Ciberseguridad en pymes: un asunto que no da espera

MARZO/ 22 /2024

En 2023 se registraron en Colombia cerca de 57 millones de ciberataques, de los cuales 41 millones correspondieron a la modalidad de phishing o robo de información, según Kaspersky, una multinacional de seguridad informática. Aunque estos ataques afectan a empresas de todos los tamaños e individuos, las pymes en particular son un blanco fácil porque, en su afán diario, olvidan capacitar al personal sobre estos riesgos y no siempre destinan presupuesto para invertir en soluciones de protección. Aquí le explicamos lo que debe tener en cuenta en su negocio para mitigar el riesgo de ciberataque.

Tabla de contenido

• Los ciberataques que enfrentan las pequeñas y medianas empresas

• ¿Por qué las pymes son tan vulnerables frente a los ciberdelincuentes?

• Consejos para que los ciberataques no lo tomen desprevenido

• ¿Cómo reaccionar si el ciberataque ya ocurrió?

También le puede interesar: mejore su recaudo con la inteligencia artificial

Los ciberataques que enfrentan las pequeñas y medianas empresas

En el mundo de los delitos digitales hay tantas variables como virus que afectan a los humanos. Para Andrés Cajamarca, director de Ingeniería de la empresa especialista en ciberseguridad Fortinet Colombia, es imprescindible conocer esa clasificación. De eso depende que una empresa tenga la reacción adecuada cuando identifica una amenaza o cuando el riesgo ya se ha materializado. De acuerdo con él, estos son los principales ciberataques que enfrentan las pymes en Colombia:

1. Ransomware o secuestro de información: los atacantes envían correos electrónicos con mensajes que llaman la atención de los usuarios, como avisos de que tienen un comparendo, y los conducen a abrir links o descargar archivos. Aparentemente, no ocurre nada, pero así los delincuentes ingresan a las redes de las pymes, buscan datos confidenciales y claves del negocio o sus procesos y los “secuestran”, es decir, los encriptan para que no se pueda acceder a ellos. Para liberarlos, exigen el pago de un “rescate”.
2. Phishing: mediante mensajes fraudulentos, los atacantes engañan a las personas para que entreguen sus usuarios y contraseñas de acceso a un sistema de la empresa. Entonces, los usan para acceder a información importante y la roban.
3. Malware o programas maliciosos: virus que utilizan los atacantes para acceder a los sistemas de una empresa. Con ellos, además de robar datos, usan la capacidad de cómputo de la misma compañía para realizar ataques informáticos a terceros.

¿Por qué las pymes son tan vulnerables frente a los ciberdelincuentes?

Las pymes son especialmente vulnerables a estos ataques porque enfrentan desafíos económicos, tecnológicos y de talento humano, explica Cajamarca. Entre ellos:

1. Estas empresas no siempre cuentan con un presupuesto para montar un departamento de tecnología. Muchas, incluso, no tienen un responsable del tema que desarrolle y ejecute una estrategia de seguridad digital.
2. Las pymes le apuestan a su digitalización y adquieren herramientas tecnológicas o aplicaciones, pero se olvidan de que hay procesos neurálgicos como el de ventas que dependen de una de estas plataformas y tienen que contemplar la ciberseguridad como cimiento de su estrategia de negocio para garantizar la disponibilidad de sus sistemas.
3. Los dueños y trabajadores de un negocio no cuentan con los conocimientos mínimos en ciberseguridad, ni con la asesoría de expertos, que les permita minimizar el riesgo y reaccionar de manera asertiva cuando los ataques ocurren.
4. Muchas pymes, por falta de recursos, no usan licencias originales de softwares y programas informáticos o no los mantienen actualizados, esto las expone a situaciones de ciberseguridad graves.

Consejos para que los ciberataques no lo tomen desprevenido

Para que los ciberdelincuentes no ganen la batalla, el experto de Fortinet sugiere preguntarse ‘¿qué haré cuando me ataquen?’, en lugar de ‘¿qué haré si me atacan?’, pues es casi seguro que en algún momento las empresas pueden ser víctimas de robos o secuestro de información. En ese sentido, propone:

1. Contar con una estrategia de negocio en la que se considere a la tecnología y la ciberseguridad como una prioridad.

2. Determinar los impactos económicos de un ataque digital, así como los de contar o no con ayuda de expertos en la materia. Esa asesoría puede marcar la diferencia con respecto al tiempo en el que el negocio no esté disponible por cuenta de un ataque y las ganancias o rentabilidades que deje de producir durante ese lapso.

3. Fomentar una cultura alrededor de la ciberseguridad para que todos los miembros de la empresa comprendan que deben educarse sobre el tema, sin importar su rol, porque todos están expuestos a recibir un correo electrónico fraudulento y deben saber cómo hacer una doble verificación de esa información o qué protocolo seguir.

4. Diseñar un modelo de amenazas. Esto significa pensar en el escenario más catastrófico con respecto a qué o quién podría afectar el negocio, por qué lo haría y cómo lo haría para identificar las acciones que se pueden tomar para que los sistemas de la pyme sean más seguros. Una de ellas, por ejemplo, es alojar su sitio web en diferentes servidores, aprovechando las ventajas de la nube, de manera que, si uno es atacado, el otro funcione como respaldo. Para esto es importante contar con la asesoría de expertos.

5. Adquirir softwares licenciados y actualizarlos constantemente, así como antivirus. No escatimar al instalar parches de seguridad (cambios en los sistemas que corrigen errores) para cerrar posibles brechas.

6. Realizar backups o copias de seguridad de la información fuera de línea o en un servidor diferente al principal, para que estos datos guardados no sean infiltrados y se conviertan en el respaldo que garantice la continuidad en la operación del negocio mientras se “limpia” el sistema infectado o atacado.

7. Capacitar a los trabajadores para que usen contraseñas seguras y complejas. Esto es pasar de usar el nombre o la fecha de cumpleaños a usar frases asociadas a un gusto personal o a otro aspecto privado que sean fáciles de recordar, pero que a los atacantes les quede más difícil descifrar.

“El objetivo es ir un paso delante de los ciberdelincuentes porque así, cuando ocurre un problema, ya se sabe qué hacer o a qué alternativas acudir mientras se recupera el acceso a la información. Tener un camino a seguir permite mantener el negocio operando y, además, evitar que vuelva a ocurrir un nuevo ataque”, dice Andrés Cajamarca, director de Ingeniería de Fortinet Colombia.

¿Cómo reaccionar si el ciberataque ya ocurrió?

Si el ciberataque llega a materializarse, lo aconsejable es que las pymes acudan a una firma experta que brinde una solución integral, en vez de probar herramientas por separado que no necesariamente llegan a combatir el problema real.

Aunque parezca inverosímil, muchas compañías alrededor del mundo pagan trillones de dólares al año para recuperar información, pero esta decisión debe evaluarse en compañía de un experto. Es necesario, además, aprender de lo ocurrido para entrenar a las personas y a los sistemas, de manera que esos ciberataques no se repitan o no se ponga en riesgo la operación de la empresa si nuevas amenazas vulneran su seguridad.

Así mismo, hay que derribar el mito de que proteger los sistemas informáticos de una empresa es costoso. En el mercado se encuentran suites que ofrecen diferentes funcionalidades, desde antivirus hasta análisis de vulnerabilidades y recuperación de la información, que cuestan entre $10.000 y $20.000 mensuales por usuario, aproximadamente. Por otra parte, licencias de software como Microsoft 365, que incluyen protecciones frente a malware y phishing, cuestan entre $24.000 y $88.000 por usuario al mes. Si duda de asignar un presupuesto a ciberseguridad entonces calcule cuánto le podría costar un ciberataque a su negocio y tome la mejor decisión.

También le puede interesar la innovación empresarial: el secreto para hallar soluciones rentables