Los cuatro frentes de batalla para proteger la información de su Pyme

Tecnoguías: La seguridad informática para PYMEs from ENTER.CO on Vimeo.

La cruda realidad es que entre más dependamos de los sistemas, más amenazas informáticas van a aparecer. Es una simple ley de mercado. A medida que una acción genere más recompensa, más agentes irán tras ese recurso. Las víctimas serán esas organizaciones y personas que opongan la menor resistencia. Por eso hay que tener toda una estrategia de seguridad para poner el obstáculo más difícil y así evitar el robo o perdida de información. Las grandes organizaciones tienen la ventaja de poder atacar el problema con dinero. Compran la solución de seguridad más robusta y tienen varios ingenieros ‘administrando’ la amenaza.

Sin embargo, las pequeñas y medianas empresas tienen que buscar soluciones más creativas para poder defender su información y mantener la integridad de los sistemas sin invertir grandes sumas de dinero. Esta guía tiene el objetivo de repasar todos los aspectos que debería tener en cuenta una Pyme sobre su seguridad informática. También cabe aclarar que ningún sistema es 100% seguro. No obstante, debería ser una obligación tener un sistema de seguridad en todas las empresas.

Cuando se habla de un sistema, por definición, se tiene que mencionar varios elementos. La seguridad informática es más que un software de antivirus; también incluye las ‘firewalls’, las políticas de uso y el entrenamiento de los usuarios. Con esta guía, podrá realizar todo lo posible para dormir tranquilo sabiendo que su organización está protegida.

De acuerdo con Diego Osorio, CTO de Lock-Net, una compañía de seguridad colombiana, «los empresarios deben tener en cuenta cuatros factores para cubrir de la mejor manera la seguridad informática de una empresa».

El doctor

Todos los equipos de la empresa deben tener un antivirus instalado. Estos programas hoy en día son muy avanzados y son capaces de reconocer y solucionar –en algunos casos– la mayoría de los códigos maliciosos que hay en el mercado. Actualmente hay dos grandes segmentos de donde escoger. Hay opciones gratuitas como Ad-Aware Free Antivirus+ 10.5 o AVG AntiVirus FREE 2014. Pero también hay opciones pagas como Norton AntiVirus, BitDefender Antivirus Plus o Kaspersky. Pero así como han evolucionado los atacantes, también lo han hecho estos programas.

Todos los equipos de la empresa deben tener un antivirus instalado.

Hay que tener varios factores en cuenta a la hora de escoger un antivirus. Los más importantes deben tener el capacidad de detectar malware instalado y la capacidad de defender los ataques externos. Tampoco se puede pasar por alto la facilidad de instalación y el impacto que tienen sobre las máquinas. Hay varios servicios en internet que hacer pruebas periódicas para ver como van evolucionando los programas de los diferentes vendedores. AV-Comparatives es uno de los mejores ya que realiza varias pruebas durante el año y categoriza los antivirus en varias categorías. También está ICSA Labs, que certifica los diferentes programas de acuerdo a lo que mejor hagan.

Ya queda en manos del encargado de tecnología escoger el programa adecuado para la empresa. Además, si están manejando varios sistemas operativos, es fundamental que todas las plataformas estén protegidas. Por favor no crean eso de que OS X y Linux están protegidos de virus. Todos los sistemas pueden caer en las garras del malware, por lo que hay que proteger todas las máquinas.

Por favor no crean ese mito de que OS X y Linux son inmunes a los códigos maliciosos.

Sí hay un presupuesto muy apretado, los antivirus gratis pueden ser una buena opción. No están lejos de sus pares pagos en desempeño, pero sí puede haber una diferencia en el servicio técnico y la atención posterior a la venta. Lo más importante para escoger el antivirus correcto es hacer la investigación adecuada y tratar de emparejar las necesidades de la empresa con el programa. Obviamente, entre más valiosa para el negocio sea la información, deberá ser más juicioso en la elección.

El muro de fuego

Si las necesidades lo ameritan, es posible que su empresa necesite un firewall. Aunque los computadores ya vienen con está opción preinstalada, también hay soluciones de hardware que ofrecen una protección más robusta y permiten crear redes virtuales privadas. Por ejemplo, una organización puede optar por la HP Tipping Point Next-Generation Firewall (NGFW) que ofrece una capa de seguridad más fuerte y con mejores herramientas de gestión.

Las necesidades de un firewall son más evidentes ahora que la nube es una prioridad y las aplicaciones son más variadas. Según un estudio de HP, el 84% de las vulnerabilidades ocurren al nivel de la aplicación. Es un ejemplo perfecto de cómo los atacantes van evolucionando para aprovechar las partes del sistema más vulnerables. «Control a nivel de aplicación es crucial ya que permite crear diferentes niveles de acceso para cada aplicación», dijo Martha Aviles, gerente de producto de HP Enterprise Security. «Todo el mundo quiere más ancho de banda y hay más aplicaciones corriendo en la red de la empresa. Al tener un control sobre las aplicaciones se puede aliviar esta carga», agregó.

Controlar la información al nivel de las aplicaciones es fundamental con BYOD y la consumerización. A medida que los empleados empiecen a usar sus propios equipos y sus propias aplicaciones, la gerencia de TI tiene la necesidad de garantizar un funcionamiento adecuado de la red empresarial.

Un firewall soluciona mucho de los problemas mencionados anteriormente. Es posible que la empresa sea tan pequeña que no necesite esta solución, pero hay que hacer un análisis adecuado antes de tomar esa decisión. Hay que tener en cuenta que los malhechores a veces se aprovechan de las empresas pequeñas para conseguir la información que les abra la puerta a las organizaciones más grandes. Una Pyme, como miembro de un proceso productivo, tiene una responsabilidad de proteger la cadena.

La legalidad y la actualización

Según la Alta Consejería Presidencial, Colombia tiene una tasa de piratería del 53%. Esto, aunque es preocupante por las implicaciones legales y morales, tiene una matiz todavía más importante si lo vemos desde la seguridad informática. Uno de cada tres computadores que tienen software pirata también tienen alguna clase de malware en el equipo. Esto demuestra la importancia de tener software legal en las organizaciones.

Según la Alta Consejería Presidencial, Colombia tiene una tasa de piratería del 53%. 

La piratería de software es un tema muy sensible. La gente que descarga programas ilegales seguramente no se siente robando, aunque, a final de cuentas, así sea. Pero por ahorrarse unos pesos, es posible que esté entregando las llaves de la empresa a algún grupo de hackers. Ya no es un misterio que muchos programas ilegales vienen cargados de troyanos y puertas traseras que le permiten a los piratas ingresar fácilmente a la red corporativa.

Una de las medidas más efectivas para protegerse de los atacantes es tener los programas actualizados. Pero como la gran mayoría de programas piratas no se puede actualizar, las vulnerabilidades descubiertas quedan abiertas para siempre, sin recibir el correspondiente parche. Cuando una empresa detecta que su programa tiene una brecha de seguridad, publica una actualización para arreglar el problema. Por eso son tan valiosas las ‘zero-day vulnerabilities’, esos huecos que todavía no son conocidos por los fabricantes de software.

Entonces, al tener software pirata, una empresa queda expuesta por dos frentes. Facilita la llegada de troyanos y malware por medio de la instalación y la descarga -de un torrent, por ejemplo-. Además, sin tener la posibilidad de actualizar el software, las brechas quedan abiertas.

El salón de clase

Muchos expertos de seguridad, entre ellos Kevin Mitnick, aseguran que el eslabón más débil de un sistema de seguridad es la gente. Muchos de los empleados no tienen claro las implicaciones de tener una falla en seguridad informática. Para ellos, el proceso de mantener la integridad del sistema no es responsabilidad no depende de los empleados sino del equipo de TI. Por eso, se presentan innumerables casos en los cuales un empleado revela su contraseña o ingresa a un enlace de un correo de ‘spam’.

Capacitar a los empleados puede ser la forma más fácil y económica de prevenir brechas de seguridad. La fuerza laboral tiene que entender que la seguridad informática es un esfuerzo que requiere de la participación de todas las personas de la compañía.

Los hackers más exitosos son aquellos que saben usar las dos grandes herramientas que tienen: la ingeniería de sistemas y la ingeniera social. Con un buen programa de capacitación, se puede contrarrestar la ingeniería social.

La coherencia de la estrategia

La consistencia de la estrategia de seguridad informática depende de varios factores. Cada caso y cada empresa tendrá que evaluar cómo distribuye sus recursos financieros. Sin embargo, el objetivo de esta guía es mostrar cuatro diferentes frentes que son fundamentales para cualquier empresa. Algunas necesitarán más de uno y menos de otro, pero siempre habrá que tenerlos en cuenta para poder proteger la información de su empresa.

Además, a medida que vaya creciendo, seguramente tendrá que implementar herramientas más complejas. Llegará una etapa donde sea necesario contar con una solución de punta a punta. La mejor opción es contratarla con alguna empresa de tecnología que tenga un buen portafolio para empresas, como HP.