Oye,
Lee: Tu guía definitiva sobre seguridad cibernética.
Parece que apenas pasa una semana sin noticias de otro ataque cibernético de alto perfil o violación de datos, que afecta a millones o incluso a miles de millones de personas. Los ataques ocurren tan a menudo que casi nos hemos vuelto insensibles a los números, pero el costo para las personas y las empresas es asombroso, con un informe de Grant Thornton que se estima en alrededor de $ 280 mil millones a nivel mundial en 2016.
Todos escuchamos al respecto cuando las grandes empresas se ven afectadas (Tesco Bank, Talk Talk y Three Mobile son los mejores ejemplos) y es fácil pensar que las nuevas empresas y las pequeñas empresas son menos un objetivo. Pero ningún negocio, grande o pequeño, es 100% seguro en esta era de guerra cibernética. De hecho, IDC descubrió que el 71% de las violaciones de datos ahora están dirigidas a pequeñas empresas, por lo que es hora de sentarse y tomar nota.
Hay mucha información y consejos por ahí, y puede ser difícil averiguar qué es lo más relevante para usted como una pequeña empresa. Es por eso que, en este libro electrónico, lo llevamos a través de todo lo que necesita saber sobre ataques cibernéticos, violaciones de datos y seguridad cibernética, incluido el motivo por el que su empresa podría estar en riesgo, cuáles son esos riesgos y cómo garantizar que sus sistemas sean tan seguros. Lo más seguro posible.
¿Por qué deberían las pequeñas empresas preocuparse por la seguridad cibernética?
Los fundadores de pequeñas empresas a menudo cuestionan los riesgos digitales en cuanto a por qué deberían preocuparse por la ciberseguridad, suponiendo que sus operaciones sean demasiado pequeñas o que sus datos no sean dignos de robo. Desafortunadamente, eso no podría estar más equivocado.
Entonces, ¿qué es exactamente lo que te hace un objetivo?
Estás demasiado ocupado y los hackers lo saben
Administrar una empresa nueva o pequeña puede ser estresante. Con días largos y noches sin dormir, ¿quién tiene tiempo para pensar en la seguridad de los datos? Seamos realistas, tienes mucho en tu plato y no has pasado mucho tiempo asegurándote de que estás protegido.
Falta de experiencia en seguridad
Las pequeñas empresas a menudo no asignan suficientes recursos para implementar firewalls fuertes y parches de seguridad actualizados, lo que resulta en la pérdida de información importante si se enfrenta a un ataque. La seguridad cibernética es un tema complejo y multifacético, que requiere la tecnología adecuada y las políticas y procesos correctos establecidos.
Falta de pericia legal especializada
A diferencia de las grandes organizaciones que tienen el presupuesto para contratar un departamento completo de leyes y cumplimiento, es probable que no tenga una experiencia dedicada internamente. Como resultado, puede pasar por alto sus responsabilidades en el manejo de datos.
Tus datos crecen contigo
Puede ser fácil perder de vista la cantidad de datos que ha generado a lo largo del tiempo. Su base de datos de clientes puede ser pequeña en las primeras etapas, pero puede crecer hasta mil o más rápidamente. La mala gestión de estos datos podría dejarlo expuesto a los ataques y multas de la Oficina del Comisionado de Información (ICO).
Internet con fugas
Muchas empresas nuevas y pequeñas empresas tienen trabajadores independientes o trabajadores remotos que acceden a sus sistemas desde cafeterías locales o espacios de trabajo conjunto. Si ese es el caso y no hay una conexión Wi-Fi segura, los hackers pueden robar sus datos fácilmente.
Tus datos son un punto de entrada para los grandes.
Es un error común que los hackers no estén interesados en atacar una empresa con poco dinero o datos. Y si bien a ellos probablemente no les importa el pedido de £ 80 que tomaste ayer, tus sistemas desprotegidos podrían darles una “puerta trasera” a los clientes o proveedores más grandes, que es exactamente lo que están buscando.
Cada sitio web es un objetivo
Los piratas informáticos tienen mucho tiempo en sus manos para dedicarse a rastrear internet en busca de sitios web con vulnerabilidades. Si su VPS (servidor privado virtual) está comprometido, se puede usar para desencadenar miles de correos electrónicos no deseados, lo que podría poner en una lista negra su dirección IP y costar miles de reparaciones. Echa un vistazo a este mapa de hacking en tiempo real para darte una idea de la cantidad de ataques que están ocurriendo en este momento.
¿Cuáles son las mayores amenazas?
Los ataques cibernéticos y las violaciones de datos a menudo se agrupan, cuando en realidad hay varios culpables, que acceden y atacan sus sistemas de diferentes maneras. Además, están en constante evolución, por lo que es importante estar atento a las nuevas amenazas.
En el espíritu de ‘conocer a tu enemigo’, aquí tienes un resumen de algunos de los principales riesgos cibernéticos a los que se enfrentan empresas emergentes y pequeñas empresas en 2017:
Phishing, Spear-phishing y caza de ballenas.
Uno de los modos de ataque más comunes, el phishing consiste en que el atacante envíe correos electrónicos a múltiples destinatarios, haciéndose pasar por una empresa de buena reputación. El correo electrónico contendrá malware en un enlace o archivo adjunto, o le pedirá al destinatario que ingrese detalles confidenciales de la cuenta o la contraseña, lo que permitirá a los delincuentes cibernéticos piratear su PC o sus cuentas. Si bien muchos de estos correos electrónicos pueden parecer sospechosos, algunos son sorprendentemente convincentes y, cuando se envían en masa, generalmente atrapan a alguien por casualidad.
Las variedades de phishing incluyen phishing, donde los atacantes se dirigen a una empresa o individuo específico, y la caza de ballenas, donde los ejecutivos de alto rango son específicamente objetivo. Ambos pueden ser muy dañinos si tienen éxito.
Ransomware
Como su nombre lo indica, el ransomware infecta su computadora y retiene sus datos, exigiendo sumas importantes para su lanzamiento. Los ataques de este tipo están creciendo exponencialmente, ¡con SonicWall reportando 638 millones en todo el mundo en 2016, 167 veces más que en 2015!
El ransomware generalmente accede a su computadora a través de un correo electrónico de suplantación de identidad a empleados confiados, aunque las nuevas tácticas han hecho que los anuncios de secuestro de ransomware en sitios de noticias populares, con el New York Times, la BBC y AOL, sean el último año. Un clic en un enlace o archivo adjunto infectado y está en su sistema, casi imposible deshacerse de él sin tener que pagar.
Las bandas delictivas que perpetran estos ataques son cada vez más inteligentes y sofisticadas por minuto, y las pequeñas empresas suelen ser un blanco fácil, con menos protección y conciencia cibernética que las grandes empresas.
Gusanos
Como un tipo de malware, los gusanos han existido durante muchos años, y el primero fue creado en 1988 como una forma inocente de probar redes de computadoras. Desde entonces, se han utilizado con efectos devastadores, penetrando en computadoras vulnerables, antes de replicarse y propagarse dentro de una red. Uno de los ataques de gusanos más famosos fue en MySpace en 2005, que se extendió a más de un millón de computadoras en 20 horas.
Los gusanos a menudo se usan para robar información confidencial o convertir computadoras en ‘zombies’ o ‘bots’ controlados a distancia, que luego se usan para atacar más sistemas. Se estima que en cualquier momento hay varios millones de computadoras “zombies” en Internet.
Los nuevos tipos de gusanos están surgiendo todo el tiempo, incluidos los “gusanos sin cabeza”, que se dirigen a los llamados dispositivos “sin cabeza”, como teléfonos inteligentes, relojes inteligentes y hardware médico.
Ataques de máquina a máquina
Con los automóviles sin conductor, los sistemas de entretenimiento inteligente y las cámaras conectadas, el Internet de las cosas, o IoT, se está haciendo más grande y más complejo. Sin embargo, estos dispositivos a menudo se pasan por alto cuando se trata de la seguridad cibernética, lo que los hace especialmente vulnerables a los ataques y se utilizan como parte de una red de bots para atacar a otros sistemas. A medida que el Internet de las cosas se vuelve más prolífico, esta es una ruta potencial de “puerta trasera” para acceder a datos valiosos en el sistema, y redes enteras podrían verse afectadas de esta manera en el futuro.
Ghostware
Por más aterrador que parezca, el software fantasma es un tipo de malware diseñado para penetrar en las redes sin ser detectado, robar datos confidenciales y luego cubrir sus huellas antes de que se vayan. Eso significa que es posible que no se dé cuenta de que su negocio ha sido comprometido hasta que sea demasiado tarde, y es imposible encontrar el origen de la violación.
Blastware
Similar al software fantasma, pero esta vez el malware completa su tarea y luego destruye el sistema que ha infectado. Puede ser potencialmente mucho más perjudicial por esta razón, sin embargo, al menos sabrá que su sistema ha sido comprometido.
DDoS
El tipo de ataque que derribó a varios sitios web importantes el año pasado, incluidos Twitter, Netflix, Reddit y Airbnb, los ataques DDOS (Denegación de servicio) están en aumento, con DDoS para servicios de alquiler que hace más fácil y más barato para los ciberdelincuentes atacar , derribando sitios web y afectando a empresas de todo el mundo. Funcionan inundando los servidores de una empresa con solicitudes, por lo que no pueden hacer frente y cerrar. Eso deja a la empresa sin poder negociar por minutos, horas o incluso días, con impactos a largo plazo potencialmente catastróficos. Y no solo las grandes empresas se ven afectadas, las pequeñas empresas suelen ser más vulnerables debido a la arquitectura de su sitio web.
Virus troyano
Una vez más, la clave está en el nombre, ya que este tipo de malware es como un caballo de Troya que ingresa a su sistema bajo la apariencia de un software legítimo. Una vez allí, puede realizar varias funciones, incluida la eliminación, modificación o robo de datos. A diferencia de los gusanos y los virus, no pueden replicarse a sí mismos, pero pueden ser igual de dañinos.
Amenaza interna
Malicioso o no, el error humano es la causa más común de los ataques cibernéticos y las violaciones de datos, y los estudios demuestran que es responsable de hasta el 95% de los incidentes. Una infracción puede ser causada por cualquier cosa, desde que los empleados envíen accidentalmente información confidencial al correo electrónico incorrecto, pierdan el teléfono inteligente de su empresa, utilicen contraseñas predeterminadas o, en ocasiones, con intención delictiva. Sin embargo, a pesar de los riesgos, muchas pequeñas empresas no cuentan con los controles, la capacitación y la comunicación necesarios para mitigar las violaciones de este tipo.
Cómo mantener su negocio seguro
El Informe de inteligencia sobre amenazas globales de NTT Com de 2016 encontró que aproximadamente el 77% de las organizaciones no están preparadas para incidentes de seguridad cibernética. Con esto en mente, aquí está nuestra guía paso a paso para mantener su negocio seguro:
- Evaluación de riesgos
Lo primero es lo primero, una evaluación de riesgo cibernético lo ayuda a comprender las áreas que necesita proteger y aquellas en las que podría ser más vulnerable. Comience por auditar los datos y la información que posee que es más valioso. Esto le dará una buena idea de dónde necesita protección. Luego mire cómo almacena estos datos, quién tiene acceso a ellos y cómo están protegidos, para comprender dónde podría estar en mayor riesgo.
Si no está seguro de realizar una evaluación de riesgos, puede considerar contratar a un experto para que lo haga por usted.
- Implementando fuertes controles de red y estaciones de trabajo
Una vez que haya identificado sus activos de datos más valiosos, cubra todas las bases para asegurarlos con la tecnología adecuada, que incluye firewalls, software antimalware y antivirus en todas sus computadoras y dispositivos.
Estos son algunos de los controles que harán una gran diferencia en su seguridad cibernética:
- Instale software de seguridad en el sitio web de su empresa y mantenga todos sus scripts actualizados.
- Implementar un cortafuegos correctamente configurado a través de un recurso dedicado
- Aplicar parches actuales y actualizados en todo, incluidos los dispositivos propiedad de los empleados.
- Implementar servicios de seguridad basados en SaaS, que a menudo son menos costosos que el software tradicional
- Usando aplicaciones seguras basadas en la nube
- Implementando soluciones como VPN (red privada virtual) para que el acceso remoto sea seguro
- Implementación de un sitio de recuperación de desastres que puede hacerse cargo en caso de un ataque DDoS
- Tener una página estática para mantener a los clientes informados si su página de pedido se desconecta
- Controles de acceso para que los empleados solo tengan acceso a la información que necesitan.
Si no tiene experiencia en TI dedicada, probablemente lo mejor es consultar a un experto sobre el mejor enfoque para sus necesidades.
- Comunicacion y formacion
La tecnología adecuada es, por supuesto, muy importante, pero poner a su gente y sus procesos al día tal vez aún más. Sin embargo, esta es un área que a menudo se pasa por alto: una encuesta reciente del Gobierno reveló que solo el 17 por ciento de las empresas han brindado a sus empleados algún tipo de capacitación en seguridad cibernética en los últimos 12 meses.
Su comunicación debe comenzar con una política de seguridad cibernética, describiendo los procesos y procedimientos clave, lo que el personal debe y no debe hacer, y las posibles repercusiones si no se siguen las pautas. Los problemas exactos cubiertos variarán de un negocio a otro, pero los temas potenciales podrían incluir:
- Orientación en el manejo de información sensible.
- Estipulaciones sobre seguridad de contraseñas.
- Una política que cubre el trabajo a distancia y el uso de dispositivos personales.
- Cómo vigilar, informar y responder a un problema de seguridad
- Verificaciones requeridas de los proveedores para garantizar que cumplen con las mejores prácticas de seguridad
Debe asegurarse de que la política cibernética sea de fácil acceso para todos los empleados, se actualice periódicamente y que el personal también reciba capacitación sobre los problemas al menos cada 12 meses.
- Construir una cultura móvil centrada en la seguridad
Es fácil pasar por alto el hecho de que la información confidencial acompaña a sus empleados dentro y fuera de las oficinas, y que debe estar protegida en todo momento. Aquí hay algunas reglas obligatorias que mantendrán sus datos seguros cuando sus empleados estén en movimiento:
- Haga que los empleados utilicen contraseñas complejas; consulte los 5 consejos de contraseña para mejorar la seguridad de las PYME
- Introduzca contraseñas que caduquen automáticamente y necesiten ser renovadas
- Bloquee el acceso a ciertos sitios web que presentan riesgos para la seguridad de sus datos.
- Cifrar todos los teléfonos inteligentes utilizados para fines comerciales.
- Monitoreo de proveedores
La mayoría de las pequeñas empresas no son conscientes de la cantidad de información a la que tienen acceso sus proveedores y esto también puede suponer un grave riesgo para la seguridad. La verificación de los controles de seguridad de un proveedor debe formar parte del proceso de selección e integración. Las cosas a buscar incluyen:
- Cómo se almacenarán tus datos
- Controles de acceso para los empleados del vendedor.
- Frecuencia de evaluación de riesgos del vendedor
- Cumplimiento de la normativa de protección de datos.
- Monitoreo de empleados
Una amenaza interna puede ser un empleado actual o anterior, un proveedor de servicios, un proveedor, un contratista o cualquier otra persona que pueda acceder a sus datos confidenciales. Es probable que estas personas tengan acceso a información confidencial, a menudo con la responsabilidad de protegerla, lo que conlleva graves consecuencias si resulta que no se puede confiar en ellas. Aquí describimos algunos pasos simples que su empresa puede tomar para evitar el mal uso de los datos por parte de los empleados.
- Evaluación periódica de las vulnerabilidades
Finalmente, se deben realizar pruebas periódicas para identificar los riesgos de seguridad inminentes en su red. En este escenario, se puede contratar a terceros para que realicen las pruebas de estrés para identificar cualquier laguna en el sistema, de modo que se puedan conectar antes de que sea demasiado tarde.
¿Qué pasa si eres golpeado?
Incluso con la mejor tecnología y medidas de seguridad, a veces eres incapaz de detener una brecha. Aquí es donde entra un plan de respuesta efectivo, que le permite controlar la situación lo más rápido posible, con un impacto mínimo para usted y sus clientes.
Sin embargo, a pesar de su importancia, solo el 30 por ciento de las organizaciones tienen un plan de respuesta a la infracción, lo que podría dejarlas en una situación difícil en caso de un ataque.
Un plan de respuesta efectivo debe incluir los siguientes elementos:
- Su respuesta legal: debe describir cómo manejará los aspectos legales de la infracción, por ejemplo, informando a la Oficina de Comisionados de Información (ICO) del problema y defendiendo su negocio contra cualquier reclamo de negligencia.
- Manejo de consultas de medios: su negocio podría ser el foco de atención de los medios luego de una falla, así que prepárese para manejar todas las comunicaciones externas sobre lo que sucedió y cómo lo está manejando. Es probable que necesite experiencia profesional en relaciones públicas para hacerlo de manera efectiva.
- Averigüe qué sucedió: También deberá contar con expertos forenses de TI a su disposición para averiguar qué causó la violación, con el fin de corregir el problema rápidamente y asegurarse de que no vuelva a suceder.
- Informar a los clientes: ¡Dependiendo de su base de clientes y de la magnitud de la infracción, podría tener que hacer muchas llamadas desagradables! Deberá estar preparado para manejar esta comunicación de manera eficiente.
¿Cómo puede ayudar el seguro cibernético?
Si sucede lo peor y está enfrentando las repercusiones de una violación de datos, su última línea de defensa es una póliza de seguro cibernético especializada y estancada . Cubrirlo por incumplimiento de las leyes de protección de datos (donde esté asegurado por la ley) y su responsabilidad por el manejo de datos, también puede proporcionar cobertura para la extorsión, los costos de rectificación del sistema, más los gastos de RP y las pérdidas financieras debido al tiempo de inactividad del sistema.
Algunos aspectos clave a tener en cuenta incluyen:
- La Oficina de Comisionados de Información (ICO) puede otorgar multas de hasta £ 500,000 por incumplimiento de la Ley de Protección de Datos. La póliza de seguro cibernético de Digital Risks cubrirá los costos de notificación, los honorarios legales que defienden las medidas reglamentarias y, en algunos casos, la sanción en sí (donde esto puede ser legalmente asegurado).
- Cubrir sus gastos de bolsillo, que podrían incluir los costos de reparación del sistema, la pérdida de ingresos mientras el sistema está inactivo o incluso el pago de un rescate a los piratas informáticos.
- Cobertura para su sitio web, blogs y redes sociales, por infracción de derechos de autor o marca registrada, o difamación, etc.
Con el crimen cibernético y las fugas de datos en aumento, no es un caso de “si” su negocio se verá afectado, sino más bien un caso de “cuándo”. Ponerse al día en la escala de la amenaza y la mejor manera de proteger sus sistemas, lo pondrá en “modo preparado” y mantendrá su negocio fuera del foco cibernético.