadas por una configuración inadecuada (salas sin contraseña, permisos excesivos, enlaces permanentes reutilizados, etc.)
- Las asociadas a vulnerabilidades de la herramienta (software desactualizado, backdoors conocidos, falta de cifrado E2E, proveedores con historial de brechas, etc.)
- Factor humano (pishing para obtener enlaces, ingeniería social, dispositivos personales comprometidos, etc.)
Existen dos tipos de videoconferencias: las tradicionales (on-premise), que utilizan un software específico o equipos físicos dedicados a ello, y las plataformas en la nube como Zoom, Microsoft Teams, Google Meet, Webex, Jitsi, Lark, Dialpad o TrueConf, entre otras, que pueden ser de uso doméstico o profesional, gratuitas o de pago. Si el responsable de la videoconferencia es una organización empresarial deben utilizar siempre la versión profesional, que incluye características avanzadas de seguridad como autenticación multifactor (MFA), cifrado E2E y controles de acceso granulares, priorizando herramientas con certificaciones como SOC 2 o ISO 27001
A continuación, paso a enumerarles una lista de recomendaciones, que no tiene carácter exhaustivo, para que sus reuniones virtuales se celebren en un entorno seguro:
- Designar un responsable de seguridad de videoconferencias para coordinar políticas, formación y auditorías.
- Utilizar solo dispositivos corporativos.
- Actualizar permanentemente el software del sistema de videoconferencia, así como los antivirus, antimalware y cortafuegos.
- Utilizar perfiles de usuario con autenticación de doble factor, contraseñas de acceso robustas (o mejor, sin contraseñas mediante biometría o passkeys) y cifrado de extremo a extremo (E2E) para audio, video y datos compartidos.
- Establecer un registro de accesos y credenciales de identificación y autenticación, con monitoreo en tiempo real para detectar anomalías.
- Utilizar enlaces o códigos de acceso de un solo uso, principalmente cuando el contenido de la reunión sea sensible.
- Realizar la convocatoria únicamente a contactos concretos, evitando el envío de convocatorias a grupos o listas de correos.
- Deshabilitar las funcionalidades no necesarias de la aplicación, como el chat, el intercambio de ficheros, la recepción de vídeo o la partición de pantalla, para habilitarlas solo cuando sea necesario.
- Utilizar un fondo neutro que enmascare el segundo plano, y activar detección automática de deepfakes si la plataforma lo soporta.
- Utilizar una «sala de espera» para poder ir admitiendo a las personas participantes según su turno.
- Utilizar los paneles de participantes para tenerlos controlados a todos.
- Bloquear el acceso a la reunión cuando todos los participantes estén identificados, y activar notificaciones de entrada/salida.
- No graben la reunión, a menos que sea necesario. Si es el caso, debe ser cifrada mediante un algoritmo robusto (como AES-256). Además, hay que informar adecuadamente a los participantes acerca de la finalidad de la grabación y en qué momento se inicia, detiene y finaliza. Algunos proveedores realizan estos avisos de forma automática.
- Cuando termine la reunión, asegúrense de cerrar completamente la sesión. Utilizar un dispositivo que inhabilite la cámara (pestaña, adhesivo o similar) y apaguen el micrófono hasta la próxima sesión.
Conclusión
La seguridad en las videoconferencias no es un conjunto de medidas técnicas aisladas, sino un protocolo vivo que combina tecnología, procesos y personas. Integrar estas recomendaciones como parte de la cultura organizacional no solo cumple con la normativa, sino que protege la confianza de clientes, empleados y socios, preservando el activo más valioso: la información.
