Incluso con el uso de la tecnología más avanzada, la garantía del cien por cien de seguridad no existe. Además, debemos tener en cuenta que los datos en poder de las compañías es uno de los bienes más preciados. Y esto obliga a asegurar que personas u organizaciones no autorizadas no acceden a ellos y, en caso de pérdida, a tener un plan de recuperación de los datos perdidos por cualquier incidencia de manera inmediata. Aseguramos, después de todo, la continuidad de la actividad empresarial.
Pero, ¿hasta qué punto el usuario que maneja el dato es importante? Es fundamental. Primero, porque es el que, de manera involuntaria, puede ceder sus derechos de acceso al entorno de la empresa y a personas externas no deseadas. Y lo podría hacer de dos formas diferentes: cediendo sus credenciales, por ejemplo, incurriendo en un phishing; o compartiendo hacia el exterior enlaces sin control que otorgan acceso a datos internos.
Una vez robada la información, estamos a falta de un ‘clic’ de que se puedan encriptar los datos y nos pidan un rescate
A través de phishing, el atacante entra en el sistema con las credenciales del usuario atacado y, posteriormente, aumenta los derechos del usuario real hasta poder tener acceso a toda la información de la empresa.
Una vez robada la información, estamos a falta de tan solo un ‘clic’ de que se puedan encriptar los datos y nos pidan un rescate para recuperarlo (ransomware).
Permitidme una reflexión en este punto, y alejándome de la discusión sobre lo adecuado o no de ceder a la extorsión:
- ¿Nos devolverán parcialmente los datos? Seguramente no nos devolverán todos. Y probablemente faltarán por entregar los más sensibles.
- La extorsión se alargará en el tiempo. Son expertos en mantener la necesidad de ceder a ella, dado el lucro cesante que sufre la empresa debido a su parálisis.
- La propiedad intelectual, lo que mueve nuestra compañía, podrá ser revendida al mejor postor en la Dark Web.
A los dos primeros puntos podremos dar solución si disponemos de un backup reciente, limpio y fiable, donde se garantice la veracidad del dato y la inmutabilidad. Sin embargo, únicamente mediante la prevención podremos evitar el tercer punto.
Perímetro de seguridad
Pero es que, además, las empresas usan cada vez más OneDrive, Sharepoint o Teams, lo que provoca que tengan un perímetro de seguridad muy amplio e incontrolable. Son los propios usuarios internos de las organizaciones los que comparten con terceras personas externas el acceso a los datos de su compañía y a los de sus clientes.
Los hábitos de comportamiento hacen que esos links puedan ser reenviados a terceros sin ningún tipo de control por parte de la compañía. Y en el mejor de los casos, el receptor se tendrá que identificar. Al menos de esa manera habrá traza de lo sucedido.
No obstante, en la mayoría de los casos, el enlace no exige identificación y se podrá acceder a los archivos de forma anónima e indefinida en el tiempo.
Si no gestionamos y protegemos bien nuestros datos, probablemente pocos de clientes confiarán en nosotros
Por tanto, si no gestionamos y protegemos bien nuestros datos, probablemente pocos de nuestros clientes confiarán en nosotros. Y si no gestionamos los propios, ¿dudarán los clientes sobre cómo tratamos sus datos? Seguramente.
Por todo ello, nuestra recomendación es cubrir todos los ángulos de nuestro perímetro de seguridad:
- Protección y prevención ante el ataque poniendo tecnología alrededor del usuario y, específicamente, en el mayor vector de ataque actualmente: el correo electrónico.
- Asegurar la política de seguridad del dato de la compañía controlando tanto temporalmente como en cuanto a privilegios las comparticiones de archivos internos y externos.
- Formando al usuario también en detección de ataque, haciendo de ese usuario el firewall más importante en caso de brecha de seguridad.
- Y si aun así el ataque fructifica, asegurando la recuperación rápida de todos los datos. De esta manera evitamos el lucro cesante de la empresa y el daño reputacional. Todo ello, con un simple backup seguro e inmutable.
Después de todo, es una aproximación de 360 grados cuyos componentes se superponen para poder asegurar que nuestras empresas y los datos de nuestros clientes están en buenas manos.
Hagamos que el negocio central de nuestra compañía sea el que requiera de nuestra atención. Y que la ciberseguridad se encargue de la viabilidad y cumplimiento de la normativa, garantizando el foco del negocio y el de nuestras organizaciones.
