Con frecuencia las Pymes viven acomodadas en la falsa creencia de que la ciberseguridad no es para ellas, que es algo de lo que solo deben preocuparse las grandes corporaciones. Sin embargo, la realidad es que se enfrentan exactamente a las mismas amenazas: malware, ingeniería social, Phishing… y con frecuencia lo hacen con menos formación y menos infraestructura. Por desgracia, cuando se trata de ciberseguridad, la diferencia principal radica en el impacto que puede suponer un incidente. Las empresas de menor tamaño tienen más problemas para recuperarse tanto técnica como económicamente.
Laura Burillo Zamora, Operations Manager de Bidaidea, nos explica que las Pymes suelen dar a la ciberseguridad un enfoque más reactivo que preventivo y acuden a las empresas especializadas cuando ya se ha producido el daño, o bien porque han tenido noticias de algún ciberataque en alguna empresa similar.
Las Pymes no están tan concienciadas de la importancia de la ciberseguridad, pese a que las cifras hablan por sí solas: El informe Escudos 2021 muestra que más de 300.000 pymes sufrieron algún ciberataque en el año 2021. Supone un 70 % más que en 2020, y más del doble que antes de la pandemia.
La experta nos explica que actualmente, uno de los ataques más utilizados por los ciberdelincuentes son los ataques por phishing con inclusión de malware, especialmente a través del envío de reclamaciones por supuestas empresas logísticas.
Curiosamente, los fallos más comunes en términos de ciberseguridad no están asociados a los equipos si no a las personas. Laura Burillo nos explica que se derivan de la falta de formación y concienciación en los empleados y alta dirección que puede dar lugar a errores humanos y, medidas de seguridad técnicas insuficientes, como la ausencia o falta de actualización de antivirus o endpoints, entre otros.
Como ejemplo de este tipo de errores humanos, un ejemplo que impactó bastante al equipo de Bidaidea, por la simplicidad con la que se produjo y por sus consecuencias, fue el de un trabajador que, durante las vacaciones, se conectó unos minutos a la infraestructura de la empresa, sin la seguridad del túnel VPN. Esto permitió el acceso a un Ransomware que cifró casi la totalidad de las bases de datos de la compañía, perdiendo gran cantidad de información. Afortunadamente, disponían de backup total semanal y el incidente ocurrió a final de la semana, por lo que solo perdieron la información de 24 horas. A pesar de ello, el impacto fue importante.
¿Qué medidas debe adoptar una pyme?
Por la complejidad y la evolución constante de los ciberataques, Laura Burillo nos recuerda que es más que recomendable acudir a empresas especializadas que asesoren a cada empresa de manera concreta, pero, con carácter general sí que hay algunas recomendaciones de seguridad básica que todas las pymes pueden implementar para reducir el riesgo de una brecha de seguridad (en realidad, también son útiles en la vida personal):
- Complejidad suficiente y cambios frecuentes de contraseña, con esto evitaremos ataques de fuerza bruta.
- No utilizar wifis públicas, ya que son muy peligrosas y podemos facilitar el acceso a nuestros dispositivos a los ciberatacantes; en caso de ser necesario usar estas conexiones públicas, lo más recomendable es utilizar túneles VPN.
- Actualizar los sistemas operativos (tanto de móviles como portátiles, etc.) a la versión más reciente, ya que se aplicarán los últimos parches de seguridad para hacer frente a las vulnerabilidades descubiertas más recientemente.
- Mucha precaución con el phishing, en primer lugar, es importante saber reconocerlo: normalmente se inicia con mensajes alarmantes que pueden provenir de email, SMS o llamadas, que nos instan a reaccionar de inmediato. Además, aunque cada vez están mejor elaborados, suelen contener errores de redacción. Nunca debemos revelar nuestras credenciales o información personal, y hay que contrastar siempre la fuente origen del mensaje para evitar fraudes.
- Descarga tus programas en páginas fiables, muchas veces descargamos apps en sitios de dudosa fiabilidad y, en algunos casos, podemos estar incluyendo malware en nuestros dispositivos, como los programas espía.
- Programas espía (o spyware). Si detectas inicios de sesión de alguna de tus cuentas en redes sociales no realizados por ti, intentos de acceso a tus cuentas bancarias o actividad anómala de tu dispositivo (poca duración de batería, apagados espontáneos, etc., es muy probable que tengas un programa espía instalado. En ese caso, lo más conveniente es que restaures el dispositivo a parámetros de fábrica para eliminar el malware.
Adoptar estas medidas y contar con la asesoría de una empresa externa pueden parecer un esfuerzo o una inversión de tiempo y recursos importante, pero realmente compensa si se tiene en cuenta el coste que puede tener para una Pyme no estar preparado. Las consecuencias pueden ser tanto económicas, llegando incluso a descapitalizar empresas pequeñas que no puedan soportar los costes de la vuelta a la actividad normal, como reputacionales, ya que sufrir un incidente de seguridad, además de exponer información de clientes, puede ser indicativo de falta de diligencia debida y, por tanto, dar la apariencia de ser una empresa poco fiable.
Otros temas
