Empresas peruanas no refuerzan su seguridad luego de un ataque

A principios de este año presenciamos casos de filtración de datos significativos en distintos países, así como la intensificación de la actividad delictiva por cibercriminales en toda la región, a la par de que varias entidades de protección de datos aumentaron la presión para que las empresas adopten fuertes medidas de seguridad. Desafortunadamente, ni las malas experiencias de las empresas víctimas, ni el riesgo de incurrir altas multas por sufrir alguna brecha de datos han sido suficientes para motivar a las compañías a reforzar sus políticas de ciberseguridad. De hecho, una nueva investigación de Kaspersky señala que sólo 47% de empresas peruanas adoptaron nuevas políticas o requerimientos adicionales para mejorar la seguridad digital después de sufrir un incidente.

De las medidas implementadas, el informe resalta que las más comunes son: el cambio de las credenciales de empleados y contratistas (32), cambio de las credenciales de clientes (36), la notificación al proveedor de servicios sobre la violación sufrida (31) y el cambio de la solución de seguridad (31%). Lo más curioso es que el 8% de las empresas que sufrieron un ciberataque exitoso no hizo nada para evitar futuros ataques.

Para Claudio Martinelli, director general para América Latina y el Caribe en Kaspersky, el problema está en que la mayoría de las empresas de la región se limitan a parchar su estructura de seguridad en vez de actualizar o implementar una solución robusta. Los equipos de seguridad suelen actuar como si fueran bomberos: apagando el fuego todo el tiempo. Los datos muestran que esto no ha cambiado: cuando hay un incidente que explota las credenciales robadas de un empleado, contratista o cliente, solucionan el problema cambiando los permisos otorgados y ¡listo! Pero no toman en cuenta que, si el delincuente consiguió acceder a la red corporativa una vez, buscará otra manera de hacerlo.

Según Martinelli, las empresas deben adoptar una postura proactiva para su seguridad digital. Una forma de hacerlo es supliendo al equipo de seguridad con información por medio de servicios de Inteligencia de Amenazas para que estén al tanto de las nuevas tácticas que utilizan los ciberdelincuentes y, en base a este conocimiento, ajustar las políticas y configuraciones de seguridad en aplicaciones, servicios online y equipos empresariales. Otra acción muy importante es la capacitación en ciberseguridad para los empleados y exigir a los proveedores de servicios que capaciten a su personal. Puede parecer algo trivial, pero la concientización puede evitar problemas, como el de la autentificación, como señala el estudio.

Para que las empresas se mantengan protegidas en todo momento, Kaspersky recomienda:

– Establezca y comunique a los empleados las normas de seguridad que se deben seguir sobre el uso de equipos y dispositivos corporativos, así como políticas sobre el uso de contraseñas fuertes y las aplicaciones permitidas para el uso laboral.

– Capacite a su personal sobre los buenos hábitos digitales y los riesgos de seguridad de TI, como el phishing, las amenazas web, el malware bancario y otros con los que se pueden topar en su rutina de trabajo. Existen cursos de formación dedicados que enseñan prácticas de seguridad, como los que se ofrecen en Kaspersky Automated Security Awareness Platform.

– Mantenga a su equipo de seguridad informado sobre las nuevas tácticas empleadas por los ciberdelincuentes por medio de servicios de Inteligencia de Amenazas para que puedan anticipar, bloquear y evitar ciberataques.

– Realice las actualizaciones de manera regular en todos los sistemas, software y dispositivos. Esto ayudará a evitar situaciones en las que el malware se infiltre en un sistema corporativo aprovechando vulnerabilidades conocidas o desconocidas.