- Artículo
Las organizaciones están inundadas de consejos de ciberseguridad, pero ¿cuáles son los más importantes?
El panorama de la ciberseguridad está en constante cambio. Cuanto más evoluciona la tecnología, más tenemos que mantenernos al día en materia de ciberataques y ciberseguridad. También tenemos que mantener a nuestra plantilla continuamente actualizada sobre la evolución de las herramientas y procesos utilizados para proteger nuestras empresas.
Así pues, lo que hace una década eran prácticas de ciberseguridad perfectamente válidas pueden no ser suficientes para protegernos de una brecha hoy en día; peor aún, podrían ponerle en mayor riesgo de sufrir una.
Si bien es cierto que algunas cosas nunca cambian, como la importancia de la gestión de identidades, privilegios y activos, éstas son sólo excepciones y no la regla. La mayoría de las veces, puede que te sorprenda descubrir que estás haciendo más mal que bien a tu empresa al seguir inadvertidamente estas prácticas de ciberseguridad obsoletas en el lugar de trabajo.
El tamaño no importa cuando se trata de ciberataques. Sólo se engaña a sí mismo si piensa que su empresa es un objetivo demasiado pequeño para que merezca la pena. La realidad de la situación es que todo el mundo puede ser un objetivo, y las pequeñas empresas están corren un riesgo aún mayor desde la pandemia de COVID-19.
Las PYME que confían en su tamaño para eludir los ciberataques pueden encontrarse en serios problemas cuando se produzca uno. Esto se debe principalmente al hecho de que la mayoría de las PYMES no habrán tenido la infraestructura necesaria para disuadir o al menos minimizar el riesgo y el impacto, y es poco probable que los empleados de la organización hayan recibido formación para combatir los ciberataques.
En última instancia, los resultados para las PYME que son víctimas de un ataque no son buenos. Según Security Magazinecasi dos tercios de las pequeñas empresas víctimas de una violación de datos cierran definitivamente en un plazo de seis meses.
Un cortafuegos perimetral y un software antivirus eran las herramientas a las que recurría cualquier experto en ciberseguridad. Hoy en día, sin embargo, este software se ha convertido en sólo una parte de una fuerte defensa de ciberseguridad. De hecho, el 73% de los hackers afirma que los cortafuegos y antivirus tradicionales son irrelevantes u obsoletos.
Aunque estas medidas contribuirán sin duda a reforzar sus defensas contra las amenazas, no son suficientes por sí solas. Si actualmente utiliza estas medidas de forma aislada, querrá identificar sus puntos débiles en materia de seguridad para poder invertir en tecnología más actualizada, ya sea para proporcionar capas adicionales de seguridad o para sustituirlas por completo.
Antes, el software venía en un CD de una tienda o directamente del fabricante. Hoy en día, las aplicaciones comerciales (como Microsoft Office) tienen dos fuentes. O las obtienes directamente del fabricante o de una tienda de aplicaciones establecida.
Descargar aplicaciones directamente del fabricante garantiza que el software es auténtico. Esto también garantiza que el software no ha sido manipulado.
Sin embargo, instalar esa misma aplicación desde una tienda de aplicaciones establecida puede tener algunas ventajas. Puede que te resulte más fácil solucionar problemas de compatibilidad. Además, no tendrás que buscar actualizaciones de la app, ya que estarán disponibles automáticamente.
Actualizar el software puede ser un engorro. Puede llevar mucho tiempo y ser costoso, pero al final merece la pena. Esto se debe a que las actualizaciones de software suelen venir acompañadas de actualizaciones de seguridad para ese software.
Los atacantes conocen la aversión de la gente a las actualizaciones de software y confían en ella. Una vez que obtienen información sobre una actualización de software, intentan piratear a los usuarios entre el momento en que la actualización está disponible y el momento en que los usuarios la instalan.
Un ejemplo lo encontramos en las vulnerabilidades de día cero, que son vulnerabilidades desconocidas hasta ahora y que han quedado al descubierto, pero que aún no han sido corregidas. Windows tenía cuatro vulnerabilidades de este tipo en 2022lo que pone de relieve la necesidad de instalar parches en cuanto estén disponibles.
Ignorar estas actualizaciones puede permitir a los piratas informáticos explotar vulnerabilidades conocidas que ya deberían haberse solucionado. Cuando se encuentra una vulnerabilidad de día cero, los hackers no suelen tardar en aprovecharla.
Cambiar las contraseñas con regularidad es un buen consejo en materia de ciberseguridad. Una contraseña que cambia constantemente dificulta la tarea de los piratas informáticos. Sin embargo, esto sólo funciona si lo hace correctamente.
Las personas que deben cambiar sus contraseñas con frecuencia tienden a crear contraseñas fáciles de recordar. No quieren arriesgarse a olvidar la nueva contraseña que han elegido, así que harán cambios muy sencillos. Por ejemplo:
¿Parece poco realista? No lo es. alrededor de 23 millones de personas siguen usando la contraseña "123456". Ésta, y sus variaciones, pueden ser descifradas por el software de un hacker en menos de un segundo.
Esta tendencia a confiar en contraseñas más sencillas (fáciles de piratear) suele deberse al agotamiento y a la incomodidad de quedarse bloqueado en un sistema que quiere una nueva contraseña. Y cuando las contraseñas difíciles de recordar se crean en difíciles de recordar, a menudo se olvidan debido a la frecuencia con que se cambian.
Hay dos formas de solucionar este problema: formar a los empleados para que cambien sus contraseñas SÓLO cuando crean que su cuenta ha sido violada, o implantar el uso de un gestor de contraseñas proporcionado por la empresa.
En cuanto a la seguridad de las contraseñas, es muy probable que hayas utilizado o estés utilizando la autenticación de dos factores (2FA). Actúa como una segunda capa de defensa contra posibles piratas informáticos que, de alguna manera, acceden a tu nombre de usuario y contraseña.
La mayoría de las empresas aplican códigos de autorización de un solo uso (OTAC) para proporcionar 2FA. El problema es que los ataques avanzados de phishing tienen como objetivo los OTAC.
Para evitarlo, su empresa puede optar por la autenticación multifactor (AMF). La AMF suele implicar factores como el conocimiento (algo que sólo el usuario sabe), la posesión (algo que sólo el usuario tiene) y la inherencia (algo que el usuario y sólo el usuario es).
Una cadena es tan fuerte como su eslabón más débil. Cuando se trata de ciberseguridad, ese eslabón más débil es el elemento humano. Bloquear tu ciberseguridad con tecnología millonaria no importará si tus empleados abren la puerta desde dentro.
El informe de Verizon sobre investigaciones de filtraciones de datos de 2021 destaca cómo en los dos años comprendidos entre 2018 y 2020, los incidentes derivados de amenazas internas se dispararon casi un 50%. Esto incluye incidentes, por ejemplo, en los que un empleado, exempleado u otra persona con acceso a las instalaciones podría revelar deliberadamente -o no- datos de la empresa o dar acceso a los sistemas a un tercero malintencionado. A menudo, la infracción obedece a un mero interés personal, económico o profesional.
La ciberseguridad de la empresa debe ser una preocupación de todos. Todos los implicados, desde el personal de base hasta el Director General, deben conocer las mejores prácticas de ciberseguridad. La formación en ciberseguridad puede ayudarle a educar a sus empleados sobre los riesgos de las amenazas internas, entre otras ciberamenazas, además de los ataques de ingeniería social que a menudo pueden conducir a ellas.
Aunque el software puede ayudar, seguirá necesitando una formación exhaustiva de sus empleados para que comprendan el porqué de cada decisión. Puede limitar el acceso de los empleados a los sitios, pero ellos se saltarán esas prohibiciones con una VPN si no entienden POR QUÉ están prohibidos ciertos sitios web.
Supongamos que su empresa forma a sus empleados en ciberseguridad¿está seguro de que utilizan prácticas actualizadas? El problema con las sesiones de formación corporativa es que los empleados pueden perderse mucha información simplemente por faltar a una sola sesión de formación.
Si no describe claramente los cambios en las políticas existentes, es posible que algunos empleados no conozcan algunos de esos cambios y sigan utilizando prácticas cibernéticas anticuadas. Los empleados pueden sentirse confusos o frustrados y resistirse a las políticas actuales si no se les ha informado de los cambios.
"A veces menos es más".
Esto es especialmente cierto en ciberseguridad. Una infraestructura más sencilla significa implantar sólo las funciones más importantes. Esto puede ayudar a garantizar que las nuevas aplicaciones funcionen bien con el resto de herramientas de tu empresa.
Esto también se aplica al procedimiento de respuesta ante amenazas. Mantener las cosas sencillas significa que a los empleados formados les resultará más fácil informar de los intentos de ataque una vez que se haya identificado una posible amenaza.
A medida que la tecnología evoluciona, los ciberataques y la ciberseguridad buscan constantemente imponerse a la otra. Lo que hace una década era un consejo de ciberseguridad perfectamente válido, puede que hoy ya no lo sea. Proteja su empresa evitando las prácticas y herramientas de ciberseguridad obsoletas que podrían exponerle a mayores riesgos.
Cubrir todas las bases invirtiendo en la formación de los empleados en ciberseguridad y contratar ayuda externa para proteger su organización. Describa los cambios introducidos en las prácticas de ciberseguridad. Y recuerde que todo debe ser lo más sencillo posible.
ThriveDX ofrece soluciones de formación galardonadas que forman a sus empleados en las amenazas de ciberseguridad más actuales y ayudan a reducir la cantidad de prácticas de ciberseguridad obsoletas. Obtenga más información hoy mismo.
Suscríbase al boletín trimestral de ThriveDX para recibir información sobre las últimas tendencias en ciberseguridad, opiniones de expertos, noticias sobre seguridad y recursos gratuitos.
Si desea ponerse en contacto con alguien de nuestro equipo in situ, deje su información de contacto aquí y nos pondremos en contacto con usted directamente durante la conferencia.