5 consejos para que las organizaciones mejoren la ciberseguridad

Por Dario Goldfarb, Arquitecto de Soluciones de Seguridad Principal en AWS Latam.

En un mundo cada vez más digital, las empresas se enfrentan a amenazas de ciberseguridad cada vez más sofisticadas. Muchas veces, las organizaciones deben utilizar datos confidenciales en sus aplicaciones para poder operar y llevar a cabo de manera efectiva sus objetivos de negocio, por lo cual proteger esta información debe ser una prioridad.

Hoy en día, los datos son uno de los activos más importantes para las organizaciones. Su valor radica en la confidencialidad (asegurarse de que solo las personas autorizadas puedan acceder a ellos), así como en su integridad y disponibilidad (protegerlos contra modificaciones no autorizadas, destrucción o interrupciones). A medida que las organizaciones avanzan en su transformación digital para ofrecer mayor innovación y capacidades a sus usuarios, estos aspectos se vuelven aún más críticos.

Según un estudio de Sumsub, el fraude está aumentando en la región, con un incremento del 30% entre 2022 y 2023. La amenaza se ve agravada por el aumento de los fraudes cometidos por malos actores aprovechando nuevas capacidades de la inteligencia artificial generativa, tales como la clonación de voz, los deepfakes donde se reemplaza una cara por otra, y avatares donde arman un clon digital de una persona que habla y suena como la original tan solo con un guion escrito. En Argentina, el índice de fraude es de 1.7%, lo que hace imperativo que las organizaciones cuenten con medidas sólidas de ciberseguridad para ayudar a mitigar las amenazas cibernéticas.

A continuación, se presentan cinco consejos que todas las organizaciones deben seguir para salvaguardar sus datos personales.

1. Crear un programa de concientización para los empleados: la mejor forma de no caer en un engaño es conocer cómo funciona y qué es posible realizar hoy en día con la IA Generativa. Las organizaciones deben tener una política de seguridad documentada y explicar qué se espera de cada empleado en el programa de concientización, de modo que todos los colaboradores estén en la misma página y tengan un punto de referencia claro para cualquier consulta. La política debería delinear claramente las expectativas y el deber de todos los empleados de adherirse a los estándares colectivos requeridos para mejorar la ciberseguridad. La seguridad es una responsabilidad de todos, no solamente del equipo de Seguridad, por lo cual la política debe comunicarse claramente en toda la organización y ser fácilmente accesible a través de los sistemas internos.
2. Requerir credenciales únicas para los inicios de sesión corporativos: aunque en nuestra vida personal solemos dar por sentado el uso de contraseñas, es crucial que no se reutilicen las mismas para acceder a recursos corporativos y a sitios personales. Los sistemas corporativos deben exigir contraseñas sólidas, tanto en longitud como en complejidad, con un mínimo de 8 caracteres que incluyan números, mayúsculas y símbolos. Esto complica que los posibles atacantes puedan adivinar la contraseña o utilizar técnicas de fuerza bruta para descubrirla (probar todas las combinaciones posibles).

   

3. Restringir los permisos y limitar quién puede acceder a privilegios de administrador: sin dudas es importante contar con los permisos necesarios del sistema de TI para que los empleados trabajen de manera efectiva. Sin embargo, las organizaciones deben recordar que otorgar accesos innecesarios aumenta el impacto ante un incidente de ciberseguridad. La mejor práctica consiste en asegurar que los empleados reciban solo los privilegios necesarios para su función de negocio. Para hacerlo, las organizaciones deben auditar los privilegios existentes, establecer un proceso para el otorgamiento de cualquier nuevo permiso donde existan aprobaciones y controles, y realizar revisiones de acceso periódicas.
4. Realizar copias de seguridad de los sistemas en la nube: el uso de copias de seguridad (backups) en la nube es un paso crucial para proteger los datos de organizaciones que tienen su información almacenada localmente (on-prem). De esta forma, los datos serán recuperables ante la destrucción o cifrado por un adversario que busque extorsionar mediante un pago por recuperar la información. La nube simplifica la toma de backups y el restablecimiento de las operaciones en caso de que los atacantes comprometan la información almacenada localmente. Los respaldos en la nube proporcionan mayor durabilidad y resiliencia de modo que los datos no se pierdan, y evita que adversarios puedan eliminar el dato junto con su backup.
5. Fomentar una cultura donde cada empleado se sienta responsable por la seguridad, y pueda reportar incidentes sin miedo: la base de todas estas recomendaciones es la cultura. La cultura de ciberseguridad en una organización debe promover un ambiente inclusivo y seguro, donde no se busque culpables cuando algo sale mal o si se reporta una falsa alarma. Es preferible investigar cien veces casos que no representen una amenaza antes que ignorar un reporte que requiera atención. Los métodos tradicionales de capacitación en seguridad están cada vez más desactualizados, generando una falsa sensación de seguridad. Las organizaciones deben enfocarse en fomentar una mayor conciencia y capacitar en buenas prácticas de conducta para lograr cambios positivos en sus empleados y mejorar la seguridad colectiva. En el caso de los desarrolladores, es crucial que aprendan prácticas de desarrollo seguro y se aseguren de que su código esté libre de vulnerabilidades, sin confiar únicamente en una revisión posterior del equipo de seguridad.

Los controles robustos de ciberseguridad ya no son un “nice to have” para las organizaciones. En un mundo cada vez más digitalizado, nuestra huella y datos personales se vuelven nuestro activo más valioso. Las organizaciones pueden ayudar a mitigar riesgos siguiendo los cinco principios rectores mencionados anteriormente. Ponerlos en acción, en combinación con un fuerte apoyo desde el liderazgo de la organización y fomentar una cultura de seguridad bien entendida y ampliamente adoptada entre los empleados, ayudará a cualquier organización a mejorar su madurez en ciberseguridad.

Cuando los lideres de la organización establecen a la seguridad como la prioridad, se resuelven muchos conflictos de intereses y se reducen los riesgos. La ciberseguridad no se trata solo de comprar tecnología.