Uno de los cibercrímenes más comunes es el robo de información personal, que luego se vende en el mercado negro. Esto implica que, por más que una empresa sea pequeña, debe adoptar un enfoque sistemático para proteger los datos que se le confían. Para eso, Camilo Gutierrez, jefe del laboratorio de investigación de ESET Latinoamérica, entrega los siguientes pasos:
Analizar activos, riesgos y recursos: El especialista sugiere primero realizar una lista con todos los sistemas y servicios informáticos que se utilizan. Luego, asegurarse de incluir los dispositivos móviles que pueden llegar a usar para acceder a información corporativa o de los clientes. Finalmente, analizar los riesgos relacionados con cada elemento y los recursos disponibles para resolver los problemas de seguridad IT.
Crear políticas: Gutierrez explica que se debe informar al equipo que la empresa se compromete a proteger la privacidad y la seguridad de todos los datos que manejan. Además, se deben detallar las políticas que desea aplicar, por ejemplo, que no se permite el acceso no autorizado a los sistemas y datos corporativos, o que los colaboradores no deben desactivar la configuración de seguridad en sus dispositivos móviles. “También es importante contar con políticas para el acceso remoto, el uso de dispositivos propios para trabajar (BYOD) y el software autorizado”.
Elegir controles para hacer cumplir las políticas: Por ejemplo, si desea aplicar una política para impedir el acceso no autorizado a los sistemas y datos corporativos, se puede optar por controlar todo el acceso a los sistemas de la empresa mediante la solicitud de un nombre de usuario y contraseña, y un segundo factor de autenticación (2FA). Otra opción para evitar las filtraciones causadas por dispositivos móviles perdidos o robados, podría ser exigir a los empleados que informen sobre estos incidentes en el mismo día, y bloquear el dispositivo afectado para borrar su contenido de inmediato en forma remota.
Respecto a lo anterior, el especialista recomienda utilizar las siguientes tecnologías de seguridad: Protección para endpoints para evitar que se descarguen códigos maliciosos en los dispositivos; Cifrado para proteger los datos de los dispositivos robados (también sugerido en el reglamento GDPR); 2FA para requerir algo más que un nombre de usuario y una contraseña al acceder a los sistemas y datos; Solución VPN para una protección adicional.
Implementar controles: Primero es necesario asegurarse de que funcionan correctamente, para eso, deberían tener una política que prohíba el uso de software no autorizado en los sistemas de la empresa. Entonces, uno de los controles será el software antimalware que busca códigos maliciosos. No solo se debe instalar y probar que no interfiera con las operaciones comerciales normales, sino que también se tienen que documentar los procedimientos que los empleados deberán seguir en caso de que el software detecte malware.
Capacitar empleados, directivos y vendedores: Además de conocer las políticas y procedimientos de seguridad de la empresa, el equipo debe entender por qué son necesarias. Esto implica invertir en capacitación y concientización sobre seguridad: la medida más importante y efectiva que una empresa puede implementar.
El jefe de Laboratorio enumera, por ejemplo, que al trabajar con los empleados, generar conciencia sobre temas como los correos electrónicos de phishing. Preparar capacitaciones periódicas, para generar concientización sobre seguridad cibernética y que sea parte del proceso de incorporación de nuevos empleados. También, deben asegurarse de capacitar a quienes usen los sistemas, incluyendo directivos, vendedores y partners.
Seguir evaluando, auditando y probando: “La seguridad IT es un proceso continuo, no un proyecto que se ejecuta una sola vez”, explica Gutierrez. Para eso, es necesario actualizar las políticas de seguridad y sus controles dependiendo de los cambios en la empresa, como las relaciones con nuevos vendedores, nuevos proyectos, incorporaciones de empleados o empleados que dejan la empresa. Por último, sugiere considerar contratar a un consultor externo para realizar una auditoría de seguridad para detectar los puntos débiles y poder abordarlos.
“Por lo que podemos ver, la ola de delitos informáticos no va a parar en el futuro cercano, de modo que se debe hacer un esfuerzo continuo de buena fe para proteger los datos y los sistemas, que son el alma de las pequeñas empresas de hoy”, concluye el especialista de ESET.
