Medidas de prevención frente a un ciberataque

¿Te ha gustado nuestro artículo? ¡Vota!

Habrás oído hablar de las brechas de seguridad en las empresas digitales. Básicamente, es como si en un negocio físico te dejas una ventana medio abierta. Los delincuentes, aprovechan, se cuelan y te roban el stock o la caja. En un negocio digital, te roban información (de tus clientes, de tus cuentas, de tus pagos...). Y claro, se lía. Para evitarlo, se toman medidas preventivas. Igual que pondrías una alarma o una persiana en una tienda, debes elaborar un protocolo de prevención de ciberataque y de actuación en el caso de que, a pesar de las medidas de seguridad, se produzca un ataque informático.

Medidas preventivas en la organización

Además de los 10 consejos para evitar un ciberataque de los que hablábamos en anteriores post (como usar contraseñas seguras, mantener el software constantemente actualizado o realizar copias de seguridad), estas son otras de las acciones más importantes para reforzar la prevención ante ciberataques, según el Instituto Nacional de Ciberseguridad (INCIBE):

• Establecer políticas sobre el uso de los dispositivos en la oficina y fuera de ella. Por ejemplo, en una empresa en la que se trabaje de forma presencial de lunes a viernes, puede limitarse el uso de los ordenadores durante el fin de semana y solo dentro de la oficina. También puede prohibirse el uso de los ordenadores para cuestiones personales. Recuerda que, cuando estasblezcas este tipo de políticas, es muy importante que todos los trabajadores estén informados por escrito y hayan mostrado su conformidad. Puede parecer tedioso, pero te ahorrará muchos problemas en el futuro.
• Utilizar un sistema de acceso en el que cada usuario cuente con los permisos para dispones de la información que necesite para llevar a cabo su actividad profesional. Además, es necesario que los accesos se puedan rastrear. "Controlar quién accede a la información de nuestra empresa es un primer paso para protegerla", INCIBE.
• Tomar el control de las aplicaciones que se instalan. "Hacer uso de un software ilegal adquirido de forma fraudulenta podría conllevar sanciones económicas e incluso, penales. Además, no se puede saber si lleva asociado algún tipo de malware o agujero de seguridad, lo que aumenta las posibilidades de riesgo por infección".
• Formar a los empleados en materia de ciberriesgo. En su página web, INCIBE hace mención a un informe CISCO sobre este tema: "El comportamiento de los trabajadores españoles es el segundo mayor riesgo para la seguridad de los datos corporativos". Para reducir el impacto, el portal de ciberseguridad propone concienciar a la plantilla de la variedad de ciberamenazas que existen y cómo hacerles frente.

Protocolo de actuación

A veces pasa que, a pesar de toda la prevenión, se produce un ciberataque. Si es así, el primer paso es minimizar su impacto en el negocio. Después hay que evaluar si se han comprometido datos personales. En ese caso, el ataque debe ser comunicado a la Agencia Española de Protección de Datos (AEPD) o al INCIBE-CERT a través de su servicio de respuesta a incidentes, como establece el Reglamento General de Protección de Datos (RGPD).

En esa notificación la empresa debe informar sobre el incidente, sus consecuencias, las medidas propuestas para su contención y la identidad del responsable o responsables, si se conoce.

También se puede denunciar el ciberataque ante los Fuerzas y Cuerpos de Seguridad del Estado. Para ello, la empresa damnificada debe ponerse en contacto con el Grupo de Delitos Telemáticos de la Guardia Civil o, en su defecto, con la Brigada de Investigación Tecnológica de la Policía.

Tipos de medidas en el protocolo de actuación

Las empresas deben realizar un plan que incluya tres tipos de medidas en su protocolo de actuación en caso de ciberataque:

1. Técnicas. Este tipo de acciones las debe llevar a cabo el departamento TI o de ciberseguridad. Están destinadas, sobre todo, a contener la brecha de seguridad, recuperar los datos y restaurar la continuidad del sistema lo antes posible.
2. Legales. En este caso, son medidas destinadas a asegurar que, desde la detección del ataque, se cumplirán todos los protocolos que establece la legislación vigente.
3. De gestión. Las técnicas de gestión pretenden minimizar los daños en cuestión de desprestigio de marca o el impacto en su reputación.

Medidas preventivas legales

El departamento legal de la empresa debe desarrollar sus propias medidas preventivas para asegurar que se cumple el Reglamento General de Protección de Datos (RGPD) de la UE y su transposición a la legislación española como Ley Orgánica de Protección de Datos y Garantía de Derechos Digitales (LOPDGDD).

Estas medidas no sirven, estrictamente para evitar un ciberataque, pero sí que evitarán cuantiosas sanciones económicas y mejorarán la imagen de la empresa. Antes, comparábamos un ciberataque con un robo real. Siguiendo esa misma línea, una empresa que crea un entorno seguro de protección de datos (los de los clientes, trabajadores, colaboradores, etcétera) refuerza la imagen de marca y eso, además, de aumentar la fidelización, funciona como las cámaras de vigilancia en las tiendas: son importantes después del robo, pero igual o más importante es su efecto disuasorio.