La ciberseguridad en la empresa es imprescindible ya que cuando pensamos en cualquier empresa, es fácil darnos cuenta de que su mayor activo es la información que maneja. Será, además, el activo más crítico. Cualquier empresa, ya sea una gran corporación o una pequeña pyme, gestiona información de gran valor no sólo para la propia empresa, sino también para los ciberdelincuentes.
Y es que el panorama actual de ciberamenazas es desalentador. Según la Agencia Europea para la Ciberseguridad, el número de incidentes de ciberseguridad no ha hecho más que crecer en los últimos años.
Basta con que un ciberdelincuente consiga acceso a un servidor corporativo y secuestre todos los archivos relativos a procesos de la empresa para que la actividad y continuidad de ésta se vea seriamente afectadas. Además, incidentes de seguridad que afectan a datos personales pueden acarrear a la empresa consecuencias legales y sanciones.
Por ello, la mayoría de las organizaciones han considerado la seguridad de sus sistemas de información como un objetivo prioritario. Y es que la ciberseguridad en la empresa para proteger la seguridad de la información, es proteger el negocio.
A la hora de abordar la protección de la información siempre surgen muchas dudas: ¿Deberíamos externalizar los sistemas de ciberseguridad de la empresa? ¿Qué tipo de información manejamos? ¿Cuál es crítica? ¿Realizamos suficientes copias de seguridad? ¿Deberíamos permitir el uso de información corporativa en dispositivos móviles? ¿A qué riesgos nos exponemos? …
Para lograr unos niveles de ciberseguridad en la empresa aceptables habrá que planificar una serie de actuaciones en materia de ciberseguridad, como un proceso más de la empresa. En definitiva, contar con un plan de seguridad de la información.
En este plan, lo primero que tendremos que hacer es identificar los riesgos a los que nuestra organización está expuesta, identificando primero los activos de información de la organización y después las amenazas que puedan afectarles.
Tras identificar los riesgos, habrá que valorarlos cuantitativa y cualitativamente. Valorar su impacto en la organización y la probabilidad de que produzcan un incidente. Esto nos va a ayudar a determinar qué tratamiento daremos a cada riesgo. Es decir, qué riesgos serán inaceptables o cuáles se podrían soportar.
Así, será más sencillo decidir qué haremos con cada riesgo: Evitarlo, mitigarlo, transferirlo a un tercero o aceptarlo. Elegiremos entre estas opciones atendiendo a criterios de coste y beneficio, normalmente.
Llegados a este punto, la empresa dispondrá de un plan de tratamiento de riesgos. Este plan será un proceso que tendrá que involucrar al personal de la empresa y deberá ser supervisado y revisado de forma continua.
Con una adecuada gestión de riesgos, tendremos identificados los riesgos, planificado su tratamiento y medidas de protección acorde. Es una forma de gestionar la seguridad de la información, de forma amplia, organizada y acorde a la actividad de la organización.
La ciberseguridad en la empresa tiene que ser un proceso que involucre a todo el personal
¿La existencia de una planificación de seguridad de la información nos garantizará la protección total de la organización? Lamentablemente, no. La ciberseguridad total no existe. Por ello, habrá que considerar el caso de que se produzca un incidente de seguridad y tener un plan de actuación.
Un plan de actuación adecuado proporcionará unas pautas de actuación claras para poder gestionar la crisis en el momento en que se detecte, ayudando a tomar el control de la situación lo antes posible y posibilitando mitigar los posibles daños a la organización.
El contenido de este plan de actuación dependerá fuertemente del tipo de organización y los posibles riesgos, pero, a grandes rasgos, podemos identificar las siguientes fases de actuación ante un incidente de seguridad:
- Detección del incidente: Si se confirma que ha habido un incidente habrá que informar a las personas de la organización designadas para su tratamiento. Se iniciará el protocolo de actuación.
- Informe inicial y primeras acciones: Se formará un equipo de gestión que recabará toda la información inicial sobre el incidente y tomará las primeras decisiones de forma organizada.
- Auditoría: Se recabará en un informe preliminar toda la información posible sobre el incidente, daños y posibles causas.
- Tareas a acometer y planificación: La información disponible sobre el incidente puede ser incompleta aún, pero es necesario actuar con rapidez. Se trata de empezar a mitigar los daños lo antes posible.
- Mitigación: Con las tareas decididas, sólo resta ponerlas en marcha.
- Seguimiento: En esta fase se valoran los resultados de las acciones llevadas a cabo y se gestiona cualquier daño adicional que se haya podido encontrar durante la fase de mitigación. Sería el momento de realizar una auditoría más completa y estudiar mejoras para evitar la repetición de la incidencia.
En definitiva, la seguridad de la información en las empresas se tiene que abordar de forma planificada y anticipada. Ninguna organización puede permitirse no dedicar recursos a la protección sus sistemas de información, dado el panorama de ciberamenazas actual.
