Cómo proteger a su pequeña empresa de la filtración de datos

La ciberseguridad se ha convertido en un problema que afecta a las empresas de todos los tamaños en muchas industrias en el panorama actual de ciberamenazas.

Mientras que hace diez años los piratas informáticos se dirigieron a grandes minoristas y organizaciones como Target o Yahoo! con la esperanza de capturar grandes cantidades de datos vendibles con una sola brecha en la red, hoy en día a menudo se dirigen a pequeños minoristas y proveedores de servicios.

El costo total de una sola violación de datos promedió más de $ 4 millones en 2018, y es probable que esos costos continúen creciendo.

Los pequeños minoristas y las franquicias, como gasolineras, restaurantes y hoteles, continúan siendo víctimas de violaciones de datos en cantidades cada vez mayores, lo que indica que ninguna empresa es demasiado pequeña para ser un objetivo.

En este artículo, cubriremos cómo y por qué las violaciones de datos ocurren en las pequeñas empresas, y luego explicaremos nueve mejores prácticas que pueden seguir para evitar ser pirateadas.

Imagen | pixabay

¿Qué es una violación de datos?

Una violación de datos es cualquier divulgación no autorizada de datos privados o valiosos .

La clásica violación de datos de la que a menudo escuchamos en las noticias es un ataque a la red.

Los piratas informáticos externos , a veces sentados de forma segura en el otro lado del mundo, obtienen acceso a la red de una empresa y transfieren los datos robados a sí mismos a través de Internet. Los piratas informáticos también pueden desactivar los sistemas de TI de una empresa por despecho.

Las filtraciones de datos a veces ocurren cuando personas internas roban datos y también los liberan .

¿Los actores más comunes?

Un empleado descontento o despedido recientemente, o un contratista externo que aceptó un soborno o no contaba con buenas medidas de seguridad y se ha convertido en un punto de entrada de un delincuente externo para robar datos de la empresa.

La tercera forma en que ocurre una violación de datos es sin darse cuenta . A veces, el personal de TI u otros empleados dejan datos expuestos al público en Internet.

Otro ejemplo es cuando los empleados olvidan una computadora portátil de la empresa en un lugar público o cuando se la roban.

Estas infracciones ocurren debido a la falta de atención y las políticas de seguridad deficientes .

¿Cómo ocurren las filtraciones de datos?

La pregunta en la mente de todos los profesionales de la ciberseguridad es "¿Cómo puede ocurrir una violación de datos?"

Es una pregunta difícil porque tiene muchas respuestas y es difícil adivinarlas todas de antemano.

Las violaciones de datos a menudo ocurren porque las políticas y el personal de seguridad no ven una forma en que los delincuentes puedan violar su seguridad.

Dicho esto, hay varias formas comunes en que los piratas informáticos ingresan a las redes comerciales privadas (o personales):

• Phishing de correo electrónico : esta es la forma más común en que las redes de las empresas experimentan una filtración. El objetivo principal de los correos electrónicos de phishing es robar con éxito las credenciales de los empleados o engañarlos para que descarguen malware en sus computadoras de trabajo. Los piratas informáticos hacen que los empleados crean que un correo electrónico falso es una comunicación comercial legítima o un correo electrónico de proveedores. Siempre existe una pequeña posibilidad de que un empleado sea víctima de este ataque, por lo que los piratas informáticos envían un aluvión constante de correos electrónicos de phishing a sus objetivos esperando que suceda. Un solo clic suele ser suficiente para obtener acceso.

Imagen | pixabay

• Exploits de día cero: un exploit de día cero es una falla de software que no ha sido descubierta por su creador. "Día cero" significa que el día en que comienzan a corregir el error aún no ha llegado.
  Mientras un exploit siga siendo conocido solo por los piratas informáticos, pueden continuar usándolo para ingresar a las redes informáticas sin ser detectados.
• Descargas no autorizadas: los sitios web cargan muchos scripts que se ejecutan en segundo plano, principalmente para publicar anuncios en los navegadores web. Cuando se inyecta un script malicioso en las redes de colocación de anuncios, puede usar exploits para instalar malware en la computadora sin el conocimiento de un empleado.
• Ataques de ingeniería social: la ingeniería social es un término elegante para el arte de la estafa. Estos ataques pueden implicar hacerse pasar por empleados de la empresa, investigadores policiales o clientes durante las llamadas telefónicas.
  También pueden implicar el robo de las credenciales de los empleados y su uso para acceder al lugar de trabajo.

Las consecuencias de una violación de datos

Una violación de datos expondrá a una empresa a muchos costos: financieros, tangibles e intangibles.

Los costos financieros inmediatos pueden tomar la forma de demandas, multas y sanciones contractuales si una investigación muestra que la falta de seguridad causó la infracción.

Es probable que los clientes presenten demandas colectivas, y la marca de una empresa sufrirá durante años después de una infracción muy publicitada.

Las empresas que procesan transacciones con tarjetas de crédito para sus clientes están expuestas tanto a multas reglamentarias como a sanciones contractuales con los proveedores de tarjetas de crédito cuando se roban los datos de pago de los clientes.

Los bancos que pierden dinero por el fraude financiero subsiguiente pueden demandar a la empresa violada por responsabilidad.

Las empresas involucradas en las industrias financiera y de atención médica también están sujetas a estrictos requisitos normativos para garantizar la privacidad de los registros de clientes y pacientes y la información financiera.

El hecho de no mantenerlos seguros causará sanciones que pueden paralizar o llevar a la bancarrota a las pequeñas empresas cuando se combinan con otros costos en los que es probable que se incurra después de una violación de datos.

Una filtración de datos puede dañar la marca y las finanzas de una empresa lo suficiente como para quebrar a las pequeñas empresas, pero las consecuencias pueden ser nefastas cuando le sucede a los gobiernos locales y estatales.

La interrupción causada a sus sistemas de TI puede impedir que las agencias gubernamentales brinden servicios esenciales a la comunidad , como sucedió cuando la ciudad de Atlanta fue atacada por un ransomware.

Formas de evitar una violación de datos

La ciberseguridad es difícil de implementar para las pequeñas empresas que no pueden permitirse agregar profesionales de seguridad dedicados a su personal de TI.

Hay varias reglas generales que pueden hacer que su empresa esté más segura frente a las filtraciones de datos , ya sea que se deban a fraudes internos o a piratas informáticos externos.

Imagen | pixabay

1. Contratar consultores de seguridad externos : si su empresa no tiene un plan de seguridad, el primer paso es traer consultores para que lo ayuden a crear uno. Esta opción es menos costosa que contratar personal permanente y obtendrá una evaluación de seguridad exhaustiva y recomendaciones a seguir.
2. Proteja todos los datos : las filtraciones de datos no son solo ataques a la red. También debe evaluar la seguridad física de sus datos. ¿Pueden los delincuentes infiltrarse en su negocio? ¿Pueden los empleados acceder a registros confidenciales, ya sea en papel o electrónicos, y robarlos? Si encuentra datos no protegidos en cualquier forma, busque formas de restringir el acceso a ellos.
3. Almacene solo los datos que necesita : una forma de minimizar el daño de una violación de datos es no tener a mano los datos de clientes y empleados cuando sucede. Una buena política a tener es almacenar solo los datos que son necesarios y descartarlos una vez que haya cumplido su propósito. Un ejemplo es no almacenar los detalles de las transacciones de los clientes después de realizar una compra.
4. Capacite a los empleados sobre las tácticas comunes de los piratas informáticos : el punto más débil de la seguridad de la red son sus empleados.
   La mayoría de las filtraciones de datos comienzan cuando un empleado cae en un intento de phishing por correo electrónico al hacer clic en un enlace que instala malware o al revelar las credenciales de su cuenta. Cuando tiene una fuerza laboral con conocimientos de seguridad, será más difícil para los piratas informáticos tener éxito.
5. Mantenga su software actualizado : la segunda forma más común en que los piratas informáticos violan las redes privadas es explotando una debilidad del software para obtener acceso. Los proveedores de software lanzan parches de seguridad con frecuencia y, la mayoría de las veces, puede configurar su software para que se actualice automáticamente a través de Internet.
6. Restrinja el uso de dispositivos de almacenamiento portátiles : las memorias USB son herramientas convenientes para que los piratas informáticos infecten computadoras en una red privada. A veces, se harán pasar por empleados o contratistas para obtener acceso a su lugar de trabajo e infectar las computadoras con malware al conectar una memoria USB.
   Incluso pueden dejarlos caer al suelo sabiendo que alguien los conectará a una computadora para verificar su contenido.
7. Proteja los sitios web y las redes con un servicio de seguridad: los servicios de seguridad ayudan a las empresas a defender sus sitios web y redes contra infracciones. Supervisan constantemente sus redes en busca de actividad sospechosa y activan las banderas rojas de inmediato. La mayoría de las infracciones tardan semanas o meses en ejecutarse, por lo que la detección rápida de intrusos es clave para detener las infracciones en la red en su camino.
8. Cifre todas las transferencias de datos : hoy en día existe un cifrado fuerte que evita que cualquier persona acceda a los datos sin claves especiales para decodificarlos. Si implementa una política de encriptación robusta, los piratas informáticos no podrán usar los datos que roban durante una violación de datos.
9. Controle los derechos administrativos : los piratas informáticos deben obtener privilegios de administrador completos una vez que obtengan acceso a su red para robar sus datos. Puede evitar una posible violación de datos si se toma en serio la seguridad de sus cuentas de administrador de red. Limite la cantidad de cuentas de administrador, concédales solo los privilegios que necesitan y use contraseñas seguras para protegerlas.

Pensamientos finales

La frecuencia de las filtraciones de datos y el alto costo de convertirse en víctima hace que sea imperativo que todas las empresas creen un sólido plan de seguridad y se adhieran a él .

Si bien no hay forma de evitar una violación de datos, puede minimizar cualquier daño causado por ella con la preparación adecuada.

Al consultar con empresas de seguridad cibernética y seguir un conjunto de políticas de seguridad prácticas , las pequeñas empresas pueden mantener sus datos seguros. Esas políticas de seguridad incluyen mantener el software actualizado y garantizar que las redes estén configuradas correctamente para evitar el acceso no autorizado.

Nunca olvide que su seguridad es tan fuerte como su eslabón más débil, y asegúrese de incluir la capacitación de los empleados en ciberseguridad como parte de su estrategia.

Cuando sus empleados sepan cómo mantenerse alejados de los correos electrónicos sospechosos y conozcan las buenas prácticas para mantener seguras sus computadoras portátiles comerciales cuando están al aire libre, reducirá la probabilidad de ser una víctima.

Un plan de seguridad sólido y la voluntad de implementarlo es la clave para proteger los negocios, grandes o pequeños.