Decálogo de ciberseguridad para PyMEs con esquema de trabajo híbrido

• El 66% de las PyMEs mexicanas implementaron el teletrabajo a raíz de la pandemia de COVID-19.

• Este sector empresarial es un blanco fácil para la ciberdelincuencia debido a sus pocos controles de ciberseguridad.

• Guardicore brinda 10 medidas de ciberseguridad necesarias que las PyMEs deben implementar, considerando que muchas veces no cuentan con un especialista en ciberseguridad.

El nuevo modelo de trabajo remoto ha sido un gran desafío para las compañías principalmente para las pequeñas y medianas empresas (PyMEs), el 66% de las PyMEs mexicanas implementaron el teletrabajo a raíz de la pandemia de COVID-19 de acuerdo con un reciente estudio comisionado por Microsoft México; al mismo tiempo han tenido que adaptarse a trabajar desde casa y enfrentar los riesgos cibernéticos que implica esto y ser víctimas de ataques y fraudes cibernéticos.

A decir de Oswaldo Palacios, Director de Ingeniería de Ventas para México y América Latina de Guardicore, un error de las PyMEs es creer que no sufrirán un ciberataque porque no son una gran compañía. “Este sector empresarial es un blanco relativamente fácil para la ciberdelincuencia debido a los pocos controles de ciberseguridad que existen y a la falta de capacitación de personal en informática, aunado al poco presupuesto destinado a este rubro”.

Las PyMEs juegan un papel importante, éstas constituyen el 97% del total de las empresas y generan ingresos equivalentes al 23% del PIB, razón por la que salvaguardar los activos más importantes de sus compañías debe ser una prioridad ya que de sufrir un ciberataque éste puede traer consecuencias graves incluso al grado de que puedan desaparecer. Este reto se suma a la supervivencia que enfrentan día con día; la esperanza de vida de los negocios en México es de 7.8 años y varía de acuerdo con la entidad federativa, por ejemplo, es menor para los estados de Veracruz, Guerrero y Michoacán, y mayor para Querétaro, Yucatán y Baja California Sur, de acuerdo con el Instituto Nacional de Estadística y Geografía (Inegi).

“Más de una vez hemos escuchado que se eliminó información o que fue robada, esto se debe a laxas políticas de acceso a bases de datos o la inexistencia de éstas. Siempre y en todo momento debemos saber quién accede a dónde”, dijo Oswaldo Palacios, quien agregó que el robo de identidad y mal uso de datos personales es un terreno fértil para ciberdelincuentes que han encontrado un mercado económicamente atractivo en la compraventa de información.

El directivo mencionó que es muy frecuente que las PyMEs piensen que con solo tener un antivirus en sus equipos de cómputo es suficiente para estar protegidos. Sin embargo, deberá complementarse con una estrategia de ciberseguridad integral basada en microsegmentación y soportarse por una cultura de ciberseguridad, y eso incluye de manera directa a los usuarios y cómo intercambian información dentro de la compañía.

Toda la información que maneja un negocio tiene valor, no solo para el empresario, sino también para otros, como la competencia o los cibercriminales. Oswaldo Palacios dio a conocer 10 medidas de ciberseguridad que las PyMEs deben implementar, considerando que muchas veces no cuentan con un especialista en ciberseguridad.

1.- Capacitación, “la primer línea de defensa es el conocimiento” no podemos defendernos de situaciones que nos afectan sin saber su origen y como mitigarlo.

2.- Tener otras herramientas de ciberseguridad además del antivirus, existen en el mercado diferentes soluciones de visibilidad y seguridad a un costo accesible.

3.- Limitar el acceso de dispositivos propios a la red corporativa, el modelo BYOD (Bring your own device) puede ser útil, pero si no se controla se convertirá en una amenaza de ciberseguridad.

4.- Contar con un plan de recuperación de desastres, las compañías deben tener un mapa claro de pasos a seguir en caso de una contingencia, puede haber variaciones, pero al menos tener una guía de qué hacer nos ayudará cuando se enfrente una amenaza real.

5.- Evaluar los riesgos, en toda organización existe información más importante que otra, los datos críticos deben tener un tratamiento diferente y accesos controlados.

6.- No ver el departamento de informática como un gasto, cada vez son más compañías que deben su éxito a los sistemas informáticos y su correcta gestión.

7.- Elegir correctamente a los proveedores, un consultor debe responder nuestras preguntas y aclarar cualquier tema respecto de su producto o servicio, esto nos dará la pauta para saber si se contrata o no.

8.- Respaldos, adicional al plan de contingencia se debe tomar muy enserio respaldar la información; ante un ataque de ransomware puede ser la diferencia entre operar nuevamente en cuestión de minutos, y si no se tiene pueden ser horas o días.

9. -En caso de conexiones desde fuera de las oficinas se debe usar siempre una VPN, esto ayuda a controlar quien accede a la red y coloca una barrera digital hacia los activos críticos.

10.- Estar al día en actualizaciones. Todos los activos de la compañía deben contar con un programa de actualización a nuevas versiones, algunos ataques se pueden mitigar solo con tener la versión más reciente de software.

Por último, Oswaldo Palacios expresó la importancia de elaborar una Política de Ciberseguridad y revisarla constantemente para asegurarse que se ajusta a los riesgos reales, y no menos importante, si las PyMEs sospechan que su red ha sido comprometida o si observa una actividad poco habitual consulte a un experto.