Protocolo de ciberseguridad empresarial

✔ Nos encontramos en un momento en el que utilizar la tecnología en nuestro día a día en el trabajo nos resulta tan habitual y cotidiano, que no cuestionamos conectarnos a una wifi, imprimir un informe de nuestro ERP, enviar textos con aplicaciones de mensajería, responder correos electrónicos a personas que se encuentran físicamente a miles de kilómetros, sin muchas veces pensar en las posibles consecuencias que pudieran derivar de un mal uso o gestión.

La transformación digital está cambiando la relación entre empresas e individuos. Esta transformación requiere que las empresas estén atentas a las sanciones reglamentarias y al riesgo para la reputación, y que lo hagan, al ritmo que permite la tecnología digital. Dentro de la empresa se requiere de la vigilancia y asesoramiento profesional ante posibles sanciones reglamentarias que se pueden cometer y, además, se reaccione a la misma velocidad que permite la tecnología digital.

En todos los procesos de nuestra empresa integramos la tecnología, y esto es normal, ya que nos posibilita realizar mucho más trabajo destinando menos recursos. Esta es la parte buena de incorporar la tecnología al trabajo. Lo que se nos suele escapar es la parte menos amable, que son las consecuencias de un mal uso de la tecnología o de convertirnos en una «cibervíctima empresarial».

Las empresas tienen que cumplir con la ley y, lo que en muchos casos las empresas olvidan es que, desde 2015, el Código Penal establece que las empresas deben contar con un «Manual de Cumplimiento Penal» en el que se detallen las medidas de seguridad que se adoptan en el seno de la empresa para evitar la comisión de conductas delictivas. El código penal actual incluye conductas que se llevan a cabo mediante la utilización de tecnología y, por tanto, están sujetas a multas y penas de prisión. En estos casos, la responsabilidad podría derivarse contra los administradores y directivos de la empresa.

Ante estos llamados ciberdelitos (phising, acoso, robo de identidad, invasión de privacidad, daños informáticos…) la empresa debe establecer procedimientos que garanticen que la tecnología se gestiona de forma adecuada y con las medidas de seguridad necesarias para evitar tanto un uso inadecuado, como incurrir en alguna de las conductas delictivas que se detallan en el código penal, y tampoco está de más, ir un poco más allá y reforzar o actualizar los medios pensando en que estos procedimientos tengan la mayor vida útil posible.

La ciberdelincuencia es la gran maldición de Internet. Los responsables pueden ser personas aisladas o grupos organizados, y utilizan técnicas como el phishing, la ingeniería social y el malware de todo tipo para cumplir sus siniestros planes.

La profesionalización y proliferación de la ciberdelincuencia supone un coste anual enorme en daños que sufren muchas empresas. 

A medida que se evoluciona tecnológicamente y los dispositivos inteligentes ganan popularidad, los ciberdelincuentes disfrutan de una superficie de ataque mucho mayor: más oportunidades para romper las medidas de seguridad, lograr acceso no autorizado y cometer delitos. Las empresas pequeñas son uno de los grandes negocios de la ciberdelincuencia, por lo tanto, no deben omitir la amenaza de la ciberdelincuencia, ya que por norma general están peor dotadas de medidas de seguridad, además hay que tener en cuenta que manejan datos de interés para los ciberdelincuentes (datos de empleados o clientes, credenciales bancarias, números de seguridad social etc.)

Las empresas también pueden sufrir enormes pérdidas económicas y de reputación en caso de fuga de datos confidenciales. Pero hay algo mucho peor, el tiempo de inactividad por culpa de estos ataques.

Entender la importancia de la seguridad de datos en nuestra empresa pese al coste que inicialmente pudiera suponer será mucho menor que el que la responsabilidad jurídica que recaerá sobre la empresa por no haber tomado las medidas de protección necesarias.

El gasto empresarial en ciberseguridad se dispara exponencialmente desde los últimos 2 años debido en gran parte al empuje del «Reglamento Europeo en Protección de Datos (RGPD)». El problema también radica es que un 25% de las empresas reconoce no tener personal con las habilidades necesarias. A medida que las empresas se vuelvan más digitales se va a requerir de competencias para realizar con éxito la transformación digital.

Tenemos que tener en cuenta que el 80% de los incidentes de ciberseguridad en una empresa se deben a fallos humanos. Por lo tanto, deberemos evitar los comportamientos de riesgo. Por ejemplo:

• Uso de dispositivos externos en los equipos de la empresa.

• Uso de Redes Sociales en los equipos de la empresa.

• Mal uso de los dispositivos móviles corporativos.

• Ausentarse sin bloquear equipos o cerrar sesión.

• Descarga sin control desde correos personales o corporativos.

• Subir archivos a la nube sin cifrar.

• Mala gestión de contraseñas y permisos.

• Ausencia de copias de seguridad en el trabajo.

• Envío de correos masivos a clientes.

• No informar de incidentes o problemas con los equipos.

▸Estimado lector, ¡¡gracias por su tiempo!!