Adopción segura de Slack: Lo que necesita saber

La transformación digital del lugar de trabajo moderno trajo consigo nuevas formas de comunicarse y colaborar. Herramientas como Slack ofrecen beneficios inconmensurables a la empresa que sepa aprovecharlas de forma segura. En este post, repasamos los principales retos de adopción de Slack que frenan a las empresas y los pasos que pueden dar para superarlos.

¿Cuáles son las ventajas de Slack?

Las herramientas de colaboración como Slack han sustituido al correo electrónico como principal vía de colaboración de los empleados en el trabajo. Slack ofrece una plataforma sólida y eficaz para la gestión de equipos, el trabajo en grupo y los chats individuales. Su mensajería en tiempo real permite a los equipos remotos y distribuidos colaborar eficazmente a través de las zonas horarias, eliminando los retrasos asociados a los métodos de comunicación tradicionales.

Slack también proporciona un repositorio en el que se pueden compartir archivos y documentos, ya sea de forma nativa o a través de integraciones con aplicaciones y servicios de terceros como Google Drive, Dropbox, Trello, etc. Esto también crea un repositorio vivo del historial laboral que apoya la incorporación de nuevos empleados, la conservación y transferencia de conocimientos y proporciona un contexto importante a las decisiones pasadas.

El propio Slack está disponible en una amplia gama de plataformas, incluyendo aplicaciones de escritorio, navegadores web y dispositivos móviles, ofreciendo una mayor flexibilidad para mantener a los empleados conectados, y hoy en día Slack es también una parte importante de la cultura de muchas empresas. Para ello, Slack habilita funciones sociales como emojis, gifs y reacciones, y fomenta la difuminación de las comunicaciones personales y empresariales.

Principales retos de la adopción de Slack

A pesar de estas ventajas, Slack no está exento de riesgos. Al democratizar el acceso a los datos de la empresa, Slack también puede introducir nuevos peligros. ¿Cómo gestionan las empresas las retenciones legales, el eDiscovery o los análisis forenses internos en los conjuntos de datos de Slack? La complejidad de la estructura de mensajería de Slack -ni siquiera los administradores pueden tener una visibilidad completa de todos los mensajes- puede ralentizar el descubrimiento, ocultar pruebas y proporcionar cobertura a los actores de amenazas internas.

Los responsables de cumplimiento también pueden oponerse al despliegue de Slack. ¿Cómo cumplen las organizaciones las políticas de conservación de registros en Slack, especialmente en sectores muy regulados? ¿Y podrían responder a tiempo a una solicitud de acceso del interesado (DSAR) en virtud del GDPR o de la CCPA/CPRA?

La dificultad de encontrar datos dentro de Slack es consecuencia de la forma en que están estructurados sus canales y mensajes. Simplemente, es una característica, no un fallo, y eso hace que sea más difícil de superar. Mientras que los equipos jurídicos y de cumplimiento pueden tener dificultades para encontrar la información que necesitan en el momento oportuno, otros usuarios pueden tropezar con datos de propiedad y confidenciales y exfiltrarlos sin dejar rastro. Conservar un registro indefinido de todas las comunicaciones empresariales, como hace Slack para todos los planes de pago por defecto, puede dar lugar a que los datos sensibles se vean comprometidos en una fecha posterior, pero purgar todos los datos de Slack también puede crear responsabilidades, como descubrió FTX.

La cultura de la empresa también puede verse afectada negativamente por Slack. Aunque Slack ofrece a los compañeros de trabajo una forma fácil de colaborar, chatear y formar grupos basados en intereses comunes, también sirve de tapadera para el acoso, la toxicidad y el abuso. Nada impide que un empleado envíe a un compañero de trabajo un mensaje directo acosador y borre las pruebas, lo que dificulta a los equipos jurídicos o de RR.HH. confirmar que se ha producido un incidente. Para proteger la cultura de la empresa y preservar la seguridad psicológica, salvaguardar a los empleados en Slack debe ser una consideración primordial y no una ocurrencia tardía.

El estado actual de los riesgos de seguridad de Slack

Slack ofrece una serie de controles de seguridad y privacidad que los propietarios de espacios de trabajo pueden implementar para restringir el acceso a su instancia de Slack. Entre ellas se incluyen la autenticación de dos factores (2FA), el inicio de sesión único (SSO) basado en SAML, la gestión de claves empresariales (EKM) y las listas blancas de IP, aunque algunas de estas funciones requieren el nivel más alto de afiliación a Slack, Enterprise Grid. Además, Slack es compatible con las principales normas de cumplimiento, incluidas SOC 2 Tipo II e ISO/IEC 27001, y puede utilizarse de forma que cumpla con HIPAA y GDPR.

A pesar de ello, existen lagunas en la seguridad de Slack que las empresas también deben abordar. En comparación con las comunicaciones tradicionales como el correo electrónico, la estructura de datos de Slack es extremadamente compleja y las soluciones heredadas no pueden seguirle el ritmo. En lugar de mensajes uno a uno o transaccionales, entregados con un contexto envolvente (remitentes, destinatarios, asunto, marca de tiempo), los mensajes de Slack fluyen sin problemas entre canales públicos, grupos privados y mensajes directos con muy poco contexto.

Descubrir quién de la organización ha visto un determinado mensaje de Slack puede resultar casi imposible, especialmente en los canales públicos. Eso complica el esfuerzo de preservación de la pérdida de datos si, por ejemplo, un archivo restringido se carga por error en público. Dado que la investigación de Aware muestra que 1 de cada 17 mensajes de Slack contiene más de 3 piezas de información sensible o regulada, el riesgo asociado con el acceso no autorizado a los mensajes de Slack es alto.

Las soluciones de seguridad a medida para Slack suelen tener un coste prohibitivo e inevitablemente retrasan los despliegues de Slack. Esto puede tener un efecto perjudicial para las empresas que necesitan una solución de colaboración en tiempo real.

Para resolver estos retos, Slack se asocia con una serie de soluciones DLP, eDiscovery y de cumplimiento de terceros que aumentan las funciones nativas de seguridad de datos de Slack.

Controles de Slack que las empresas necesitan para asegurar la colaboración

La gestión de los datos de Slack es una parte esencial de los flujos de trabajo holísticos legales, de cumplimiento, de seguridad y de RRHH. Alcanzar los objetivos de todas las unidades de negocio sin introducir una complejidad adicional es el reto al que se enfrentan los equipos de TI y los propietarios de aplicaciones que despliegan Slack. No satisfacer estas necesidades no es una opción cuando los auditores y los reguladores han dejado claro que se centran en este conjunto de datos.

Cualquier solución que se introduzca para gestionar los datos de Slack debe contar con algunas capacidades esenciales:

• Supervisión y mitigación del cumplimiento en tiempo real
• Capacidad para identificar e inspeccionar los accesorios
• Escalable con el entorno Slack

Las soluciones que ingieren por lotes los mensajes de Slack no son eficaces para mitigar el riesgo cuando los empleados pueden editar o borrar mensajes a los pocos segundos de haberlos enviado. Los archivos adjuntos cargados en Slack también deben poder ser descubiertos por las herramientas de cumplimiento y DLP para evitar que los empleados eludan los controles diseñados para proteger los datos de Slack, e idealmente los enlaces también deben ser comprobados para evitar ataques de phishing de usuarios comprometidos, como ocurrió recientemente en Microsoft Teams.

Además de estos componentes esenciales de una solución de seguridad Slack, considere a los proveedores que ofrecen gestión de datos Slack desde una única plataforma que puede abordar todas las complejidades GRC en un solo lugar para reducir el coste y el riesgo asociados con una pila tecnológica dispersa.

Cómo Mimecast Aware asegura y protege los datos de Slack

Como único proveedor de Slack aprobado para DLP y eDiscovery y socio de confianza de GovSlack, Mimecast Aware cumple los requisitos de los equipos de seguridad, legales, de cumplimiento y de RR.HH., proporcionando archivado, búsqueda federada, supervisión del cumplimiento y perspectivas de las personas desde una plataforma centralizada que permite a los líderes de TI marcar la casilla de la gestión de datos de Slack.

Aware utiliza un procesamiento del lenguaje natural (PLN) propio para analizar los mensajes de Slack en tiempo real, identificando más casos de infracciones de la normativa con menos falsos positivos. Aware también puede detectar el intercambio de información confidencial y restringida de la empresa y adopta medidas automatizadas para mitigar el riesgo e instruir a los empleados sobre las políticas de uso aceptable.

Búsqueda en Slack desde Mimecast Aware

• Búsqueda federada en Slack y en todas sus herramientas de colaboración conectadas
• Ofrece resultados contextualizados, junto con cualquier edición o supresión
• Búsqueda por autor, fecha, tipo de mensaje, plataforma y más
• Filtre y refine rápidamente los resultados por múltiples parámetros para obtener un tiempo de respuesta más rápido

Conformidad de Slack con Mimecast Aware

• Conserva un archivo inmutable de todos los mensajes, incluidos los mensajes privados y DMs
• Depure contenidos de forma bidireccional según un calendario regular, o preserve con un solo clic los contenidos de los empleados regulados
• Acelerar las respuestas DSAR y cumplir con el Derecho al Olvido de los empleados
• Las reglas configurables adoptan medidas automatizadas cuando se detectan posibles infracciones de la normativa

Slack DLP de Mimecast Aware

• Automatice la revisión y corrección de mensajes, archivos y enlaces en los que los datos corren peligro
• Vea el contexto completo de los mensajes para comprender la intención y mejorar las investigaciones
• El análisis AI/ML y las alertas en tiempo real reducen la exposición cuando se producen infracciones
• La toxicidad y la detección de sentimientos destacan las áreas de mayor riesgo

Slack people analytics de Aware

• Explore los temas de tendencia a medida que surgen, completos con el sentimiento agregado
• Identifique los comportamientos anómalos y el aumento de la toxicidad para minimizar el riesgo de información privilegiada
• Mejore la comunicación con los empleados con información y reacciones en tiempo real
• Analice en minutos las respuestas de encuestas largas y resuma los resultados con verbatims públicos

Con Mimecast Aware, las empresas pueden satisfacer las necesidades de múltiples unidades a partir de una solución holística que permite el despliegue inmediato de Slack a la vez que mitiga el riesgo y extrae valor en forma de perspectivas agregadas sobre los temas y asuntos que afectan a los empleados. Concierte una llamada hoy mismo para saber cómo Mimecast Aware puede ayudarle a habilitar Slack en su organización.