En el Perú, durante el 2022, se bloquearon 123 ataques cibernéticos por minuto. Esta estadística revela las altas fallas de ciberseguridad, tanto en el contexto individual como el empresarial.
Si bien los crímenes virtuales más frecuentes se relacionan con robar credenciales de banca por Internet o del móvil, también se registran robos de usuarios en redes sociales o publicaciones malintencionadas. En este aspecto, es imprescindible conocer las maneras de fortalecer la seguridad de los datos empresariales.
Ciberseguridad empresarial: ¿por dónde empezar?
Para cuidar todo lo relacionado a la empresa en ambientes virtuales es necesario realizar una evaluación de riesgos de ciberseguridad. En esta se debe considerar:
- ¿Cuáles son los datos que maneja tu empresa?
- ¿Cuáles de ellos se encuentran sin protección?
- ¿Cuáles son las amenazas que pueden existir en contra de los sistemas?
- ¿Hay protección real contra ataques maliciosos?
- ¿Existen planes de acción, de respuesta, frente a un ataque?
- ¿Cómo se encuentra la protección de la red para cada colaborador?
- ¿Con cuántos dispositivos cuenta la empresa?
- ¿Cuáles están protegidos y cuáles no?
Al identificar y conocer los riesgos potenciales, la compañía puede consultar con expertos para recibir asesoría y orientación.
Asimismo, es necesario conocer el inventario de todos los activos informáticos con los que cuenta la empresa, bien sea virtuales o físicos.
El equipo encargado de seguridad de la información corporativa, bien sea como servicio externo o como un equipo interno especializado, debe aplicar las medidas correctivas.
La ciberseguridad construye un espacio abierto y seguro, tanto para colaboradores como para clientes, incrementando la confianza de estos.
Ciberseguridad en las empresas: algunas ventajas
En el Perú, acorde al estudio Estado de la ciberseguridad en la logística de América Latina y el Caribe del 2021, publicado por la CEPAL (Comisión Económica para América Latina y el Caribe de las Naciones Unidas), el 57 % de las empresas encuestadas no cuenta con un Plan de Recuperación ante desastres (DRP) frente a un ataque cibernético.
Si bien el uso de entornos digitales para diversos tipos de actividades es bastante reciente en el país, contar con seguridad virtual facilita:
- Protección de los datos tanto de clientes como de empleados.
- Posibilita el trabajo remoto.
- Reduce costos ante posibles crisis de reputación online y offline.
- Genera mayor confianza en el cliente final.
Para disfrutar de estas ventajas es necesario poner el foco sobre:
Protección de las bases de datos de clientes
Hacia finales del 2021, Cencosud Argentina fue víctima de un malware que afectó su infraestructura. Durante el ataque se filtró información de sus clientes, con sus respectivas tarjetas de crédito. Esto implicó una multa para la empresa por parte de la Dirección de Protección de Datos Personales (DNPDP) de Argentina por no garantizar la seguridad de la información.
El ataque a Cencosud implicó también un ransomware (secuestro de los datos) y venta de estos datos robados en línea, en la Deep Web. Estos delitos ocurren con frecuencia y muchas veces no son denunciados por temor a revelar las fallas de la compañía en este ámbito.
Para evitar la exposición de datos confidenciales y comerciales (contactos y direcciones, información financiera o datos de salud) es necesario proteger tanto los equipos (computadoras, celulares, tabletas) como las redes de la compañía. En ambos casos se debe:
- Limitar el acceso a datos sensibles: Reducir la lista de quienes puedan manejar data comprometedora de la empresa. De igual manera, se puede usar un cifrado de datos que los transforme en un formato alternativo y que permita la desencriptación en un equipo seguro.
- Actualizar softwares: Se recomienda actualizar los softwares, tanto el de seguridad (antivirus y cortafuegos), del navegador, como del sistema operativo, esto generará protección contra ataques que busquen acceder a datos.
- Trabajar con servidores dedicados y exclusivos para la empresa: Si bien no es una opción económica, es indispensable para salvaguardar la data y evitar que un servidor compartido, al estar comprometido, afecte el desempeño seguro de la empresa.
Ciberseguridad: exposición de empleados
Un caso reciente sobre la filtración de datos de empleados, como nombres completos, dirección postal, números de seguridad social, copias de pasaportes y visas, así como información bancaria, fue el ocurrido con la empresa CommScope.
Esta multinacional de origen estadounidense, experta en telecomunicaciones, realizó una investigación forense para determinar si el ingreso fue desde la intranet o desde el portal de clientes. Esta identificación permitirá reducir las zonas vulnerables ante ciberdelincuentes.
Para disminuir el riesgo de este tipo de ataques es fundamental:
- Segmentar la red mediante reglas de firewall para evitar que toda la data esté en un mismo espacio de la nube.
- Realizar copias de seguridad frecuentes y almacenar estas en una ubicación segura.
- Tener un rápido protocolo de respuesta ante las infracciones. En este caso, mientras más rápido se actúe, más sencillo será recuperar y proteger los datos.
Trabajo remoto: crear ambientes virtuales seguros
Al inicio de la pandemia diversas compañías tuvieron invitados no deseados en sus reuniones por Zoom. Esto se debió a fallas del sistema y también a errores humanos: compartir por equivocación o dejar publicado en algún sitio público el enlace.
En el caso del trabajo remoto, la ciberseguridad empresarial debe recaer en los equipos que la empresa otorga a sus empleados y en los usos que estos les den a sus computadoras. Plegarse a las normas de uso de la empresa y comprometerse a controlar el acceso físico a los equipos por parte de otras personas es esencial.
Entre los pasos para asegurar el trabajo remoto seguro se encuentran:
- Usar contraseñas cifradas y más de un paso de autenticación para ingresar a los servidores o la nube donde se guarda la información.
- Utilizar un cortafuegos para la conexión a internet. Puede ser el del sistema operativo o habilitar otro que garantice una conexión segura.
- Usar el antivirus de forma automática ante cada actualización. Esto implica un monitoreo constante de la máquina y de su conexión.
Extorsiones y estafas: cómo protegerse desde la ciberseguridad
Existe en el mundo de la ciberseguridad empresarial una amenaza que no implica la violación de un sistema sino el aprovechamiento del usuario. Este ataque se llama ingeniería social y se hace en forma de phishing, a través de correo electrónico o de mensajes de texto o por redes sociales que implican comunicaciones que parecen confiables, reales.
Para evitar la ingeniería social, la capacitación en seguridad cibernética es necesaria, además de una política de desconfianza absoluta. Es decir, evaluar todo lo que recibimos e ir directo a la fuente antes de abrir cualquier enlace.
Un ejemplo común de ingeniería social ocurre en el sector bancario: llega un mail, que parece real invitando a entrar a través de un enlace pero en realidad es una puerta para robar información. Por ello, es preferible ingresar a las instituciones desde la web directa y no desde lo recibido en el correo.
También se puede verificar todo lo relacionado a la comunicación (remitente, estilo, archivos adjuntos) antes de descargar o hacer clic en cualquier URL. Este tipo de ciberataque suele darse para adquirir credenciales y atacar desde adentro.
Cuidar la reputación online
Los ataques puedan provocar en las empresas una reputación online deficiente y el costo de recuperación, ante los ojos del público, es elevado. La pérdida de esta reputación afecta los ingresos y el valor de la empresa en el mercado.
Una ventaja de contar con seguridad cibernética es la facilidad de recuperarse ante posibles violaciones y de saber cómo comunicarse con las partes afectadas para gestionar el ataque. Un plan sólido de respuesta, transparente y eficiente, genera autoridad de marca.
Una empresa puede terminar no operando debido al golpe reputacional y al extravío de datos durante un ciberdelito. Por ello, contar con herramientas y tecnología mitiga el impacto que este tipo de crímenes genera.
Si deseas conocer más herramientas y desarrollar planes sólidos e integrarlos a tu empresa, forma parte de la Maestría en Project Management de la Escuela de Postgrado UTP.
La Escuela de Postgrado de la UTP, presenta la Maestría en Project Management, en su modalidad presencial y online, donde desarrollarás las competencias necesarias para liderar diferentes tipos de proyectos empresariales y profesionales, fomentando el trabajo estructurado en equipo, la planificación de las actividades y la gestión eficiente de todos los procesos asociados al éxito de tu proyecto.
Preguntas Frecuentes
¿Cuáles son algunos pasos para asegurar el trabajo remoto seguro en una empresa desde el punto de vista de la ciberseguridad?
Algunos pasos incluyen usar contraseñas cifradas y autenticación de múltiples factores, utilizar cortafuegos para la conexión a internet, mantener actualizado el antivirus, segmentar la red mediante reglas de firewall, realizar copias de seguridad frecuentes y tener un protocolo de respuesta rápido ante infracciones.
¿Qué implica la protección de bases de datos de clientes en términos de ciberseguridad empresarial?
Implica evitar la exposición de datos confidenciales y comerciales, como contactos, información financiera o datos de salud, mediante la protección de equipos y redes de la empresa, limitando el acceso a datos sensibles, actualizando softwares y trabajando con servidores dedicados y exclusivos.
¿Cuál es un ejemplo de ciberataque relacionado con la filtración de datos de empleados en una empresa?
Un ejemplo es el caso ocurrido con la empresa CommScope, donde se filtraron datos como nombres completos, direcciones, números de seguridad social, entre otros. La empresa realizó una investigación forense para determinar el origen del ataque y reducir las zonas vulnerables ante ciberdelincuentes.
