Actualizado: 20 abril, 2018 (hace 6 años)
Contar con equipos inteligentes, pero sin las debidas medidas de seguridad; al igual que el uso de dispositivos no controlados y las malas prácticas por parte de los empleados, como contraseñas deficientes y navegación insegura, pueden poner en peligro la información de toda compañía.
Un error común de todo empresario es pensar que su compañía no será atacada. De hecho, este pensamiento puede llegar a traducirse en pérdidas monetarias y de información, pues la gran mayoría no cuenta con planes estratégicos para combatir dichos ataques.
Javier Arévalo, gerente de auditoría forense y de ciberseguridad en BDO Colombia, elabora un listado de amenazas que suelen sufrir instituciones públicas o privadas. “Las vulnerabilidades cibernéticas a las que se enfrenta una organización, se clasifican en internas y externas, asociadas a tres principales vertientes: personas, políticas y procesos, y tecnológicas”, describe.
Esta firma consultora de auditoría forense y ciberseguridad recomienda a todas las instituciones públicas o privadas trazar un plan de acción, desde lo preventivo y no lo reactivo, para hacer frente a estos sucesos. “Las compañías no deben esperar hasta que haya una filtración de información para tomar acción”, añade Arévalo.
¿De qué forma se presentan amenazas al interior de las empresas?
Según el estudio Cyber Security Intelligence Index, el 60 % de las amenazas tienen inicio dentro de la organización, debido a los siguientes factores:
- Malas prácticas de administración y de seguridad en equipos por parte de las empresas.
- Falta de protección a puertos y accesos. El robo de información confidencial o de seguridad se presenta por el uso de dispositivos no controlados y actualmente por la información que fluye por las redes hacia la nube.
- Amenazas como el phising, malware y ransomware. Algunos análisis recientes demuestran que hay un resurgimiento del email como el canal preferido para la infección y ataques informáticos.
- Malas prácticas de los usuarios, relacionadas con la navegación insegura, contraseñas deficientes y falta de uso de seguridad física como bloqueo de equipos.
- BYOD (Bring Your Own Device) sin control, como por ejemplo el uso de cuentas personales en las redes de la institución o el uso de correo institucional sobre equipos personales; el almacenamiento en la nube sin seguridad y en servicios públicos. Estas prácticas abren una puerta para la fuga de información confidencial o secretos industriales en las instituciones.
- Obsolescencia tecnológica, la falta de soporte y de actualizaciones pueden ser blancos fáciles para cyber amenazas que exploten vulnerabilidades inherentes al sistema, como lo fue WindowsXP con Wannacry en el 2017.
- Baja concientización de usuarios, una mala configuración de los parámetros de seguridad en la navegación, el uso en las redes sociales y las conexiones públicas a los servicios de internet.
- Tecnología inmadura, lo que quiere decir que actualmente varias empresas cuentan con equipos inteligentes, pero que sin la debida seguridad estos pueden filtrar información o permitir una invasión a la privacidad.
Paso a paso para combatir posibles amenazas
- Contar con un plan de seguridad cibernética que defina los objetivos más importantes del negocio, hitos, formas de medición de cada objetivo, fechas de compromiso para el logro de las metas, etc.
- Crear un plan de gestión del riesgo donde se identifiquen los activos más importantes para la organización, describir los escenarios de riesgo y definir cómo serán enfrentados en caso de suceder.
- Gestionar los accesos a través de la integración de todas las políticas, procedimientos, procesos y tecnologías necesarias para que solo las personas autorizadas tengan acceso a los activos más importantes de la compañía.
- Realizar un análisis continúo del nivel de seguridad de la red.
- Implementar un adecuado plan de monitoreo interno de los equipos y los activos de información que estos contienen, al igual que un plan de monitoreo externo que permita tener visibilidad de las amenazas del entorno.
- Controlar los activos, la configuración y sus cambios.
- Realizar campañas de concientización para la navegación, protección y uso de tecnología, las cuales deben ser actualizadas de forma periódica al interior de la organización y extendidas a las empresas y colaboradores relacionados.
- Tener un plan de respuesta a incidentes en el que se definan los flujos internos y externos para responder ante un episodio, con el objetivo de disminuir su impacto, si esto llegara a materializarse.
Una empresa que implemente y cree un plan de acción, en el cual se tome en cuenta el alertamiento y la sensibilización de empleados y colaboradores, está dando un gran paso hacia la seguridad y protección, ante las nuevas formas de ataques y de intrusión a la privacidad de información.
Material relacionado
