Un ciberataque puede provocar gastos de hasta 50.000 euros

A día de hoy, casi ningún negocio puede abordar sus tareas cotidianas sin depender de la tecnología.  Los ciberataques son un riesgo asociado a la tecnología que hay que asumir e intentar minimizar porque pueden suponer hasta la desaparición del negocio. De las consecuencias de un ciberataque no está libre ningún comercio y algunas son muy graves. Raphael Bauer de Lima, director comercial de empresas de Mapfre, asegura que “Los pequeños negocios son ahora el principal objetivo de los ciberdelincuentes, especialmente debido a la digitalización, que hace que sea fácil atacar en masa. Son víctimas fáciles”.

Según datos de diferentes estudios, un 43% de los ataques informáticos se concentran en los pequeños negocios y el 60% de éstos llega a desaparecer en los seis meses siguientes de haberlo sufrido, ya que un delito de este tipo genera gastos que rondan entre los 20.000 y 50.000 euros. Por ello, es necesario prevenir y Fundación Mapfre ha presentado una “Guía para proteger tu negocio frente a los ciberriesgos”. En la primera entrega se analizaban los orígenes y las consecuencias de los ataques pero, ¿cómo evitarlos? En este capítulo desciframos las medidas necesarias para proteger la información frente a un ciberataque.

Pese a que no es posible hablar de una protección completa, hay prácticas que las empresas pueden aplicar para tratar de reducir la posibilidad de verse afectadas:

• Concienciar a los usuarios y mantenerlos informados de los riesgos a los que está expuesta la empresa, de los impactos que puede conllevar la materialización de los ciberriesgos y de las medidas mínimas que deben aplicar en el ejercicio de sus funciones en la empresa.
• Definir políticas de seguridad  en el negocio y de uso adecuado de los equipos informáticos.
• Diseñar una solución de seguridad a medida.
• Construir capacidades preventivas y mitigadoras frente a los ciberriesgos.
• Asegurar una línea base de seguridad que sea sencilla y suficiente: Una línea base que se emplea en muchos negocios es:
  • I) Disponer de un inventario de sistemas y aplicaciones, ya que no se puede proteger lo que no se sabe que existe;
  • II) Aplicar una plantilla de seguridad mínima sobre los equipos y sistemas informáticos, de forma que se establezcan las funcionalidades mínimas que deben de cumplir;
  • III) Contar con un software antivirus;
  • IV) Tener una política de actualización permanente;
  • V) Realizar copias de seguridad periódicamente.

Estas tareas pueden parecer complicadas, por lo que contar con el asesoramiento de un experto las simplifica mucho.

¿Cómo reducir los riesgos a través de la web?

Todo sistema conectado a Internet es susceptible de ser traspasado tras un ciberataque. Por ello, es importante aplicar las siguientes medidas:

• Publicar sólo lo estrictamente necesario.
• Hacer pruebas sustantivas de hacking (manipulación de la conducta de un equipo y de los sistemas que tiene conectados mediante scripts o programas que manipulan los datos que pasan a través de una conexión de red con el fin de acceder a la información del sistema. Las técnicas de hacking incluyen el uso de virus, gusanos, Troyanos, ransomware, secuestros del navegador, rootkits y ataques de denegación de servicio).
• Aplicar plantillas de seguridad.
• Proteger las redes internas.
• Disponer de medios de detección.

La importancia del antivirus:

Los sistemas antivirus son principalmente software que se desarrolla en paralelo a los sistemas operativos (Windows, Mac, etcétera). Su finalidad es detectar el uso de software malicioso. Los antivirus y sistemas que se implantan en los equipos, en ocasiones, quedan obsoletos y no son capaces de prevenir un ciberataque de grandes dimensiones.

La seguridad debe ser aplicada desde un punto de vista estratégico y técnico, y debe abordarse desde diferentes líneas de acción. De la misma manera que para la protección contra el fuego de un edificio una empresa no se limita a colocar extintores, sino que define una estrategia que suele pasar por la implantación de diversas medidas como un sistema de extinción de incendios, sistemas de detección, empleo de puertas y materiales resistentes al fuego; una estrategia de seguridad informática implica la definición e implantación de diferentes medidas como cortafuegos o firewalls, redes segregadas, aplicación de plantillas de seguridad, contraseñas robustas, etc.

Pautas para reforzar la seguridad de las contraseñas:

El empleo de contraseñas es una de las medidas básicas de seguridad. Todo sistema de seguridad cuyo acceso no deba ser universal deberá disponer de un control de acceso.  El más básico y de uso generalizado es el de usuario personal y contraseña. Aunque este sistema presenta ciertas carencias, se puede reforzar su seguridad siguiendo las siguientes pautas:

• Longitud mínima de 8 caracteres.
• Cambio periódico cada 3 meses.
• Bloqueo tras 10 intentos de uso.
• Combinación de uso de mayúsculas, minúsculas y números u otros signos de puntuación.

Medidas para proteger el correo electrónico:
El envío masivo de correo malicioso, la imposibilidad de legitimar la fuente o la información en claro son algunas de las amenazas que presenta el correo electrónico. Por ello, existen medidas que ayudan a mitigar la situación:

• Sistemas de filtrado de correos (antispam): Este tipo de sistemas utiliza diferentes mecanismos para determinar si el correo electrónico recibido se corresponde con un correo no deseado. Aunque la efectividad de estos sistemas no es total, su uso previene gran parte de los incidentes de seguridad que puede tener una empresa.
• Sistemas de cifrado de información (PGP, SMTP SSL y DKIM): Se trata de tecnologías que cifran la información que se transmite. Algunas de estas tecnologías ofrecen también mecanismos de control ante la alteración del contenido.
• Sistemas de comprobación de identidad del emisor (SPF, PGP y DMARC): Son medidas de seguridad que pueden ayudar a garantizar al emisor (persona que escribe el correo) en diferentes grados, desde un dominio entero (por ejemplo, @midomnio.com) hasta un usuario en particular. No obstante, la implantación de estas medidas no es sencilla y requiere un análisis por parte de la organización. Además, las empresas a las que se destinan los correos también deben adoptar las mismas medidas, ya que, en caso contrario, estas no serán efectivas.

Decálogo para protegerse frente a los ciberriesgos

En definitiva, Fundación Mapfre ofrece una guía con 10 tips básicos para proteger a los autónomos de los ataques informáticos:

1. Hay que prevenir, adoptando las actuaciones necesarias para evitarlo o minimizar sus consecuencias, empezando por la concienciación en relación a los ciberriesgos y los daños que pueden provocar.
2. Adoptar medidas reales y eficaces para minimizar las probabilidades de sufrir un incidente de seguridad.
3. Se deben analizar los riesgos y valorar las necesidades de protección, y, en base a ello, seleccionar las diferentes soluciones aseguradoras.
4. Se recomienda el asesoramiento de los profesionales del seguro. Es importante establecer en la póliza capitales asegurados suficientes y realistas, para lo cual es recomendable un análisis reposado que contemple todas las necesidades a cubrir.
5. Antes de suscribir el seguro se deben resolver todas las dudas que surjan.
6. Se debe conservar la documentación relativa a las pólizas, así como las sucesivas comunicaciones con la compañía.
7. Hay que mantener los contratos de seguros actualizados, ya que los riesgos cambian con el paso del tiempo.
8. Informar a la compañía aseguradora de todos los cambios que afecten a las pólizas.
9. En caso de siniestro, las actuaciones a seguir se resumen en: primero, intentar mitigar el daño; seguidamente, dirigirse a las Fuerzas y Cuerpos de Seguridad del Estado (FCSE) para interponer la denuncia correspondiente. A su vez, notificarlo a la aseguradora urgentemente para que ponga a disposición del asegurado a los profesionales especializados en materia cibernética que puedan analizar el siniestro e iniciar de forma inmediata las acciones de restauración de los sistemas informáticos. En caso de que otras personas o bienes de terceros hayan sido perjudicados, comunicarles la existencia de un seguro.
10. Hay que confiar en la protección que ofrece el seguro.