Buenas prácticas para proteger tu empresa de ciberincidentes
- Seguridad
Cualquier empresa, tenga el tamaño que tenga, debe tomar las medidas necesarias para preservar su competitividad y supervivencia frente ataques o incidentes cibernéticos. Estas pasan por concienciar y formar a todo el personal, protegerse contra el malware, y utilizar el correo electrónico de forma segura, entre otras.
Todas las empresas, incluso las de menor tamaño, están expuestas a los riesgos cibernéticos. Todas gestionan datos de carácter personal, dependen de sistemas informáticos y redes, contratan servicios a terceros y en la nube, generan y protegen su propiedad intelectual y, además, están sujetas al cumplimiento de una normativa sectorial, local, nacional y europea.
Para afrontar esta situación, puedes confiar en una aseguradora, cuyo trabajo es la gestión de riesgos y, por esta razón, puede ayudar a tu empresa a hacer frente a estos nuevos retos, pero también puedes aplicar una serie de buenas prácticas que te permitirán proteger tu empresa de incidentes cibernéticos, minimizar su impacto y garantizar la recuperación de aquello que haya resultado, como las recogidas en la guía “Ciberriesgos: su impacto en las pymes”, elaborada por CEPREVEN, CEPYME y UNESPA.
La ciberseguridad de tu empresa depende de un análisis de los nuevos riesgos y la implementación de una política de gestión de esos riesgos. Según la guía, esta política debe basarse en tres pilares: factores humanos y organizativos, herramientas de protección y capacidad de recuperación mediante herramientas de resiliencia.
Respecto al primero, toda política de prevención requiere que la gente sepa qué actitud tomar ante los riesgos cibernéticos. Por eso, tanto el personal de la empresa como los subcontratistas y prestadores de servicios deben estar formados sensibilizados en la aplicación de las normas y las buenas prácticas. A ello se suman factores organizativos, como garantizar la seguridad del acceso físico y remoto, mediante contraseñas individuales, secretas y fuertes; evitar la utilización de aparatos personales (USB o discos duros externos), así como los accesos remotos o móviles no protegidos; establecer una política de utilización segura del correo electrónico; y actualizar programas y aplicaciones de operación, gestión, proceso y producción.
En cuanto a las herramientas de protección, destacan los antivirus y cortafuegos, que son la base de la protección indispensable de todos los sistemas de información; las herramientas del tipo de Sistema de Detección de Intrusiones (IDS) y Sistema de Protección de Intrusiones (IPS), que filtran las entradas y salidas para detectar y descartar algunas intrusiones maliciosas; y las herramientas de detección del comportamiento, que detectan las intrusiones maliciosas no bloqueadas con el análisis de descargas y otras acciones sospechosas.
Finalmente, es preciso implementar un plan de respuesta a incidentes y de continuidad del negocio, que debe incluir cómo calificar los datos, sistemas y aplicaciones críticas en términos de sensibilidad, confidencialidad o privacidad; aplicar un procedimiento de gestión de crisis en caso de ataque; y designar a los colaboradores y asignar tareas de urgencia.
