Primeros pasos para mejorar la seguridad informática de una pyme

No es posible proteger correctamente aquello que no se conoce. Una organización debería comenzar identificando los activos tecnológicos que utiliza diariamente y determinando cuáles son esenciales para continuar operando.

El inventario no debería limitarse a las computadoras. También puede incluir información comercial, bases de datos, aplicaciones, cuentas de correo, archivos compartidos, teléfonos, routers, servicios externos y credenciales utilizadas para acceder a plataformas importantes.

• Equipos de escritorio, notebooks, servidores y dispositivos móviles utilizados para trabajar.

• Sistemas de gestión, aplicaciones administrativas y software necesario para las operaciones.

• Bases de datos, documentos, archivos comerciales y otra información relevante.

• Cuentas de correo electrónico, servicios en la nube y plataformas utilizadas por la organización.

• Equipamiento de red, conexiones a Internet, routers, puntos de acceso y dispositivos relacionados.

Una de las medidas más importantes consiste en asegurarse de que cada persona tenga únicamente los accesos que necesita para realizar su trabajo. Utilizar cuentas compartidas o conceder permisos excesivos dificulta saber quién realizó una determinada acción y aumenta las consecuencias de un error o una cuenta comprometida.

Cada usuario debería disponer de una identidad propia. Además, las cuentas correspondientes a personas que ya no pertenecen a la organización deberían ser deshabilitadas oportunamente.

• Evitar utilizar una misma cuenta entre varias personas.

• Eliminar o deshabilitar usuarios que ya no necesitan acceso.

• Aplicar contraseñas diferentes para servicios distintos.

• Utilizar autenticación multifactor cuando el servicio lo permita.

• Reservar los privilegios administrativos para aquellas tareas que realmente los requieren.

Realizar una copia de archivos es solamente una parte de una estrategia de respaldo. La organización también necesita saber dónde están almacenadas esas copias, cuánto tiempo se conservan y qué procedimiento debería seguirse para recuperar la información.

Un respaldo que nunca fue probado puede generar una falsa sensación de seguridad. Los archivos pueden estar incompletos, dañados, desactualizados o almacenados en un dispositivo que también resultaría afectado por el mismo incidente que los datos originales.

• Definir qué información debe respaldarse y con qué frecuencia.

• Mantener más de una copia cuando la importancia de la información lo justifique.

• Evitar que todas las copias permanezcan permanentemente conectadas al mismo equipo o red.

• Realizar pruebas periódicas de recuperación.

• Documentar quién es responsable de verificar los respaldos.

Los sistemas operativos, navegadores, aplicaciones y dispositivos reciben actualizaciones que pueden corregir errores y vulnerabilidades conocidas. Postergar indefinidamente estas actualizaciones puede dejar expuestos problemas para los que ya existe una solución.

La actualización debe realizarse de forma organizada. En sistemas importantes puede ser necesario comprobar previamente compatibilidades, disponer de respaldos y planificar una ventana de mantenimiento.

• Mantener actualizados sistemas operativos y aplicaciones.

• Actualizar navegadores y herramientas utilizadas para acceder a servicios en línea.

• Revisar periódicamente firmware y configuraciones de dispositivos de red cuando corresponda.

• Eliminar software que ya no se utiliza.

• Evitar versiones que dejaron de recibir soporte del fabricante.

La seguridad informática no depende únicamente de la tecnología. Muchas situaciones comienzan mediante correos engañosos, archivos maliciosos, contraseñas expuestas, llamadas fraudulentas o solicitudes que aparentan provenir de una persona conocida.

La capacitación permite que los integrantes de la organización identifiquen comportamientos sospechosos y sepan cómo actuar antes de tomar una decisión que pueda generar un incidente.

• Reconocer correos y mensajes sospechosos.

• Verificar solicitudes inusuales antes de entregar información o realizar operaciones.

• No compartir contraseñas ni códigos de autenticación.

• Informar rápidamente comportamientos extraños en equipos o sistemas.

• Conocer a quién recurrir cuando exista una duda relacionada con seguridad.

No todas las organizaciones necesitan implementar las mismas medidas al mismo tiempo. Una empresa pequeña que utiliza algunos equipos y aplicaciones en la nube presenta una realidad diferente a una organización con servidores propios, múltiples sucursales o información especialmente sensible.

Después de establecer los controles básicos, conviene evaluar los riesgos con mayor profundidad y definir un plan progresivo. Esto permite invertir tiempo y recursos donde realmente pueden generar mayor beneficio.

• Identificar los procesos que no pueden detenerse durante períodos prolongados.

• Reconocer qué información tendría mayores consecuencias si se pierde o divulga.

• Evaluar dependencias de proveedores y servicios externos.

• Documentar las principales medidas existentes.

• Definir mejoras por prioridad en lugar de intentar resolver todo simultáneamente.