En esta época digital en la que nos encontramos, valga decir que la tecnología avanza de forma vertiginosa y con ello el ecosistema de proveedores, plataformas tecnológicas y aplicaciones de negocio que las empresas necesitan para prestar sus servicios de forma puntera, sostenible y eficiente. Durante este camino hacia la transformación digital, a veces forzosa, se abre la puerta a nuevos riesgos de ciberseguridad que tienen un impacto cada vez mayor en el negocio. Por ello, desde la multinacional española Stratesys, hubnativo digital entre Europa y América, realizan un análisis acerca de cuáles son los 4 conceptos clave que las organizaciones deben trabajar para mantener un nivel de ciberseguridad básico:
Mantener la plataforma tecnológica actualizada
Por defecto, todos los productos tecnológicos contienen vulnerabilidades, es algo intrínseco a la tecnología. Aunque las compañías de software ponen cada vez más foco en la seguridad de sus productos, es sólo cuestión de tiempo que grupos organizados con grandes habilidades informáticas y recursos descubran vulnerabilidades, abriendo agujeros de seguridad en todas las organizaciones que utilicen dichos productos.
Sólo en el año 2021 se hicieron públicas más de 28.000 vulnerabilidades en sistemas operativos, bases de datos, aplicaciones, etc. Una vez hechas públicas, las empresas de software trabajan a contrarreloj para publicar una actualización de seguridad que corrija la vulnerabilidad descubierta. Por eso, para procurar su seguridad, las empresas necesitan tener un programa sólido de gestión continua de vulnerabilidades, que les permita descubrir y solventar estos agujeros de seguridad en su plataforma tecnológica tan pronto como se hagan públicos.
Concienciación de empleados
Por otro lado, están los empleados, que hacen uso de la información y los recursos tecnológicos de la empresa. Junto con la Ingeniería Social, el desconocimiento y el mal uso de la tecnología (intencionado o no) por parte de los empleados supone uno de los mayores riesgos para la seguridad de las empresas.
La gran mayoría de los ciberataques, incluso algunos de los más elaborados, requieren cierta interacción humana para tener éxito: desde abrir un archivo infectado o hacer click en un enlace por no saber identificar un correo malicioso, hasta utilizar contraseñas débiles y predecibles para acceder a recursos de la compañía expuestos a Internet.
En esta línea, las empresas deben dedicar tiempo y recursos a concienciar y formar en buenas prácticas de seguridad a sus empleados, así como a proteger los accesos de sus identidades utilizando políticas de contraseñas robustas (al menos 12 caracteres), complementadas con soluciones de seguridad como MFA (Multi-Factor Authentication) o tendiendo al conocido como Passwordless.
Gestión de terceros
En los últimos años se ha detectado una tendencia creciente de ciberataques a través de terceros, con el ataque a SolarWinds a finales de 2020 como ejemplo más representativo. No es suficiente con que las empresas mantengan su tecnología al día y formen a sus empleados, sino que además deben exigir lo mismo a todo su ecosistema de Vendors con los que colaboran y comparten información y riesgos.
Continuidad de negocio y resiliencia
Aún con todo, el riesgo cero no existe en el mundo de la ciberseguridad. El término “resiliencia” lleva años sonando como complemento a la Continuidad de Negocio. En momentos de crisis, cuando ya sólo queda actuar, no hay margen para la improvisación y los pasos a seguir por los equipos de sistemas, ciberseguridad, comunicación, recursos humanos y por los comités de crisis, tienen que estar claramente guiados por este tipo de planes. Todos estos procesos han de ser trabajados y definidos en momentos de calma y pensando que hoy en día ninguna organización está exenta de sufrir un ciberataque.
“Hemos visto ataques de Ransomware a grandes compañías que ponen en jaque su operativa habitual y su reputación”, explica Javier Castro Bravo, Director asociado y líder del área de ciberseguridad de Stratesys. “Dependiendo de la preparación y trabajo previo en materia de Respuesta y Recuperación ante incidentes de seguridad, el impacto sobre el negocio será mayor o menor, tanto desde el punto de vista operacional y económico, como reputacional.Por eso es fundamental que las empresas trabajen sus planes de respuesta y recuperación ante ciberataques y cualquier otro incidente o desastre de forma previa”.