Con la implementación de medidas de seguridad muy sencillas, hoy día las empresas pueden mejorar su status de protección. El especialista en seguridad informática, Miguel Ángel Gaspar, compartió algunas recomendaciones que los tomadores de decisiones deben tener en cuenta para proteger su información de algún ciberataque.
1. La cabeza decide: es importante que la alta gerencia se involucre directamente en la toma de decisiones para propiciar un ambiente ciberseguro.
2. Sincerar la situación: el primer paso es siempre sincerar la situación de la empresa, dónde están los datos críticos, quién los administra, cómo se trata la información corporativa.
3. Elegir un marco de referencia: existen muchas buenas prácticas que permiten tener un marco de referencia para orientar los esfuerzos. Por ejemplo, los Controles CIS de Ciberseguridad constituyen una buena forma de empezar, medible, entendible y con foros de expertos en todo el país.
4. Identificar los activos críticos: los activos digitales, así como los activos físicos, son la base de las campañas de ciberseguridad que se puedan implementar. Hoy, que vivimos una “Appdemia” este paso es fundamental para saber dónde reside nuestra información crítica.
5. ¿Quién es el Data Owner?: el “dueño de los datos” es la persona, física o jurídica, sobre la que recae la responsabilidad de modificar las tres propiedades de la información, la integridad, la confidencialidad y la disponibilidad. La empresa debe asegurarse que esta persona sea la legal y técnicamente señalada para tal fin.
6. ¿Backup o Continuidad del Negocio?: hoy el backup o respaldo de datos es necesario, pero no suficiente. Las empresas deben gestionar, y probar su backup, y pensar en implementar un Plan de Continuidad del Negocio, es decir, medir cuánto tiempo puede estar abajo, cuánto le cuesta eso y de qué manera seguir ante una contingencia.
7. Apostar por capacitar tanto equipo de TI, como al resto de la empresa: el equipo de TI es fundamental para la empresa digital. Invertir en capacitarlos, en que entiendan el funcionamiento del ciberespacio en línea con el negocio va a ser un factor diferenciador corporativo y más aún si en este proceso se involucra a todas las partes, generando una cultura empresarial de ciberseguridad.
8. Lo que no se prueba, no sirve: se deben hacer simulacros. El backup se debe probar, hay que entrenar a todos los funcionarios y simular ciberataques, phishing, y medir las reacciones.
9. Un problema de ciberseguridad es un problema reputacional: cuando una empresa tiene un incidente cibernético, tiene un problema reputacional. Alinear las buenas prácticas internacionales a las mejores decisiones en estas contingencias hacen que la compañía se recupere más rápido.
10. El Ransomware no tiene mitigación: uno de los más graves actores de amenazas es el vector de ataque de Ransomware, el secuestro de datos. Esto no tiene contingencia y, si no tuvimos en cuenta todos los puntos anteriores, podemos caer en la tentación de negociar con delincuentes ante la imposibilidad de recuperarnos.