Compartimos un conjunto de buenas prácticas para que pymes y autónomos apliquen de forma concienzuda y sistemática para protegerse ante posibles incidentes de ciberseguridad.
Los ciberdelincuentes pueden lanzar campañas dirigidas a empresas no solo para desinformar y causar distorsión en los mercados, sino con la intención de distribuir malware, extorsionar a través del ransomware, robar información, credenciales o información bancaria (phishing) o atacar a la disponibilidad de los sistemas. Por ello, es importante mantener y reforzar la formación y sensibilización a los empleados para que aprendan a detectar y proteger a la empresa de estas amenazas, en particular de las que utilizan la ingeniería social.
Para reducir el riesgo de que tu empresa sufra un incidente de seguridad, sigue estas buenas prácticas:
CONTRASEÑAS Y CONTROL DE ACCESO
Se recomienda cambiar todas las contraseñas por defecto y deshabilitar servicios que no soporten factores de autenticación adicionales o que empleen contraseñas débiles o por defecto.
Siempre se han de utilizar contraseñas robustas para acceder a los servicios corporativos, incluidas redes sociales, y cambiarlas con frecuencia. Evitar reutilizar contraseñas y habilitar doble factor de autenticación si es posible con tokens resistentes a la suplantación de identidad, como tarjetas inteligentes y claves de seguridad FIDO2 (Fast IDentity Online). Debemos controlar el acceso de terceros a nuestros sistemas para prevenir y detectar posibles ataques del tipo fraude de BEC (Business email Compromise) en los que si alguno de nuestros proveedores ha sido hackeado o ha sido víctima de phishing, puede ser utilizado como vehículo de entrada para vulnerar nuestros sistemas. Se recomienda revisar los accesos externos e incrementar la monitorización y vigilancia para anticiparse a posibles fallos o ataques debido a estas circunstancias.
CORREO ELECTRÓNICO, LLAMADAS Y MENSAJES
Ante correos electrónicos de remitentes desconocidos, se recomienda extremar las precauciones, ya que puede tratarse de comunicaciones fraudulentas.
Los remitentes de los correos electrónicos pueden estar falseados. Es necesario saber identificar este tipo de comunicaciones para evitar caer en el fraude.
Si un correo incluye enlaces externos a páginas web o documentos adjuntos, se recomienda extremar las precauciones, y analizarlos con herramientas en línea o con el antivirus del dispositivo.
El correo electrónico no es el único canal de comunicación que utilizan los ciberdelincuentes. Las llamadas telefónicas, aplicaciones de mensajería instantánea como WhatsApp, SMS y redes sociales también son utilizados como canales de phishing o para la distribución de malware.
Como precaución, ante solicitudes que requieran la modificación o comunicación de datos bancarios, se recomienda verificar siempre la procedencia de esa solicitud por un canal de comunicación alternativo y confiable.
SISTEMAS Y REDES
Todos los dispositivos de la empresa, incluso los móviles, contarán con herramientas antimalware instaladas y actualizadas.
El sistema operativo de los dispositivos de la empresa, así como las aplicaciones que tienen instaladas, estarán siempre actualizadas a la última versión disponible que subsane las vulnerabilidades conocidas. Se priorizará la actualización cuando afecte a vulnerabilidades de severidad crítica y alta. Los ciberdelincuentes aprovechan vulnerabilidades del software, equipamiento de red o servicios en la nube de uso general en las empresas como vía de entrada para el acceso a información sensible o confidencial o para causar caídas del servicio, por lo que se recomienda mantener los activos tecnológicos actualizados y configurados para evitar intrusiones y otros incidentes que puedan afectar a la disponibilidad.Si tienes una página web o una tienda online, verifica que cumples la legislación y que la proteges para evitar errores de configuración o de desarrollo que puedan provocar incidentes. Recuerda que has de verificar la seguridad tanto si la alojas en servidores propios como si contratas el servicio. Revisa que tus servidores web están a salvo de ataques de denegación de servicio y verifica que no son controlados por botnets.
Se han de realizar auditorías periódicas y contar con sistemas de monitorización de redes y servidores, o contratar este servicio, para detectar posibles incidentes.
Se ha de tener un procedimiento actualizado de gestión de incidentes.
No menos importante es recordar que es necesario disponer de un plan de contingencia que incluya la realización de copias de seguridad en medios externos y separados, y la identificación de las entidades a dónde acudir en caso de que ocurra un incidente grave.