Los ciberataques a gran escala con cifras que ponen los pelos de punta, como la filtración de los datos de mil millones de cuentas de Yahoo en 2016, acaparan la mayoría de los titulares. Pero lo que a menudo se pierde entre tanto ruido es la frecuencia con que las organizaciones pequeñas y medianas se encuentran bajo ataque.
En el último año, la mitad de las pequeñas empresas estadounidenses ha sufrido filtraciones de datos a manos de piratas informáticos. Entre ellas está Meridian Health, en Muncie, Indiana, donde robaron los formularios W-2 de 1.200 trabajadores cuando un empleado fue engañado por un correo electrónico que parecía proceder de un alto ejecutivo de la empresa. Muchas pequeñas empresas están a una sola transferencia bancaria fraudulenta de cerrar sus puertas.
Hay muchos consejos disponibles sobre cómo combatir la ciberdelincuencia, pero es difícil saber cuáles son los mejores. Soy especialista en cómo pueden las empresas mitigar más eficazmente los riesgos cibernéticos, y mi consejo es conocer las tres «B» de la ciberseguridad: estar bien informado, bien organizado y ser proactivo.
Así es como más empresas pueden mejorar su preparación en materia de ciberseguridad sin gastar una fortuna.
Estar bien informado
Casi cualquier empresa puede ser vulnerable a diversos ciberataques. Un gerente de empresa o un profesional de seguridad de redes debe conocer los distintos tipos de amenazas digitales y cómo reducir la vulnerabilidad.
Hay ataques que todos los empleados deberían conocer. Los más comunes emplean un método llamado «phishing» o una variante dirigida específicamente a una posible víctima, denominada «spear phishing». Suelen presentarse como mensajes de correo electrónico que parecen enviados por compañeros de trabajo o supervisores y solicitan información confidencial. Eso es lo que le ocurrió a la empresa de atención sanitaria de Muncie. Estos mensajes pueden incluir instrucciones que la víctima quizá siga porque las considera legítimas, como hacer clic en un enlace que instala malware o captura los datos de inicio de sesión, o incluso realizar una transferencia bancaria a la cuenta de otra empresa.
Las mejores defensas contra este tipo de ataques se basan en el escepticismo y la vigilancia. Los atacantes pueden ser muy astutos e insistentes: basta con que una persona tenga un momento de descuido y haga clic en un enlace malicioso para que toda una red quede comprometida.
Estar organizado
La mayoría de las empresas hacen grandes esfuerzos para proteger sus activos físicos y a su personal. Sin embargo, muchas no toman precauciones similares con su información digital. Puede que un ordenador clave permanezca desconectado de internet, pero si acepta memorias USB o CD regrabables, o si su contraseña es fácil de adivinar, la información es igual de vulnerable.
Los propietarios de pequeñas empresas deben dar prioridad a la ciberseguridad. Sin una preparación adecuada, incluso las grandes empresas pueden verse desprevenidas ante ciberataques. Cuando Sony fue víctima de un ataque informático en 2011, no tenía un ejecutivo dedicado exclusivamente a la seguridad de la información. Pero contratar a alguien no impidió que sufriera otro ataque en 2014.
Ser proactivo
Es fundamental planificar con antelación, en vez de limitarse a reaccionar. El Marco de Ciberseguridad del Instituto Nacional de Estándares y Tecnología enumera cinco funciones principales de las iniciativas de ciberseguridad: identificar vulnerabilidades, protegerse contra ataques, detectar a quienes logren infiltrarse, responder rápidamente al ataque y recuperarse una vez detenido.
Algunas empresas ya están recibiendo asesoramiento según el cual seguir las directrices del NIST puede reducir la responsabilidad legal si surgen problemas de ciberseguridad o estos salen a la luz. Las empresas también pueden colaborar con facultades y universidades para crear clínicas de ciberseguridad, o incluso considerar la contratación de seguros contra riesgos cibernéticos.
No hay forma de evitar ser el blanco de un ciberataque, pero eso no significa convertirse en víctima. Unos pasos sencillos pueden tener grandes resultados: el Gobierno australiano informó de que logró resistir el 85 % de los ciberataques al adoptar tres medidas básicas: limitar los programas que pueden ejecutarse en los ordenadores del Gobierno, mantener el software actualizado con regularidad y reducir al mínimo el número de personas con control administrativo sobre las redes y los equipos clave.
La ciberseguridad no tiene por qué ser física cuántica; es simplemente informática.
