Ciberseguridad en la empresa: Buenas prácticas para reforzar su ciberresiliencia
Desde la crisis de Covid, el número de ciberamenazas ha aumentado un 400% en Francia. Al mismo tiempo, la mitad de las empresas han registrado un aumento significativo de los ciberataques (cifras de la Asamblea Nacional). La ANSSI advierte de la persistencia de una ciberamenaza de "alto nivel" y de la tendencia de los piratas digitales a atacar a las entidades menos protegidas. En este contexto, las empresas deben adoptar una serie de buenas prácticas para protegerse de estas amenazas y reforzar su ciberresiliencia, garantizando una rápida vuelta a la actividad en caso de ataque. ¿Cómo desarrollar una política de ciberseguridad eficaz?
¿Por qué proteger su empresa de las ciberamenazas?
Es un hecho: los ciberincidentes van en aumento. Un informe publicado por IBM Security destaca que el 83% de las organizaciones ya han experimentado más de una violación de datos en 2022. Para ese mismo año, Check Point Research informa de un aumento del 38 % en los ciberataques semanales contra empresas en comparación con 2021.
Estos ataques tienen graves consecuencias para las organizaciones a todos los niveles: perturban sus operaciones (con interrupciones más o menos prolongadas en función de la naturaleza del incidente) e impactan en su reputación (el robo de datos tiende a quebrar la confianza de los usuarios), a veces a largo plazo. También tienen un peso financiero importante: IBM Security muestra que el coste de una violación de datos fue de 4 millones de euros de media en 2022, una cifra que aumentó un 12,7% con respecto a 2020.
Más allá de estas importantes consecuencias, es esencial recordar que la ciberseguridad es también una obligación legal. Las empresas están obligadas a cumplir la normativa, en particular satisfaciendo los requisitos del GDPR (Reglamento General de Protección de Datos).
La cuestión no es definir o no una política de ciberseguridad para una empresa, sino cómo aplicarla.
¿Cómo implantar un enfoque de ciberseguridad en su empresa?
Cada empresa es diferente. Sin embargo, una estrategia de ciberseguridad pasa necesariamente por la adopción de una serie de buenas prácticas. Éstas son.
1. Evaluar los ciberriesgos
¿A qué riesgos está expuesta su empresa? La respuesta depende de varios parámetros:
- La naturaleza de su negocio y la criticidad de los datos recogidos. Por ejemplo, las organizaciones que manejan datos bancarios o información personal se consideran críticas. La pérdida o divulgación no autorizada de estos datos puede tener graves consecuencias, como fraudes o violaciones de la privacidad.
- La seguridad del entorno informático, ya sea el SI, el proveedor que aloja sus datos, su plataforma Cloud , o la seguridad global del entorno, que se mide por la seguridad del eslabón más débil de toda la cadena. Por lo tanto, es importante no descuidar nada.
- El tamaño y la exposición de su organización, siendo las pequeñas y medianas empresas (PYME) el blanco particular de los ciberdelincuentes debido a vulnerabilidades más aparentes. Según el CPME, el 42% de las empresas con menos de 50 empleados ya han sufrido uno o más ataques o intentos de ciberataque. Sin embargo, las grandes empresas tampoco son inmunes. Las empresas de medios de comunicación, las empresas de SaaS, las plataformas de comercio electrónico y las plataformas de juegos en línea también son objetivos prioritarios de los ciberatacantes. Aunque a menudo están mucho mejor protegidas que las PYME, el daño potencial en términos de pérdida de ingresos o reputación causado por una violación de datos o un ataque de denegación de servicio, por ejemplo, suele ser significativo.
2. Proteja su infraestructura informática y su red
La vulnerabilidad de su entorno informático depende inevitablemente de su nivel de seguridad. Por tanto, es esencial asegurarse de que su SI y su red se benefician del mayor nivel de protección posible. A este respecto, es posible actuar en varios puntos:
- Asegurándose de que sus aplicaciones y software se actualizan periódicamente.
- Estableciendo una política rigurosa de gestión del acceso a la red y a las plataformas web, y restringiendo el acceso a los datos más sensibles.
- Garantizando la seguridad de los servidores en los que se almacenan sus datos (idealmente en centros de datos europeos, para garantizar su soberanía).
- Implantando un sistema regular de copias de seguridad de los datos, en una ubicación independiente del servidor original, y que le permita restaurarlos lo antes posible.
- Adoptando herramientas de alta seguridad: antivirus y cortafuegos, por supuesto, pero también una tecnología Cloud adaptada a la criticidad de los datos (pública, privada o híbrida Cloud, cualificación SecNumCloud, etc.).
- Pensando en los problemas de disponibilidad del servicio desde el principio del diseño de la infraestructura: ¿Cuál es la duración aceptable de la disponibilidad? ¿Cuál es la pérdida de eventos aceptable? La respuesta a estas preguntas determinará las opciones de arquitectura y las estrategias de despliegue.
3. Definir una política interna de ciberseguridad
En una empresa, la correcta aplicación de las medidas de ciberseguridad requiere una política interna completa y explícita, y asegurarse de que todos los empleados la conocen. Esta ciberpolítica incluye medidas como...
- Un método de gestión adaptado a los datos críticos, especialmente en términos de acceso (sistema de autenticación fuerte);
- La introducción de contraseñas seguras;
- Asegurar los dispositivos utilizados por los empleados móviles (prestando especial atención a los riesgos relacionados con las TI en la sombra);
- La aplicación de una estricta separación de usos dentro de la empresa (con, por ejemplo, la creación de cuentas de usuario dedicadas a la navegación web, o la restricción de las autorizaciones concedidas en función de la aplicación y el uso que se haga de ella);
- Formar a los empleados en conceptos esenciales de ciberseguridad.
4. Concienciar a los empleados de los riesgos cibernéticos
Este es, en efecto, un punto clave. Porque la ciberseguridad no es responsabilidad exclusiva de los departamentos informáticos: este riesgo concierne a todos, y todos los empleados deben participar en la protección de su organización. Esto significa presentarles:
- Los riesgos cibernéticos existentes, así como las medidas de precaución que deben tomarse (elegir contraseñas seguras, utilizar el hardware proporcionado por la empresa cuando se trabaja en desplazamiento, prohibir la conexión de soportes de almacenamiento traídos del exterior a las máquinas de la oficina, etc.).
- Los distintos tipos de ataques: ransomware, phishing, ingeniería social, ataques DDoS, ataques man-in-the-middle...
- La necesidad de notificar los incidentes de seguridad lo antes posible.
5. Establecer un plan de acción en caso de incidente
El objetivo de un enfoque de ciberseguridad no es sólo proteger a la empresa: también pretende dotarla de armas para reaccionar en caso de ataque. En este sentido, es esencial disponer de un plan de acción dedicado a las ciberamenazas para desplegarlo cuando se produzca un suceso. Este plan debe incluir lo siguiente
- Conjunto de procedimientos para detectar un ciberataque y aislar el problema lo antes posible.
- Un proceso de recuperación de datos para garantizar la continuidad de la empresa.
- Un procedimiento para gestionar la comunicación de crisis con las partes interesadas, los medios de comunicación y el público.
- Contratar un seguro contra ciberriesgos para limitar las pérdidas financieras.
6. Implantar un proceso de mejora continua
La última buena práctica en materia de ciberseguridad consiste en poner a la empresa en una vía de mejora continua. Debe establecerse un proceso para evaluar las medidas adoptadas (mediante auditorías periódicas), realizar simulaciones para identificar posibles vulnerabilidades y lanzar pruebas de penetración (pentesting).
Esto es tanto más crucial cuanto que la empresa no puede dormirse en los laureles: las amenazas evolucionan constantemente y los ciberdelincuentes se adaptan (muy) rápidamente a las innovaciones en materia de seguridad.
La aplicación de un enfoque de ciberseguridad en su empresa se basa en cuatro pilares principales: preparación para los ataques (evaluación de riesgos, protección de la red y de la SI, desarrollo de una política de seguridad), concienciación de los empleados, gestión de catástrofes y mejora continua (para mantener actualizadas sus normas de seguridad).
Se trata de proyectos complejos, y puede beneficiarse de la experiencia de Iguana Solutions (certificada ISO 27001) para guiarle en el desarrollo de una política de seguridad eficaz y en el refuerzo de su ciberresiliencia.
