Los cuatro errores comunes que cometen las empresas y que las hacen vulnerables a las amenazas de ciberseguridad

Dado que los mayores ataques cibernéticos del año pasado no perdonaron a grandes nombres como Facebook y British Airways, se podría pensar que las pequeñas y medianas empresas (PYMES) tomarían precauciones más serias contra los delitos cibernéticos. Sin embargo, ocurrió lo contrario. Las tasas de delitos cibernéticos continúan aumentando, con el 58% de las víctimas clasificadas como PYMES. Y aunque esta tendencia se debe en parte a las tácticas más avanzadas empleadas por los ciberdelincuentes, los factores más importantes para el éxito de los delitos cibernéticos son las prácticas de seguridad contraproducentes que cultivan las empresas. En este artículo, profundizaremos en los cuatro errores comunes que cometen las empresas y que las hacen vulnerables a las amenazas de ciberseguridad:

Error # 1: no formar al personal en ciberseguridad

Los empleados imprudentes son su mayor responsabilidad cuando se trata de ciberseguridad. En un estudio de 2018 realizado por el Instituto Ponemon, el 61% de los encuestados atribuyó la causa de la violación de datos a un empleado negligente, un alarmante aumento del 112.9% desde 2017. El comportamiento negligente en este estudio incluye interactuar con correos electrónicos no solicitados, visitar sitios web peligrosos y tener malos hábitos de contraseñas. Para reducir el riesgo de violaciones de datos inducidas por los empleados, la formación y concientización en seguridad es esencial, y aquí hay varias razones por las cuales:

• Los empleados son la primera y la última línea de defensa: la formación de sus empleados en las mejores prácticas de ciberseguridad crea una cultura de responsabilidad y garantiza que sus políticas de seguridad lo protejan de errores humanos y soluciones de TI vulnerables.
• Las regulaciones de cumplimiento lo exigen: para cumplir con las regulaciones de la industria y del gobierno es imprescindible que forme a sus empleados sobre cómo manejar los datos de los clientes.
• Los clientes confiarán más en ti: cuando los clientes potenciales evalúen su negocio, una de sus mayores preocupaciones será cómo cuidará sus datos. Una parte importante de generar confianza entre los clientes potenciales y existentes es poder demostrar que usted, junto con todos los miembros de su equipo, se toma en serio la ciberseguridad.
• Reducirá el tiempo de inactividad: las interrupciones de la red y los servidores bloqueados son signos reveladores de problemas inminentes, pero si los empleados están formados para reconocer las señales de alerta temprana, su equipo de soporte de TI puede ser notificado de inmediato para evitar interrupciones por completo.

Solucione este error al:

Crear un programa de capacitación de seguridad cibernética atractivo

Un programa de formación sobre conciencia en seguridad bien investigado y bien ejecutado puede ayudar a reducir los riesgos de filtraciones de datos causados ​​por factores internos. Pero hay varias cosas que debe tener en cuenta para garantizar que la formación sea efectiva y significativa.

• Incentiva tu entrenamiento: establezca un sistema de recompensas donde se incentive a las personas que muestran un comportamiento positivo de ciberseguridad. A las personas les gusta ser reconocidas por sus esfuerzos, y la experiencia positiva los alentará a estar atentos.
• Hazlo natural: si realiza una formación en ciberseguridad una o dos veces al año, se convierte en un evento y puede ser percibido como un asunto independiente que comienza y termina dentro del período de formación. En su lugar, es mejor construir una cultura de seguridad en su negocio: incluya formación en ciberseguridad en su proceso de incorporación y aliente a los empleados a incorporar el hábito de leer módulos sobre spam, phishing e ingeniería social antes de comenzar su trabajo diario.
• Hazlo a menudo: revise y revise continuamente sus materiales y objetivos de formación para asegurarse de que estén actualizados y sean precisos. Es una buena idea variar su contenido enfocándose en las últimas tácticas que utilizan los cibercriminales.
• Fomentar la participación de los empleados: haga que las personas se sientan parte integral del proceso de mantener sus datos seguros. Deje que sus conocimientos y limitaciones lo ayuden a identificar los eslabones más débiles en su seguridad y lo guíen sobre cómo fortalecerlos.
• Hazlo real: simule ataques cibernéticos para preparar a todos para la realidad. Esto implica llevar a cabo una formación de «fuego real», donde deliberadamente intentas phishing a personas en tu empresa y prueba la seguridad de la contraseña. Las soluciones empresariales inteligentes especializadas en formación en seguridad pueden ayudarlo a lograr este objetivo.

Error # 2: políticas débiles de BYOD

Si bien las políticas de traer su propio dispositivo (BYOD) han abierto a los empleados a opciones de trabajo más flexibles y posibilidades de trabajo remoto, también han generado riesgos de seguridad, tales como:

• Mayor exposición a ataques externos: los dispositivos personales son vulnerables porque no tienen los mismos firewalls y sistemas de seguridad sofisticados que los dispositivos propiedad de la compañía. Además, los empleados traen sus dispositivos con ellos cuando salen de las oficinas y pueden conectarse a redes Wi-Fi no seguras.
• Fuga de datos debido a dispositivos perdidos: cuando los dispositivos móviles se pierden, corren el riesgo de caer en manos de delincuentes capaces de romper su seguridad y acceder a datos comerciales críticos y confidenciales, como la información del cliente y los detalles de la nómina.

Solucione este error:

Implementando una política BYOD que funcione

Cuando permita que los empleados usen sus propios dispositivos para el trabajo, asegúrese de que:

• Establecer políticas de seguridad para todos los dispositivos: desarrolle sus políticas de seguridad en torno a las pautas y los requisitos de cumplimiento para su industria. Por ejemplo, las compañías de atención médica o financieras que almacenan datos confidenciales tendrán muchas más restricciones que una pequeña empresa. Decida cosas como los controles mínimos de seguridad requeridos para los dispositivos, el cifrado de datos y los requisitos de contraseña, y lo que se almacena en los dispositivos propiedad de los empleados en lugar de las instalaciones de almacenamiento locales.
• Definir pautas para un uso aceptable: las políticas de uso aceptable definen a qué sitios y activos propiedad de la empresa (correos electrónicos, calendarios, documentos, contactos, etc.) los usuarios pueden acceder en su dispositivo. También describe qué políticas se implementarán para prohibir a los empleados almacenar o transmitir materiales ilícitos o participar en actividades comerciales externas en sus dispositivos personales. Esta restricción evita que el malware ingrese a su sistema a través de sitios web y aplicaciones no seguros.
• Utilice el software de administración de dispositivos móviles (MDM): MDM hace que sea fácil contener las amenazas y minimizar el daño rápidamente en caso de una violación o ataque. El software MDM le permite monitorear, administrar y configurar todos los dispositivos BYOD desde una ubicación central. Le permite implementar actualizaciones de seguridad en todos los dispositivos registrados por la compañía, realizar escaneos de vulnerabilidades, bloquear dispositivos con aplicaciones potencialmente peligrosas de la red y borrar dispositivos perdidos o robados de forma remota.
• Comunicar las políticas BYOD a todas las partes: las políticas de BYOD solo tienen éxito si se comunican a todas las partes involucradas. De esta manera, los participantes comprenden sus responsabilidades y las consecuencias de sus acciones. Asegúrese de que todos los usuarios firmen un acuerdo reconociendo que han leído y entienden su política BYOD. Esto lo protegerá de las responsabilidades asociadas con los empleados que participan en comportamientos ilegales o inapropiados en sus dispositivos BYOD.
• Establecer un plan de salida de empleados: en algún momento, los empleados con dispositivos en su plataforma BYOD dejarán la empresa. Si no se elimina su acceso a las redes y datos de la empresa, pueden surgir problemas de seguridad en el futuro. Haga una lista de verificación de salida de BYOD para asegurarse de haber deshabilitado los correos electrónicos de la compañía, borrado los dispositivos emitidos por la compañía y cambiado las contraseñas a todas las cuentas de la compañía.

Error # 3. Confiar en un solo personal de TI

Al confiar en un solo personal de TI para gestionar los problemas de seguridad, las empresas crean un único punto de fallo. A continuación se presentan algunos problemas en los que se puede encontrar si siguen dependiendo de una sola persona:

• Altos precios: tener personal de TI interno es costoso. El precio promedio de contratar a un personal regular de TI en el sitio en Barcelona es de 45,000 € por año. Además de esto, tendrá que pagar los beneficios de los empleados y su formación y desarrollo. Y si no se ajustan a su empresa, tendrá que pasar por el riguroso proceso de contratación y formación nuevamente, incurriendo en más gastos. También hay costes asociados con la compra de herramientas y software de seguridad de red, que pueden ser costosos si se ejecuta con un presupuesto ajustado.
• falta de fiabilidad: sus datos están seguros mientras su personal de TI está allí; pero ¿y si ocurre un ataque cibernético durante sus días libres? ¿Qué pasa si de repente se pone enfermo? Te quedarás sin soporte de ciberseguridad, dejando tus datos vulnerables. Necesita un equipo de soporte de TI que vigile su sistema 24/7/365.
• Experiencia limitada: la tecnología es amplia y evoluciona muy rápidamente, y es imposible que una persona sepa todo sobre ella. Por ejemplo, él o ella pueden estar bien versados ​​en las preocupaciones comunes de seguridad de la red, pero carecen de conocimiento para lidiar con las últimas amenazas como ransomware y ataques persistentes avanzados. Es por eso que necesita soporte de TI que tenga la profundidad de conocimiento y la amplia experiencia para abordar todas sus preocupaciones de seguridad. Solucione este error al asociarse con un proveedor de servicios de TI administrados (MSP) Los proveedores de servicios de TI administrados funcionan como departamentos de TI tercerizados. Cuentan con equipos de expertos en seguridad que pueden monitorear su red en busca de amenazas y mantener sus datos sanos y salvos.
• Los MSP son rentables: para empezar, los MSP proporcionan expertos en seguridad y usan sus propios equipos para reducir su exposición al riesgo, por lo que no es necesario gastar dinero en formar al personal de TI interno y comprar herramientas especiales de seguridad. A cambio, solo paga una tarifa mensual fija por servicios de ciberseguridad realizados.
• Los MSP le brindan protección y servicio las 24 horas: el modelo de servicios administrados le brinda un equipo de profesionales dedicados que cuidarán sus datos las 24 horas del día, los siete días de la semana. Esto significa que pueden abordar sus problemas de seguridad más urgentes en cualquier momento. Si es necesario, su MSP local puede proporcionar asistencia remota e incluso hacer una visita in situ para ayudarlo con sus necesidades de TI.
• Los MSP tienen tanto conocimiento como experiencia: los mejores MSP han prestado servicios a clientes en diversas industrias y han abordado una amplia gama de riesgos de TI a lo largo de los años. Ya sea seguridad de red, ingeniería social o malware, los MSP tienen el conocimiento para protegerlo de todo tipo de amenazas. Al implementar nuevas soluciones, también probarán primero la tecnología en sus propios sistemas para asegurarse de que la implementación se realice sin problemas.

Error # 4. No tener un plan confiable de recuperación ante desastres

El incumplimiento de un plan sólido de recuperación ante desastres (DRP) es otro problema común entre las empresas. Sus dos puntos clave: el respaldo de datos y la continuidad del negocio, minimizan el impacto de las brechas de datos, el ransomware y los tiempos de inactividad inesperados.

Desafortunadamente, el estado de las empresas cuando se trata de DRP no se ve bien.

• Solo el 25% de las pequeñas empresas tienen DRP: el 75% restante no tiene ninguno. Esto es alarmante porque si no puede recuperar sus datos y sistemas después de un ciberataque importante, su empresa corre el riesgo de cerrar sus puertas para siempre.
• El costo de recuperación de la pérdida de datos puede ser asombroso: la pérdida de datos puede costarle una fortuna en tiempo de inactividad, sanciones de cumplimiento y daños a la reputación. Para desglosarlo, el costo promedio del tiempo de inactividad en todas las industrias puede ser tan alto como 5,600 € por minuto, o 300,000 € por hora. Por otro lado, los costos indirectos no tienen un valor monetario equivalente, pero pueden hacer que sus puertas se cierren para siempre cuando los clientes pierden la fe y la confianza en su negocio.

Solucione este error: haciendo de la recuperación ante desastres una prioridad

Hay una gran cantidad de cosas a las que debe prestar atención cuando administra un negocio, pero mantener el negocio en funcionamiento debe estar en la cima de su lista de prioridades. Tener un plan de recuperación ante desastres simplemente no es negociable, y aquí hay algunos pasos que puede seguir para asegurarse de que su negocio se mantenga a flote cuando llegue una crisis:

• Elegir un plan de recuperación ante desastres que se alinee con las necesidades de su negocio.
• Evaluar sus riesgos cibernéticos e identificar sus activos más importantes. Cuando un ataque de ciberseguridad golpea su negocio, debe poder mantener su organización funcionando. Realice una evaluación de sus instalaciones y procesos para saber qué datos, aplicaciones y hardware deben protegerse para mantener el negocio operativo. Deben tener la seguridad más estricta y tendrán prioridad durante el respaldo y la recuperación.
• Haga una copia de seguridad de sus datos en múltiples ubicaciones. Sus datos deben tener al menos tres copias, por lo que la copia de seguridad y la recuperación no se convierten en un problema en caso de una violación de datos. Por ejemplo, puede tener una copia física, su copia electrónica en su disco duro local y otra copia en la nube. En el caso de que el malware infecte su dispositivo y corrompa los archivos en su disco duro, aún tiene acceso a otras copias.
• Desarrollar un plan de comunicación para advertir a los clientes y partes interesadas sobre la violación. Además del hecho de que sus clientes y partes interesadas tienen derecho a saber que sus datos podrían haber sido comprometidos, la transparencia también puede disminuir los costos indirectos al mantener intacta la confianza de las partes interesadas en su empresa, ya que no les está ocultando nada.
• Forme a los empleados y pruebe sus procedimientos de recuperación. Se pueden mitigar más daños si sus empleados saben qué hacer durante un ataque cibernético. Si un dispositivo ha sido retenido por un ramsonware, por ejemplo, su personal debe saber que no debe pagar para que se desbloquee. Es una buena idea hacer una ejecución en seco de sus procedimientos de recuperación e involucrar a sus empleados, para que tengan una idea más clara de qué esperar y cómo actuar en caso de que su sistema sufra una violación de datos. Necesitas expertos que no cometan estos errores, especialmente porque los ciberdelincuentes son cada vez más astutos y sus armas más inteligentes.

Ahora que conoces los consejos para implementar una política BYOD segura, en Krypton Solid, te ofrecemos la posibilidad de solventar cualquier problema que tengas relacionado con el mantenimiento informático y ayudarte para que tu empresa desarrolle su labor sin ningún tipo de problema informático.

Fuentes: https://kryptonsolid.com/errores-comunes-de-ciberseguridad-que-las-empresas-siguen-cometiendo/