Lista de verificación de ciberseguridad para pequeñas empresas

¿Por qué las pequeñas empresas necesitan un plan de ciberseguridad?

En un mundo donde la ciberdelincuencia nunca descansa, las organizaciones necesitan un plan de ciberseguridad "siempre activo". Y para las pequeñas y medianas empresas (pymes), la necesidad es aún mayor. Los ciberdelincuentes se han ido centrando bastante más en organizaciones más pequeñas en los últimos años: en 2023, el 41 % de las pequeñas empresas fueron víctimas de un ciberataque, lo que supone un aumento respecto al 38 % de 2022 y el 22 % de 2021.

La buena noticia para las pymes es que pueden establecer una posición de seguridad sólida. Nuestra lista de verificación de ciberseguridad te ayudará a descubrir áreas de riesgo e identificar oportunidades para mejorar la seguridad de tus operaciones.

Las ciberamenazas más comunes para las pequeñas empresas

Antes de profundizar en la lista de verificación, es importante entender qué es lo que intentas mantener a raya desde el principio. El panorama de las ciberamenazas es tan amplio que no es de extrañar que las empresas pequeñas deben protegerse contra los mismos ataques que amenazan a las grandes organizaciones. Para las pymes en particular, entre las amenazas de ciberseguridad más comunes de 2024 se incluyen:

• Ransomware
• Errores de configuración de seguridad y sistemas sin parches
• Inserción de credenciales
• Ingeniería social

Sin embargo, a diferencia de las grandes empresas, cuando una empresa pequeña experimenta un ataque de ransomware o malware, o una brecha de datos, el impacto sobre su negocio puede ser mucho mayor (y bastante más dañino). Cabe destacar que el coste medio de una brecha de datos para una empresa pequeña es de 3,31 millones de dólares.

Lista de verificación de ciberseguridad para pequeñas empresas

1. Entiende tu entorno
2. Forma a los empleados
3. Implementa defensas de seguridad
4. Mantén una buena higiene de seguridad digital
5. Prepara un plan de respuesta

Entiende tu entorno

El objetivo final de los ciberdelincuentes es acceder a tus datos de alto valor. Estos datos valen bastante en los marketplaces de la dark web, por lo que es importante estudiar tu entorno para entender los distintos dispositivos y sistemas que tienes instalados y dónde residen tus datos de valor.

Prepárate para una brecha

Conocer bien tu entorno y prepararte para una brecha te permite reaccionar rápidamente si un ataque tiene éxito. En este caso, se puede aplicar el dicho "espera lo mejor, prepárate para lo peor".

A la hora de planificar, es importante tener en cuenta la rapidez de respuesta. Se trata de algo esencial, ya que la velocidad de ataque está aumentando, y los ciberdelincuentes cada vez tardan menos en robar datos. En 2023, por ejemplo, el tiempo medio de propagación de un ciberataque fue de solo 62 minutos, frente a los 84 minutos de 2022.

Evalúa el entorno de tu dispositivo, instalación y red

Las brechas de datos pueden surgir de ciberdelincuentes que se aprovechan de empleados desprevenidos o que usan su encanto para manipular a alguien y acceder a las instalaciones. Forma a tus empleados para que bloqueen y aseguren físicamente sus documentos y archivos informáticos sensibles. Del mismo modo, fomenta buenas prácticas de seguridad para los dispositivos y portátiles corporativos, que se pueden robar fácilmente si no se vigilan. Los ordenadores de sobremesa y los servidores que se dejan desatendidos y desbloqueados en áreas abiertas, zonas públicas u oficinas también son fáciles de sustraer.

Identifica tus recursos de seguridad informática

Mantener la infraestructura de una organización en funcionamiento de forma segura requiere mucho tiempo y experiencia. Es importante evaluar tus recursos actuales para determinar si tienes alguna carencia de conocimientos o personal. Si el trabajo te sobrecarga, no eres solo tú. El 59% de las empresas afirma que siente que su empresa tiene una falta de personal moderada o significativa, lo que genera riesgos adicionales para su organización.

Si la ciberseguridad siempre forma parte de tu interminable lista de tareas pendientes, probablemente sea la señal de que ha llegado el momento de buscar ayuda, ya sea creando un equipo interno específico o externalizando tus recursos de seguridad informática a un proveedor de servicios gestionados.

Forma a los empleados

El personal es el recurso más valioso de tu empresa, pero, por desgracia, también suele ser el eslabón más débil en lo que a protección contra ciberamenazas respecta. El factor humano (caer en ataques de phishing, hacer clic en enlaces maliciosos o un simple error humano) sigue provocando incidentes de seguridad. Tanto es así que, de noviembre de 2022 a octubre de 2023, estuvo implicado en un 68 % de las brechas. A continuación se presentan algunas prácticas recomendadas para ayudar a tus empleados.

Proporciona formación en materia de seguridad

Tu plantilla puede ser tu mayor aliada y recurso para proteger a tu empresa frente a las ciberamenazas. Por eso, el 72 % de las organizaciones ofrecen o planean ofrecer más formación en seguridad como parte de sus inversiones en talento y tecnología.

Cerrar la brecha de conocimientos de tus empleados proporcionando formación sobre mejores prácticas de seguridad mitigará este riesgo y ayudará a tus usuarios a proteger la seguridad de tu organización de manera activa.

Crea y aplica contraseñas seguras

Es vital utilizar contraseñas seguras para los routers o firewalls de tu organización. Lo último que quieres es que un hacker acceda a toda tu red y a todos los archivos y datos que contiene. Utilizar y aplicar prácticas de contraseña segura con tus usuarios también es esencial para evitar accesos no autorizados a tus aplicaciones, portátiles y dispositivos de software como servicio (SaaS).

Tu directiva de contraseñas debería requerir contraseñas largas y complejas con una gran variedad de caracteres. Si no se les pide lo contrario, el 78 % de las personas reutilizan la misma contraseña en varias cuentas, por lo que debes exigir a tus empleados que usen contraseñas únicas que no hayan utilizado previamente. Una forma de mejorar la eficacia de tu programa de contraseñas es exigir a los empleados que las actualicen cada 90 días.

Crea, aplica y actualiza continuamente una directiva de seguridad del personal 

Si hay algo que es constante en cualquier organización, es el cambio: hay empleados que llegan, algunos que se van y otros que cambian de puesto dentro de la empresa. A pesar de estos cambios continuos, establecer una directiva de seguridad mejora la adherencia de tu personal a las normas y los comportamientos esperados para cumplir los requisitos mínimos de seguridad informática y protección de datos.

Implementa defensas de seguridad

Las tecnologías de seguridad pueden ayudar a proteger a tu organización frente a los numerosos vectores de ataque que utilizan los actores malintencionados. Aunque muchas herramientas se pueden personalizar según tu entorno específico, hay algunos elementos universales en los que fijarse al buscar la tecnología de seguridad adecuada.

Implementa la autenticación multifactor (MFA)

La autenticación MFA es una potente forma de mejorar la seguridad de tu organización, ya que requiere que tus usuarios se identifiquen con algo más que un simple nombre de usuario y contraseña. Aunque la seguridad al elegir los nombres de usuario y las contraseñas es importante, eso no las protege frente a las actividades sospechosas de inicio de sesión. Esa es la razón por la que el 46 % de las pymes han adoptado la autenticación MFA, y se espera que esta cifra crezca.

Al adoptar la autenticación multifactor, se pedirá a tus usuarios que proporcionen otro "factor" además de sus contraseñas, como un PIN o una notificación push en el móvil desde su smartphone. Esto aumenta significativamente la probabilidad de que la persona que intenta iniciar sesión sea realmente quien dice ser. Según Microsoft Security, la autenticación MFA puede prevenir el 99,9 % de los ataques a tus cuentas.

Determina cuántas capas de seguridad implementar

La seguridad en capas es el concepto de utilizar múltiples componentes de seguridad (o capas) para proteger la infraestructura de tu organización. La práctica recomendada consiste en asegurar que cada componente de seguridad individual tenga una copia de seguridad si no detecta una amenaza. Por ejemplo, si un correo de phishing elude una tecnología de seguridad y un usuario hace clic en una URL maliciosa dentro del correo, tu producto de seguridad para endpoints proporcionaría otra capa de seguridad para detener la amenaza y proteger tu organización.

Cada capa de protección adicional importa. La mayoría de las organizaciones deberían incluir un firewall, gestión de parches, protección de endpoints, filtrado de contenido web y de correo electrónico, y autenticación multifactor. Determina cuáles de estos factores faltan en tu estrategia de seguridad en capas y planifica adoptar aquellos que respalden tu entorno informático.

Implementa limitaciones de acceso de los empleados a las instalaciones de datos y software

Otra práctica recomendada es limitar quién tiene acceso a los datos de alto valor de tu organización. Establecer una directiva de control de acceso te ayudará a establecer directrices que definan quién puede acceder a los datos y recursos de tu empresa. También querrás limitar el acceso a instalaciones de software, como, por ejemplo, hacer que solo ciertos usuarios tengan acceso a aplicaciones como tu software de gestión de las relaciones con los clientes (CRM), que incluye los datos de contacto de tus clientes.

Implementar el control de acceso basado en roles (RBAC) te ayudará a garantizar que solo los usuarios autorizados puedan acceder a los datos y al software. En resumen, el RBAC permite darles acceso a los empleados únicamente a los datos, tareas y aplicaciones que necesiten para sus funciones y roles.

Instala software antivirus en todos los dispositivos

Proteger los ordenadores de sobremesa, portátiles y dispositivos móviles de tus usuarios (es decir, tus endpoints) frente a malware, ransomware y otras amenazas siempre ha sido una práctica de seguridad importante. Y teniendo en cuenta el gran aumento del trabajo remoto e híbrido, adoptar el software antivirus (a menudo denominado "protección de endpoints") es más importante que nunca, ya que tus endpoints pueden servir como puertas de entrada para que los ciberdelincuentes accedan a la red de tu empresa.

Mantén una buena higiene de seguridad digital

Haz copias de seguridad de los datos continuamente

En caso de que un ciberataque tenga éxito, las copias de seguridad suelen ser "el as bajo la manga" de la organización, ya que el daño puede revertirse restaurando la máquina o los sistemas afectados a la última copia de seguridad.

Tener copias de seguridad de datos frecuentes y fiables es una práctica importante de TI que deben adoptar las pymes. Así, pueden prevenir daños a largo plazo por la pérdida de datos debido a un incidente de seguridad, una eliminación accidental o un desastre natural. Las copias de seguridad de datos aseguran que tengas una copia completa de tus sistemas lista para restaurar, sin importar el motivo de la pérdida.

Actualiza el software y aplica parches en los sistemas

Las pymes deben estar preparadas para actuar rápidamente durante el pequeño periodo de tiempo entre que se descubre un nuevo fallo en el software, hardware o firmware y el momento en el que se lanza un exploit de vulnerabilidades que aprovecha ese fallo. ¿Por qué? Porque el 57 % de las víctimas de brechas dijeron que la razón fue una vulnerabilidad conocida a la que no se aplicó ningún parche.

La gestión de parches es el pilar fundamental de tu plan de gestión de vulnerabilidades. Asegúrate de contar con un proceso sólido de aplicación de parches que esté siempre actualizado y conectado para proporcionar la visibilidad necesaria sobre qué parches son más prioritarios y requieren una implementación inmediata para tus sistemas afectados.

Prepara un plan de respuesta

En caso de que un ataque tenga éxito, tener un plan te ayudará a actuar de manera rápida y eficiente para involucrar a las personas adecuadas, tomar las medidas necesarias y mitigar los daños.

Establece un plan de respuesta a incidentes aprovechando el marco del Instituto Nacional de Estándares y Tecnología (NIST)

A la hora de elaborar un plan de respuesta a incidentes y de buscar una base sobre la que hacerlo, el NIST proporciona un marco sólido, diseñado para las pequeñas empresas. De acuerdo con el marco, el proceso de respuesta a incidentes consta de cuatro fases:

•  Paso 1: Preparación
•  Paso 2: Detección y análisis
•  Paso 3: Contención, erradicación y recuperación
•  Paso 4: Acciones posteriores al incidente

La rapidez es fundamental para detectar y contener un ataque exitoso. Aislar un ataque (por ejemplo, desconectando una máquina afectada de la red) te da un respiro para coordinarte y completar la respuesta.

¿Tu negocio cumple todos los requisitos? Habla ya con un experto en ciberseguridad para obtener más información.

Hablar con un experto