Los fallos de ciberseguridad más comunes (y evitables) de las empresas

No todas las empresas son conscientes del nivel de profesionalización que ha experimentado la ciberdelincuencia, ni del valor de sus datos.

Big Data. Inteligencia artificial. Blockchain. Cloud computing. Realidad virtual, aumentada, mixta

Son muchas las tendencias tecnológicas a las que se enfrentan las compañías en su periplo hacia la pervivencia, y que les dan argumentos de peso para plantar cara a la competencia. Aunque alguna de estas tendencias, en ocasiones, llega a pasar desapercibida a pesar de su relevancia. Sucede, sin ir más lejos, con la ciberseguridad.

Y eso que la dejadez en materia de ciberseguridad podría poner punto y final a la actividad empresarial. ”Hay empresas pequeñas que han desaparecido por un ataque: imagina un ransomware”, un malware que secuestra equipos para después pedir un rescate, “que cifra el servidor y el disco USB de copia conectado al mismo, haciendo irrecuperable la información de toda una vida para la empresa”, apunta Miguel A. Juan, socio director de S2 Grupo ante las indagaciones de Silicon.es sobre la situación actual de protección de las empresas españolas. “Sin llegar tan lejos, vemos en cualquier caso un incremento de ataques con un fin económico: no solo ransomware, sino Fraude del CEO” o “robo de información para venta”, añade Miguel A. Juan.

“El cibercrimen, el fraude y el robo de datos son delitos cada vez más comunes y las pequeñas y medianas empresas están en el punto de mira de unos ciberdelincuentes cada vez más organizados y especializados”, confirma Marcos Gómez, subdirector de Servicios de Ciberseguridad del Instituto Nacional de Ciberseguridad (INCIBE).

De acuerdo con lo que ha ido registrando la Bitácora de ciberseguridad del INCIBE durante el último par de años, se pueden considerar “los robos y fugas de información, los ataques a la disponibilidad o el robo de dinero” como “las amenazas más impactantes”. Por “modalidades de fraude electrónico tenemos al ransomware como la más importante”, destaca también Gómez, “con más de 7.000 incidentes atendidos por nuestros expertos”.

-El valor de los datos

Pero los ejemplos no siempre calan hondo. ¿Son conscientes las empresas que operan en España de la profesionalización que ha ido experimentando la ciberdelincuencia? ¿Y son conscientes del valor de sus datos? Firmas de seguridad como S2 Grupo y Sophos tienen sus dudas. “No son conscientes de que sus datos valen dinero hasta que sucede un incidente”, opina Miguel A. Juan. Y aquí el caso típico es el del “secuestro del equipo pidiendo un rescate a cambio de la información” por medio del ransomware.

Sin embargo, Maté da un voto de confianza en lo que se refiere a la importancia de los datos. “Yo creo que las empresas sí son conscientes del valor de los datos que manejan, pero”, matiza el responsable de Sophos Iberia, “no los protegen lo suficiente”. Así que al final la situación de riesgo que se genera es real.

¿Qué es lo que se observa desde el INCIBE? Que “cada vez más en compañías con mayor tamaño y con más presencia en la red o con mayor dependencia tecnológica se conciencia y se forma a los empleados, y se toman precauciones en ciberseguridad, pero la velocidad de la innovación conlleva la necesidad de mantener el esfuerzo de forma continua”.

-Errores recurrentes

Entre los fallos más recurrentes que suelen cometer las empresas en términos de seguridad, Sophos destaca tres. “El primero es pensar que sus empresas no son objetivos de los ciberdelincuentes y que estos ataques están dirigidos solo a las grandes corporaciones. El segundo es usar una protección básica para los puestos de trabajo y echar mano de versiones anticuadas de sistemas operativos o aplicaciones no soportados por los fabricantes. Y el tercero es no formar a sus usuarios, que son el eslabón más débil, sobre los riesgos existentes”, resume su Country Manager para Iberia.

“no proteger todos los dispositivos que están conectados a una misma red. Por ejemplo, no tienen en cuenta muchas veces los dispositivos móviles corporativos que también usan su red a través de conexiones inalámbricas”. A esto hay que sumar vicios como “hacer un mal uso o un uso inadecuado de redes sociales y sobreexposición de información públicamente, lo que puede dañar claramente su reputación” o “no usar políticas de uso de contraseñas seguras, no cifrar los datos, sobre todo de equipos que salen fuera de la oficina, o no realizar copias de seguridad”, tal y como completa Gómez.

Estas equivocaciones se comenten “por desconocimiento, comodidad en la operativa o falta de recursos materiales”, indica Miguel A. Juan, socio director de S2 Grupo.

-Errores recurrentes

Esto empieza por contar con un “equipamiento bien protegido con herramientas de seguridad, al menos un antimalware y un cortafuegos”, y sigue por mantener los “equipos bien actualizados con los parches y actualizaciones de seguridad que recomienda el fabricante”, ya sea el fabricante “del dispositivo” o “del software” que se está utilizando. Entre esos equipos hay que incluir asimismo “los que usamos en fuera de la oficina”, como “portátiles, tabletas, móviles”, puntualiza Marcos Gómez.

tener un plan de ciberseguridad, un backup actualizado, un sistema de autentificación avanzado con contraseñas potentes y distintas para las diferentes aplicaciones, y un sistema de seguridad por capas que cubra los diferentes componentes de nuestros sistemas de información, correo, red, navegación web, puestos de trabajo, wifi, dispositivos móviles y las aplicaciones”.

En resumen, para cambiar la situación actual, se necesita mejorar en seguridad técnica y en seguridad de las personas a base de “concienciación". Es decir, se necesita invertir recursos en protegernos”, ya que “si confiamos en el best effort de nuestra gente, o sencillamente en la casualidad, tendremos problemas a corto plazo”.