¿Ciberseguridad en mi empresa?¿Por dónde empiezo?

Recientemente, he recibido muchas preguntas sobre lo siguiente...¿Cómo empezar a poner seguridad en la empresa? ¿Cómo saber si estoy protegido?, con esto me doy cuenta que el personal asignado a estos temas, no tiene el conocimiento necesario para poder implantar una política de seguridad así como controles específicos que hagan cumplirla, en las pequeñas empresas es difícil que contraten a un proveedor que los asesore o se encargue de la misma.

La ciberseguridad es necesaria en las empresas, ya sea que cuenten con dos o mil colaboradores, deben de implementar controles que puedan asegurar la información y todo lo que conlleva la operación de la organización para que el negocio este siempre funcionando, esto es lo más importante ya que evitará pérdidas monetarias.

Es por eso que escribo algunos puntos importantes por donde deberían empezar a implementar ciberseguridad o validar si pueden integrar un control adicional, esto es conforme a mi experiencia en el área.

No es necesario recordar que la capacitación a sus colaboradores es el control principal que deben de tener ya que el usuario es el eslabón más débil en la cadena de la ciberseguridad.

¿Cómo empezar a implementar seguridad en la empresa?

Primero. Listar activos críticos y asignarles un riesgo

Lo que recomiendo para empezar, es listar los activos críticos de la organización, asignándole un valor de criticidad, por ejemplo,  si la empresa cuenta con un servidor donde todos almacenan la información de los clientes, deberían de preguntarse, ¿Qué pasa si el servidor no esta disponible?¿Qué pasa si la información del servidor se pierde?. 

Con estas simples preguntas, podrían asignarle un valor de criticidad  y así debería de realizarse con cada uno de los activos.

Segundo. Proteger contra Malware

Proteger los dispositivos contra malware es imprescindible en cualquier organización, no recomiendo utilizar antivirus gratuitos ya que sus funciones son muy básicas y con frecuencia resultan ineficientes para la detección de código malicioso.

Es muy importante implementar controles de seguridad contra malware, no podemos permitir que los equipos se infecten ya que podría propagarse a los demás y generar una catástrofe en la empresa. 

También el antimalware se implementa en servidores, existen algunas marcas que cuentan con software específico para esto, recuerden que no es lo mismo un equipo de un usuario que un servidor.

Tercero.  Proteja la red con un Firewall

Un Firewall en la red, agrega un valor de seguridad ya que se puede filtrar el contenido y limitar el acceso a ciertos activos, ayuda a disminuir el riesgo de un ciberataque, se recomienda un NGFW que es de nueva generación. 

Existen Marcas que ofrecen los dispositivos a costos accesibles y que pueden implementar con facilidad.

Cuarto. Proteja el correo electrónico

No olvides proteger el correo corporativo, la mayoría de los ataques llegan por este medio y si los usuarios no son capaces de distinguir un correo bueno o malo, pueden verse afectados por algún malware o robo de información, así como suplantación de identidad, existen programas que protegen desde G Suite, Office 365, Exchange, etc.

Quinto. Proteja la navegación de sus colaboradores

Es importante filtrar la navegación web de nuestros colaboradores, con esto podemos disminuir el riesgo de algún ataque o infección, debido a que limitamos el acceso a páginas conocidas por malware o catalogadas como maliciosas.

Sexto. Contraseñas seguras

Si utiliza red Wifi, es importante manejar contraseñas seguras, muchas empresas no cambian la clave que viene de fábrica de sus módem, esto es un riesgo altísimo ya que es muy sencillo vulnerarlas y tener acceso a la red. Siempre que sea posible, activar dos o más factores de autenticación brindará seguridad adicional para prevenir accesos no autorizados.

Séptimo. Proteja los servidores

Es importante proteger el acceso a los servidores, manejar políticas de seguridad enfocadas a dar el mínimo de privilegios a los usuarios, así como protegerlos físicamente para que no cualquiera tenga acceso a ellos.

También, deberá de utilizar sistemas de respaldo de energía o UPS para evitar cortes de energía bruscos que puedan dañar los servidores físicamente, pudiendo perder información sensible o activos críticos para el negocio.

Octavo. Mantenga los datos protegidos

Es importante realizar respaldos de la información crítica constantemente, se deben de realizar en medios diferentes de almacenamiento, por ejemplo, en un dispositivo de almacenamiento red (NAS), un disco duro externo o en la nube, existen programas para automatizarlos, pudiendo programarlos en horas no laborables.

También agrega seguridad adicional para prevenir su filtración accidental o intencional con ayuda de herramientas de prevención de fuga de datos, para estos casos pueden apoyarse de sistemas  Data Leak Prevention (DLP), cifrar la información o algún IRM para complementar la seguridad de datos críticos.

Noveno. Proteja los recursos

Implemente un Directorio activo en su infraestructura, ya que ayudara en gran medida a la seguridad y funcionalidad, centralizando los permisos de los usuarios, accesos a los aplicativos y datos de la empresa.

Décimo. Actualizaciones

La mayoría de las veces los equipos son atacados debido a que no cuentan con las últimas actualizaciones de aplicativos y sistemas operativos, esto es importante recalcar la importancia de esta actividad ya que al no realizarse, se incrementa la probabilidad de generar brechas de seguridad y vulnerabilidades, mismas que pueden ser explotadas por algún malware o ciberdelincuente.

Por último, quiero recomendarles que los dispositivos móviles no tengan acceso a la red wifi corporativa si no tiene control de ellos.

Es muy recomendable concientizar a los colaboradores sobre el uso de antimalware en sus dispositivos móviles personales con el fin de minimizar el riesgo asociado a ellos.

Espero que estos puntos puedan apoyar a que las empresas comiencen a implantar ciberseguridad en sus infraestructuras ya que es un activo que no debe de faltar en ninguna organización.

#easysec #ciberseguridad #cybersecurity #easycybersecurity #infosec #implementarciberseguridad