Las pymes tienden a ser los principales objetivos de los ciberdelincuentes, como se viene demostrando a lo largo de los últimos años. Por este motivo, la ciberseguridad se antoja fundamental en el éxito de una empresa.
El último informe realizado por el Centro de Estudios Estratégicos e Internacionales (CSIS) y la compañía de software especializada en seguridad McAfee6 cifra en 600.000 millones de dólares las pérdidas ocasionadas por los ciberataques a las empresas (grandes, medianas y pequeñas) en los últimos cinco años, exactamente el 0,8% del PIB global.
Más del 90% del tejido empresarial de nuestro país está constituido por pymes por lo que un ciberataque «puede bloquear gran parte de las actividades productivas de nuestro país», señaló Alberto Hernández , Director General de INCIBE, en declaraciones recogidas por Business Insider.
El experto también lamenta que entre las pymes aún existe una cultura más reactiva que preventiva, ya que las empresas no se consideran objetivos de interés para los hackers. De hecho,tan solo un 36% de las pymes encuestadas para un estudio de Google afirmó tener establecidos protocolos básicos de seguridad.
Sin embargo, los datos de INCIBE muestran que los principales objetivos de los ciberataques en 2018 fueron ciudadanos y empresas, con un total de 102.414 incidentes reseñados.
Entre las pymes, los ataques más comunes fueron de ransomware, secuestro de sistemas, fugas de información y ciberestafas, según el estudio de Google, que también revela los efectos devastadores que puede tener sobre el negocio: el coste medio de un ciberataque a una pyme es de 35.000 euros y el 60% de las pymes cierra seis meses después del ataque.
Hay una serie de medidas que podemos y debemos tener en cuenta para que nuestra empresa sea más segura y pueda conseguir sus objetivos más fácilmente, tal y como asegura Esferize.
1.- La gestión de los riesgos
Uno de los aspectos clave radica en conocer quién será el responsable de gestionar la ciberseguridad en las empresas. Hay que ser consciente del nivel de riesgo que se desea asumir. Invertir en seguridad es minimizar riesgos. Conviene elaborar una política de seguridad que determine qué riesgos se está dispuesto a aceptar y asegurarse de que los colaboradores comprenden la importancia de sus responsabilidades en esta materia.
2.- Software actualizado
No basta con comprarse un firewall y un antivirus y olvidarse del asunto hasta que exista un problema. Hay que actualizarlo tan pronto sea posible. Se puede activar la opción de “actualización automática” en numerosos paquetes de software de seguridad de los equipos. Se recomienda realizar un inventario de todos aquellos activos tecnológicos, tanto hardware como software, así como ir revisando regularmente las posibles debilidades que pueda tener el sistema con análisis de vulnerabilidades. Se recomienda hacerlo una vez al año o cada vez que exista un cambio importante de software o hardware.
3.- Red protegida
Es importante que la red de la empresa esté protegida tanto de ataques externos como internos. Conviene comprobar si el proveedor de internet incluye un cortafuegos que controle las conexiones de red de acceso a internet. Hay que configurarlo adecuadamente y actualizarlo cuando sea necesario. Siempre es aconsejable consultar a un experto en el caso de que se crea que la seguridad de la red de la empresa ha sido comprometida.
4.- La importancia del malware
No se trata de instalar un simple antivirus. Conviene disponer de un paquete de seguridad completo que proteja al equipo y las redes de software malintencionado, léase spyware, adware, etcétera. Conviene realizar un escaneado diario y que el equipo esté al día de actualizaciones.
5.- Privilegios de usuario
Es importante controlar quién entra y dónde se entra en una red de sistemas de una pyme. Los empleados deben disponer de nombres de usuario y contraseñas. Sus privilegios en el sistema estarán limitados por el administrador, que será el que indicará en qué carpetas podrán trabajar los empleados para desarrollar sus labores, obviando el resto del sistema. Se recomienda tener los datos sensibles (contabilidad, nóminas, clientes, estrategia,…) separados y vigilados.
6.- Control de dispositivos extraíbles
Para la seguridad de la pyme es importante que se utilicen únicamente CD, DVD, USB, tarjetas SD o cualquier tipo de memoria flash que haya proporcionado el administrador de sistemas. No se trata de convertirse en un policía pero sí de saber quién los usa, dónde están y, en la medida de lo posible, qué contienen. Además, conviene que se escaneen para evitar malware.
7.- Monitorización de redes y servicios
Existen herramientas gratuitas de monitorización o de análisis de protocolo que pueden ayudar a detectar fallos de hardware o actividad inusual en la red de una pyme. Si la empresa es de compleja y de mayor tamaño conviene decantarse por otras opciones comerciales que incluyen análisis de tráfico, uso de IP, etcétera.
8.- Sensibilizar a los usuarios
Predica que algo queda. En la medida de lo posible hay lograr que los empleados conozcan y apliquen la política de seguridad de la que la pyme se ha dotado. La compañía puede plantearse incluir esta política en forma de cláusula en los contratos. De forma periódica, recordar a la plantilla las buenas prácticas de seguridad. En relación a las redes sociales, conviene que todos los empleados sepan cómo utilizarlas dado que representan a la empresa.
9.- Qué hacer con los dispositivos móviles de los empleados
Dado que cada vez es más frecuente que los empleados de una empresa utilicen dispositivos móviles, tanto privados como corporativos, en su quehacer profesional es necesario que estos tengan la aprobación de los responsables de seguridad. Por ejemplo, hay que asegurarse que tienen un antimalware instalado y actualizado, que están cifrados, que podemos rastrearlos y borrarlos de forma remota en caso de extravío o robo y que los empleados informarán de cualquier incidente con dichos dispositivos a la empresa.
10.- El negocio debe seguir pese a los incidentes
Cualquier eventualidad que comprometa los sistemas tecnológicos de la empresa es un incidente que interfiere en la actividad normal del negocio. Por ello hay que dejar claro qué hacer y qué no hacer en el caso de que ocurra y en caso de duda disponer de un agente externo que ayude a la pyme a resolver adecuadamente la situación.
