Puntos clave
- Una política de seguridad del navegador define cómo se aprueban, configuran, protegen y supervisan los navegadores empresariales en toda la organización.
- Forzar las actualizaciones automáticas y controlar las versiones del navegador en todos los endpoints es la forma más rápida de corregir vulnerabilidades conocidas.
- La gestión de extensiones requiere listas de permitidas y bloqueadas, además de revisiones periódicas de permisos para limitar accesos innecesarios.
- Una configuración segura del navegador limita el almacenamiento de contraseñas, restringe la sincronización y exige responsables para las excepciones de permisos de sitios web.
- Los controles de navegación segura bloquean el acceso a sitios maliciosos y restringen las descargas de riesgo o no verificadas antes de que causen daños.
- Las comprobaciones de integridad del navegador verifican en tiempo real el cumplimiento de las políticas para determinar si un usuario obtiene acceso completo, restringido o ningún acceso.
La mayoría de los programas de seguridad empresarial se centran en proteger servidores, endpoints y redes. Esto deja a los navegadores como puntos de entrada a la empresa muy utilizados, pero también vulnerables, ya que es donde los empleados acceden a herramientas SaaS, proveedores de identidad, correo electrónico, almacenamiento de archivos, portales internos, asistentes de IA, plataformas financieras, registros de clientes y consolas de administración con privilegios. Con la configuración predeterminada, los navegadores dejan muchas decisiones en manos de cada usuario, como qué extensiones instalar, si guardar contraseñas localmente o si la sincronización puede llevar datos corporativos a una cuenta personal.
Para cerrar esta brecha, los equipos de TI deberían contar con una guía de seguridad del navegador que permita definir estas reglas, aplicarlas y comprobar su cumplimiento. Esta guía debería abarcar las actualizaciones, las extensiones, las contraseñas, la sincronización, las descargas y los permisos de los sitios web, para que el acceso a sistemas sensibles no dependa de quién esté utilizando el equipo.
Qué es una política de seguridad del navegador y por qué es importante
Una política de seguridad del navegador es un conjunto de reglas que establece cómo se aprueban, configuran, protegen y supervisan los navegadores dentro de una organización. En la práctica, permite a los equipos de TI establecer y aplicar sus propios criterios de gestión y seguridad y comprobar su cumplimiento en dispositivos gestionados, equipos de trabajadores remotos, dispositivos compartidos y perfiles de mayor riesgo.
Una buena política debería contemplar lo siguiente:
- qué navegadores y versiones están autorizados
- cómo se despliegan automáticamente las actualizaciones
- reglas para permitir o bloquear extensiones
- requisitos para los perfiles gestionados y la sincronización del navegador
- cómo se gestionan las contraseñas y el autocompletado
- medidas de protección frente a sitios maliciosos y descargas no seguras
- gestión de permisos y excepciones de los sitios web
- informes que permitan comprobar que todo lo anterior funciona correctamente
Sin esta estructura, los navegadores se convierten en una de las vías de acceso más sencillas a una organización. Las versiones obsoletas pueden quedar sin parchear, las extensiones pueden obtener permisos que no necesitan, las credenciales corporativas pueden sincronizarse con cuentas personales y las excepciones antiguas pueden mantenerse mucho más tiempo del necesario. Todo ello puede ser aprovechado incluso por atacantes poco sofisticados. Por eso es necesario aplicar al navegador los mismos criterios de seguridad que a cualquier otro endpoint.
Los 5 controles clave para proteger los navegadores
1. Actualizaciones del navegador y control de versiones
Muchas de las principales superficies de ataque de los navegadores tienen su origen en versiones obsoletas. Los parches corrigen vulnerabilidades conocidas en cuanto se publican, por lo que la rapidez con la que una organización despliega las actualizaciones influye directamente en el tiempo durante el que una vulnerabilidad conocida puede seguir siendo explotada.
Una política de control de versiones debe establecer lo siguiente:
- qué navegadores y versiones están autorizados
- actualizaciones automáticas de forma predeterminada, sin dejar esta decisión en manos del usuario
- el plazo máximo permitido para instalar una actualización
- un procedimiento más rápido para parches de emergencia o críticos
- la eliminación o el bloqueo de navegadores que ya no reciben soporte del proveedor
- informes periódicos que permitan a TI consultar el estado de las versiones en todos los endpoints
Este último punto es importante porque, sin informes, una política no pasa de ser una declaración de intenciones y TI no puede saber si los dispositivos cumplen realmente los requisitos hasta que surge un problema. Y eso anula el propósito mismo de establecer esas reglas.
2. Gestión de extensiones y complementos del navegador
Las extensiones resultan útiles porque tienen acceso a muchas funciones y datos del navegador. Pueden leer el contenido de las páginas, registrar la actividad de navegación y acceder a los procesos de autenticación. Por eso pueden suponer un riesgo importante cuando nadie controla qué se ha instalado ni con qué finalidad, lo que pone de manifiesto la importancia de gestionarlas correctamente, especialmente en entornos empresariales.
La gestión de extensiones debería incluir:
- listas de extensiones permitidas y bloqueadas
- un proceso de solicitud para las extensiones que aún no estén en la lista de permitidas
- una revisión de los permisos antes de autorizar su instalación
- una justificación empresarial documentada para cada extensión utilizada
- una periodicidad definida para revisar las extensiones instaladas
- un proceso claro para eliminar las extensiones que ya no sean necesarias
- reglas para las extensiones instaladas desde fuentes externas o mediante el modo de desarrollador
Conviene prestar especial atención a los permisos, ya que algunas extensiones pueden acceder a todos los sitios web visitados, leer el historial de navegación, acceder a las descargas o al portapapeles. El nivel de acceso solicitado debería determinar el grado de revisión necesario antes de aprobar cada extensión.
3. Configuración segura del navegador: contraseñas, sincronización y permisos de sitios web
Dos de las principales formas en que pueden filtrarse datos corporativos a través del navegador son las credenciales guardadas fuera de las herramientas autorizadas y los permisos concedidos a sitios web que nunca vuelven a revisarse. Es importante proteger ambos aspectos tratando el navegador como cualquier otro sistema que permite acceder a información sensible.
Asegúrate de que la configuración del navegador contemple:
- si se permite o no guardar contraseñas en el navegador
- el uso obligatorio de un gestor de contraseñas en lugar del almacenamiento integrado del navegador
- restricciones del autocompletado cuando proceda
- sincronización limitada exclusivamente a cuentas gestionadas
- prohibición de utilizar perfiles personales en dispositivos gestionados
- eliminación de los datos de sesión en equipos compartidos
- permisos de cámara, micrófono y ubicación
- reglas sobre cookies y seguimiento de terceros
- acceso al portapapeles, USB y Bluetooth
- comportamiento de ventanas emergentes y redirecciones
- listas de sitios web permitidos y bloqueados
Las excepciones siempre deben revisarse. Algunas aplicaciones antiguas o críticas para la empresa pueden necesitar permisos más amplios para funcionar, pero estas excepciones suelen mantenerse mucho después de que desaparezca la necesidad que las justificaba. Por eso, cada excepción debe tener un responsable asignado y una fecha de caducidad que permita revisarla periódicamente.
4. Navegación segura, descargas y avisos de seguridad
La mayoría de los navegadores actuales incorporan medidas de protección frente a páginas de phishing, sitios maliciosos y descargas no seguras, pero solo son eficaces si los usuarios no pueden desactivarlas. El objetivo de los equipos de TI debería ser garantizar que estas protecciones permanezcan activadas.
Estos controles deberían definir:
- navegación segura o una protección equivalente frente a sitios maliciosos
- aislamiento de sitios web cuando el navegador lo permita
- avisos antes de completar descargas que puedan suponer un riesgo
- restricciones para contenido no seguro y protocolos obsoletos
- medidas de protección más estrictas para usuarios con perfiles de mayor riesgo
- límites de acceso a sitios sin clasificar o considerados de riesgo
También es importante controlar quién puede omitir un aviso de seguridad y continuar. Los equipos de TI deberían decidir quién puede hacerlo, si es que se permite a alguien, y asegurarse de que quede registrado cuando ocurra, para que estas excepciones no pasen inadvertidas en el historial de navegación.
5. Requisitos para las comprobaciones de integridad del navegador
Los equipos de TI siempre deberían disponer de una forma de comprobar si la política se está cumpliendo realmente, y ahí entran en juego las comprobaciones de integridad. En lugar de dar por hecho que un navegador cumple los requisitos simplemente porque existe una política, una comprobación de integridad permite verificar su estado real antes de acceder a recursos sensibles o mientras se utilizan.
Una comprobación de integridad debe verificar lo siguiente:
- tipo y versión del navegador autorizados
- estado de las actualizaciones
- estado del perfil gestionado
- inventario de extensiones comparado con las listas de permitidas
- configuración del almacenamiento de contraseñas
- estado de la sincronización
- configuración de los permisos de los sitios web
- configuración de protección de las descargas
- estado de seguridad del dispositivo e identidad del usuario
- estado de las excepciones activas
Una vez realizada la comprobación, es necesario evaluar los resultados. Según el resultado, un usuario puede obtener acceso completo, restringido, aislado, de solo lectura o quedarse sin acceso. De este modo, la comprobación se convierte en un control de acceso activo a los sistemas sensibles. Además, la frecuencia de las revisiones también debería adaptarse al nivel de riesgo.
Estas son algunas frecuencias de revisión recomendadas para cada área:
- los controles críticos requieren una supervisión continua o diaria cuando las herramientas disponibles lo permitan
- las versiones y las actualizaciones deberían revisarse semanal o mensualmente
- las extensiones deberían revisarse cada mes
- las excepciones pueden revisarse trimestralmente
- la política completa debería revisarse una vez al año o antes si se produce un cambio importante en la plataforma
Cómo aplicar una política de seguridad del navegador de forma efectiva
El navegador se ha convertido en uno de los principales puntos de acceso a los sistemas empresariales, por lo que es fundamental gestionarlo de forma estratégica. Para mantenerlo bajo control, los equipos deben aplicar una política que permita definir cómo se gestionan las actualizaciones, las extensiones, las credenciales, la sincronización y los permisos de los sitios web, en lugar de confiar en la configuración predeterminada. Para que esta política pueda aplicarse y comprobarse día a día, también hacen falta controles de integridad capaces de detectar versiones obsoletas, extensiones sin revisar y excepciones olvidadas antes de que provoquen incidentes reales. Si se aplican de forma coherente y se revisan periódicamente, estas medidas permiten bloquear muchas de las vías de entrada más fáciles de explotar.
Temas relacionados:
