Los diez errores de las pymes en seguridad

El 99 por ciento de los errores que se cometen en los departamentos informáticos de las pymes son causados por los usuarios finales, aunque, en contra de lo esperado, el propio departamento o responsable informático también tiene parte de culpa en las brechas que se ocasionan en la seguridad de la empresa. Según señala David Vella, director de Gestión de producto de GFI, “la mayoría, sin embargo, opinan que estos profesionales son infalibles en materia tecnológica, a diferencia de los usuarios finales, cuyos fallos se deben habitualmente a la falta de soltura para desenvolverse en el ámbito TI o para entender la lógica subyacente a la seguridad informática”.

La seguridad en las pymes

GFI ha resumido en diez los principales errores o descuidos que cometen los administradores de red en las pymes, bien sea por exceso de trabajo o poco tiempo, cuyas consecuencias pueden ser fatales:

Conectar sistemas TI a Internet antes de protegerlos

Este es un error clásico. Antes de adquirir una línea de teléfono, un cable Ethernet o una tarjeta inalámbrica para un puesto de trabajo, es recomendable instalar al menos una solución de protección contra virus y detección de spyware, así como un programa para prevenir la instalación de software malicioso.

Conectar a Internet sistemas de prueba con cuentas y contraseñas por defecto

Es el sueño de un hacker, ya que dejar las claves y cuentas por defecto facilita enormemente su acceso a la red informática de la empresa. La solución a este error, ciertamente habitual, es cambiar las contraseñas y borrar o renombrar las cuentas por defecto inmediatamente.

No actualizar los sistemas operativos de los equipos corporativos

Ningún software es perfecto y, una vez que se encuentra una vulnerabilidad, ésta se explota en muy poco tiempo, por lo que es conveniente instalar los parches de seguridad disponibles lo antes posible.

Falta de una adecuada autentificación de los usuarios que solicitan servicios técnicos por teléfono

Facilitar a los usuarios contraseñas por teléfono o cambiárselas en respuesta a una solicitud telefónica o personal cuando el usuario no se ha identificado debidamente puede ser la mejor manera de reducir las solicitudes de soporte al área TI, pero facilita enormemente la labor de los hackers involucrados en tareas de ingeniería social. Lo mejor es aplicar las normas de autenticación adecuadas, incluso cuando la voz del interlocutor resulta familiar.

No mantener ni probar las copias de seguridad

La pereza es una de las mayores amenazas de seguridad; sin embargo, la creación de copias de seguridad adecuadas es mucho más fácil que recopilar los datos desde cero. Por ello, es conveniente realizar a menudo copias de seguridad y mantenerlas incluso fuera de las instalaciones de la compañía (no en la caja fuerte del jefe).

No confirmar que el plan de recuperación ante desastres realmente funciona

Una vez que se tienen las copias de seguridad, hay que verificar si funcionan, si son buenas y si se tiene un plan de recuperación ante desastres. Si las tres respuestas son negativas, nos encontramos ante un problema.

No implantar o actualizar programas de detección de virus

¿Qué sentido tiene tener soluciones anti-virus y anti-spyware si no se actualizan? Las soluciones actualizadas aseguran que las últimas modalidades de software malicioso serán detectadas inmediatamente.

No formar a los usuarios en materia de seguridad

Los usuarios necesitan conocer las amenazas a las que deben enfrentarse. Los empleados no formados en temas de seguridad, son aquellos que suelen ser víctimas de virus, spyware y ataques de phising, diseñados para corromper sistemas o filtrar información personal a terceros sin el consentimiento del usuario. No hay que dar por sentados los conocimientos de los usuarios, ni confiar demasiado en ellos.

Hacerlo todo uno mismo

Las grandes compañías cuentan con departamentos informáticos específicos, pero los administradores TI de las pymes muchas veces se encuentran solos ante el peligro. Estos últimos deben pedir consejo y ayuda en caso de necesidad y si se topan con cualquier problema, ya que la ayuda externa, aunque a veces costosa, asegura un trabajo bien hecho a la primera.

Fallos a la hora de reconocer las amenazas internas

Demasiada confianza puede aniquilar la seguridad informática de la empresa. Los empleados descontentos pueden causar grandes problemas si no se les monitoriza adecuadamente. Los responsables TI deberían monitorizar la actividad de la red, especialmente el uso de dispositivos portátiles como iPods, memorias USB, etc. Seguramente ninguna empresa querrá que sus datos se vendan a la competencia por un empleado airado.