Te damos la bienvenida al curso "Mejora la seguridad online de tu empresa". En este primer vídeo vamos a analizar y entender los riesgos de ciberseguridad.
Más del 80 % de las empresas procesan información crítica, como información sobre cuentas financieras, información sobre los empleados o datos de los clientes. La seguridad de tu empresa no solo es fundamental para proteger tu información, sino también para proteger a tus clientes y mantener su confianza.
Mejorar la seguridad online de tu empresa es un factor clave para proteger la salud general de tu negocio.
Las herramientas digitales se han convertido en un motor clave del crecimiento y la resiliencia empresarial. De hecho, las pequeñas empresas europeas que utilizaron herramientas online durante la pandemia lograron un 80 % más de ventas que las empresas que no lo hicieron (fuente). Sin embargo, es importante que las empresas que quieren aprovechar al máximo las oportunidades digitales tomen medidas para garantizar su seguridad online.
Hay empresarios que creen que, debido a la naturaleza de sus productos o su modelo de negocio, su empresa no corre riesgos y, en consecuencia, no preparan a sus empleados con formación o políticas de ciberseguridad. Pero lo cierto es que todas las empresas, sean del tipo que sean, pueden estar en peligro.
Entiende cómo piensan los ciberdelincuentes
La mayoría de los ciberdelincuentes evalúan los objetivos de sus ataques basándose en señales técnicas que sugieren que una empresa puede ser vulnerable. Dichas señales pueden consistir en sitios web y software que no han sido actualizados, vulnerabilidades técnicas en los dispositivos de los empleados u otros factores.
Muchas veces, los ciberdelincuentes ni siquiera consultan la información de una empresa o marca antes de lanzar su ataque contra ella.
Imagínate que tu presencia online es como una casa con distintos puntos de acceso que los ciberdelincuentes comprueban para ver si están correctamente cerrados. Los ciberdelincuentes pueden intentar acceder automáticamente utilizando un código que "llama a todas las puertas para ver cuál se abre". En esta primera fase, el ciberdelincuente no sabe lo que hay dentro de las casas, y tampoco le interesa. Solo intenta ver cuáles son seguras y cuáles vulnerables. ¿Hay alguna puerta o ventana que se hayan quedado abiertas? Estas vulnerabilidades potenciales son mucho más importantes que el aspecto de la casa o el barrio en el que está.
Además, algunos tipos de ciberataques consisten en dirigir un mismo ataque contra muchos negocios distintos al mismo tiempo, de forma similar a lo que haría un ladrón que intentara entrar en todas las casas de una misma calle. Esto supone que una empresa puede ser un objetivo más atractivo cuando está agrupada con otras.
Conoce los tipos de ciberataques más frecuentes
La suplantación de identidad (phishing) es una modalidad de ataque en la que los ciberdelincuentes se hacen pasar por personas y marcas de confianza. En este tipo de ciberataque, los atacantes pueden, por ejemplo, suplantar a una conocida empresa de soporte tecnológico para conseguir que instales un programa malicioso que les dará acceso total a los datos de tu ordenador. También pueden engañar a los usuarios para que les den las credenciales de su cuenta (nombre de usuario y contraseña) u otra información personal, como datos bancarios o financieros.
Los ataques de suplantación de identidad pueden ser muy específicos y centrarse en una persona concreta, pero también generalizados y dirigirse contra un gran número de personas al mismo tiempo. En la pantalla podemos ver tres tipos de ataques de suplantación de identidad:
Los ataques dirigidos de suplantación de identidad (spear phishing) que se centran en personas y organizaciones individuales.
Los ataques boutique de suplantación de identidad (boutique phishing) que utilizan campañas creadas manualmente y dirigidas contra un número reducido de organizaciones, pero son menos personalizados. Los ataques generalizados de suplantación de identidad (bulk phishing) son campañas automatizadas dirigidas contra un gran número de personas u organizaciones.
Los ataques de suplantación de identidad utilizan distintos canales, desde correo electrónico o SMS hasta aplicaciones de mensajería y sitios web. De hecho, pueden aparecer en casi cualquier tipo de canal y, normalmente, contienen enlaces que parecen auténticos.
El software malicioso (malware) es un programa dañino que se instala en los dispositivos de los usuarios. Este software puede registrar las teclas pulsadas para hacerse con los detalles de una contraseña, o incluso robar directamente contraseñas y tokens de autenticación, interceptar códigos PIN de un solo uso, etc. Una vez que alguien accede al nombre de usuario y la contraseña de una cuenta gracias a estos métodos, puede iniciar sesión en ella y hacer lo mismo que podría hacer su propietario.
Dentro de la categoría de software malicioso está el software de secuestro de datos (ransomware), que encripta los datos o archivos más importantes de una organización para que no se puedan leer y, después, envía un mensaje a la organización exigiendo el pago de un "rescate". Una de las mejores formas de proteger tus programas frente al software malicioso es actualizarlos.
Mucha gente cree que las intrusiones de software malicioso solo suceden cuando los ciberdelincuentes buscan activamente entrar en un sistema, pero, en realidad, muchas ocurren cuando engañan a los empleados para que instalen este tipo de software en sus portátiles, igual que en el caso de los ataques de suplantación de identidad. Para los ciberdelincuentes es mucho más fácil acceder a un sistema con esta estrategia que intentar sortear sus medidas de seguridad.
Además, al igual que en el caso de la suplantación de identidad, los ataques de software malicioso no son siempre dirigidos. Hay campañas de software malicioso que se dirigen contra grandes grupos de usuarios y recogen credenciales que posteriormente se venden a otros delincuentes. De modo que, aunque no haya nadie que tenga tu negocio en el punto de mira, es posible que los atacantes oportunistas puedan hacerse con tus credenciales.
En muchos casos, tus empleados son la primera línea de defensa para prevenir los ciberataques. En la siguiente sección hablaremos de lo importante que es formar a tus empleados en ciberseguridad y de los conceptos clave que deberías enseñarles.
Enseña ciberseguridad a tus empleados
Los miembros de tu empresa son el pilar central de su seguridad.
En esta sección, veremos cómo puedes ayudar a tus empleados a proteger tu empresa mediante acciones de formación, recursos y una cultura de seguridad sólida.
Las actividades de formación en seguridad deberían ser frecuentes y abordar temas específicos en profundidad.
Mantén a tus empleados al corriente de las últimas políticas y recomendaciones de seguridad y haz que sean conscientes de sus responsabilidades individuales. Adapta la formación a los distintos puestos de trabajo para que tus empleados reconozcan las situaciones que podrían darse en su trabajo diario. Por último, asegúrate de que saben cómo detectar y notificar los problemas de seguridad y qué hacer si algo no va bien.
Veamos un par de ejemplos de temas que puedes tratar en la formación.
Las contraseñas seguras deben ser la norma en la empresa. Recuerda a tus empleados que es su responsabilidad crear contraseñas seguras para sus cuentas de empresa.
Además de pedirles que creen contraseñas difíciles de averiguar, asegúrate de que todos usan contraseñas diferentes para cada cuenta o servicio y de que NUNCA utilizan la misma para las cuentas personales y las de empresa. Cuando se utilizan contraseñas diferentes el riesgo se reduce, ya que aunque alguien descubra la contraseña de una determinada cuenta, no podrá utilizarla para acceder a otras. Los empleados también pueden usar un gestor de contraseñas, una herramienta que sugiere contraseñas difíciles de averiguar y las guarda de forma segura para que sea más fácil iniciar sesión. También debes asegurarte de que los empleados sepan que no deben compartir nunca sus contraseñas con los demás.
La suplantación de identidad (phishing) es un problema de seguridad frecuente al que se debe prestar atención.
Recuerda que la suplantación de identidad consiste en engañar a una persona para que comparta información personal online. Para lograrlo, se suelen utilizar anuncios, correos electrónicos o sitios web que copian a los de las empresas auténticas con las que los usuarios están familiarizados.
Por ejemplo, un empleado puede recibir un correo electrónico parecido a los de su banco en el que se le solicita que confirme su número de cuenta bancaria. A veces, los ataques de suplantación de identidad utilizan estrategias más sofisticadas, como llamadas o correos electrónicos "urgentes" donde el atacante se hace pasar por un directivo y solicita información inmediata sobre pagos o credenciales de inicio de sesión.
Recuerda a tus empleados que tengan cuidado al hacer clic en documentos adjuntos de los correos electrónicos, descargar archivos o visitar nuevas URL. Avísales para que no abran los enlaces de correos electrónicos no solicitados y recomiéndales que presten atención a las direcciones de los remitentes y las firmas para identificar posibles elementos sospechosos. Además, infórmales de que nunca les pedirás que compartan información personal, como las credenciales de inicio de sesión.
Hay otras medidas que pueden ayudar a minimizar el riesgo de que los ataques de suplantación de identidad consigan su propósito, como la verificación en dos pasos de la que hablaremos con más detalle en la siguiente sección.
Además de realizar actividades de formación, asegúrate de que tus empleados tengan acceso a las políticas, prácticas y recomendaciones de seguridad siempre que lo necesiten. Una buena idea es crear un sitio web interno con información sobre seguridad y el contenido de los cursos de formación para que los empleados puedan consultarlos cuando lo necesiten. También puedes habilitar un buzón de correo para responder a temas relacionados con la seguridad o dar los datos de contacto de un experto que pueda responder a las preguntas o inquietudes de los empleados.
Aunque la formación y los recursos son un excelente punto de partida, también es importante contar con una cultura de seguridad sólida. Cuando la cultura de seguridad de la empresa es fuerte, los empleados son conscientes de que todo el mundo es en cierta medida responsable de la protección de la organización.
Esta cultura también les da confianza para hablar abiertamente de sus preocupaciones o errores sin miedo a que se les culpe, ya que sabrán que, en lugar de buscar responsables, la empresa se centrará en identificar y resolver los problemas de forma rápida y eficiente para, posteriormente, estudiar cómo evitar que se repitan. Habla regularmente sobre seguridad con tus empleados y anímalos a que compartan sus inquietudes de forma sincera y directa. Además, asegúrate de que los directivos de la empresa tengan un comportamiento ejemplar en seguridad.
A la hora de garantizar la seguridad de tu empresa, los empleados son tu primera línea de defensa. Dar a tus empleados la formación y los recursos que necesitan para proteger tu negocio online te ayudará a dar a la seguridad un peso mayor en la cultura de tu organización.
Piensa en la cultura de seguridad de tu empresa. ¿Cómo puedes mejorar la cultura, la formación y los recursos de seguridad para mejorar tu preparación y la de tus empleados?
Muchas empresas proporcionan móviles o portátiles a sus empleados. Pero, ¿qué sucede en caso de robo o pérdida de estos dispositivos? ¿Y cuando una persona ajena a la empresa accede a ellos?
En este tema analizaremos la seguridad del hardware y los dispositivos de tu empresa.
Una de las cosas más importantes que puedes hacer para proteger los dispositivos de tus empleados es asegurarte de que el software y los sistemas operativos están actualizados. Es importante utilizar un software con soporte que permita realizar actualizaciones frecuentes. Cuando sea posible, habilita las actualizaciones automáticas para poder disponer de los últimos parches de seguridad y protección integrada contra intentos de suplantación de identidad (phishing) y software malicioso. Además, intenta evitar el software y las aplicaciones que no ofrezcan opciones de seguridad. Por último, elimina las aplicaciones obsoletas y sin parches de seguridad que ya no uses.
Otra medida que puedes tomar es establecer políticas que limiten el tipo de datos que se almacenan en los equipos de la empresa. Los equipos que solo contienen la información necesaria para el trabajo diario de un empleado suponen menos riesgo si caen en las manos equivocadas.
Lo mismo sucede con los dispositivos móviles. Si tus empleados acceden a la información de la empresa a través de teléfonos o tablets, plantéate establecer una política de gestión de dispositivos móviles. Por ejemplo, esta política puede exigir que los empleados encripten sus dispositivos, tengan que utilizar un código PIN para desbloquearlos, permitan la eliminación remota de datos si fuera necesario o incluso todas las medidas anteriores.
Si permites que tus empleados accedan a los datos de la empresa desde sus dispositivos personales (por ejemplo, desde su teléfono móvil), piensa en lo que podría suceder cuando uno de ellos se va de la empresa. Para resolver este problema, también puede ser útil implementar una solución de gestión de dispositivos móviles.
Como medida de seguridad adicional, puedes implementar un sistema de verificación en dos pasos para acceder a las cuentas desde el hardware de la empresa.
Mediante este procedimiento, el usuario no solo tiene que introducir una contraseña, sino también realizar una acción adicional para poder acceder a la cuenta. El segundo paso de verificación puede consistir en la introducción de un código que se envía al teléfono del usuario o la conexión de una llave de seguridad física al ordenador. De esta forma, se protege la cuenta con una información que el usuario conoce, como su contraseña, y también con un objeto físico que le pertenece, como un teléfono o una llave de seguridad. Con esta combinación, es más difícil que los usuarios no autorizados accedan a los sistemas.
La verificación en dos pasos es también un sistema eficaz para evitar muchos tipos de intentos de suplantación de identidad. Las llaves de seguridad se consideran el método de verificación en dos pasos más eficaz, ya que los sistemas que utilizan SMS o aplicaciones siguen siendo vulnerables a los ataques de suplantación de identidad.
Además, los empleados deben asegurarse de que el hardware provenga de una fuente fiable antes de usarlo. Por ejemplo, si recibes una memoria USB por correo y no estás seguro de su origen, no la conectes a tu ordenador.
En este tema, hemos visto cómo puedes reducir los riesgos de acceso no autorizado a la información confidencial en caso de pérdida o robo de los dispositivos de los empleados y también hemos explicado que solo debes usar hardware en el que confíes.
Piensa en los dispositivos que utilizas en tu empresa. ¿Qué podría hacer otra persona con la información almacenada en ellos? ¿Qué medidas puedes tomar para protegerlos?
as personas que tratan de acceder a información sin autorización suelen dirigir sus ataques a las redes de las empresas y utilizan herramientas que les ayudan a detectar vulnerabilidades.
En este tema, analizaremos algunas medidas que puedes tomar para proteger las redes, los sistemas y el software de tu empresa.
Comencemos con un análisis de las medidas de control de acceso de tu negocio.
Lo primero que tienes que hacer es asegurarte de que tus empleados solo tengan acceso a los dispositivos que les han sido asignados. Además, estos dispositivos solo deben tener habilitados los servicios o aplicaciones que tus empleados necesitan en su trabajo diario. Así, por ejemplo, puedes autorizar que el personal de ventas acceda a los datos de los inventarios, pero no a los de las nóminas.
Si los empleados comparten sus credenciales de inicio de sesión, es más fácil que se produzcan accesos no autorizados. Para evitar esto, puedes establecer protocolos que permitan un acceso limitado y temporal sin comprometer la seguridad de la empresa en el caso de que un empleado tenga que reemplazar a otro.
Otra opción para proteger la confidencialidad de la información es encriptar los datos almacenados en los distintos servicios o dispositivos. La encriptación solo da acceso a los datos a las personas que tienen autorización para ello.
También es recomendable encriptar los datos que se envían por Internet o a través de la red de la empresa para evitar que usuarios no autorizados accedan a ellos.
Los intrusos pueden poner en riesgo la seguridad de cualquier red, pero hay medidas que pueden ayudarte a proteger los datos online de tu empresa. Veamos algunos ejemplos.
Las contraseñas Wi-Fi son una de las vulnerabilidades más comunes de las redes internas de las empresas. Los nuevos routers inalámbricos suelen tener contraseñas predeterminadas estándar. Es importante cambiar estas contraseñas por otras que los usuarios no autorizados no puedan averiguar fácilmente.
La segmentación de la red consiste en dividir una red informática en redes más pequeñas, o subredes, y separarlas entre sí.
Cada subred puede contener un grupo de sistemas o aplicaciones. Esta técnica te permite, por ejemplo, crear una subred para los sistemas de control de inventario y otra para los sistemas de nóminas.
Al segmentar los sistemas de este modo puedes mantener la información aislada en el lugar correcto y limitar el tráfico de red entre sistemas solo a lo necesario.
Una buena forma de asegurarte de que tus políticas y medidas de control regulan el uso de todos los componentes de hardware, software, sistemas y dispositivos de tu empresa es crear un registro de tus recursos digitales.
Empieza por definir la presencia digital de tu empresa. ¿Qué plataformas, herramientas y software utilizas? ¿Están actualizados? ¿Qué cuentas tienes? ¿Qué hardware utilizas? ¿Quién utiliza tu software, hardware y dispositivos? No olvides incluir a los clientes y proveedores, además de a los empleados.
Estas preguntas te ayudarán a identificar e inventariar tus recursos online, que es el primer paso para mejorar tu seguridad online.
Al hacerlo, puedes encontrarte con que una de las soluciones de software que utilizas no está actualizada, lo que la convierte en un objetivo atractivo para quienes deseen acceder a la información de tu empresa sin autorización.
Detectar este tipo de recursos y actualizarlos o desinstalarlos puede ayudarte a reducir los riesgos para tu empresa.
También es importante diseñar un plan que defina cómo proceder si detectas un incidente de seguridad o un empleado, especialista en seguridad o proveedor descubre un posible problema.
Los planes de respuesta a incidentes de filtración de datos especifican quién está al mando y qué se debe hacer en caso de robo o acceso no autorizado a datos confidenciales. Estos planes de respuesta permiten que se tomen medidas inmediatas para proteger los recursos de la empresa cuando se produce un incidente.
Por ejemplo, en el caso de un ataque de secuestro de datos (ransomware) en el que los ciberdelincuentes roban datos sensibles y exigen el pago de un rescate para devolverlos, un buen plan de respuesta tendría previsto contar con copias de seguridad de los datos.
Tómate el tiempo que necesites para desarrollar tu plan anticipadamente y que todos los miembros de la empresa sepan qué pasos deben seguir si se produce una filtración de datos u otro incidente de seguridad.
En resumen, tomar medidas proactivas anticipadas para proteger los sistemas de tu empresa es fundamental para reducir el riesgo de accesos no autorizados. Prepárate con antelación y desarrolla un plan claro para especificar lo que hay que hacer en caso de que haya algún problema.
