Decálogo de ciberseguridad para la organización

Ciberseguridad

Un correcto funcionamiento, y hasta la supervivencia de las organizaciones depende una gran parte en su adaptación al medio. Actualmente las empresas se encuentran inmersas en un entorno tecnológico en constante modificaciones, como cabe esperar la ciberseguridad se encuentra en la principal prioridad. Para evitar los diferentes tipos de ataques se ha redactado el decálogo de ciberseguridad, mostrando unas pautas a seguir y así mantener un entorno digital seguro en la organización. 

El Instituto Nacional de Ciberseguridad ha publicado el Decálogo de Ciberseguridad, la finalidad de este es que sea utilizado como manual de buenas prácticas para estar preparados ante los ciberataques que se puedan producir. 

El decálogo de ciberseguridad cuenta con diez ideas principales con las que pretende promover, conseguir y conservar un correcto nivel de seguridad en las organizaciones frente a cualquier tipo de ciberataque. 

Decálogo de ciberseguridad

Políticas y normas

Para demostrar el compromiso con dicho ámbito todos los aspectos esenciales han de estar recogidos en una política de seguridad donde se establezca cómo abordar la seguridad. En dicho documento también se deben concretar las normas y procedimientos a llevar a cabo. Como cada una de las empresas tienen características diferentes por lo que se recomienda elaborar un Plan Director de Ciberseguridad. Este debe: 

• Concretar cuál es el punto de partida de la empresa en materia de ciberseguridad 
• Establecer qué nivel de seguridad queremos alcanzar. 

Dentro de este apartado nos encontraremos la normativa interna donde se especificarán cuestiones como: política de seguridad en el puesto de trabajo, normativa de uso de software legal o política de aplicaciones permitidas, políticas de uso de dispositivos personales, uso de wifis, buenas prácticas, etc. 

Control de acceso

El mundo digital funciona de manera similar al mundo físico. En él también encontramos accesos, lo que nos permite tener un control en el acceso a la información de la empresa. Es fundamental conocer quienes pueden acceder a dónde y para qué. Para la identificación de usuarios hay 4 pasos preestablecidos: 

• Identificación. Indicamos quiénes somos, qué nombre nos ha puesto en el sistema y cómo se nos reconoce. 
• Autenticación. Se comprueba si somos quienes decimos ser. Siempre viene seguido de credenciales de acceso.
• Autorización. Se confirma si el usuario tiene los accesos necesarios para hacer la actividad. 
• Accountablility. Registra todos los eventos que tienen lugar con los accesos, nos indica quién quiere acceder, a qué, cuándo, etc.

Para que haya un buen acceso de control ha de establecerse una política de acceso en la cual se establezca una gestión de usuarios y una segregación de funciones.

Copia de seguridad

Conocemos como copia de seguridad a la protección de la información que tratan las empresas en los procesos productivos. Con estas copias garantizamos la disponibilidad, integridad y confidencialidad de la información, ya sea en soporte físico o digital. Se pueden distinguir una serie de copias:

• Copia total
• Copia incremental
• Copias diferenciales

Protección antimalware

El objetivo principal de un malware es introducirse sin consentimiento del usuario en el software. De esta manera los ciberdelincuentes atacan los sistemas, extorsionan, realizan delitos de fraude y falsificación. Los equipos corporativos deben contar con las medidas suficientes para prevenir, detectar y contener cualquier tipo de amenaza a la que se pudiese ver expuesta la organización.

Algunas de las medidas o acciones de buenas prácticas son:

• Dividir la red de forma que si el atacante entra, tenga restringido el acceso a otras partes de esta. 
• Asegurar los privilegios administrativos. 
• Establecer a través de un listado las aplicaciones permitidas. 
• Utilizar cortafuegos perimetrales y de aplicaciones.

Un antimalware debe ser capaz de detectar cuanto más malware posibles mejor. Para ello, debe detectar todo tipo de amenazas y en tiempo real-

Actualizar todo el Software

Los ciberdelincuentes utilizan sistemas automáticos para detectar aquellas páginas con vulnerabilidades y poder realizar la intrusión. Esto se puede evitar teniendo una planificación de seguridad en las aplicaciones. Para realizar las actualizaciones necesarias en nuestro sistema debemos seguir unas pautas:

• Conocer el estado de actualización de los dispositivos corporativos. 
• Establecer el tramo horario que se realizarán las actualizaciones. 
• Actualizar tras la publicación de la actualización.
• Evitar utilizar sistemas que no dispongan de actualizaciones de seguridad.

Red

Es cada vez más frecuente que la información de las organizaciones se encuentre en sistemas de almacenamiento, equipo y dispositivos conectados a Internet. Pero, como ya sabemos, Internet es una fuente infinita de amenazas para la seguridad, ya sea a través de: correo electrónico, mensajería instantánea, descuido en el uso de la web…

Para mantener la web protegida se recomienda:

• Restringir el acceso a nuestra web, permitiendo únicamente el acceso imprescindible
• Asegurar que cualquier dispositivo que esté conectado cuenta con los sistemas de seguridad adecuados.
• Restablecer las cuentas y contraseñas por defecto.

Asimismo, otro aspecto a tener en cuenta, es la configuración de nuestra red wifi. Si no está configurada correctamente podemos encontrar atacantes introduciendo a través de ella.

Acceso desde el exterior

En la situación de globalización y deslocalización que nos encontramos, es vital que la información se encuentre en un lugar accesible desde cualquier lugar y momento, de forma rápida y ágil. Para evitar los riesgos que se pueden ocasionar, debemos aplicar una serie de medidas:

• Observar qué dispositivos están utilizando nuestra red
• Evitar utilizar wifis ajenas
• Tener siempre el antivirus actualizado

Controlar los soportes

El aumento en la dependencia de las organizaciones hace destacar la necesidad de contar con los medios y técnicas que permitan almacenar la información de forma segura. Realizar una correcta gestión del proceso, nos permitirá tener en todo momento la integridad, confidencialidad y disponibilidad de la información. Algunos de los tipos de almacenamiento de información en la empresa son:

• almacenamiento local
• servidores de almacenamiento en red
• dispositivos externos
• servidores de almacenamiento en la nube

Registro de actividad

Una de las herramientas más eficaces para detectar posibles problemas es la monitorización, valorando los parámetros de calidad, como disponibilidad y rendimiento, espacio de almacenamiento, etc.

El proceso de monitorización pasa por: 

• recolección de la información y datos 
• detección de posibles anomalías
• análisis de la información

Continuidad de negocio

En el caso de sufrir un ataque, la empresa ha de estar preparada para la continuidad de su negocio. Es fundamental protegerlo a través de tareas que permitan a la organización recuperarse en un breve espacio de tiempo. Si dichas tareas están establecidas repercutirá positivamente en nuestra imagen y reputación. El plan de continuidad nos puede ayudar a: 

• Mantener el nivel de servicio en los límites definidos. 
• Establecer un periodo de recuperación mínimo
• Recuperar la situación inicial ante cualquier incidente. 
• Analizar resultados y motivos de los incidentes 
• Evitar que las actividades de la empresa se interrumpan

Software ISOTools Excellence

Al igual que la implementación de las normas, la puesta en marcha de una correcta política de seguridad puede llegar a ser muy compleja. Para ello, le recomendamos la utilización del Software ISOTools Excellence, a través de sus distintas funcionalidades garantiza una mejora continua, ahorrando tiempo y dinero, y eliminando la documentación de forma física, haciendo uso del decálogo ciberseguridad. Así, será más eficaz a la hora de gestionar todo a través de sus dispositivos incluso sin conexión a internet.