Aspectos básicos de ciberseguridad en la pyme

[Juan_Estebanez]

La transformación digital trae innumerables ventajas a los negocios, pero tiene un reverso tenebroso: una mayor exposición a los ciberataques. Es muy común pensar que los problemas de seguridad informática sólo atañen a las grandes empresas. No es cierto en absoluto, así que las pymes no deben descuidar sus defensas. 

Los crecientes problemas de ciberseguridad en la pyme

Las pymes son cada vez más objeto de ataques cibernéticos. Un informe de Hiscox revela que sólo en 2022 más de la mitad de las pymes españolas han sufrido algún ciberataque. Las ciberamenazas son cada vez más numerosas y se han incrementando en los años de pandemia. Sólo en 2021, el número de ciberataques en España aumentó un 125% respecto al año precedente, que ya había vivido cifras récords de amenazas cibernéticas.

España ocupa el cuarto puesto en el Índice Global de Ciberseguridad elaborado por la Unión Internacional de Telecomunicaciones, pero la realidad de las pymes es más frágil. Aunque más de la mitad de las empresas tenían definida en 2019 una política de ciberseguridad, sólo el 25% la habían revisado en los últimos 12 meses, según INCIBE.

Factores de vulnerabilidad cibernética en la pyme

¿Por qué una pyme puede quedar expuesta a un ataque informático? Hay muchas causas que hacen que una empresa sea vulnerable a las amenazas cibernéticas. El informe Ciberseguridad para la digitalización industrial. Claves para abordarla con éxito de Eleven Paths identifica los principales factores de vulnerabilidad en una organización:

• Falta de visibilidad: no saber lo que está conectado a nuestra red es el primer factor de vulnerabilidad.

• Redes planas: esto implica que cualquier dispositivo se puede comunicar sin restricciones con cualquier otro, lo que facilita la entrada y movimiento de virus por la red.

• Protocolos inseguros: contar con protocolos desactualizados y sin cifrar es uno de los mayores riesgos posibles.

• Software antiguo y desactualizado: las vulnerabilidades se multiplican si el software de nuestra pyme es antiguo.

• Malware (USB o email): el email y el USB son las principales fuentes de introducción de malware en una organización.

• Accesos remotos inseguros: éstos abren brechas de seguridad en las redes de la empresa, a la que le resulta difícil identificar quién está accediendo.

• Activos físicos desprotegidos: desde fuera de la red informática también es posible sufrir daños. Es el caso de salas de ordenadores abiertas y equipos sin vigilancia.

• Ingeniería social: el empleado puede ser la parte más débil de la cadena de seguridad y ser víctima de la ingeniería social si no cuenta con la formación adecuada.

• Falta de respuesta a ciberincidentes: la ausencia de un plan adecuado de respuesta a un ciberataque puede ser muy pernicioso para la empresa.

¿Cómo abordar la ciberseguridad en la pyme?

Frente a todas estas necesidades de seguridad, ¿cómo podemos afrontar las amenazas informáticas en nuestra pyme? Hay una serie de principios básicos que debemos observar y unas medidas concretas que hay que considerar.

Principios de ciberseguridad

Global Data señala cinco principios que deben cumplir las empresas en materia de ciberseguridad, según recoge el Informe Sociedad Digital 2022 de Fundación Telefónica:

1. Resiliencia: capacidad de responder a cualquier incidente de seguridad.

2. Vigilancia: posibilidad de detectar las amenazas incluso antes de producirse.

3. Seguridad: capacidad de garantizar la fiabilidad de redes, puntos de acceso y aplicaciones.

4. Confiabilidad: empleados, socios, proveedores y clientes deben poder confiar en la interacción con la empresa.

5. Concienciación del riesgo: la organización de conocer su posibición respecto al riesgo de amenzas, su gobernanza y cumplimiento normativo.

Medidas fundamentales de ciberseguridad

Para la mayor tranquilidad en nuestro negocio, lo ideal es contar con una solución integral de seguridad que ayude a minimizar los riesgos. En cualquier caso, es conveniente que observemos las siguientes medidas de ciberseguridad:

Hosting seguro: es fundamental contar con un hosting de calidad que asegure un entorno seguro a la página web de nuestra pyme. Además de otorgar una buena experiencia de usuario, un hosting profesional garantiza la mayor seguridad y actualizaciones constantes. El proveedor de hosting debe proporcionar firewall y antimalware que nos mantenga a salvo de posibles virus y phising.

Protocolos seguros y firewall: usar protocolos https, derividado de los certificados SSL/TLS es obligado para garantizar la seguridad al navegar por la web. Estos certificados cifran el contenido que enviamos y recibimos por la página web y garantiza una conexión segura. Es la mejor forma de mostrar a nuestros clientes que tenemos una página web segura y confiable. Para nuestra propia seguridad, es conveniente navegar por webs que establezcan estos protocolos y certificados.

Uso correcto de permisos de administración y contraseñas: es fundamental implementar un sistema que obligue al empleado a cambiar las contraseñas de forma periódica y segura. El uso de autenticación en dos pasos y otros protocolos garantizan una capa adicional de seguridad en la empresa. Asimismo, es conveniente revisar y tener controlado quiénes tienen permiso de administración a las diversas aplicaciones y cuentas del negocio.

Actualización de plataformas y software: Tanto la página web de tu pyme como la tienda online si la tenemos deben ser de un proveedor fiable que asegure su continua actualización y máxima seguridad. Además, cualquier otro tipo de software con el que trabajemos en nuestra pyme debe estar convenientemente actualizado y con las últimas medidas de seguridad. Los propios fabricantes suelen actualizar sus productos, especialmente si detectan vulnerabilidades.

Copias de seguridad automáticas: pese a todas nuestras preocupaciones, es posible que acabemos siendo víctimas de un ataque cibernético que nos robe nuestra información. Hacer copias de seguridad periódicas y de forma automática es la mejor garantía para preservar nuestros datos y poder seguir adelante con nuestro negocio. Es muy recomendable también tener implementado un plan de actuación ante un eventual secuestro de información. Hay soluciones de backup en la nube que nos ayudan a asegurar los datos del negocio con copias de seguridad.

Cuidado con los datos de cliente: ante cualquier robo de información, lo más delicado son los datos de los clientes. Si es posible, evita almacenar la información más delicada del cliente, especialmente números de tarjeta de crédito y similares.

Protección de dispositivos de empleados: especialmente con la popularización del teletrabajo, es necesario que los dispositivos de los empleados cuenten con la mayor protección. Tanto con los mejores antivirus, como con el mejor equipamento posible, alcanzar la mayor seguridad es una obligación.

Formación continua del empleado: con todo, la mejor protección que puede tener un empleado es la formación en ciberseguridad y la asunción de una cultura corporativa que ponga el foco en la seguridad. Es imprescindible que nuestros trabajadores sigan las indicaciones en el uso de contraseñas, de preservación de información sensible y, especialmente, en un cuidadoso uso del email, que suele ser la principal vía de acceso de los ciberdelincuentes a las organizaciones.