“Muchos ataques a empresas se deben a los empleados”

NoticiasCyL se encuentra de nuevo en las entrañas de la ciberseguridad. Hablamos con Marco A. Lozano, coordinador de Empresas y Profesionales de INCIBE, para conocer más a fondo los incidentes cibernéticos que afectan a las empresas privadas y de qué manera se pueden evitar o solucionar rápidamente.

Las empresas de ámbito pyme y micropyme están más expuestas a este tipo de ataques. Una de las recomendaciones para hacer frente a los incidentes es la realización de un análisis de riesgos con la situación de la empresa para determinar las pautas tecnológicas para la protección de la misma.

Pregunta: ¿Qué tipo de incidentes pueden llegar a las empresas?

Respuesta: En este tipo de empresas pyme y micropyme están expuestas a un secuestro de la información que se traduce en una pérdida de información a través de posibles virus o malware ya que éstos impiden el acceso de los equipos profesionales. Otros de los elementos en los que más influyen los ataques dentro de las empresas son los dispositivos del ‘Internet de las Cosas’ o como decimos en León, ‘el Internet de los telares’. Ya que estos elementos domésticos están cada vez más implantados en las cadenas de producción y no cuentan con la protección adecuada ante los grandes ataques hacia empresas. También existen los ataques de ingeniería social, ataques a los directores de las compañías o también los ciberdelincuentes están probando con una tendencia de infecciones sin archivo. Con responde al robo o fuga de datos, las empresas tendrán un problema adicional ya que según la ley se deberá hacer pública la fuga ante la Agencia de Protección de Datos.

P: ¿Qué riesgos corren las empresas?

R: Los ciberdelincuentes se han dado cuenta que los ataques a estas empresas son una vía de negocio muy interesante porque estas pequeñas entidades suelen acceder al pago o a la extorsión porque el impacto para ellas es muy grave. Las empresas que se ven afectadas por estos malware no podrán trabajar porque sus procesos informativos o bases de datos están encriptados por los ciberdelincuentes y no pueden acceder a ellos. La empresa afectada puede que tenga que hacer frente a una sanción económica ante la fuga de datos si no han tomado las medidas de seguridad que exige el Reglamento General de Protección de Datos y la nueva Ley Orgánica de Protección de Datos y Garantías de Derechos Digitales que entro en vigor el pasado 5 de diciembre.

P: ¿Qué sectores son los más vulnerables a los ataques?

R: No tenemos una clasificación exhaustiva por sectores, pero me atrevo a decir que los más afectados suelen ser las empresas profesionales asociados a despachos de abogados, asesoría, gestoría, consultas de médicos privados y arquitectos. Además, el sector sanitario también suele sufrir incidentes y es uno de los que más preocupa. Aunque, no solo los mencionados pueden sufrir ataques, cualquier sector puede estar expuesto a este tipo de incidentes.

P: ¿Qué recomendaciones deberían de seguir las empresas ante estos incidentes?

R: Principalmente, las empresas deben desarrollar planes de formación, capacitación y concienciación de incidentes cibernéticos a sus empleados. Ya que el 80-85% de los ataques llegan a las empresas por la falta de formación y concienciación de los usuarios de las compañías. Cada tipo de empresas tienen que adaptar unas pautas concretas porque la información no es la misma en el sector sanitario que en el sector de la construcción. Otra de las medidas que se deben de llevar a cabo en un análisis de riesgos, es decir, una evaluación de la situación de la empresa  para tratar de determinar los procesos más críticos y por ende implantar medidas tecnológicas para proteger esos activos. Otro de los ejemplos a seguir es que si los empleados establecen conexiones fuera de la oficina es que los dispositivos estén conectados bajo una conexión segura que no pueda ser espiada. Por otro lado, para prevenir los incidentes, las empresas deben mantenerse informadas de las últimas tendencias y avisos en ciberseguridad. Para ello, desde Incibe ofrecemos una serie de servicios para cubrir estos aspectos como la suscripción al servicio de avisos, un teléfono gratuito para empresas, educadores, padres y menores (900 116 117) bajo el que está un equipo de asesores, consultores y expertos en ciberseguridad que van a poder dar una solución a la mayor parte de problemas de las organizaciones.