Eres una pyme del sector servicios, como las cerca de un millón que hay en España. Tienes menos de nueve asalariados e Internet y los ordenadores los usas más bien poco. Aun así, el WannaCry te puso los pelos de punta, una brecha así acabaría con tu compañía. ¿Estás haciendo todo lo posible por corregir los errores en ciberseguridad más comunes?
Los virus no son solo cosa de grandes empresas
Entre enero y junio de 2017, el Centro de Respuesta a Incidentes de Seguridad e Industria (CERTSI) gestionó cerca de 70,000 incidencias en ciberseguridad. La mayoría no fueron incidentes sonados, pero afectaron por igual a grandes empresas que a pymes. El hecho de manejar poca información o contar con una infraestructura informática modesta no te hace menos vulnerable.
El Instituto Nacional de Ciberseguridad (INCIBE), que gestiona el CERTSI, propone una serie de recomendaciones básicas para reducir la vulnerabilidad, como proteger el ordenador con antivirus y antimalware, o mantener actualizado los equipos. Pero, empecemos por el principio. Estos son los errores en ciberseguridad más comunes entre las pymes.
Diez errores en ciberseguridad de las pymes…
“Cuando una empresa no está adecuadamente ciberprotegida, es como si dejara la puerta de su negocio abierta toda la noche y se fueran tranquilamente a casa, permitiendo que cualquiera campara a sus anchas por él”, explica José Rosell, director de S2 Grupo. Esta compañía valenciana de ciberseguridad ha elaborado un listado con los 10 errores más comunes que comprometen la seguridad informática de la pequeña y mediana empresa.
- Creer que basta con tener instalado un antivirus. Hoy por hoy, pocos negocios no cuentan con un antivirus y un firewall en su sistema. Sin embargo, para S2 Grupo, esto no evita que existan procesos que estén desprotegidos.
- Pensar que tu negocio no es objeto de deseo de un ciberdelincuente. La información es poder y cualquier dato, como los ficheros de los clientes o la información de los trabajadores, es susceptible de robo.
- Considerar que la ciberseguridad es cosa de los informáticos. Toda la plantilla es responsable de la seguridad informática de la empresa. De hecho, la mayoría de ataques se producen por descuidos humanos.
- Olvidarse del mantenimiento. “La ciberseguridad es un proceso y, como tal, requiere un mantenimiento diario llevado a cabo que variará según las necesidades de cada departamento”, recuerdan desde S2 Grupo.
- No proteger la información de forma legal. A veces, las pequeñas empresas descartan firmar acuerdos de confidencialidad que protegen legalmente el acceso a la información de la compañía.
- No cumplir la LOPD. Y, muy pronto, no cumplir con la directiva europea de protección de datos. Nunca, nunca menosprecies la seguridad de los datos de clientes, empleados y proveedores.
- No prestar atención a los contratos. Todas las cuestiones nombradas hasta el momento entran en juego en los contratos. Se debe prestar especial atención a la confidencialidad y la protección de los datos.
- No proteger la red. Hoy por hoy, de poco sirve un antivirus en un ordenador si la red por la que viajan los datos es vulnerable. Proteger los servidores y las redes es parte fundamental de la ciberseguridad de una pyme.
- Obviar el peligro interno. Como ya hemos dicho, la mayoría de las ciberincidencias son de origen humano. Una buena parte, además, se producen dentro de la propia empresa (abrir un correo de origen desconocido, usar un pendrive infectado…). La preparación de toda la plantilla para que preste atención a la ciberseguridad es muy importante.
- No redoblar las precauciones si tu pyme es online. Una gran parte de las pymes españolas, sobre todo entre las de reciente creación, ofrece servicios a través de Internet. Su exposición a los ciberataques es total, por lo que debe prestar especial atención a la seguridad.
Y cinco lecciones del INCIBE
Preocupado por el crecimiento de los incidentes cibernéticos, el INCIBE ha publicado una pequeña guía con cinco lecciones que las pymes deben tener en cuenta para reforzar su ciberseguridad.
- La seguridad interna es más importante de lo que parece. Para reducir el impacto de los descuidos de nuestra propia plantilla, se debe contar con una política de seguridad interna bien definida que administre los permisos de cada empleado y establecer una serie de buenas prácticas.
- La falta de previsión puede derivar en un fallo de seguridad irreversible. Según la legislación europea, las pequeñas y medianas empresas deben desarrollar un plan de prevención de ataques de ciberseguridad antes de que transcurran 72 horas. Mejorar la previsión no es solo necesario, sino también obligatorio.
- Una incorrecta configuración de los sistemas deriva en problemas de seguridad. A pesar del bajo presupuesto con el que cuentan buena parte de las pymes, es necesario profesionalizar la configuración de equipos, redes y servidores. Como en muchos otros frentes, las consecuencias de no hacerlo sí que pueden salir caras.
- Las vulnerabilidades en los sistemas sin parchear nos hacen más débiles. Poco tiempo después de que se produjese el primer ataque del ransomware WannaCry el pasado mes de mayo, Microsoft publicaba un parche para acabar con la vulnerabilidad de sus sistemas. Mantener actualizados equipos y software puede ahorrar más de un disgusto.
- La seguridad de los dispositivos móviles facilita un mejor acceso a la información. Los dispositivos móviles, cada vez más potentes, han facilitado el trabajo y la movilidad. Sin embargo, con ellos se abren nuevos puntos de vulnerabilidad para las empresas. Se deben establecer procesos específicos de seguridad para los móviles que acceden a bases de datos o aplicaciones de la compañía.
El WannaCry y el Petya, los dos últimos grandes ciberataques que han copado portadas, no han sido los primeros ni serán los últimos. Aunque las multinacionales afectadas se lleven buena parte de la atención, las pymes son tanto o más vulnerables. Unos pocos pasos sencillos pueden aumentar la seguridad de una empresa, reduciendo sus riesgos y mejorando su imagen.
Juan F. Samaniego
Imágenes: iStock
