La ciberseguridad ha pasado de ser una preocupación residual en muchas empresas a posicionarse como una de sus prioridades, incluidas las más tradicionales. Es por ello que muchas pymes se preguntan cuáles son las mejores acciones que deben emprender para protegerse. Si te encuentras entre ellas, desde ITCON te dejamos una serie de 10 claves imprescindibles para poner en marcha un mecanismo de ciberseguridad que se lo pondrá muy difícil a los cibercriminales.
La ciberseguridad en las pymes españolas
Hoy más que nunca, la ciberseguridad no es un tema que haya que dejar para más adelante. Procrastinar no es una opción si no quieres llevarte un sobresalto importante, sobre todo si eres una pyme, con una mayor vulnerabilidad que una gran empresa.
No se trata de una simple percepción, sino que hay cifras que lo demuestran. Por ejemplo, podemos acudir al Informe de Ciberpreparación de Hiscox, que nos dice:
- El 53% de las empresas asegura haber sufrido un ciberataque.
- El 42% fue víctima en más de tres ocasiones.
- El 9% de los negocios han sido calificados como expertos en ciberseguridad.
- El 28% de los ataques son mediante engaños a empleados, lo que se conoce como ingeniería social.
- El coste medio de sufrir un ciberataque es de unos 10.000 euros.
- A las pérdidas económicas hay que añadir la caída de reputación y clientes.
Ante este panorama, las pymes españolas están respondiendo dedicando el 22% de su presupuesto TI a ciberseguridad. Una inversión que se centrará sobre todo en tecnología, auditorías y formación de empleados.
10 claves para implementar la ciberseguridad en tu pyme
1.- Estar al tanto de las principales amenazas
Para vencer a tu enemigo es imprescindible conocerlo lo mejor posible. Por ello, debes permanecer actualizado sobre todos los términos que surgen en el ámbito de la ciberseguridad. Seguro que no te suenan términos como phishing, malware, ataque de denegación de servicios (DDoS), etc. En muchas ocasiones protegernos directamente puede ser muy complejo, pero para ello existen profesionales que nos ayudarán y guiarán en el camino.
Además de aspectos puramente técnicos, cobra especial importancia la conocida como ingeniería social, que se basa en buscar formas de engañar al personal para que ceda información comprometida o instale involuntariamente algún software malicioso.
Para tener conocimientos básicos sobre esto, no es necesario ser experto en ciberseguridad. Actualmente, hay muchas fuentes oficiales y fiables con las que poder informarnos al respecto. Por ejemplo, las publicaciones del Instituto Nacional de Ciberseguridad (INCIBE).
2.- Pensar que no somos un objetivo
No debes subestimar tu negocio. Puede que tu empresa no sea un gigante de su sector y que haya otras con mucho más nombre y volumen de negocio. Aún así, también eres un objetivo potencial para los cibercriminales.
Es más, muchos de ellos prefieren atacar a pequeñas y medianas empresas antes que a grandes marcas. Esto se debe a que estas últimas suelen contar con avanzadas y efectivas barreras de ciberseguridad, como las que estamos describiendo en este artículo.
3.- Definir la política de ciberseguridad de la pyme
Es la mejor manera de dejar claro cómo va a tratar la empresa todo lo relacionado con su ciberseguridad. Esto implica procedimientos, responsables, medios de defensa, documentación relacionada, reuniones, formaciones, buenas prácticas, etc.
Contar con una política de ciberseguridad bien definida es la mejor vía para trabajar coordinada y efectivamente cuando nos enfrentemos a un ciberataque, para prevenir que seamos víctimas de esto y para recuperar la actividad normal tras sufrir uno.
4.- Formación al personal
Debes asegurarte de que todos tus compañeros, superiores, socios y, en resumen, todos aquellos que intervengan en el día a día de tu empresa, sean conscientes de lo crítica que es la ciberseguridad para una pyme.
Además de esta labor de concienciación, debes de contactar con profesionales que te guíen a dar forma a un programa de formación en el que se incluyan las destrezas básicas que los trabajadores deben adquirir para no generar ninguna brecha de seguridad ni cometer ninguna imprudencia.
5.- Software actualizado y original
Una de las principales vías de entrada de los ciberdelincuentes es mediante soluciones software que no tienen instalada la última versión disponible. Los cibercriminales no paran de evolucionar en su afán de conseguir diseñar el ataque perfecto, que sea efectivo, rápido y que no deje huella. Una de las formas de conseguirlo es buscando vulnerabilidades dentro del software de la empresa.
Las grandes y pequeñas empresas de software son conscientes de ello, por lo que periódicamente van lanzando actualizaciones que sirven de parche para evitar estas brechas. Procura chequear que siempre cuentas con tu software actualizado y, por supuesto, que éste sea original.
6.- Red WiFi debidamente protegida
Las conexiones inalámbricas inseguras son presa fácil para el cibercrimen. Ni que decir tiene que debemos olvidarnos de utilizar una red pública, pero, además, también hay que considerar medidas como:
- Usar cifrado de datos mediante los últimos estándares a fecha de hoy como WPA2 o WPA3, pero siendo conscientes de todas las actualizaciones.
- Emplear una autenticación robusta, como la de doble factor.
- Modificar u ocultar el nombre de la red que aparece por defecto, el conocido como SSID (Service Set Identifier), ya que éste puede contener datos sensibles.
- No habilitar la autenticación mediante WPS o WiFi Protected Setup. Un código de 8 carácteres relativamente fácil de conseguir por los ciberdelincuentes.
- Limitar las direcciones IP y las MAC a las que se le permite el acceso a la red.
- Disponer de una red alternativa para las personas ajenas a la empresa que la visitan esporádicamente.
7.- Protege la información en la nube
No es nada recomendable tener exclusivamente la información importante de tu pyme almacenada en local, aunque dispongas de varias copias de seguridad en diversos dispositivos físicos.
Esto ha causado que muchas pymes opten por resguardar sus datos en la nube. No solamente por seguridad, sino también por la comodidad que supone poder acceder a estos con total independencia geográfica y temporal.
Pero la nube tampoco está exenta de amenazas. Así que también hay que establecer acciones de protección para ella. Por ejemplo, hay que fijar los privilegios de administración de cada usuario; que el servicio sea escalable para evitar los ataques DDoS, que se basan en colapsar el servicio mediante múltiples peticiones simultáneas desde distintas zonas geográficas. Para conseguirlo, una de las alternativas es aislar el tráfico interno de la red externa o equilibrar la carga mediante servidores proxy.
8.- Usar métodos de autenticación seguros
Llegados a este punto, es muy probable que el primero que te venga a la mente es una contraseña compleja. Sin duda, es algo muy necesario y esta debe tener una longitud adecuada, letras, números, símbolos… así como no contener ninguna información personal fácilmente deducible (como el nombre de tu mascota). En este sentido son muy útiles los gestores de contraseñas.
Pero una contraseña sólida no lo es todo. Hace poco hemos mencionado la autenticación de doble factor. Esta se basa en que hay que usar 2 métodos para acreditar la identidad del usuario. Por ejemplo, mediante un password y un código que se recupera a través de aplicaciones de autenticación desarrolladas para ello o bien se envía por SMS y que tiene una validez temporal.
Por otra parte, es fundamental tener un control de acceso bien definido, de manera que sólo tengan permisos los usuarios que realmente los necesitan.
9.- Mantener un registro de actividad
Documentar correctamente todas las acciones relevantes que se realicen en los sistemas de la empresa: quién las realiza, los accesos utilizados, cómo, cuándo, por qué motivo, los detalles de cada una de ellas, etc.
De esta forma se agiliza la detección de situaciones que puedan suponer una amenaza, así como fijar una trazabilidad que haga más efectiva la investigación sobre qué ha ocurrido en caso de ser víctimas de ciberdelincuentes.
10.- Contar con un servicio de ciberseguridad profesional
Todas estas medidas son importantísimas de cara a cuidar la ciberseguridad de tu pyme. Sin embargo, debes dar un paso más para que tu negocio pase a ser una verdadera fortaleza de cara a los ciberdelincuentes, y ese no es otro que adquirir los servicios de verdaderos expertos.
Si te interesa, en ITCON contamos con un servicio de ciberseguridad especializado en empresas. Mediante el mismo, tu empresa tendrá una mayor protección frente a estas amenazas, buscando cumplir con el mayor número de estándares relativos a ciberseguridad. Si eres una empresa de desarrollo te ayudamos a poner en práctica nuestra metodología SecDevOps.
¿Te gustaría conocer más detalles sobre éste? A nosotros nos encantaría poder hablar tranquilamente sobre él y sobre cómo se adapta a tu negocio. ¡Contacta con nosotros!
