“Las Mypes en nuestro país no toman en cuenta la ciberseguridad”: por qué esto es un gran error y cómo remediarlo

MIRA: Ciberincidentes en Latinoamérica aumentan en 25% cada año: ¿a qué se debe y qué consecuencias podría tener?

Es una realidad que se siente con particular fuerza en el sector empresarial, donde si bien ha dado a negocios locales la posibilidad de hacer tratos con personas de todos los rincones del mundo, también los ha hecho atrayentes blancos para los ataques de actores maliciosos en todo el globo.

El Perú es especialmente susceptible a estos ataques debido a la predominancia de las micro y pequeñas empresas (Mypes), que constituyen el 99,4% de los negocios formales del país, las cuales en muchas ocasiones carecen de las herramientas necesarias para repeler este tipo de ataques.

“Por experiencia, aquí en nuestro país las empresas no toman en cuenta la parte de la ciberseguridad, que es algo para lo que deberían estar preparadas como parte de su estrategia y en lo que es la continuidad del negocio”, indicó en conversación con El Comercio Julio César Seminario, especialista en ciberseguridad de Intecnia Corp y ‘country partner’ de Bitdefender.

“Es una deficiencia que tenemos en nuestro país, donde no existe una educación en temas de ciberseguridad”, lamentó el experto. “No hay un sílabo en el colegio que te enseñe temas sobre cómo gestionar eficientemente tus redes sociales, cómo evitar que personas extrañas visualicen tu información o qué debes y qué no debes publicar en línea. Es un tema educativo que se arrastra desde hace muchos años.”

Es una percepción profesional apoyada por algunos estudios, con el último “Informe sobre amenazas de ESET”, que encontró que el 60% de las empresas encuestadas consideraban que no se destinan suficientes recursos a la ciberseguridad.

Una situación que puede ser devastadora para una empresa, con las víctimas de los ciberataques sufriendo desde daños económicos a la pérdida de datos confidenciales y golpes a la reputación de la compañía. Para evitar que esto le pase a tu negocio, aquí algunos consejos para mejorar la seguridad para Mypes.

Identificando al enemigo: cuáles son los ciberataques más comunes

Si bien existen diversos tipos de ciberataques, los principales método que sufren sufren las pequeñas son dos: el ‘phishing’ y el ‘ransomware’, que frecuentemente están relacionados.

El ‘phishing’ consiste en un ciberataque dónde se busca engañar a personas para que revelen información confidencial, que en el contexto empresarial usualmente se enfoca a contraseñas que permitan a atacantes vulnerar la seguridad de la empresa. Para estos ataques, cibercriminales utilizan correos electrónicos, mensajes de texto o sitios falsos haciéndose pasar por entidades legítimas o incluso amigos para conseguir la información.

El ‘ransomware’ es un ciberataque donde se utiliza un software malicioso para bloquear el acceso de la víctima a sus sistemas o archivos importantes, exigiendo un rescate a cambio para devolverlos, una situación devastadora para un negocio ya que lo puede dejar temporalmente paralizado. Si bien existen diversas maneras de vulnerar el sistema de seguridad de una empresa, uno de los más comunes es hacerle ‘phishing’ a una persona que tenga la suficiente autorización para acceder a los datos vulnerables de la compañía.

Cómo prepararse

Benjamín Franklin decía que “una onza de prevención vale más que una libra de cura”, una frase que es particularmente apropiada para la materia de ciberseguridad, donde la preparación de una empresa suele determinar, en la mayoría de los casos, si saldrán bien librados de un ataque informático. En todo caso, estas son las áreas que el experto en informática Julio César Seminario recomienda prestar particular atención a las empresas.

1.Identifica tus puntos críticos y respalda tu información

“Para las Mypes, lo primero que hay que hacer es tener un plan que comienza con identificar cuáles son sus activos digitales críticos, no solo para protegerlos, sino también para planear cómo reponerlos en caso de que en un momento no estén disponibles”, indicó a este Diario Seminario. Para esto se tiene que realizar copias de seguridad periódicamente y también hacer simulaciones de restauración para verificar que se puede realizar exitosamente el procedimiento.

¡Atención! El experto notó que un error que se comete a menudo con las copias de seguridad es que las dejan conectadas físicamente a dispositivos dentro de la red de la empresa, lo que los hace vulnerables en caso de un ataque o robo de información, quitándole su principal propósito. No caigas en esta trampa.

2.Compra software original (y mantenlo actualizado)

El uso de software pirata es una realidad en el mundo, permitiendo a muchas personas sin fondos el utilizar programas que se han vuelto indispensables para su labor. Sin embargo, el sentido común dice que lo barato sale caro, y nada es más barato que lo que aparenta ser ‘gratuito’.

Esto es porque la ciberseguridad es un campo de batalla en constante evolución, con los cibercriminales encontrando continuamente vulnerabilidades y los expertos en ciberseguridad constantemente tapándolas, lo que hace crucial que cualquier empresa mantenga el software actualizado a su última versión para evitar ser víctima de ‘huecos’ en la seguridad conocidos.

El segundo precio es más sutil, con el experto en informática señalando que en muchas ocasiones estos programas crackeados vienen infectados por códigos maliciosos que permiten a sus distribuidores, estos agentes maliciosos, vulnerar a los sistemas con aún mayor facilidad.

“Estos programas vienen ya con un código malicioso embebido y si bien cuando lo instalas o lo ejecutas parece que no pasa nada, en el tiempo esto puede mutar, descargando códigos de manera silenciosa o infiltrándose en el sistema operativo para concretar algún ataque”, advirtió.

En este aspecto, además de resaltar la necesidad de comprar software original – sean los programas que usas y el sistema operativo -, Seminario también recomendó hacer una lista de aquellos programas en la computadora son necesarios actualizarlos periódicamente, para no dejarlos en una versión vulnerable. Agregó que algunos programas de seguridad también tienen herramientas para parchear automáticamente programas que lo necesitan, haciendo más conveniente el proceso.

3. El hardware también importa

No solo el software tiene que estar actualizado, sino también el hardware. Es decir, los equipos que uno usa. “Los dispositivos físicos también son susceptibles a vulneraciones si es que son muy antiguos”, advirtió.

Tenemos un ejemplo casi a la vuelta de la esquina, con Microsoft elevando los requisitos para que un dispositivo pueda correr el Windows 11, su último sistema operativo.

“Ya existe ya una fecha definida (14 de octubre) en la cual ya Microsoft no va a brindar soporte por parte de fabricante al sistema operativo Windows 10, lo que exige a las empresas a invertir en un hardware que empalme con las exigencias de esta versión del sistema operativo”, acotó Seminario.

Si quieres saber si tu sistema operativo es compatible con Windows 11, aquí tenemos una nota para que puedas revisar las exigencias del sistema operativo.

4. Concientizar a los empleados sobre buenas prácticas de ciberseguridad

En toda organización, sin importar su tamaño, el factor humano es el más vulnerable. Es por eso que para mejorar la seguridad informática de una empresa, una de las primeras cosas que uno debe hacer es concientizar a los empleados de las buenas prácticas de ciberseguridad, para que estén preparados para cualquier riesgo del ciberespacio.

Estas van desde no abrir correos desconocidos, no hacer clicks a enlaces sospechosos ni compartir información confidencial por correo electrónico o mensaje de texto.

5. Crea contraseñas seguras

Uno de los aspectos más básicos que se debe tomar en consideración son la seguridad de las contraseñas. “Puedes tener contraseñas que van del 1 al 5 que son muy fáciles de vulnerar por un ciberatacante e incluso ellos cuentan con una base de datos de passwords comunes que pueden utilizar para persistentemente intentar de vulnerar los activos digitales de la organización”, señaló.

“Ahora se exige una contraseña que tenga como mínimo 12 caracteres, pero considero que 8 podría ser suficiente. La recomendación es generar contraseñas a partir de frases, que son más fáciles de recordar. Un ejemplo de ello es ‘**herramientasdemonitoreo2024′, lo que me da una frase bastante amplia con un buen número de caracteres que va a ser más fácil de recordar que una contraseña que sea una mezcla ilegible de mayúsculas, minúsculas, números y caracteres especiales y que vas a anotar en un papelito”, señaló.

6. Consigue una solución de ciberseguridad

Seminario también recomendó tener una solución de protección a nivel de ‘endpoint’ como el ofrecido por su empresa Bitdefender. “Estos utilizan algoritmos para detectar actividad maliciosa, encuentran malwares ya conocidos y analizar el tráfico de red o los URL para prevenir que el usuario realice descargas de código dañino.

Un costo que puede salir a la cuenta si uno sopesa lo catastrófico que puede resultar para una empresa un ciberataque, causando no solo daños materiales, sino también de reputación. Asimismo, no hay que pensar que no existe una solución que esté al alcance de las empresas más pequeñas. “Si tenemos como mínimo cinco máquinas, yo calculo que entre S/.400 y S/.500 se puede adquirir una solución de protección antimalware que los va a proteger en primer nivel”, indicó Seminario.

7. Monitorea tu red

Incluso si tienes una solución de ciberseguridad, su efectividad decrece si no hay alguien que esté atento a las alertas sobre actividades sospechosas que notifique.

“Muchas veces estas empresas pequeñas no tienen un área de TI (Tecnología de la información), lo que no es muy recomendable. Esto porque si bien puedes adoptar tecnologías muy potentes con capacidades de contener códigos maliciosos, estas requieren de gestión para dar respuesta a un ciberataque”, señaló. La rapidez de la respuesta es particularmente crucial en este tipo de ataques, ya que dejar de correr el reloj le da a estos criminales la oportunidad de darse cuenta de los obstáculos que debe saltar para concretar su ataque.

Qué hacer si se sospecha un ataque

Depende mucho del tipo de ataque.

• Si es un ataque de ‘phishing’, es indispensable encontrar qué cosas se han vulnerado y hacer un cambio drástico a todas las contraseñas de todos los usuarios que tengan acceso a la información.
• En caso de un ataque de ‘ransomware’ se debe aislar todos los equipos que hayan sido comprometidos para evitar que la crisis se expanda a otros sistemas.
• En caso de que la empresa no cuente con un especialista de TI, es recomendable contactar con una compañía que proporcione servicios técnicos para revisar el sistema durante el ataque y determinar si realmente se trata de uno o es un problema diferente.

¿Pagar o no pagar? Para Seminario, lo recomendable es no pagar. “Pueden pagar y quizás sí les den parte de la información, pero si es que no han hecho un trabajo de contención, es decir identificar y solucionar desde dónde ingresó el ataque, volverá a ocurrir lo mismo.”

Cabe señalar que un ciberdelito, por más tecnológicamente empoderado, es todavía un crimen por lo que debe ser denunciado ante la policía, en particular a la División de Investigación de Delitos de Alta Tecnología de la PNP, conservando y entregando todo tipo de evidencia como los mensajes amenazantes de los criminales informáticos.

Después de un ciberataque

• El objetivo es reactivar las operaciones de la empresa, una cuestión más fácil si es que se cuenta con un backup. En caso no tengamos uno, la recuperación se vuelve algo más dificultoso y manual, requiriendo armar nuevamente la base de datos para atender a los clientes.
• Dependiendo la solución de ciberseguridad que tengas, hacer un análisis profundo de todos los equipos.
• En caso de no haberlo hecho antes, cambiar las contraseñas.