Por Javier Luna, director de Ingeniería y Preventa de Optimiti Network México
¿Por qué la seguridad de la información que manejan las compañías es un tema que debe preocupar a todos? De acuerdo con un estudio de la agencia de análisis Lockton, México tiene el tercer lugar mundial en número de ciberataques, lo que representa que siete de cada 10 empresas mexicanas han experimentado un incidente relacionado con la seguridad de la información, desde pequeñas hasta grandes organizaciones.
Por otro lado, la firma Verizon señaló en su último reporte que una de las tácticas de los ciberatacantes más usadas es el phishing, con varios ejemplos de phishing destacándose, como el ataque conocido como ‘fraude del CIO’.
Ese ataque consiste en que a la persona responsable de finanzas de la compañía le llega un correo que pareciera ser del CIO, en el que le pide de manera urgente hacer una transferencia de dinero. Al ver que es un correo “válido”, hace la transferencia, pero después se da cuenta de que el CIO jamás envió ese correo. Es un tipo de ciberataque que se está volviendo común entre las compañías.
Ahora el phishing se ha extendido no sólo vía correo electrónico, también puede hacerse mediante llamadas telefónicas, mensajes SMS y apps de mensajería instantánea, entre otros canales.
Aunque cada vez hay más estrategias de prevención de ciberataques, aún falta mucho para que las empresas construyan una verdadera cultura de seguridad de los datos, que es uno de los activos vitales de los negocios. Se sigue creyendo también que la responsabilidad de la seguridad de la información sólo debe recaer en el área de IT o en el personal de sistemas, sin embargo, es de todos.
Estas son las 5 recomendaciones que toda organización debe seguir para contar con una verdadera cultura de seguridad digital:
- Capacitar al equipo
Debes capacitar e implementar estrategias de concientización a todos los empleados, directivos y colaboradores. El entrenamiento debe ser constante, enseñar cómo defenderse ante el phishing y no sólo sea esporádico o reactivo, sino que la capacitación ayude a desarrollar la conciencia de prevención y esté en el ADN del negocio.
- Ser proactivo, no preventivo
Los responsables de seguridad de la información de tu compañía deben estar capacitados y preparados para la materialización de un incidente y no pensar solamente en cómo prevenirlo.
Se han desarrollado estrategias en los últimos años sobre la prevención de ciberataques, sin embargo, la especialización de los delincuentes es cada vez mayor, por lo que esa táctica ya no es suficiente y ahora debe cambiarse el enfoque a ser proactivos y mejorar las capacidades de detección de incidentes.
Los expertos señalan que actualmente pueden pasar en promedio 90 días antes de darnos cuenta que hemos sido comprometidos, por lo que reducir este tiempo es una prioridad, para lo cual el incorporar en las arquitecturas de seguridad actuales tecnologías que se basan en la premisa de la detección y respuesta, (como son las plataformas de análisis de comportamiento de usuarios o el enfoque del deception) es altamente recomendable.
- La seguridad es más que tecnología
Una estrategia de seguridad no se basa solamente en tecnología. Un buen plan de protección incluye personas, tecnología y procesos con el fin de tener un ecosistema robusto. Las organizaciones deben implementar procesos que sirvan de guía para garantizar una operación estandarizada y que cumpla con normas, estándares y/o leyes aplicables. También es importante que consideres como parte del desarrollo de una estrategia de ciberseguridad completa, el entrenar constantemente a directivos y empleados. Con estos tres elementos podrás gestionar de una mejor manera el riesgo.
- Proteger los datos personales
El tema de protección de datos es una obligación tanto de empresas como del gobierno que debe implementarse en todo el país. Por esta razón, es importante que desarrolles políticas de protección de la información de empleados, clientes, proveedores y toda aquella persona relacionada con el negocio, para garantizar la privacidad y el manejo adecuado de sus datos personales. Con esto, podrás evitar o reducir problemas con las normas federales.
- Regresar a lo básico
Actualmente hay modelos exitosos que están regresando a los orígenes de la seguridad de la información, como el modelo Zero Trust, desarrollado por Forrester, el cual se basa en no confiar en nadie.
Optimi desarrolla la solución 3D Zero Trust, bajo dos premisas fundamentales en seguridad de la información: el “need to know” y “least privilege”, que significan que los empleados únicamente deben de contar con acceso a la información que su rol requiere y con privilegios limitados para ejecutar únicamente las acciones o tareas para desempeñar su trabajo.
