En un entorno como el actual, en el que todas las empresas están digitalizadas o en proceso de hacerlo, la tecnología es protagonista indiscutible. Los trabajadores utilizan de forma natural y diaria infinidad de herramientas digitales con las que mueven información y datos en todo el planeta en cuestión de segundos. Si además sumamos el hecho de que en plena pandemia por COVID muchos de estos trabajadores realizan sus tareas de forma remota haciendo teletrabajo, el uso de estas herramientas es aún mayor. Respondemos correo, descargamos información, accedemos a portales web, compramos online y compartimos todo tipo de información sin limitación alguna.
Esta gran apertura al mundo que nos hace más competitivos, nos expone también a riesgos hasta ahora desconocidos. Unos riesgos que mutan a diario y se adaptan a los intereses de aquellos que quieren sacar provecho de nuestra información. Un simple correo electrónico malicioso, puede desencadenar un secuestro de datos total. Una falta de comprobación puede generar una fuga económica descontrolada e irrecuperable. Un descuido en el lugar de trabajo puede provocar el robo de información relevante y confidencial. Son muchos los riesgos a los que estamos sometidos y no siempre pueden evitarse con herramientas de seguridad informática.
Herramientas como los cortafuegos pueden evitar accesos indeseados a nuestra información, sin embargo, éstas son herramientas pensadas como puertas digitales que impidan el acceso a quien no se le permite. ¿Pero qué ocurre cuando un usuario de la empresa abre la puerta involuntariamente? ¿Qué ocurre cuando un usuario, por falta de reconocimiento de un riesgo, se convierte en el desencadenante del problema?

Según las estadísticas, un 60% de los ataques a las empresas son a consecuencia de comportamientos no intencionados de sus usuarios. Esto significa que un usuario no formado es un enorme riesgo para la integridad y seguridad de la información de la empresa.

Un usuario no formado puede suponer que éste caiga a una de las infinitas trampas que nos rodean continuamente. Un simple correo electrónico haciéndose pasar por un directivo, o una página web imitando a otra, puedes desencadenar una pérdida económica muy importante.
La Prevención de Riesgos Informáticos (PRI) o Concienciación, busca educar y formar al usuario sobre las técnicas más utilizadas por los atacantes, y las buenas prácticas que garantizan identificar las trampas para evitar satisfactoriamente.
En este artículo, queremos aportar consejos básicos para garantizar un uso seguro de las tecnologías en la empresa.

Comprobación de la validez del correo electrónico

Existen infinidad de correos electrónicos maliciosos. La mayor parte, son filtrados por sistemas antispam, otros acaban accediendo al sistema pero son evidentes engaños, pero algunos de ellos están muy bien pensados y utilizan estrategias no tan populares que pueden confundir al usuario.
Es vital que cualquier mensaje que no esperamos, que pide acciones importantes o que implica transacciones económicas, sea validado y se compruebe su origen. Comprobar al remitente del correo es básico para darle validez. Los atacantes pueden enviarlos utilizando nombres de otras personas ya menudo en el momento de responder estaremos enviando a un correo electrónico. Comprobar sus cabeceras también es una buena acción para asegurar su validez. Herramientas como Messageheader de Google nos ayudan a validar su contenido.
Otros detalles del cuerpo del mensaje pueden revelar malas intenciones. Archivos adjuntos con extension .exe, .vbs, .docm o .xlsm pueden simular archivos Office legítimos pero en realidad esconden malware peligroso. Analizarlo con el antivirus es la mejor opción.
Revisar la redacción del mensaje, analizando si es lógica o está bien escrita, y comprobar que la firma del correo existe y es la normal en este remitente, ayudará también a dar por bueno el mensaje.

Proteger el puesto de trabajo

Puede parecer irrelevante, pero tener un puesto de trabajo en condiciones es uno de los principales requisitos para garantizar la información de la empresa. Algunos de las principales prácticas a tener en cuenta son:

• Mantener ordenado el puesto de trabajo: ya no sólo por higiene sino también por seguridad. Nunca debemos dejar papeles innecesarios, dispositivos USB descontrolados ni contraseñas a la vista
• Sesión bloqueada: puede parecer irrelevante pero levantarnos momentáneamente de nuestro puesto de trabajo sin bloquear la sesión puede exponer innecesariamente los datos a los que tenemos acceso. No cuesta nada pulsar Win+L y bloquear la sesión.
• Software actualizado: todas las aplicaciones de nuestro equipo tienen actualizaciones de seguridad que reaccionan y previenen posibles nuevos ataques. Mantener el software al día es la mejor forma de que nuestras aplicaciones nos ayuden a mantener segura la información.
• Antivirus: los softwares antivirus no sólo reaccionan ante software malicioso que puede entrar en nuestro equipo, sino que también nos ayudará a detectar webs fraudulentas y evitará contagios por ransomware.

Contraseñas complejas

Todos tenemos un gran volumen de contraseñas que además no deja de aumentar. Una buena política de generación y mantenimiento de éstas es clave para mantener seguros los sistemas de la empresa. Las contraseñas no deben compartirse, deben ser únicas y deben ser robustas (mínimo 8 caracteres, con mayúsculas, minúsculas, números y símbolos). Estas 3 claves hacen que posiblemente necesitemos ayuda para gestionarlas y por tanto los gestores de contraseñas serán de gran ayuda. Herramientas como los propios gestores de los navegadores web o plataformas como 1Password entre otros, son ideales para tener bajo control toda esta información.

Copias de seguridad

Más vale tarde que nunca. Esto es aplicable también a la seguridad informática. Si a pesar de las medidas de control y prevención del usuario, los atacantes consiguen penetrar en nuestra organización, las copias de seguridad serán la última medida para recuperar la normalidad. Si todas las barreras fallan, debemos tener la capacidad de recuperar la normalidad y sobre todo recuperar la información. Por este motivo, una buena política de copias de seguridad puede salvarnos de un enorme problema que podría acabar con la continuidad de la empresa.
La estrategia de copia más interesante y equilibrada es la conocida como estrategia 3-2-1. Sus claves son:

3: Mantener 3 copias de cada archivo, el archivo original y dos copias
2: Utilizar 2 soportes de copia diferentes para proteger la información de diferentes riesgos
1: Ubicar una de las copias fuera de la empresa, ya sea en el cloud o en otra ubicación

Este planteamiento es capaz de dar respuesta y solución a infinidad de posibilidades y por tanto es la estrategia más completa y simple posible.

Si quieres seguir profundizando más en cómo aportar formación a los usuarios y garantizar el correcto uso de las herramientas de la empresa, disponemos de propuestas de concienciación que centran los esfuerzos en transmitir al usuario toda aquella información que le ayudará a anticiparse y prevenir cualquier ataque. 

La formación siempre es la mejor de las estrategias.