Cuando se piensa en ciberseguridad tendemos a pensar en vulnerabilidades de los sistemas, sin embargo los ataques se dan también debido a las personas, en el mundo real. Dejar información clave a la vista que permita a extraños acceder a los sistemas es una de las formas de propiciar un ciberataque. Por lo tanto, las medidas de seguridad física y adminstrativas son tan importantes para tener una buena ciberseguridad como contar con buenos sistemas de protección.

Te puede interesar: Colombia, el sexto país con más ataques cibernéticos en A. Latina.

En consecuencia, Pablo Corona, director de NYCE Sistemas de Gestión, nos comparte las siguientes recomendaciones en materia de seguridad física:

• Llevar bitácoras del personal con acceso al entorno de trabajo.
• Emplear cerraduras y candados para las gavetas y archiveros físicos.
• Usar mensajería certificada, según lo requiera el tipo de información a enviar.
• Realizar el bloqueo de los equipos cuando no estén en uso.
• Evitar que pantallas o expedientes con información sensible o confidencial estén a la vista de visitantes y clientes.
• Utilizar equipos de video vigilancia donde exista tratamiento de información sensible o confidencial.
• Limitar el acceso al personal interno y externo a las áreas que utilizan información personal, sensible o confidencial.
• Controlar el acceso de dispositivos con cámara, grabadora o video a las áreas que tratan información sensible o confidencial.
• Evitar que personas externas puedan manipular las bitácoras de acceso a las instalaciones y al registro de equipos.
• Utilizar elementos disuasorios como alarmas, guardias de seguridad, rejas, maletines de seguridad, entre otros.

Te puede interesar: Recomendaciones de ciberseguridad para emprendimientos – Parte I.

Y en cuanto a las medidas administrativas, sus sugerencias son las siguientes:

• Contar con contratos que establezcan claramente las responsabilidades de los proveedores y el personal que tendrá acceso a la información.
• Definir y hacer cumplir una política de escritorio limpio.
• Establecer procesos de cierre y resguardo de información.
• Garantizar que impresoras, escáneres, copiadoras y buzones permanezcan limpios.
• Controlar las bitácoras, los usuarios y el acceso a instalaciones y puestos de trabajo, especialmente los que usen información sensible o confidencial.
• Establecer mecanismos para la destrucción segura de documentos.
• Capacitar y concientizar a todo el personal en torno a estas medidas y según sus funciones y acceso a información sensible y confidencial.
• Contar con políticas para retención y destrucción de información, protección de datos personales, atención y notificación de vulneraciones de seguridad y contratación de terceros.
• Realizar revisiones y auditorías internas y externas, que por ejemplo cuenten con una certificación en una norma como ISO/IEC 27001.

Te puede interesar: Confianza cero, batalla de tendencias de ciberseguridad.

En conclusión, lo más importante en ciberseguridad, en relación a medidas físicas y administrativas, es garantizar que solo las personas encargadas tengan acceso a la información correspondiente a su rol. Nadie debe poder acceder a información sensible o confidencial de otra persona o área. Por lo tanto es importante seguir las recomendaciones de uso de los dispositivos personales y hacer cumplir las políticas y proceso de la organización para evitar vulnerabilidades. De no hacerlo, las empresas están habilitando una entrada para los ataques cibernéticos.

Puede que como emprendedor, esto no parezca una prioridad, pero recibir un ataque criminal puede ser catastrófico para el negocio. Por ejemplo, que un cibercriminal robe la plataforma en la que una startup ha venido trabajando, o que la destruya, puede hacer que la empresa no se recupere.

Imagen: Gino Crescoli en Pixabay.

Por consiguiente, la ciberseguridad no se trata solamente de proteger bits y bytes, ni datos en computadoras, pues en realidad lo que estamos protegiendo son nuestras empresas, familias y a nosotros mismos. Por lo tanto, le pedimos a Pablo Corona, Director de NYCE Sistemas de Gestión, que nos compartiera algunas recomendaciones enfocadas especialmente a emprendimientos y startups.

El tema resulta ser bastante complejo, así que hemos decidido dividir la nota en varias partes, según la temática. En esta primera entrega, nos enfocaremos en recomendaciones de ciberseguridad relacionadas con dispositivos personales y servidores. He aquí las sugerencias:

• Mantener actualizados los sistemas operativos, aplicaciones y otros softwares utilizados.
• Realizar respaldos periódicos de la información y probar que los respaldos sean completos y funcionales.
• No abrir ni instalar archivos de orígenes desconocidos, dudosos o cuyo tema no sea relacionado con nuestra actividad.
• Evitar caer en engaños para abrir o instalar malware a través de adjuntos en correos o enlaces a internet.
• Mantener un registro y control del uso de almacenamiento en la nube o dispositivos removibles (USB) para identificar actividades no permitidas como copias o respaldos de información sin
  autorización.

Te puede interesar: Ransomware, desafío global según el G7.

• Identificar proveedores de servicios de nube confiables, que cuenten con una certificación como ISO/IEC 27001.
• Limitar los puertos abiertos y servicios instalados en equipo de cómputo y servidores a los mínimos indispensables.
• Utilizar siempre una contraseña para desbloquear los dispositivos (teléfonos inteligentes, tabletas, computadoras, etc).
• Utilizar una contraseña que incluya varias palabras, números y/o caracteres especiales. Es recomendable usar contrafrases, es decir una contraseña compuestas por varias palabras, utilizando mayúsculas en algunas letras de la frase y sustituyendo algunos caracteres por números o signos. Otra opción es utilizar la validación por huella dactilar que está incluida en algunos dispositivos de gama alta.
• Habilitar la autenticación de dos factores en los servicios que así lo permitan, ya sea mediante el uso de tokens físicos, virtuales o mecanismos biométricos.
• No dejar el dispositivo desatendido mientras esté desbloqueado. Es mejor compartir un enlace con otras personas o enviar una fotografía a dejar el dispositivo bajo su control. Nunca sabemos si esta persona puede descuidarlo o dárselo a otro, aunque el primero sea de nuestra confianza.

Te puede interesar: Confianza cero, batalla de tendencias de ciberseguridad.

• Habilitar el cifrado completo del dispositivo y las tarjetas de memoria. En algunos casos a esta característica se le llama cifrado (o encripción) y puede ser habilitada desde las opciones de seguridad y almacenamiento del dispositivo.
• Instalar solo aplicaciones de las tiendas oficiales, observando la reputación del desarrollador y poniendo atención en los permisos que la aplicación solicita.
• No hacer ‘root’ al dispositivo o ‘jailbreak’. Estas modificaciones están diseñadas para alterar el funcionamiento normal del sistema y pueden conllevar riesgos graves.
• No usar aplicaciones de banca en redes públicas y monitorear que no existan dispositivos desconocidos en las redes propias. Si es necesario usar redes públicas, se recomienda utilizar una VPN.
• Controlar el uso de dispositivos personales para funciones de trabajo, estableciendo reglas claras como una política de Uso de Dispositivos Propios (Bring Your Own Device) y el monitoreo y control a través de un gestor de dispositivos móviles (Mobile Device Management).

Esperamos estas recomendaciones de ciberseguridad sean de utilidad e implementadas en toda organización, sin importar que sea emprendimiento, startup, micro, pequeña, mediana o gran empresa. Los ataques cibernéticos son una realidad que afecta a todas las personas y empresas. No prevenir y tomar las acciones necesarias para evitarlos, puede traer graves consecuencias.

Imagen: VIN JD en Pixabay.