Cuando pensamos en un ciberataque, es fácil imaginar una situación compleja: alguien intentando entrar en los sistemas de una empresa, buscando una vulnerabilidad y tratando de hacerse con el control.
Pero muchas veces el riesgo está mucho más cerca.
Puede estar en un correo electrónico, en una contraseña, en un dispositivo que no se ha actualizado, en una aplicación mal configurada o en una cuenta que mantiene unos permisos que ya no necesita.
Y ahí es donde empieza una de las preguntas más importantes cuando hablamos de ciberseguridad:
“¿Por dónde podría entrar un ciberdelincuente a mi empresa?”.
Una empresa tiene más puertas de entrada de las que parece.
La actividad diaria de una empresa depende de muchos sistemas y herramientas.
Los empleados utilizan el correo electrónico, acceden a aplicaciones, trabajan desde diferentes dispositivos y, cada vez más, se conectan a los recursos corporativos desde fuera de la oficina.
Todo esto es necesario para trabajar.
Pero cada acceso, cada dispositivo y cada cuenta forman parte de la superficie de exposición de la empresa.
Por eso, proteger una organización no consiste solamente en instalar herramientas de seguridad. También implica conocer qué tenemos, quién puede acceder, desde dónde pueden hacerlo y qué información puede consultar.
Si no conocemos esos puntos, es difícil saber cuáles necesitan una mayor protección.
El correo, las contraseñas y los accesos.
El correo electrónico es una de las herramientas más utilizadas en cualquier organización y también puede ser utilizado para intentar engañar a los empleados.
Un correo puede incluir un enlace fraudulento, un archivo malicioso o una solicitud aparentemente legítima. Este tipo de técnicas buscan conseguir información, credenciales o algún tipo de acceso.
Las contraseñas son otro punto importante. Una contraseña reutilizada en diferentes plataformas puede convertirse en un riesgo si esas credenciales terminan filtrándose. Por eso, utilizar contraseñas únicas y añadir medidas como la autenticación multifactor ayuda a reforzar la protección de las cuentas.
Pero el problema no termina ahí.
También es necesario saber qué cuentas existen, quién las utiliza y qué permisos tiene cada una.
Los dispositivos también forman parte de la seguridad.
Ordenadores, móviles, servidores y otros dispositivos forman parte de la infraestructura de una empresa.
Todos ellos necesitan mantenerse actualizados y correctamente configurados.
Un dispositivo puede seguir funcionando con normalidad y, aun así, presentar riesgos de seguridad. Lo mismo puede ocurrir con una aplicación que lleva tiempo sin actualizarse o con un sistema que mantiene una configuración que ya no es adecuada.
Por este motivo, es recomendable tener identificados los dispositivos y sistemas utilizados por la empresa es un primer paso fundamental.
No podemos proteger correctamente aquello que no sabemos que existe.
Y la empresa no termina en la oficina.
El acceso remoto ha cambiado la forma de trabajar de muchas organizaciones.
Los empleados pueden conectarse desde casa, utilizar servicios en la nube o acceder a determinados recursos desde diferentes ubicaciones.
Esta flexibilidad también hace necesario controlar los accesos externos.
No se trata de impedir el trabajo remoto, sino de asegurarse de que las conexiones están protegidas y de que cada usuario tiene únicamente los accesos que necesita.
Aquí también entra en juego la gestión de permisos.
No todas las personas necesitan acceder a la misma información ni a los mismos sistemas. Mantener permisos que ya no son necesarios aumenta la superficie de exposición y puede complicar la respuesta ante un incidente.
Las personas también forman parte de la protección.
Hay un elemento que no podemos dejar fuera: los empleados.
La tecnología puede ayudar a detectar y bloquear muchas amenazas, pero las personas siguen siendo una parte fundamental de la seguridad de cualquier empresa.
No se trata de convertir a todos los empleados en expertos en ciberseguridad. Se trata de que sepan reconocer determinadas señales, que conozcan los riesgos más habituales y que tengan claro cómo actuar cuando algo no parece normal.
La formación y la concienciación forman parte de la protección de la empresa tanto como las herramientas tecnológicas.
Entonces, ¿dónde está realmente el riesgo?
La respuesta no está en un único lugar.
Puede estar en un correo, en un dispositivo, en una aplicación, en un acceso remoto o en un permiso que nadie ha revisado durante meses.
Y precisamente porque todos estos elementos forman parte del trabajo diario, es fácil dejar alguno fuera de la revisión.
Por eso, antes de preguntarnos si nuestra empresa está protegida, deberíamos hacernos algunas preguntas:
“¿Sabemos qué dispositivos están conectados a nuestros sistemas?”
“¿Sabemos quién tiene acceso a cada recurso?”
“¿Tenemos controlados los permisos de los usuarios?”
“¿Mantenemos actualizados nuestros sistemas y aplicaciones?”
“¿Las cuentas corporativas están correctamente protegidas?”
“¿Los empleados saben cómo actuar ante una situación sospechosa?”
Si alguna de estas preguntas no tiene una respuesta clara, ya tenemos un punto por el que empezar.
La ciberseguridad empieza por conocer nuestras propias puertas
Porque antes de cerrar una puerta, primero hay que saber que existe.
Y la pregunta es: