Hoy en día, las empresas manejan más información que nunca y se han convertido en el blanco de ataques que los cibercriminalespueden aprovechar para fines delictivos de muchas maneras. Los problemas a los que se enfrentan las empresas no son solo tecnológicos, también tienen su raíz en las políticas y procedimientos implementados por ellas. La cibercriminalidad es, cada vez más, una amenaza que solo podrá ser mitigada mediante la formación y capacitación adecuada, consiguiendo así un conocimiento transversal de la problemática en todos los niveles de negocio, aprendiendo las tácticas que los atacantes utilizan para obtener la información que desean. Los expertos de Kaspersky Lab han elaborado una guía que detalla cuáles son las pautas a seguir ante este reto.
Falta de cifrado
El robo de datos se ha convertido en un tema empresarial recurrente en 2014, pero parece que podrían haberse evitado estas situaciones indeseadas mediante el cifrado de la información. Muchas veces es inevitable que algunos empleados pierdan o les roben sus dispositivos, pero perder el equipo no es el problema en realidad, sino la facilidad de acceso que tienen los cibercriminales para robar información corporativa en dispositivos no cifrados ni protegidos adecuadamente. Así, el cifrado completo y el establecimiento de contraseñas seguras debe ser una medida obligatoria en todos los ordenadores portátiles y smartphones que usen los profesionales para trabajar.
Estrategia BYOD
Además de asegurar los activos de la compañía, los equipos TIC de las empresas deben proporcionar apoyo y asesoramiento sobre la seguridad a los profesionales que utilizan su dispositivo personal también con fines corporativos, para que no pueda haber ningún flanco de ataque que permita que la información relacionada con la vida interna de la empresa y sus actividades comerciales sea robada. Si estos dispositivos personales se conectan a la intranet de la empresa deben ser debidamente analizados antes de autorizar su acceso a recursos corporativos y a continuación ha de realizarse una segmentación de red y puesta al día del software antimalware y el firewall.
Redes sociales
Las redes sociales y la ingeniería social van de la mano. Muchos ataques se basan en la confianza que los usuarios tienen en sus contactos pero hay que estar en guardia frente a eventuales mensajes del tipo ‘haz clic en mi imagen’, que podrían ser la puerta de entrada a la red corporativa a través de malware.
P2P
La gran mayoría de los contenidos ‘pirata’ que se pueden encontrar a través de redes P2P contiene algún tipo de malware. El uso de los ‘key generators’, parches y cualquier aplicación sospechosa en el equipo de la empresa debe ser prohibido y controlado. En este caso, la formación a los empleados es fundamental para que conozcan los riesgos de acceder a este tipo de redes y así eviten su uso.
USB
Dejar un USB tirado en el suelo del aparcamiento de una gran empresa ha sido una forma de ataque exitoso tradicionalmente y todavía sigue siendo una táctica que les funciona a los cibercriminales. Si el pendrive infectado lo encuentra algún empleado despistado que, curioso por naturaleza, introduce el USB en su ordenador para ver qué contiene, infectará su equipo con malware con una alta probabilidad. Pero no solo existe riesgo en un ataque de este tipo. El Intercambio de archivos entre los ordenadores de la oficina podría traer una infección desde el ordenador personal de la casa de algún empleado. Si a esto le sumamos la falta de cifrado de muchos dispositivos de almacenamiento externos, tenemos un escenario proclive a la infección de los dispositivos de la empresa, y por lo tanto también de la red interna.
Redes inalámbricas
La conexión a una red de WiFi en, por ejemplo, un aeropuerto o un Starbucks, podría ser más peligroso de lo que parece ‘a priori’, al permitir a un tercero monitorizar todo el tráfico de red sin nuestro conocimiento y control. Los expertos de Kaspersky Lab recomiendan el uso de una VPN (red privada virtual) y la autenticación de dos factores del dispositivo en todo lugar público donde se requiera tener una capa extra de seguridad.
Cloud Computing
Guardar archivos en Dropbox o cualquier otro proveedor de la nube podría llegar a suponer una violación de datos en un futuro próximo, debido a que estos servicios no tienen una política clara de gestión de la privacidad de la información almacenada.
Conformidad de los usuarios sobre las medidas de seguridad
Si el establecimiento de medidas de seguridad en determinados sitios de internet resulta demasiado complicado para los usuarios, muchos de estos desistirán de proteger sus datos e información clave. Debe haber auditorías continuas de los sistemas de seguridad de los sites habituales utilizados por los empleados de la empresa para asegurarse de que estos cumplen con las normas de protección necesarias para proteger la información y los sistemas internos de red.
Gestión de software
La actualización del software tiene que ser una responsabilidad continua del departamento informático. Si los empleados navegan con su navegador con soluciones antimalware anacrónicas o desactualizadas podría ser aprovechado por los cibercriminales en eventuales ataques como punto de entrada a la red.
