Buenas prácticas de seguridad en Zoom

Zoom es hoy infraestructura básica de reuniones, y eso lo convierte en un objetivo. Los ajustes por defecto están pensados para entrar sin fricción, no para una empresa regulada, así que el trabajo de seguridad consiste sobre todo en activar controles que ya existen y bloquearlos a nivel de cuenta para que un empleado bienintencionado no pueda volver a desactivarlos. Esta guía repasa los ajustes que de verdad reducen el riesgo, los compromisos que hay detrás de los que la gente configura mal y una lista que puedes entregar a quien administre tu cuenta.

Las invitaciones a reuniones falsas son uno de los señuelos más habituales que toman prestado el nombre de Zoom: practica a detectarlas en el laboratorio de triaje de invitaciones de calendario de PlayCISO.

Empieza por la puerta de entrada: salas de espera y códigos de acceso

Dos controles detienen la inmensa mayoría de las entradas no deseadas. Una sala de espera retiene a cada persona que se une hasta que el anfitrión la admite, de modo que nadie aparece sin invitación en una reunión en curso. Un código de acceso (incrustado en el enlace de invitación o introducido a mano) significa que el ID de la reunión no basta para entrar. Activa ambos a nivel de cuenta y bloquéalos para que no se puedan crear reuniones sin ellos.

Los dos se solapan, y Zoom permite relajar uno si el otro está presente. Para reuniones internas rápidas y de baja sensibilidad, una reunión solo con código de acceso está bien. Para cualquier cosa con invitados externos, material del consejo o datos regulados, mantén activada la sala de espera y admite a las personas de forma deliberada. Configura la sala de espera para que los usuarios internos autenticados se la salten mientras los invitados esperan: así la fricción es baja sin bajar el listón para los de fuera.

Limita quién puede entrar

Los códigos de acceso filtran el enlace; las restricciones de entrada filtran a la persona. Zoom puede exigir que los participantes hayan iniciado sesión en una cuenta de Zoom, que lo hayan hecho a través de tu proveedor de identidad SSO o que su correo coincida con una lista de dominios permitidos que tú defines. Para las reuniones solo internas, «usuarios autenticados de mi dominio» es el ajuste que quieres, y merece la pena convertirlo en el perfil por defecto de la organización.

• Solo usuarios autenticados bloquea directamente las entradas anónimas y de invitados.
• SSO / lista de dominios permitidos vincula el derecho a entrar con tu proveedor de identidad o con los dominios de socios aprobados, de modo que quien se va pierde el acceso en cuanto se desactiva su cuenta en el IdP.
• Los invitados externos deberían ser una excepción consciente, idealmente combinada con la sala de espera para que el anfitrión confirme a cada uno.

Bloquea la reunión y gestiona a los participantes

Una vez que han llegado todos los esperados, bloquea la reunión desde el menú de seguridad. Una reunión bloqueada rechaza cualquier entrada posterior, tenga o no el código de acceso, lo que cierra la ventana que necesita un atacante. Los anfitriones y coanfitriones también pueden expulsar a un participante (Zoom puede, opcionalmente, impedir que el dispositivo de esa persona vuelva a entrar), poner en espera a los asistentes, silenciar a todos y desactivar el cambio de nombre para que nadie pueda suplantar a un compañero. Asegúrate de que los anfitriones conocen el botón de un clic Suspender actividades de los participantes, que congela al instante el vídeo, el audio, la pantalla compartida y el chat si se interrumpe una reunión.

Controles de anfitrión y coanfitrión

El rol de anfitrión es potente, así que trátalo con cuidado. Asciende a coanfitrión solo a personas de confianza, porque los coanfitriones heredan la mayoría de los poderes de seguridad dentro de la reunión. Decide quién puede compartir, quién puede hacer anotaciones, quién puede activar su micrófono y si los participantes pueden chatear en privado. Para webinarios grandes o públicos, usa el modo webinario en lugar del modo reunión, para que los asistentes sean espectadores por defecto y no puedan activar la cámara ni compartir sin que se les promueva.

Restricciones de pantalla compartida y de contenido

Configura la pantalla compartida como solo el anfitrión por defecto. Compartir sin control es el vector clásico del «Zoombombing», en el que un intruso comparte contenido ofensivo en cuanto entra. Cuando permitas que compartan los participantes, limítalo a una persona a la vez y desactiva la posibilidad de tomar el control de una pantalla compartida activa. Desactiva o restringe el control remoto, las anotaciones y la transferencia de archivos en el chat salvo que un flujo de trabajo concreto los necesite, porque cada uno es una vía de interrupción o de malware.

El cifrado de extremo a extremo y sus compromisos

Todas las reuniones de Zoom usan cifrado en tránsito por defecto y, para la mayoría de las reuniones, ese cifrado GCM mejorado es adecuado. Zoom también ofrece un verdadero cifrado de extremo a extremo (E2EE), en el que las claves de la reunión nunca salen de los dispositivos de los participantes y los servidores de Zoom no pueden descifrar el contenido. El E2EE es la opción correcta para las conversaciones realmente sensibles, pero tiene un precio: se desactivan la grabación en la nube, la transcripción en directo, la conexión telefónica, las salas para grupos pequeños y algunas formas de entrar, y todos los participantes deben unirse desde el cliente de Zoom y no desde un navegador. Activa el E2EE como una opción que los anfitriones pueden elegir en cada reunión en lugar de imponerlo globalmente, y resérvalo para las reuniones que justifiquen perder esas funciones.

Grabación: en la nube frente a local, retención y acceso

Las grabaciones suelen ser el artefacto más sensible que produce una reunión, y sobreviven a la llamada. Decide de forma deliberada quién puede grabar y prefiere la grabación en la nube cuando necesites un control central, porque te permite imponer reglas de acceso, códigos de acceso en la grabación, caducidad y auditoría. La grabación local deja un archivo en el portátil de alguien sobre el que no tienes visibilidad ni control de retención, así que restríngela o desactívala para la mayoría de los usuarios.

• Exige un código de acceso en las grabaciones en la nube compartidas y limita su visualización a usuarios autenticados de tu dominio.
• Fija un plazo de borrado automático / retención para que las grabaciones no se acumulen indefinidamente, alineado con tu política de conservación de datos.
• Activa el aviso de grabación para que los participantes estén informados y den su consentimiento, algo que exigen muchas jurisdicciones.
• Revisa quién tiene derechos de descarga; una copia descargada escapa a todas las reglas de retención que fijes en el original en la nube.

Residencia de los datos

Zoom te permite influir en dónde se procesan los datos de las reuniones y dónde se almacenan las grabaciones mediante los ajustes de residencia de datos y activando o desactivando centros de datos regionales concretos para el tráfico en tiempo real. Si operas bajo el RGPD o una norma sectorial que limita dónde residen los datos personales, configura la cuenta para que los medios de las reuniones y las grabaciones permanezcan en regiones aprobadas, y documenta la decisión. Ten en cuenta que la residencia del enrutamiento de los medios en directo y la de las grabaciones almacenadas se configuran por separado.

App Marketplace y gobierno de las aplicaciones de terceros

El Zoom App Marketplace permite a los usuarios añadir integraciones que pueden pedir permisos amplios, incluida la lectura del contenido de las reuniones, de las grabaciones y de los directorios de usuarios. Por defecto, trata el Marketplace como un riesgo de cadena de suministro. Activa la aprobación del administrador para que los usuarios no puedan instalar aplicaciones por su cuenta, permite solo las aplicaciones concretas que hayas revisado y examina los scopes de OAuth que pide cada una. Audita periódicamente las aplicaciones instaladas y revoca las que no se usen, porque una integración inactiva con acceso a las grabaciones es una vía permanente de exfiltración de datos.

Prevención del Zoombombing en un párrafo

Todo lo anterior se combina en una higiene contra el Zoombombing: no publiques nunca los enlaces de las reuniones, usa ID de reunión únicos en lugar de tu ID de reunión personal para cualquier cosa sensible, exige código de acceso y autenticación, mantén activada la sala de espera, configura la pantalla compartida como solo el anfitrión y bloquea la reunión cuando empiece. Si aun así hay una interrupción, suspende las actividades de los participantes y expulsa al responsable impidiéndole volver a entrar. Los controles existen; el fallo es dejarlos desactivados.

Phishing: invitaciones falsas y actualizadores maliciosos

Los atacantes suplantan a Zoom porque todo el mundo confía en una invitación a una reunión. Dominan dos patrones: correos de invitación falsos cuyo botón «Unirse» lleva a una página de robo de credenciales, e instaladores de Zoom o avisos de «actualización» falsos que entregan malware. Defiéndete de ambos con personas y con controles. Enseña a la plantilla a abrir Zoom desde la aplicación instalada o desde un dominio guardado en marcadores en lugar de pulsar avisos de actualización dentro de correos o ventanas emergentes, y a comprobar que los enlaces de las reuniones apuntan a un host legítimo de zoom.us. En el plano técnico, distribuye el cliente de Zoom con tus herramientas de gestión de dispositivos para que los usuarios nunca tengan que actualizarlo a mano, e impón SSO y MFA para que una contraseña robada por phishing no baste para que un atacante inicie sesión.

Panel de administración, auditoría, SSO y SCIM

El control central es lo que convierte todo lo anterior de una esperanza por usuario en una política impuesta. Usa el panel de administración para supervisar el uso, la calidad de las reuniones y las sesiones activas, y apóyate en los registros de auditoría y de inicio de sesión para revisar los cambios de configuración y el acceso a las grabaciones. Conecta Zoom con tu proveedor de identidad mediante SSO para que la autenticación y la MFA se impongan de forma centralizada, y aprovisiona las cuentas con SCIM para que quien se incorpora reciba el rol correcto automáticamente y quien se va pierda la cuenta en el instante en que RR. HH. la desactiva. Bloquea los ajustes relevantes para la seguridad a nivel de cuenta o de grupo para que ningún usuario pueda debilitarlos, y revisa la configuración de forma periódica.

Lista de acciones

• Activa y bloquea las salas de espera y los códigos de acceso en toda la cuenta.
• Configura por defecto las reuniones para solo usuarios autenticados, vinculadas al SSO o a una lista de dominios permitidos.
• Configura la pantalla compartida como solo el anfitrión; desactiva el control remoto y las anotaciones salvo que hagan falta.
• Forma a los anfitriones para bloquear la reunión y usar Suspender actividades de los participantes.
• Restringe o desactiva la grabación local; prefiere la grabación en la nube protegida con código de acceso.
• Fija la retención / borrado automático de las grabaciones y activa el aviso de grabación.
• Configura la residencia de datos de los medios en directo y de las grabaciones almacenadas en regiones aprobadas.
• Activa la aprobación del administrador para el App Marketplace y permite solo las aplicaciones revisadas.
• Impón SSO + MFA y automatiza el ciclo de vida con SCIM.
• Distribuye el cliente de Zoom mediante la gestión de dispositivos para que los usuarios nunca instalen actualizaciones por su cuenta.
• Revisa el panel de administración y los registros de auditoría de forma periódica; bloquea los ajustes para que los usuarios no puedan debilitarlos.
• Ofrece el E2EE como opción por reunión para tus conversaciones más sensibles, asumiendo los compromisos en funciones.