Cómo proteger la tecnología de una empresa frente a las nuevas amenazas
La tecnología se ha convertido en una pieza esencial para el funcionamiento de cualquier empresa. Sistemas de gestión, plataformas en la nube, herramientas de comunicación y bases de datos permiten trabajar con más rapidez, pero también amplían la superficie expuesta a ataques.
Proteger estos recursos exige mucho más que instalar un antivirus. Las organizaciones necesitan una estrategia de ciberseguridad capaz de prevenir incidentes, detectar comportamientos anómalos y recuperar la actividad con rapidez si se produce una intrusión.
La prioridad debe ser conocer qué sistemas se utilizan, qué información contienen y quién puede acceder a ellos. A partir de ese inventario, la empresa puede establecer medidas proporcionales al riesgo y evitar que la seguridad dependa únicamente de la reacción ante un problema.
El primer paso: identificar los activos críticos
No todos los recursos tecnológicos tienen el mismo valor ni soportan las mismas consecuencias en caso de fallo. Un servidor con información financiera, una aplicación de gestión de clientes o una cuenta de correo con acceso a otros servicios requieren una protección especialmente rigurosa.
El inventario debe incluir equipos, aplicaciones, cuentas, dispositivos móviles, servicios contratados y conexiones externas. También conviene registrar qué proveedor administra cada solución y cuándo se revisaron sus configuraciones por última vez.
- Clasificar la información según su sensibilidad y valor para el negocio.
- Identificar los sistemas imprescindibles para mantener la actividad.
- Localizar dispositivos y aplicaciones sin soporte o desactualizados.
- Revisar los accesos de empleados, colaboradores y proveedores.
Contraseñas robustas y autenticación multifactor
Las credenciales robadas continúan siendo una de las vías de entrada más habituales. El uso de contraseñas repetidas, sencillas o compartidas facilita que un atacante pueda acceder a varios servicios después de comprometer una sola cuenta.
La empresa debe implantar contraseñas largas y únicas, preferiblemente gestionadas mediante un administrador corporativo. Además, la autenticación multifactor debería estar activada en el correo electrónico, las aplicaciones críticas, las plataformas de administración y los servicios en la nube.
Este segundo factor no elimina todos los riesgos, pero dificulta considerablemente el acceso con credenciales obtenidas mediante engaños, filtraciones o programas maliciosos. Siempre que sea posible, es recomendable utilizar aplicaciones de autenticación o llaves físicas frente a códigos enviados por SMS.
Actualizar, segmentar y limitar los permisos
Las actualizaciones corrigen vulnerabilidades que pueden ser aprovechadas por ciberdelincuentes. Por eso, mantener sistemas operativos, aplicaciones, dispositivos de red y herramientas de seguridad al día debe formar parte de un procedimiento establecido, no de una tarea ocasional.
También es importante aplicar el principio de mínimo privilegio. Cada empleado debería disponer únicamente de los permisos necesarios para desempeñar su trabajo. Las cuentas con privilegios de administración deben estar separadas de las cuentas de uso diario y revisarse periódicamente.
La segmentación de la red añade otra capa de protección. Separar los equipos de oficina, los servidores, los dispositivos industriales y las redes destinadas a invitados reduce la posibilidad de que un atacante se desplace por toda la infraestructura tras acceder a un único dispositivo.
Copias de seguridad que permitan recuperar el negocio
Un ataque de ransomware puede bloquear documentos, servidores y aplicaciones en cuestión de minutos. Las copias de seguridad son la principal garantía para recuperar la actividad sin aceptar las exigencias de un extorsionador, pero solo resultan útiles si están bien diseñadas y se prueban con regularidad.
Buenas prácticas para las copias
- Mantener varias copias en soportes y ubicaciones diferentes.
- Conservar al menos una copia desconectada o protegida contra modificaciones.
- Cifrar la información almacenada y controlar quién puede restaurarla.
- Automatizar las tareas y comprobar que se completan correctamente.
- Realizar simulacros de recuperación para medir los tiempos reales.
El objetivo no es guardar datos de forma indefinida, sino definir cuánto tiempo puede estar una empresa sin cada servicio y cuánta información puede permitirse perder. Esos parámetros deben quedar recogidos en un plan de continuidad y recuperación.
Personas preparadas frente a la ingeniería social
La tecnología no puede compensar por completo una cultura de seguridad débil. Los correos falsos, las llamadas fraudulentas y los mensajes que imitan a directivos o proveedores aprovechan la confianza y la urgencia para provocar transferencias, robos de credenciales o descargas peligrosas.
La formación debe ser breve, práctica y continua. El personal debe saber identificar enlaces sospechosos, verificar solicitudes de pago, informar de incidentes y actuar cuando un mensaje no encaja con los procedimientos habituales.
Comunicar un error rápidamente siempre es mejor que ocultarlo. Una respuesta temprana puede permitir bloquear una cuenta, revocar una sesión o detener una transferencia antes de que el daño sea mayor.
Vigilar la nube y a los proveedores
Contratar servicios en la nube no elimina las responsabilidades de la empresa. Aunque el proveedor proteja la infraestructura, la organización debe configurar correctamente los accesos, revisar los permisos y conocer cómo se almacenan, protegen y eliminan sus datos.
Los terceros también pueden convertirse en una puerta de entrada. Antes de contratar una plataforma, conviene evaluar sus controles de seguridad, gestión de incidencias, certificaciones, copias de respaldo y condiciones de salida. El contrato debe establecer qué ocurre si se produce una brecha o se interrumpe el servicio.
Un plan de respuesta probado
Cuando aparece una alerta, la improvisación retrasa las decisiones. Un plan de respuesta debe indicar quién coordina la actuación, a quién se informa, cómo se aíslan los equipos afectados y qué medidas se adoptan para preservar las evidencias.
La empresa también debe definir los canales de comunicación con clientes, empleados, proveedores y autoridades cuando resulte necesario. Tras cada incidente, conviene analizar las causas, corregir las debilidades y actualizar los procedimientos.
La ciberseguridad empresarial es un proceso permanente. Revisar los riesgos, aplicar controles técnicos, formar a la plantilla y comprobar la capacidad de recuperación permite reducir el impacto de las amenazas y mantener la confianza de clientes y socios.
