La importancia de la ciberseguridad en las empresas, tambien para las pymes

Los empresarios de hoy en día tienen en cuenta la ciberseguridad entre sus riesgos y sus necesidades de inversión. Sin embargo, para las empresas pequeñas sigue siendo un desafío entender qué hacer o implementar o mantener, para proteger sus negocios de las amenazas cibernéticas.

Por este motivo, muchas instituciones especializadas en generar estándares, y algunos entes gubernamentales de tecnologías de información, están generando leyes o guías para que las pequeñas y medianas empresas puedan identificar, evaluar y reducir los riesgos de ciberseguridad, diseñadas pensando en las necesidades y recursos de ese tipo de empresas.

Algunas de estas guías son públicas, brindando a las empresas herramientas pensadas en la implementación de estas medidas, entendiendo los recursos limitados y los pocos conocimientos que estas organizaciones tienen para enfrentar la ciberseguridad, gestionando los riesgos a unos costos eficientes y medidas alcanzables para sus objetivos, que no agobian a quienes no trabajan en el área de la ciberseguridad. Unos ejemplos son las publicaciones de NIST, la de FTC y la de INCIBE.

Las guías tienen en común iniciar con una serie de conceptos calificados como básicos, donde se explican los principales riesgos que se deben tener en cuenta y la forma de gestionarlos. Permitiendo comprender las diferentes amenazas, pero sobre todo la capacidad de identificarlas de forma simple.

En términos generales, las guías siempre indican la importancia de gestionar la seguridad del sitio web de las empresas, como el elemento más importante en la presencia digital de la empresa, en el cual se debe siempre tener en cuenta al menos estos tres consejos:

• Acceso controlado al administrador del sitio, habilitando el doble factor de autenticación y generando alertas de cualquier cambio a los directores de la empresa. Este consejo, se orienta a la prevención de cambios no autorizados y al control de la posible suplantación de identidad del administrador por robo de sus credenciales.
• Generar confianza a sus clientes a través de la implementación de los mecanismos de transferencia segura de información y validación de usuarios. Este consejo, busca que las empresas entiendan la importancia de la reputación digital, sobre todo si se tiene pagos en línea o se recibe información privada de clientes.
• Tener respaldo confiable del sitio web, que garantice usabilidad y la mínima perdida de información posible. Este consejo, busca que se tenga una herramienta de recuperación ante incidentes simple, pues ante un ataque de modificación o a un secuestro del sitio, esta es la única herramienta que permite mitigar las afectaciones, pero debe dar garantía de confiabilidad.

Otro factor a tener muy en cuenta es el aseguramiento de los dispositivos que gestionan o que comunican la información con la que trabaja la compañía, pues la integridad y confiablidad de estos son las que permiten garantizar que la información es veraz. Tomando tres consejos importantes que siempre se deben aplicar, serían los siguientes:

• Todo dispositivo donde se tenga información de la empresa debe ser tratado como un elemento que se debe salvaguardar. Este consejo, hace referencia a la implementación de todos los sistemas de seguridad en móviles o equipos de teletrabajo, los cuales deben poder ser cumplir con las mismas normas que los equipos de la oficina, como son la implementación de software que los proteja de malware y que permita una gestión de la información en caso de pérdida o daño.
• Mantener actualizado todos los software de los equipos de red, realizando las configuraciones necesarias de seguridad en cada dispositivo. Este consejo, se orienta principalmente a la implementación de redes inalámbricas, las cuales deben ser controladas a través de una identificación plena de quienes se conectan a estas e implementar los protocolos de seguridad más confiables disponibles.
• Validar siempre el software que se usa en los dispositivos y tener los controles para que no pueda ser instalado ningún software sin permiso. Este consejo, busca minimizar la posibilidad de que por mal manejo o descuido de usuarios o administradores se instale software que pueda generar afectación a la información, para lo que se sugiere la implementación de mínimos privilegios a los usuarios y validación de cualquier software antes de realizar la instalación.

Por último, pero no menos importante, está la formación al eslabón más importante de la seguridad: los usuarios, vistos no solo como quienes manejan la información sino como quienes aportan a dar valor a los datos y a su protección. Tomando tres consejos importantes que siempre se deben aplicar, serían los siguientes:

• Planeando la seguridad de la información como un caso de negocio interno de la empresa. Este consejo se orienta a los directores, que deben empezar a ver la seguridad de la información como un aporte vital al negocio, el cual se debe alinear a todas las necesidades de la empresa.
• Seguridad implementada según la criticidad de la información con relación al negocio. Este consejo, busca que las empresas entiendan que se deben implementar mecanismos de control como el cifrado de datos, para garantizar los datos sensibles y vitales de la empresa, para lo cual es fundamental capacitar y entrenar a los usuarios.
• La seguridad de la información es trabajo conjunto de todos en las empresas y se requiere una participación activa de todos. Este consejo, busca que se tenga en cuenta la capacitación y entrenamiento asertivo de todos los trabajadores de las empresas como un elemento vital del manejo de la información.

La publicación de estas guías entrega capacidades para la protección de las pequeñas y medianas empresas, con un lenguaje simple y con ejemplos aplicables a las capacidades y necesidades de este tipo de organizaciones. Permitiendo con esto mitigar los riesgos que se han generado en el mundo cibernético, cuando las organizaciones criminales usan la infraestructura de estas pymes para afectar a empresas más grandes o a diferentes objetivos.