Los ciberataques a empresas están a la orden del día y cada vez es más raro encontrar una compañía que no haya sufrido uno de estos ataques y las consecuencias que traen consigo. Para prevenir que nuestra empresa acabe siendo la siguiente víctima de un ciberdelicuente, os traemos esta entrada en la que os damos varios consejos para evitar un ciberataque.
Medidas para evitar ataques informáticos en las empresas
Sufrir un ciberataque es un hecho que toda empresa debe prever, porque las amenazas de este tipo no dejan de aumentar y España es uno de los países que más ciberataques sufre actualmente. Pero para poder prevenirlos antes debemos saber qué es un ciberataque.
Los ciberataques son ataques informáticos destinados a acceder a los equipos, redes o sistemas informáticos de una empresa para llevar a cabo diferentes acciones ilegales, fundamentalmente acceder a sus bases de datos y robarles, bloquear la actividad de la empresa o incluso realizar espionaje industrial. Lo cierto es que un cibertaque a una empresa puede tener diferentes objetivos y motivaciones detrás, incluidas acciones de ciberactivistas (como las llevadas a cabo por el grupo Anonymous).
Y las consecuencias de sufrir uno o varios de estos ciberataques pueden ser desastrosas para empresa, empezando por que la productividad puede verse afectada durante uno o varios días, las posibles pérdidas económicas o incluso la pérdida de reputación o prestigio frente clientes y competencia. Por ello, proteger y prevenir los ciberataques debe convertirse en un acción clave de la empresa.
En los tiempos que corren, con una digitalización cada vez mayor, saber cómo prevenir un ciberataque de cualquier tipo es crucial para evitar males mayores, puesto que hasta la más pequeña empresa depende de medios informáticos para el desarrollo de su actividad (bases de datos de clientes, correo electrónico, contabilidad, etc.).
Aunque a continuación os vamos a dejar una lista con 15 tips de seguridad informática, si queréis ampliar vuestro conocimiento sobre ciberamenazas pasadas y futuras, os recomendamos que visitéis la página del Instituto Nacional de Ciberseguridad de España (INCIBE), una institución creada para ayudar a las empresas a saber cómo evitar un ciberataque de cualquier tipo, así como a denunciarlo
Cultura de la seguridad
Puede que estés pensando que si tienes instalado un buen software de ciberseguridad, no debas preocuparte mucho más de asegurarte que esté actualizado y en funcionamiento. Sin embargo, esto es un error cuando se trata de evitar un ciberataque, porque si hay un punto realmente vulnerable en cuanto a la seguridad informática, ese es el que suponen los propios usuarios y, en el caso de la empresa, sus trabajadores.
Aun cuando tu empresa cuente con el mejor antivirus o el mejor firewall, si tus empleados son descuidados o pican pinchando en enlaces que no deben, acabarás sufriendo uno de estos ataques.
Por ello, si quieres prevenir el phishing, por poner un ejemplo de ataque habitual, debes implementar una cultura de seguridad que se extienda a todos los procesos y prácticas que lleven a cabo todos los empleados en los sistemas de información de la empresa.
Es importante que en tu empresa establezcas unas políticas de protección contra ataques informáticos, que deben conocer y poner en práctica todos tus empleados, así como una serie de normas y protocolos de seguridad respecto al uso de:
- Ordenadores
- Correo electrónico
- Bases de datos
- Dispositivos propios
- Aplicaciones personales
- Acceso remoto, etc.
Con la irrupción del teletrabajo y el acceso a los servidores de la empresa a través de dispositivos propios, la probabilidad de sufrir un ciberataque es mayor. Por tanto, se hace de vital importancia contar con esta cultura de la seguridad, sino queremos que estos se conviertan un punto de fuga de información o de introducción de software malicioso en la red de la empresa.
Inventario de riesgos de seguridad informática existentes
La mejor manera de saber cómo prevenir ataques de hackers contra los sistemas informáticos de tu empresa es adelantarte a ellos, es decir, realizar un inventario de todos aquellos riesgos de seguridad informática que pueden existir en tu empresa y que, además, sean relevantes para la información que manejas.
Este tipo de inventarios se pueden llevar a cabo respondiendo a preguntas como:
- ¿Qué información debe proteger la empresa que pudiera ser motivo de crisis en el caso de ver la luz?
- ¿Cuáles son los datos que deberían protegerse con un nivel más alto de seguridad para que nunca trasciendan a la competencia o al público general?
- ¿Qué vulnerabilidades de la seguridad informática de la empresa podrían incurrir en multas, costes legales, reducción de ingresos o ventas?
Lo mejor para evitar un ciberataque es recurrir a una empresa especializada en ciberamenazas que pueda llevar a cabo una auditoría sobre los sistemas de tu empresa y así puedas conocer qué datos de los que manejas en tu empresa están más amenazados o peor protegidos y qué medidas de seguridad necesita mejoras o implementar para blindarlos.
Dispositivos protegidos
Está claro que uno de los primeros pasos para prevenir un ciberataque es asegurarte que todos los dispositivos electrónicos que se usarán en ella están debidamente protegidos. Hablamos de tener instalados los correspondientes antivirus, firewalls, sistemas de autenticación, VPN para el acceso remoto, así como mantener tanto softwares como hardwares completamente actualizados.
Además, si cada vez más empleados acceden a través de sus dispositivos móviles personales, deberás asegurarte de que estos cuenten también con la protección adecuada para cumplir con las normas de ciberseguridad de la empresa. En ese sentido, se pueden establecer niveles de acceso, restringir el uso de determinadas aplicaciones o implementar sistemas de cifrado de la información en los móviles.
Contraseñas
Las cuentas de usuarios son otro de esos puntos vulnerables para la ciberseguridad de cualquier empresa. Para evitar ciberataques, tanto tú como tus empleados debéis aseguraros de que usáis contraseñas robustas, es decir, una sucesión de caracteres aleatorios, que incluyan símbolos, mayúsculas y minúsculas, y que resulte difícil de crackear precisamente por esa aleatoriedad.
Si tus empleados se llevan a casa equipos portátiles, asegúrate de que estos estén protegidos por contraseñas complejas, para que nadie ajeno a la empresa pueda acceder a ellos.
Además, cada vez que actualicéis software o se instalen nuevos firewalls, es recomendable cambiar las contraseñas. De hecho, es recomendable que cada cierto tiempo, los empleados cambien las contraseñas de sus cuentas, de manera que añadamos una barrera más a la seguridad informática de la empresa.
Protocolos de seguridad
Los protocolos de seguridad no solo nos servirán para prevenir ciberataques, sino también para fortalecer la seguridad previamente instalada y para evitar males mayores si en algún momento se produce una brecha de seguridad, puesto que podremos reaccionar más rápido para cortar el ataque, solucionarlo y hacer una evolución de los daños.
Dentro de esos protocolos se deben incluir la realización de copias se seguridad, la limpieza periódica de los sistemas, el análisis de archivos sospechosos, etc.
En cuanto a la copia de seguridad es primordial, puesto que perder datos económicos o documentos importantes puede ser catastrófico para la empresa. Es indispensable tener copias de todos aquellos datos de la empresa y de sus clientes, tanto los que se encuentran fuera de Internet como dentro para ante posibles ataques poder restaurar todo lo perdido.
Para evitar un ciberataque es fundamental adoptar como buena práctica la realización de copias de seguridad de la información en fuentes externas como:
- DVD
- Discos duros externos
- SDD
- Pendrives
- Almacenamiento en la nube, etc.
De esta manera, ante una eventual anomalía en el sistema operativo, ya sea por daño de los archivos nativos del sistema o por la acción de códigos maliciosos, es mucho más sencillo y rápido volver a recuperar la información.
No descargar programas piratas
Otra de las mejores recomendaciones para evitar ciberataques es descargar solo software o aplicaciones oficiales, con licencia y de proveedores conocidos. Las apps piratas o de procedencia desconocida pueden ser empleadas por los crackers para introducir código malicioso en el equipo. Los programas pirata son una de las mayores fuentes de malware de la actualidad. Entre los tipos de malware que pueden introducir en el equipo está el spyware o los gusanos informáticos. Incluso, algunos de estos programas no son más que aplicaciones para descargar virus en el equipo, bajo la apariencia de un software legítimo.
Control de dispositivos extraíbles
A la hora de evitar un ciberataque también es imprescindible controlar los dispositivos externos que se conectan al equipo. Hay que hacer escaneos periódicos para saber si están libres de virus. Y sobre todo, nunca conectar uno de estos dispositivos al equipo a través de redes WiFi públicas ya que son un puerto de entrada muy usado por los hackers.
Evitar dar datos personales
Si sigues dando tu información personal en internet es que todavía no tienes ni idea de cómo evitar ataques informáticos. Todos los datos que subes a internet pueden ser usados por los ciberdelincuentes para realizar prácticas delictivas. Por ejemplo, para ataques de ingeniería social como el phishing o suplantación de identidad, ciberacoso o para infectar el equipo y pedir un rescate por él.
Por eso, nunca des tus datos personales en internet, salvo que se trate de un remitente conocido o de total fiabilidad. Y menos aún los datos de la empresa, ya que podría poner en peligro la seguridad del negocio.
Desconfiar de los mensajes de remitentes desconocidos
Seguro que alguna vez te ha pasado que recibes un correo electrónico de un remitente desconocido. O que te llega un email con un archivo adjunto sospechoso para descargar. O que alguien que no conoces de nada se pone en contacto contigo por redes sociales. En cualquiera de estos casos, desconfiar del remitente es básico para evitar un ciberataque. Es probable que se trata de algún tipo de fraude o engaño, o que la persona que te ha escrito no tenga buenas intenciones.
Denuncia a las autoridades
Puede que esto no te sirva para prevenir un ciberataque, pero sí para contribuir a que se reduzcan el número de estos. Si tienes la sospecha de que se ha producido un ciberataque o de que un usuario no tiene buenas intenciones, avisa a los usuarios de la empresa o denúncialo a las autoridades pertinentes para que investiguen el caso. Si todo el mundo lo hiciera, sería mucho más fácil detectar a los ciberdelincuentes.
Filtrado web
Otro de los consejos para evitar ciberataques es usar sistemas de filtrado web para protegerte de páginas web de origen sospechoso o de los sandbox. En este sentido, es imprescindible usar el certificado SSL o Secure Sockets Layer, que envía la información cifrada al servidor. Distinguirás a las páginas web que usan esta autentificación porque su dirección web comienza por https:// en lugar de http:// y aparece un candado en la barra de direcciones.
Sistema de recuperación ante desastres
Cuando se produce una brecha de seguridad, si no tienes un sistema de recuperación ante desastres es probable que pierdas la información que tenías guardada, o peor aún, que te equipo quede inutilizado (por ejemplo, si el ataque ha convertido tu red local en una botnet o red zombie). Este plan de recuperación ante desastres o Disaster Recovery Plan protege al software y hardware de la empresa y le permite reanudar su actividad sin demasiadas pérdidas en caso de un desastre natural o provocado por el ser humano.
Contratar ciberseguros
Otra de las medidas de seguridad contra ciberataques es contratar un ciberseguro que proteja a la empresa frente a incidentes derivados de los riesgos cibernéticos, el uso inadecuado de las infraestructuras electrónicas o los problemas causados por las propias actividades que se desarrollan en la empresa. De nuevo, esto no te servirá en sentido estricto para evitar un ciberataque, pero sí para paliar sus consecuencias.
Formación de empleados
Ya lo dijimos antes cuando hablamos de implementar una cultura de la seguridad, pero volvemos sobre ello aquí. A la hora de prevenir y evitar un ciberataque es fundamental formar a nuestros empleados sobre los riesgos y amenazas que existen en el entorno digital, porque muchas veces ellos van a ser la primera puerta de acceso que van a intentar franquear los ciberdelicuentes.
España es el sexto país en sufrir ataques de phising, si este tipo de ciberataque ya un problema considerable para un usuario en particular, imaginad lo que puede suponer para una empresa. Con que un solo empleado pique, podría estar dando acceso a toda la base de datos de la compañía a un hacker.
Por ello, si quieres prevenir ciberataques en tu empresa, forma a tus empleados sobre:
- Amenazas y tipos de ciberataques existentes y cómo evitarlos.
- Cómo actuar en caso de fallo en el sistema.
- Qué equipos y programas manejan.
- Cómo mantener la seguridad siempre preparada y activa.
Asesoramiento de expertos
Como comentábamos antes, que un sistema falle durante horas puede suponer pérdidas muy elevadas para una empresa. No es solo cosa de las grandes multinacionales invertir en seguridad de la información. Las pequeñas empresas deben hacerlo también.
Por eso es aconsejable ponerse en manos de especialistas en estos temas. No todo el mundo tiene la necesidad de saber acerca de seguridad informática o sistemas de protección. Por ello, existen especialistas perfectamente capacitados que se encargarán de mantener tu empresa completamente a salvo de visitas informáticas indeseadas y así, protegerán tus datos siempre y en todo momento.
Debes recordar que algunos ciberataques son imperceptibles y difíciles de evitar, por lo que para poder hacerles frente una vez han ocurrido, puede suponer mucho dinero. Siempre es mejor tener una buena seguridad informática para evitar sustos y problemas.
¿Qué hacer ante un ciberataque?
Ya te hemos informado sobre cómo evitar ataques informáticos. Pero, ¿qué hacer si el ciberataque ya se ha producido?
Desde la entrada en vigor del Reglamento General de Protección de Datos (RGPD) las empresas están obligadas a notificar cualquier brecha de seguridad a la Agencia Española de Protección de Datos (AEPD) en un plazo máximo de 72 horas. En esa notificación la empresa debe informar sobre la naturaleza del incidente, sus consecuencias, las medidas correctoras propuestas y la identidad del responsable, encargado o delegado de protección de datos.
Por otro lado, también se puede interponer una denuncia ante los Cuerpos y Fuerzas de Seguridad del Estado. En concreto, habría que dirigirse al Grupo de Delitos Telemáticos de la Guardia Civil o a la Brigada de Investigación Tecnológica de la Policía.