Las Pymes, el eslabón más débil en seguridad de la información

La mayoría de los ciberataques a empresas españolas se centran en las pymes. Solo un 37% cuenta con la infraestructura de seguridad adecuada. Las organizaciones y empresas están siendo amenazadas constantemente por ataques informáticos.

La falsa creencia entre las compañías de que estos ataques son muy sofisticados y están orientados a grandes multinacionales es un gran error de partida. Según un informe de Kaspersky Lab en colaboración con B2B International, sólo el 19% de las empresas con menos de 25 empleados sitúa a la estrategia TI en su top de preocupaciones, una tasa prácticamente igual, con el 21%, a la de los negocios de entre 26 y 99 empleados. Por su parte, en empresas con 100 o más trabajadores esta cifra asciende hasta el 30% o más, con el 35% de las empresas situando la estrategia TI como una de sus dos principales prioridades. Una cantidad que todavía se antoja insuficiente.

Según un estudio de la organización Anti-Phishing Working Group (APWG), durante la última parte del año pasado, se detectaron cerca de 255.000 nuevas amenazas cada día. El sector del retail y servicios fue el más castigado, al sufrir el 32% de los ataques, seguido de los servicios de pago con un 29% y de los servicios financieros con un 25 %.

Los motivos y métodos a emplear son muy diversos. Se han producido ataques de robo de información mediante phising, XSS, SQL Inyection, etc. para posteriormente subastar o vender esta información al mejor postor, sin olvidar los ataques puramente vandálicos (DoS, defacement, virus, etc.).

Otro factor por el que las pymes están en el punto de mira de los ciberdelincuentes es porque, según el Directorio Central de Empresas (DIRCE), en 2019 había en España 3.363.197 empresas, de las cuales el 99,88% eran pymes entre 0 y 249 empleados. Es decir, lo que en seguridad informática se conoce como la superficie de ataque y ésta es muy amplia.

Un atacante tendrá en su balanza un 0,12 % de grandes empresas, con buenas medidas de seguridad a las que atacar, pudiendo conseguir grandes beneficios, o bien un 99,88% con malas medidas de seguridad a las que robar poco, pero que en conjunto puede suponer un beneficio mucho mayor. De ahí que la mayoría de los atacantes se inclinen por el objetivo más fácil, las pymes.

De hecho, según un reporte de Panda Security, del total de empresas en el mundo, un 47% de los ataques se concentran en las pymes. Después de enfrentar estos ataques, sólo un 40% de éstas se recupera.

Eduardo Román, director de productos y soluciones móviles de Samsung indica que “los dispositivos móviles son una puerta de entrada a los ataques cibernéticos, ya que aunque un 99% de ellos son dirigidos a grandes plataformas y sólo un 1% del riesgo está en los dispositivos móviles, esa pequeña ventana puede significar un 99% de problemas para la organización, porque puede afectar todos los sistemas conectados en línea”.

Entre los consejos que dan los expertos, en primer lugar se debe contar con servidores y soluciones antispam para evitar virus en los correos electrónicos. Asimismo, sostienen que utilizar versiones antiguas de software presenta un riesgo, por lo que es importante realizar actualizaciones de manera continua y siempre que lo aconseje el fabricante.

Los sectores más atacados durante el pasado año fueron el de la Administración Pública, energía, investigación, industria, salud, construcción, telecomunicaciones, informática, militar, espacial, finanzas y medios de comunicación. Y en gran parte de los casos las víctimas comparten un mismo denominador común: los delitos se podrían haber evitado.

Las circunstancias excepcionales que estamos viviendo desde mediados de marzo de 2020 han producido cambios radicales en el segmento de las pymes. Sin embargo, hay algo que no ha cambiado: la amenaza de las organizaciones criminales que operan en Internet y que han visto la crisis como una oportunidad. Han vislumbrado esa mayor dependencia de la Red y han evaluado cuáles son las tendencias que dirigen ese mayor tráfico, para adaptar sus prácticas y obtener mayores beneficios. A partir de estas consideraciones, podemos determinar que las principales amenazas que afectaron a las pequeñas y medianas empresas en España desde comienzos de marzo son las siguientes:

  1. Campañas de phishing relacionadas con el coronavirus.
  2. Virus informáticos.

Por último, es necesario advertir que es importante educar a los colaboradores de las pymes a utilizar correctamente sus equipos personales, ya que gran parte de ellos los utiliza para trabajar, convirtiéndose “en eslabón más débil de la cadena”, aclaran los especialistas.

Nuevo Reglamento General de Protección de Datos de la UE para Pymes.

A finales del año pasado, el Parlamento Europeo y el Consejo alcanzaron un acuerdo sobre el Reglamento General de Protección de Datos (RGPD) propuesto por la Comisión Europea. La nueva normativa entrará en vigor a principios de 2018 y representará el mayor cambio en la legislación para la protección de datos desde la aparición de Internet. Afectará a cualquier empresa u organismo en cualquier parte del mundo que opere con datos de origen europeo.

Las reformas, cuyo objetivo es reflejar las necesidades cambiantes de la economía digital y defender los derechos a la privacidad de los datos de las personas, podrían ser difíciles de aplicar en el caso de la información en papel. Para ayudar a las Pymes a que sus archivos en papel no infrinjan la normativa, hemos preparado la siguiente guía que recoge los aspectos clave del Reglamento General de Protección de Datos:

  1. Asegúrese de que puede encontrar la información que necesita. Antes de identificar o borrar la información, tendrá que poder encontrarla. La reforma blindará el “derecho al olvido” del consumidor en la legislación europea y las empresas tendrán que responder a las peticiones de borrado de información personal. Desgraciadamente, es fácil borrar datos digitales de una base de datos, pero no lo es tanto eliminarlos cuando están en formato físico.

Se aconseja a las Pymes que identifiquen qué departamentos y equipos de trabajo son los que tienen más probabilidades de crear y almacenar archivos que contengan información personal identificable y de priorizar su escaneado y traslado a almacenes seguros externos. Las Pymes también deberían implementar y hacer cumplir un sistema claro de archivo e identificación para todos los datos en papel, con etiquetas y metadatos marcados en las cajas y con responsabilidades y derechos de acceso definidos.

  1. El papel tiene una doble o triple vida. Procesos claramente definidos para gestionar la información desde su creación hasta su destrucción pueden no ser suficientes. El papel se puede escurrir a través de fisuras en las políticas más estrictas de clasificación y almacenamiento de la información, al poder ser copiado o impreso fácilmente, susceptible además de ser abandonado en cualquier sitio, sin ningún cuidado, o incluso de ser trasladado fuera del entorno de un edificio seguro. El informe de PwC de 2015 sobre la Aplicación de la Privacidad y la Seguridad revela que los incidentes de seguridad de los datos en Europa son mayormente debidos a errores humanos a la hora de gestionar documentos en papel. Cada empleado debería entender qué es información confidencial y cómo hay que gestionarla.
  1. El nuevo reglamento quiere que se reflexione acerca de la privacidad, influyendo en cómo se produce, gestiona y elimina la información. Si hablamos de información en papel, los procesos de gestión serán fundamentales. Se recomienda a las Pymes que dificulten o hagan imposible que personas no autorizadas accedan o copien documentos que contengan información personal identificable. El almacenamiento, retención y destrucción de la información son procesos que deberían ser revisados bajo la premisa de privacidad y ser adaptados en el caso de ser necesario.
  1. Algunas reglas simplemente no son válidas. Aspectos de la nueva regulación, tales como la portabilidad de los datos serán difíciles de aplicar a la información que únicamente está archivada en papel. En algunos casos esto será una ventaja. Por ejemplo, serán innecesarias medidas robustas de ciberseguridad, porque el papel no puede sufrir ciberataques.

Existe una gran cantidad de recomendaciones disponibles para las organizaciones empresariales sobre cómo prepararse bien para la nueva legislación, pero casi todo está centrado en los datos electrónicos y la seguridad tecnológica, ignorando el papel y dejándolo a su propio riesgo.

ENLACES: REGLAMENTO  LOPD AUTONOMOS