La adopción de las aplicaciones móviles ya no se discute. Mientras la mayoría de las organizaciones las aprovecha para mejorar la experiencia de sus usuarios, todo el ecosistema móvil evoluciona en consecuencia. Los ciberdelincuentes ven en ello una manera de generar ingresos ilícitos. Las autoridades ven un riesgo importante para la confidencialidad de los datos. Y los usuarios confían en la capacidad de las empresas para proteger su información personal.
Las medidas destinadas a proteger las aplicaciones móviles pueden resultar a veces complejas. Demasiadas restricciones pueden frustrar y degradar la experiencia de usuario, pero no integrar una protección adecuada conlleva la sobreexposición de los datos. La tecnología de seguridad móvil in-app de Pradeo (Runtime Application Self-Protection, RASP) se elaboró para proteger rigurosamente los datos y las transacciones de las aplicaciones móviles, sin afectar a su rendimiento.
Seguridad móvil in-app: proteger la ejecución de las aplicaciones en tiempo real
La solución RASP de Pradeo es un SDK listo para usar que se integra en las aplicaciones móviles. Se apoya en la capacidad de detección ultraprecisa del motor Pradeo Security para extraer conclusiones sobre la integridad del entorno que la rodea. Una vez añadido al código de una aplicación, el SDK le proporciona una visión completa de las amenazas del entorno y le ofrece la posibilidad de adaptar su ejecución en consecuencia.
Tomemos un caso de uso habitual. Roberto es cliente de un gran banco y utiliza la aplicación móvil que este le ofrece, igual que el 43 % de los propietarios de smartphone que tienen una cuenta bancaria (fuente: Reserva Federal de Estados Unidos). Además de su app bancaria, Roberto ha instalado algunos juegos en su teléfono. Uno de esos juegos aloja un malware que exfiltra lo que se escribe en el teclado del smartphone (keylogger). Cuando Roberto abre su app para consultar su saldo o realizar una transferencia, son posibles dos escenarios: en el primero, las credenciales de conexión de Roberto son robadas por el malware. En el segundo, la aplicación bancaria alerta a Roberto de que hay un malware en su teléfono y de que debe desinstalarlo antes de continuar. En el segundo caso, el banco es cliente de Pradeo y utiliza la solución de seguridad móvil in-app Pradeo Security.
Una solución impuesta por la ley en los sectores de riesgo
Las finanzas, la salud, la energía, el comercio electrónico, el sector público, etc. son ámbitos sensibles en los que las políticas internas y las normativas imponen exigencias de seguridad estrictas.
Si nos centramos en los servicios financieros, se constata que la fuerte adopción de las aplicaciones y los pagos móviles ha provocado un aumento importante del fraude. Hoy, el servicio Fraud & Risk Intelligence de RSA cifra en un 71 % los fraudes realizados en el móvil. En consecuencia, las autoridades completan las leyes existentes y publican otras nuevas para regular específicamente las actividades financieras realizadas en esa superficie.
En Europa, la segunda Directiva sobre Servicios de Pago (DSP2) fue adoptada por la autoridad bancaria europea a principios de 2018. Esta nueva directiva busca armonizar la protección de los pagos electrónicos y de los datos bancarios de los usuarios, promoviendo al mismo tiempo la innovación y una mejor experiencia de usuario. Los artículos 4, 7, 8 y 9 de la DSP2 exigen a los bancos, los proveedores de servicios de pago (PSP) y otras empresas que gestionan datos financieros en Europa que protejan sus servicios móviles instaurando una autenticación fuerte y asegurando su entorno de ejecución.
En Estados Unidos, el Federal Financial Institutions Examination Council (FFIEC) añadió recientemente un anexo llamado «Servicios financieros móviles» a su manual sobre los sistemas de pago. El apartado 5.B de ese anexo recomienda a las organizaciones eliminar los riesgos de seguridad de las aplicaciones móviles implementando una autenticación rigurosa, integrando funcionalidades antimalware y rastreando las variaciones de seguridad y los comportamientos sospechosos.
Estas dos normativas, así como otras no mencionadas en este artículo, recomiendan el uso de una solución de protección in-app para garantizar la seguridad de los datos sensibles tratados por las apps móviles.
Solución de seguridad móvil in-app Pradeo Security: ventajas clave
Defensa avanzada: toda aplicación móvil está expuesta al entorno que la rodea. Cuando un malware se aloja en un smartphone, puede recopilar datos manipulados en local, y cuando se perpetra un ataque de tipo Man-In-The-Middle, todos los datos enviados a la red son interceptados. Una autenticación segura va de la mano de una detección precisa de las amenazas en el terminal para garantizar la integridad del entorno de ejecución. El SDK de Pradeo Security analiza y concluye sobre la integridad de los terminales (analizando las apps, la red y el sistema operativo) antes de autorizar el lanzamiento de la aplicación que protege, garantizando así que su ejecución no provocará ninguna fuga ni robo de datos.
Análisis preciso de las amenazas: las ciberamenazas evolucionan rápidamente. Cada vez más organizaciones utilizan soluciones SIEM para agregar y analizar los eventos de seguridad que se producen en su entorno digital. La solución Pradeo Security entrega en tiempo real datos de seguridad móvil a las bases de datos SIEM, ofreciendo así una visibilidad precisa sobre las amenazas que operan en el móvil.
Seguridad automatizada en tiempo real: el estado de los terminales móviles cambia constantemente. Un entorno sano puede volverse de pronto arriesgado si se conecta a una red WiFi no segura o queda expuesto a un malware, y viceversa. Una vez integrado en el código fuente de una aplicación móvil, el SDK RASP de Pradeo Security controla permanentemente el nivel de seguridad de los terminales para ofrecer una protección en tiempo real. Todo ello se hace automáticamente, en función de los parámetros definidos en la plataforma de Pradeo.
Política de seguridad personalizable: cada sector tiene necesidades de seguridad específicas. Que un entorno de ejecución se considere seguro para un juego no significa que lo sea para una aplicación bancaria. Pradeo Security ofrece una gama de políticas de seguridad predefinidas y totalmente personalizables, para adaptarse con precisión a todas las necesidades.
Experiencia de usuario óptima: los usuarios esperan hoy de las empresas que les ofrezcan una experiencia óptima, garantizando al mismo tiempo la protección de sus datos. Pradeo Security efectúa controles de seguridad transparentes que no tienen ninguna incidencia en el consumo de la batería ni en el funcionamiento del sistema.
