Con motivo del Día Mundial de la Seguridad Informática, hablamos sobre cómo podemos implantar servicios premium de ciberseguridad en la mediana empresa para que pueda estar a altura de la seguridad de las grandes compañías.
Índice de contenidos:
- Panorama nacional respecto a ciberataques
- Falta de concienciación en seguridad informática
- Seguridad informática: Primeros pasos de una pyme
- Servicios gestionados: la ciberseguridad de la pyme
- 5 puntos clave para securizar una pyme
Panorama nacional respecto a ciberataques
Según fuentes del Instituto Nacional de Ciberseguridad, España es el tercer país que más ciberataques sufre (detrás de EEUU y Reino Unido). En 2017 INCIBE resolvió un total de 123.064 incidentes de seguridad, un 6,77% más que 2016.
Si somos atacados es porque somos “atractivos” y “facilones”. España tiene una fuerte infraestructura de comunicaciones, sin embargo, nuestro grado de madurez en protección y concienciación aún no son muy elevados. Como consecuencia de ello, se abren dos vertientes para los “atacantes”: nos usan para atacar otros destinos y nos atacan para robarnos.
Falta de concienciación en seguridad informática
Día Mundial de la Seguridad Informática, “¡guau! qué pasada…”, me dice un compañero de IT cuando se entera de que existe un día dedicado a “esto” de la seguridad informática. “No pensaba que ya se hubiera hecho tan relevante el asunto como para ponerle un día internacionalmente”, me comenta.
Pues bien, aún “flipa” más cuando le digo que es desde el año 1998 (ya 20 años) cuando se celebra, ¡sí, señor!, y en muchos casos seguimos como si estuviéramos en la misma década.
Hace unos años (3 o 4) utilicé un informe de Cisco donde se decía que durante los últimos 10-12 años somos igual de torpes a la hora de reaccionar ante una amenaza, y visto lo visto, reunión tras reunión en estos tres últimos años de mi actividad como consultor, reafirmo esa frase y la apuntalo introduciendo el valor de la experiencia encontrada, que además de igual de torpes, en muchas ocasiones tenemos la misma preocupación que antes, tendente a cero.
Y para acompañar esta reflexión, me gustaría compartir con vosotros el entusiasmo que me invade cuando últimamente en 3 de cada 5 reuniones en las que se trata de seguridad IT en compañías medianas (mucha pyme española), ya sí se tiene claro a quien le ha caído el “marrón” de ocuparse de la seguridad IT de su empresa. A la persona elegida, en muchas ocasiones, no le hace mucha ilusión, pero que se haya asignado esta responsabilidad, ya es un gran adelanto.
Aunque esto no suele reflejarse económicamente. De ese porcentaje de compañías, el 50% no han asignado partida presupuestaria para dicho cometido. Comprensible, ya que no tienen mucha idea de cómo comenzar o bien realmente creen que es más una obligación corporativa que un posible valor para su propio negocio.
Seguridad informática: Primeros pasos de una pyme
Como decía mi abuela: “¡Menos es na’!”. Comenzamos a trabajar con esa compañía mediana y su responsable en seguridad asignado. Nos encanta ver cómo nos escucha. Ávido de que alguien le entienda y le haga caso, empatizas tanto con él que realmente te conviertes en su compañero de fatigas.
Comienzas con los básicos:
- Hay que hacer una foto de la situación actual, lo que se traduce en una Auditoría de Seguridad IT que nos permita vislumbrar los niveles de seguridad aportados por la arquitectura que está operando y los procesos que lo acompañan.
- Poco después, y como fase primordial, se debe realizar un Test de Vulnerabilidades de casi todos los servicios.
- Y, seguramente, un Test de Penetración sobre aquellos servicios que son clave en los procesos de producción de la compañía, para profundizar en el análisis.
Como resultado obtenemos un perfecto Plan Director de Seguridad, o, como mínimo, un borrador del mismo. Un documento donde declaramos la situación presente y la declaración de intenciones de mejora de los sistemas y procesos de seguridad que implantaremos en unos años vista (por ejemplo, tres).
Con esto, el responsable de IT ya tiene algo con lo que subir a dirección para pedir partida presupuestaria, y un argumento claro por el impacto en el negocio que tiene el riesgo que ha descubierto. Sí, sí, el riesgo que ha descubierto. Porque realmente esas 3 de cada 5 compañías, es que ni siquiera conocían el riesgo al que está expuesta diariamente su empresa.
Servicios gestionados: la ciberseguridad de la pyme
Después de esas fases, en las que cuesta “evangelizar” que es necesario acometer el estudio antes de apilar tecnología de defensa, ya nos encontramos con material con el que trabajar y poder realizar las adecuaciones necesarias:
- Implantación de equipamiento,
- Servicios específicos de ciberseguridad y
- Cibervigilancia,
- Procesos y servicios de respuesta ante incidentes, etc.
Son operaciones que las compañías pymes ven muy lejanas, como si fuera un tema exclusivo de las empresas del IBEX (realmente ha sido así hasta hace unos pocos años). No obstante, en la actualidad, muchas compañías hemos construido servicios gestionados que nos ofrecen economías de escala para poder proveerlas a las medianas, y así transformar sus capacidades en las mismas. En ocasiones, tengo que admitir que incluso mayores que las de una de esas que juegan en la liga del IBEX.
No debemos asustarnos cuando se habla de que en las pymes hay que implantar productos y servicios destinados a:
- Alerta temprana de ciberataques
- Respuesta y remediación ante incidentes
- Vigilancia digital para reaccionar ante un impacto o, incluso, anticiparse al mismo.
Las actuales compañías de servicios de ciberseguridad, estamos amoldando nuestros servicios para esa banda de compañías que suponen más de un 80% en España. Llevamos servicios premium de ciberseguridad a las compañías que lo necesitan y que creían imposible tenerlo hasta ahora.
Además, si a todo esto le incorporamos la capacitación de los responsables de las compañías, a través de planes de formación específicos (hacking, gestión y buenas prácticas, etc.) y, además, sesiones de concienciación para sus empleados y, mejor aún, para sus directivos, la cosa comienza a rodar.
5 puntos clave para securizar una pyme
Con toda esta reflexión, y para hacer una recopilación, escribamos una primera receta con cinco puntos claves:
1. Conoce el riesgo de tu compañía
Realiza una auditoria de seguridad IT y úsala para mapear riesgo de negocio con flaqueza de tus sistemas IT.
2. Optimización y restabilidad (imprescindible)
Utiliza ese informe para que la dirección de tu compañía determine claramente el valor que tiene la mejora de la seguridad en los sistemas y procesos.
3. Implementación a la altura
Afronta cada una de las prioridades incorporando equipamiento específico. Y no te olvides de acomodar el proceso que lo acompaña y de gestionarlo. No implantes herramientas que no vayas a poder gestionar.
Si estás en esa tesitura, de no tener recursos para gestionarlo, apuesta por un servicio gestionado de una compañía especialista en ello. La fortaleza no es la infraestructura que implantes, un porcentaje muy alto se debe a “cómo la gestionas”.
4. Fórmate y forma a tu compañía
Ten conocimientos, al menos base, que te dejen ver las cosas con perspectiva. Y conciencia a los empleados y directivos de tu compañía, ellos son “el eslabón más débil”. Además, si el director está al corriente, él sabrá tu cometido y te asignará partida presupuestaria para llevar a cabo lo necesario. La formación en ciberseguridad es imprescindible.
5. Ciberseguridad para todos
No te limites en el pensamiento de “esta tecnología es para las grandes compañías”, eso era en otra década. Habla con especialistas y acomoda el servicio que necesites, en la actualidad, con la explosión del Cloud y la transformación digital, casi todo se puede ofrecer en modalidad “aaS”o “Managed”.
Quizá te interese:
Ciberseguridad para pymes: Principales retos
Seguro de ciberriesgos: protección financiera para las compañías
5 cuestiones que te ayudarán a fortalecer la seguridad del endpoint
Securiza tu negocio con servicios de ciberseguridad en la nube
