Las claves de la ciberseguridad: concienciación, protección y respuesta
La ciberseguridad es para las empresas mucho más que una cuestión de futuro o una de las facetas de la transformación digital; es una necesidad vital de la que ningún proyecto de emprendimiento está exento, pues de ella dependen los activos de la compañía, su operatividad y la misma privacidad de sus empleados y clientes. La creciente sofisticación de los ciberataques obliga a una carrera constante contra las cada vez más rápidas mutaciones del malware, los fraudes por Internet y los asaltos a centrales de datos.
Impulsa Empresa ha tenido la oportunidad de hablar con José Rosell, socio director de S2 Grupo, una de las referencias en materia de seguridad digital. El experto ofrece unas directrices claras a la hora de abordar los blindajes para luchar contra la ciberdelincuencia: “saber quiénes somos, qué hacemos y qué tenemos de valor, para poder protegerlo”.
Índice
- Diseñar una política de ciberseguridad
- Definir qué se quiere proteger
- Protección, detección y respuesta
- Copias de (verdadera) seguridad
Diseñar una política de ciberseguridad
Rosell pone énfasis en la identificación del proyecto mismo con las tareas de protección de su patrimonio digital: “Una política de seguridad dice quiénes somos y qué tenemos de valor, especialmente en cuanto a activos digitales”, sostiene.
Una política que, para Rosell, tiene que “marcar el rumbo” y mandar un mensaje claro al personal y a los clientes, tanto presentes como potenciales. “Si tenemos información sensible de personas, tenemos que transmitir que nos preocupamos por ello”, explica. “La política de ciberseguridad tiene que determinar lo que hay que proteger, analizando los riesgos y estableciendo los marcos de actuación”. Es, por tanto, el “documento clave” para empezar a trabajar en el desarrollo de la gestión de los protocolos de detección y respuesta, de modo que un incidente no inicie una escalada hasta convertirse en un trastorno crítico.
Definir qué se quiere proteger
Hay tantos enfoques de seguridad digital como sectores de actividad, ya que los bienes no son los mismos y las salvaguardas, tampoco: “Si la compañía se dedica a la I+D, tendremos bajo nuestra responsabilidad patentes y doctorados; en otras ocasiones, como es el caso del área de las manufacturas, serán sistemas de control industrial”. En este sentido, debemos “saber qué tipo de compañía somos para inventariar los activos que debemos proteger, pues en base a ese conocimiento diseñaremos la política de ciberseguridad”, expone Rosell.
Una vez esclarecidos los activos a proteger, los recursos y las prioridades, toca implicar al capital humano en la causa: “Concienciar a nuestros compañeros es fundamental, una de las mejores inversiones posibles en materia de protección”.
Protección, detección y respuesta
Los medios básicos de protección, según nuestro interlocutor, “se presumen, como el valor en un soldado”. Sin embargo, ni el antivirus ni el firewall son garantía de nada si los centinelas no están en su puesto. “Los sistemas de vigilancia tienen que estar activados 24 horas al día, siete horas a la semana”. Una detección temprana es clave para la gestación de una respuesta eficiente.
Esta respuesta depende también de conocer de antemano el impacto que el incidente puede tener sobre la actividad productiva. Por otro lado, Rosell subraya que la reacción no es sólo una cuestión técnica, sino de dirección: “Toda la empresa tiene que responder, no sólo el departamento informático”.
El profesional opina que, en estos tiempos en que el trabajo en remoto y las herramientas de teletrabajo se han generalizado, es más importante que nunca que los accesos tengan todos los filtros posibles: “Por una parte, una VPN que garantice que la información que viaja por internet esté cifrada; y por otro lado, un doble factor de autenticación que permita que el usuario y contraseña que nos pueden robar no sean suficientes para acceder a nuestros activos en el caso de que nos los sustraigan”.
A este respecto, el director de S2 Grupo considera que una política fuerte de contraseñas en la empresa es otra de las columnas maestras de su visión de la ciberseguridad y recuerda que, para ser “robusta”, debe contener “al menos 14 ó 15 caracteres diferentes”.
Copias de (verdadera) seguridad
“Muchas empresas han tenido incluso que cerrar sus puertas a causa de la poca atención a esta medida”, advierte nuestro entrevistado. Una copia de seguridad -de auténtica seguridad- no es, en modo alguno, una simple replicación de datos que se guarda en un disco duro. “Eso ya lo saben los malos, y van a descifrar esa copia” -previene-, “una respuesta adecuada a la incidencia incluye la garantía de poder recuperar la copia, y poder hacerlo a tiempo”.
Por consiguiente, la política corporativa tiene que marcar cómo se realiza la copia, durante cuánto tiempo hay que mantenerla y dónde hay que almacenarla. Según Rosell, esta no puede estar en línea, “sino en una ubicación segura que garantice el cumplimiento de la Ley Orgánica de Protección de Datos (LOPD)”. La copia de seguridad, remarca el experto, “es nuestra garantía de poder continuar el negocio en caso de un incidente grave”.
Consejos que se completan recordando la importancia del comportamiento y observar el adecuado cuidado al usar la tecnología, junto con la necesidad de estar informado sobre la actualidad del sector cibernético e ir analizando regularmente el nivel de seguridad de la infraestructura de la compañía.
