Hacker Lab, un portal de seguridad informática líder mundial que aborda las estrategias de piratería informática y defensa, mostró recientemente cómo operan los ciberdelincuentes y qué pueden hacer las pequeñas empresas para protegerse (por medio de hackers de sombrero blanco). La organización utilizó una presentación multimedia para mostrar la estrategia de los hackers: cómo eligen sus objetivos, cómo acceden al sistema y qué pueden hacer después de haberlo vulnerado.
“Hacker Lab” fue presentado por Hartford Steam Boiler Inspection and Insurance Company (HSB), una aseguradora especializada en riesgos relacionados con datos e información (parte de Munich Re), y Trail of Bits, una empresa de ciberseguridad con sede en la ciudad de Nueva York. El evento se diseñó para ofrecer recursos de gestión y mitigación de riesgos a los propietarios de pequeñas empresas.
Todas las pequeñas empresas son vulnerables
Entre las principales conclusiones para los propietarios de pequeñas empresas se incluyeron las siguientes:
Los ciberdelincuentes consideran a las pequeñas entidades tanto un objetivo como un medio para atacar también a sus clientes.
Las pequeñas entidades deben identificar sus activos y los datos que poseen que tienen valor para otras personas. Deben conservar únicamente la información necesaria. También deben utilizar un dispositivo exclusivo para las actividades financieras, que no se use para el correo electrónico ni las redes sociales.
La mayoría de los ciberataques llegan a una organización a través del correo electrónico y los navegadores. Las entidades deben tomar las medidas necesarias para proteger ambos puntos de entrada.
Una investigación realizada por HSB junto con el Ponemon Institute mostró que más de la mitad de las pequeñas y medianas empresas han sufrido una filtración de datos y que casi tres cuartas partes no pueden restaurar todos sus datos.
«El problema es grave y va en aumento. La buena noticia es que las empresas pueden tomar medidas para protegerse de las intrusiones delictivas destructivas», afirmó Eric Cernak, vicepresidente de productos estratégicos de HSB.
Otro hacker famoso, Dan Guido, investigador residente en NYU Engineering y fundador y director ejecutivo de Trail of Bits, coincidió en que las empresas deben adelantarse a los hackers.
Hacker Lab también incluyó un debate sobre gestión de riesgos con Cernak y Tim Zeilman, en el que se abordaron formas de prevenir un ciberataque; los costos legales, financieros y reputacionales de un ataque; y lo que deben hacer las pequeñas empresas si las hackean.
10 medidas que todas las empresas deberían tomar
HSB y Trail of Bits ofrecieron los siguientes consejos de gestión de riesgos:
1. Externalice el procesamiento de pagos
Procure evitar gestionar por cuenta propia los datos de tarjetas de crédito. Los proveedores de confianza (ya sea para pagos en puntos de venta o por Internet) cuentan con personal de seguridad asignado que puede proteger esa información mejor que cualquier pequeña empresa.
2. Separe las redes sociales de las actividades financieras
Utilice un ordenador exclusivo y específico para la banca en línea. Asegúrese de usar otro dispositivo para el correo electrónico y las redes sociales. De lo contrario, su ordenador para operaciones bancarias y su cuenta de ahorros podrían verse comprometidos con solo visitar un sitio de redes sociales infectado.
3. No se limite a las contraseñas
Nunca utilice la misma contraseña y no confíe en que ningún sitio web las almacene de forma segura. Nunca puede saber cuándo un sitio ya ha sido hackeado y su contraseña se ha visto comprometida. Siempre que esté disponible, active la autenticación de dos factores para que se envíe un código secreto a su teléfono como paso adicional para verificar su identidad.
4. Eduque y capacite a los empleados
Elabore y aplique una política escrita de seguridad de datos. Comuníquela a todos los empleados. Explíqueles qué tipos de información son sensibles o confidenciales y cuáles son sus responsabilidades para proteger esa información, sea mucha o poca. La mayoría de las estafas y los ataques maliciosos llegan por correo electrónico, así que asegúrese de que su equipo pueda identificar los mensajes sospechosos y de que avise a otras personas de la organización cuando los reciba.
5. Manténgase informado
Supervise toda la cadena de acontecimientos en un posible ataque. Desde el acceso a la infraestructura de correo electrónico hasta la capacidad de respuesta de los usuarios y las vulnerabilidades del navegador, identifique qué área de su organización corre mayor riesgo. Después, cuestione el nivel de seguridad de sus líneas de negocio, proveedores, suministradores o socios.
6. Deje de enviar datos sin cifrar
Asegúrese de que los datos se cifren periódicamente. Esto puede incluir los datos «en reposo» y «en tránsito». También deberá considerar cifrar los mensajes de correo electrónico dentro de su organización que contengan información personal. Evite utilizar redes Wi-Fi que puedan permitir la interceptación de datos.
7. Proteja su navegador
Con la creciente popularidad de los «watering holes» (código cuestionable instalado en sitios web de confianza), ¿cómo puede saber en qué sitios confiar? Olvídese de los parches individuales. Concéntrese en actualizar a las versiones más recientes del navegador. Después, compruebe si la configuración del navegador presenta vulnerabilidades.
8. Proteja su sistema operativo
Como los sistemas operativos antiguos, como Windows XP, ya no reciben actualizaciones, es fácil acceder a ellos sin autorización. Asegúrese de utilizar sistemas operativos actuales para aprovechar las importantes mejoras de seguridad.
9. Proteja su router
Un router conecta su red y sus ordenadores a Internet. Asegúrese de que nadie pueda interceptar todos los datos que se envían a través de él. Es fundamental establecer una contraseña de administrador segura en el router y una contraseña WPA2 más segura para la conexión Wi-Fi.
10. Proteja sus datos
Si pierde datos por un accidente o un ataque, siempre agradecerá tener una copia de seguridad. Sus copias de seguridad deben estar cifradas y almacenadas fuera de las instalaciones por si se produce un incendio o un robo.
La aplicación de estas medidas de seguridad en su organización ayudará a que sea un objetivo menos atractivo para los hackers. También debería considerar la contratación de una póliza de seguro contra filtraciones de datos y de seguridad de redes, que le ofrecerá protección si un hacker consigue robar sus datos.
Este artículo se publica en colaboración con LinkedIn. La publicación no implica que el Foro Económico Mundial respalde las opiniones expresadas.
Para mantenerse al día con Forum:Agenda suscríbase a nuestro boletín semanal.
Autor: Steve Anderson es el editor ejecutivo de The Anderson Agency Report.
Imagen: Un hombre escribe en el teclado de un ordenador en Varsovia en esta fotografía de archivo ilustrativa del 28 de febrero de 2013. REUTERS.
