Teletrabajo: ¿qué medidas tomar para evitar ciberataques?

La implementación del teletrabajo como medida para prevenir la propagación del coronavirus (COVID- 19) ha disparado las brechas de seguridad informática en los países en los que esta modalidad de empleo no es habitual, como en España. Según datos del Instituto Nacional de Estadística (INE), en condiciones normales solo un 7% de los empleados tiene la opción de recurrir al teletrabajo. Este porcentaje mínimo se traduce en una realidad compleja que ha hecho que la gran mayoría de empleados no tenga a su disposición las herramientas necesarias y que haya tenido que teletrabajar a través de equipos personales, que suelen ser más vulnerables a los ciberataques. Esto ha hecho saltar las alarmas en materia de ciberseguridad.

Las más afectadas, las pequeñas y las medianas empresas

¿Te imaginas que, de repente, perdieses toda la información de tu negocio o la capacidad de acceder a ella?, ¿o que controlaran los correos corporativos, suplantaran tu identidad, hicieran cargos fraudulentos en las cuentas de la empresa o, incluso, convirtieran los monitores de los ordenadores en dispositivos de vigilancia? Ser una de las empresas que sufren ciberataques es más habitual de lo que piensas. Y aún son más vulnerables las pequeñas y medianas empresas, objetivo de un 43% de las intromisiones, calcula la compañía rusa de ciberseguridad Kaspersky Lab.

Según el estudio Global Information Security Survey 2018-19 elaborado por EY mediante consulta a más de 1.400 directivos, sus mayores temores son la pérdida de información de clientes, de datos financieros y de planes estratégicos. Para evitarlo, diversos informes calculan que el gasto en ciberseguridad empresarial alcanzará los 124.000 millones de dólares en 2019 en todo el mundo. Las grandes corporaciones son conscientes de lo que se juegan e invierten, y mucho, en prevención, pero, ¿qué puede hacer una empresa de reducido tamaño para protegerse? Lo primero es concienciarse y extender su importancia a toda la organización.

Lo primero, conocer en qué situación estamos

Conocer tus riesgos. Todas las empresas, incluso las de menor tamaño, están expuestas a ataques desde el momento en que gestionan algún tipo de datos, dependen de sistemas informáticos y redes y contratan u ofrecen servicios a terceros y en la nube. Así que lo mejor es hacer una auditoría para conocer el grado de vulnerabilidad de la información con la que trabajas y el riesgo de desprotección frente a un ataque.

El Instituto Nacional de Ciberseguridad (INCIBE) propone la evaluación inicial del riesgo de seguridad de tu negocio en función de cómo utilizas la tecnología. Puedes hacer este test en pocos minutos para saber por dónde empezar a mejorar. Además, es recomendable realizar un estudio de riesgos que identifique los sistemas más importantes y los más vulnerables. Decenas de compañías prestan ese servicio.

La cuestión es realmente importante ya que 6 de cada 10 pymes víctimas de un ciberataque no lo superan y tienen que echar el cierre en los seis meses siguientes, como constata el informe de Kaspersky Lab.

¿Y cómo sé que me están atacando?

Si detectamos un tráfico de red desorbitado o un consumo de recursos extremadamente alto y constante, hay que sospechar

Hay veces que uno no se da ni cuenta de que está siendo pirateado. Incluso una estadística elaborada por Kaspersky Lab cifra en 210 días el tiempo medio que tarda una compañía en percatarse de una intrusión en su sistema.

Buscar los síntomas. Para que esto no nos ocurra hay que prestar atención sobre todo a la actividad inusual de los ordenadores. Si detectamos un tráfico de red desorbitado o un consumo de recursos extremadamente alto y que se mantiene en el tiempo, incluso cuando los equipos están apagados, hay que sospechar. Tampoco es buena señal que aumente la actividad en el disco duro de los equipos en red, ya que se puede tratar de ‘gusanos’ que, una vez instalados, realizan operaciones de escaneo en los discos de los ordenadores.

Bucear en los informes de amenazas. Hay que desconfiar del incremento de solicitudes de conexión detenidas por el cortafuegos y que provienen de una misma dirección. Ahí no hay que dudarlo y bloquear de forma inmediata esa IP. Quizás busque bloquear el equipo.

Controlar el spam. En cuanto al correo, una señal de alarma clara es que nos convirtamos de pronto en emisores de spam y receptores de grandes cantidades de correo basura. Tampoco hay que dejar pasar los errores o fallos de los sistemas de autentificación de contraseñas. Esa puede ser la señal de que se han instalado algún tipo de programas espía que intenta cambiar las claves de entrada a los programas o incluso al sistema.

Las personas: el filtro esencial

Todos somos una amenaza interna para nuestras empresas. ¿Sabías que el 95% de las incidencias en ciberseguridad se deben a errores humanos? Así se pone de manifiesto en un informe elaborado por investigadores en seguridad de IBM.

Implicar a los empleados. Es esencial que los trabajadores y colaboradores de la empresa estén concienciados de los riesgos y que se sientan la primera barrera de seguridad. Cualquier sospecha debe comunicarse al departamento o encargado de seguridad informática. Hay que animar a los trabajadores a ser cuidadosos antes de realizar determinadas tareas.

Ojo con lo que abres. Atendiendo al estudio realizado por la empresa de ciberseguridad Symantec sobre las amenazas a la seguridad de Internet, un 54,6% de los correos que recibimos son spam y cada usuario sufre una media de 16 emails maliciosos al mes. Los correos que aparezcan con un remitente desconocido o extraño, escritos con faltas de ortografía o que lleguen sin firma deben levantar las alertas.

Cuanta menos control de accesos, mejor

“Al igual que controlamos el acceso en el mundo físico para entrar en edificios o en sus dependencias con sistemas como tornos de entrada, tarjetas cifradas, guardias de seguridad o videovigilancia, en el mundo digital controlar el acceso a los recursos de información de la empresa es la primera forma de protegerlos. Identificar quién puede acceder a dónde y para hacer qué es básico y esencial”, resaltan en el INCIBE.

No es que haya que desconfiar por regla general de la buena fe de los trabajadores, si no que cuantas menos personas tengan acceso a información sensible o conozcan las claves para determinados servicios, menor será la posibilidad de filtraciones (voluntarias o involuntarias).

Almacenar siempre y hacerlo en dispositivos diferentes

“Las copias de seguridad son la forma de recuperarse de casi cualquier incidente y no deben faltar en cualquier pyme que quiera sobrevivir a un ciberataque”. Así de tajantes se muestran en el Decálogo para la pyme cibersegura del INCIBE.

Cómo hacer bien las copias de seguridad. Desde la patronal de las pymes (Cepyme) y Unespa (que agrupa a las aseguradoras), recomiendan organizar una copia de seguridad frecuente de los datos —preferentemente diaria— en soportes independientes de los sistemas de información, verificar periódicamente que estas restauraciones funcionan y evitar localizar las copias de seguridad en el mismo sitio donde se almacenan los sistemas y datos a proteger. Es preferible utilizar diferentes soportes para archivar los backups. La nube es más segura que un ordenador, pero no está de más guardar también las copias en discos duros externos que no estén conectados a la red de la pyme.

Las contraseñas: en la variedad está el gusto

La creación de contraseñas de calidad también es esencial. Generalmente se aconseja el uso de signos de puntuación, símbolos, letras y números al mismo tiempo De hecho cada vez más servicios o herramientas exigen que las claves tengan esas características. No está de más utilizar algún sistema de doble verificación que requiera, por ejemplo, recibir una clave por correo electrónico o al teléfono. Tampoco es aconsejable utilizar la misma clave para acceder distintos servicios.

Es cada vez más común que requieran que se renueven periódicamente, cada tres o seis meses. Si no te quieres hacer un lío, puedes utilizar un gestor de contraseñas al que puedes acceder mediante una clave única.

Más vale prevenir: herramientas de protección

El INCIBE recomienda mantener actualizado el software, tanto de los equipos como de los dispositivos móviles para subsanar posibles vulnerabilidades

Antivirus y cortafuegos. Los atacantes suelen utilizar software especialmente diseñado para dañar o infiltrarse en los sistemas, sin el consentimiento del usuario, llamado malware. “La seguridad antimalware en las empresas debe aplicarse a la totalidad de los equipos y dispositivos corporativos, incluidos los dispositivos móviles y los medios de almacenamiento externo como USB, discos duros portátiles, etc.”, recuerdan desde el Instituto de Seguridad Informática. La guía de prevención de riesgos cibernéticos lanzada por Cepyme y Unespa destaca como medios de protección los antivirus y cortafuegos, que son la base de la seguridad indispensable de todos los sistemas de información.

Detección de accesos. La guía también recomienda herramientas de filtrado tipo Sistema de Detección de Intrusiones (IDS) y Sistema de Protección de Instrusiones (IPS), que filtran las entradas y salidas para detectar y descartar algunos accesos maliciosos, y los programas de detección del comportamiento que permiten localizar amenazas no filtradas previamente con el análisis de descargas y otras acciones sospechosas.

Estar al día

No subestimes la importancia de las actualizaciones de sistemas, dispositivos y aplicaciones. Cualquiera de ellos es susceptible de tener fallos de seguridad en su diseño, es decir vulnerabilidades, por lo que el fabricante va lanzando actualizaciones y parches que corrigen estos fallos. En el INCIBE recomiendan mantener constantemente actualizado y parcheado todo el software, tanto de los equipos como de los dispositivos móviles para mejorar su funcionalidad y seguridad, evitando riesgos como el robo de información, pérdida de privacidad, perjuicio económico, suplantación de identidad, etc. Especialmente relevante es la actualización de las mencionadas herramientas de protección y del sistema operativo. Es tan fácil como tener activada la actualización automática de software en todos los dispositivos.

Y en caso de ataque, denuncia

Tanto si se trata de un ataque probado como si es solo una sospecha, “la empresa deberá recoger pruebas informáticas mediante comprobaciones técnicas”, recuerdan los expertos en la guía de Cepyme. Si la agresión de la cual ha sido víctima tu empresa constituye una infracción a las tecnologías de la información y las comunicaciones, no lo duces, debes denunciarlo en la comisaría de Policía o ante una autoridad judicial.

Hacerlo es obligatorio si, según consta en el Reglamento General de Protección de Datos 2016/279 (RGPD) de la Unión Europea, se trata de organizaciones que gestionan datos de carácter personal de ciudadanos europeos. En este caso deben informar de los ataques informáticos en un plazo de 72 horas.