Ante un panorama cada vez más acechado por las ciberamenazas, Check Point Research, la división de Inteligencia de Amenazas, proveedor especializado en ciberseguridad a nivel mundial, considera que la tecnología juega un papel fundamental en la protección de las empresas.
Sin embargo, muchas veces, el factor humano se pasa por alto. Por muy sofisticados que sean los protocolos de respuesta, si el personal de la empresa no tiene las herramientas necesarias para prevenir un ciberataque, todas las medidas anteriores son insuficientes.
La mayoría de los incidentes de seguridad no son el resultado de ciberataques sofisticados, sino que a menudo se ven favorecidos por errores humanos: caer en correos electrónicos de phishing, tener contraseñas débiles o filtrar datos de manera accidental, son algunos de los errores más frecuentes entre el personal de una empresa.
Invertir en la formación de los empleados es esencial para evitar pérdidas financieras graves, daños en la reputación de la empresa y la pérdida de la confianza de los clientes.
Ante esta situación, Check Point propone ocho recomendaciones para construir una ciberdefensa más sólida basada en el factor humano a partir del 2024:
Formación: las amenazas cibernéticas evolucionan constantemente. Los empleados deben estar capacitados sobre cómo reaccionar ante tales amenazas y actualizar periódicamente sus conocimientos para reducir las posibilidades de un ciberataque.
Prevención contra los ataques phishing: esta es una de las formas de engaño más habituales. Semanalmente, los empleados reciben correos electrónicos o mensajes que parecen auténticos y que tratan de robar información confidencial o instalar un malware. Los empleados deben estar prevenidos ante este tipo de ataques y tener en cuenta que pueden presentarse también a través de mensajes al teléfono, no solo en el correo electrónico.
Gestión de credenciales: la gestión de contraseñas es fundamental para garantizar la protección de la empresa. Se recomienda:adoptar un modelo de confianza cero, donde validar identidad se vuelve algo común, inicio de sesión único (SSO), autenticación de múltiples factores (MFA), política de bloqueo de cuenta tras varios intentos fallidos, cambios regulares en las contraseñas.
Sistemas de gestión de cambios: otra sugerencia es implementar un sistema de gestión de cambios en el que, para realizar cualquier modificación en el sistema haya que pasar por diferentes niveles de aprobación. Diversos integrantes del equipo tendrán que evaluar estos cambios, de este modo, se minimizan los errores y los riesgos que acarrean.
Responsabilidad: es importante mantener un diálogo abierto con los empleados sobre la importancia de la ciberseguridad y que exista comunicación sobre los riesgos potenciales de la empresa.
Gestión de riesgo de proveedores: a la hora de realizar colaboraciones, se debe asegurar que estas empresas también cumplen con los estándares de seguridad.
Marco legal: es necesario revisar el cumplimiento de las leyes de protección de datos y los estándares de la industria, así como obtener contratos legales para proteger la información sensible.
Plan de respuesta a incidentes: tener un plan de respuesta a incidentes es una medida eficaz e imprescindible para cualquier organización. Definir con claridad el proceso de como actuar en caso de que ocurra un incidente puede ayudar a contener la amenaza y reducir el impacto tanto en los sistemas como en la imagen de la organización
Muchas organizaciones sufrieron decenas de ciberataques en el último tiempo porque no han capacitado al personal sobre los riesgos que existen y cómo actuar en caso de un posible incidente.
Empresas que construyeron un sistema de protección cibernética muy sólido son frecuentemente víctimas de estas amenazas por errores que cometen los usuarios. Una estrategia de ciberseguridad debe contemplar personas, procesos y tecnología.
Adoptar las recomendaciones indicadas ayudara a reducir errores involuntarios y la efectividad de ataques focalizados en usuarios, evitando graves perjuicios en la operación y reputación de la organización.
*Por Alejandro Botter, gerente de ingeniería de Check Point para Latinoamérica