Francisco Menéndez, responsable de ciberseguridad y cumplimiento de Seresco
‘Se toman decisiones que ponen en peligro la seguridad de la empresa porque se prima operatividad frente a seguridad’Francisco Menéndez, responsable de ciberseguridad y cumplimiento de Seresco, expone en este podcast cuestiones relativas a cómo la pandemia y el confinamiento ha afectado a diversas cuestiones de seguridad informática, cuáles son las buenas prácticas de ciberseguridad en las empresas o cómo funcionan las ‘cookies’.»El teletrabajo, que es la principal forma en la que nos estamos organizando laboralmente en el contexto actual de COVID-19, está afectando a la ciberseguridad no solo de las empresas, sino también de la Administración pública y de los particulares. El gran problema es que no estamos preparados para este tipo de incidentes». De hecho, explica Francisco Menéndez «el último estudio de Allianz, 2019, sobre riesgos empresariales, globales, no solo de seguridad, situaba los riesgos de ciberseguridad como los primeros, sin embargo, los riesgos de pandemia estaban los últimos de un total de 20. No estábamos preparados».Así, para Francisco, «los problemas vienen derivados de esa falta de preparación frente a situaciones como la actual. Los podemos resumir en varios tipos:1. Información. En muchos negocios, la información sí está digitalizada, pero en muchos otros no. 2. Equipos. Las empresas no tenían portátiles para todo el mundo. Unos trabajadores tenían, pero los que no, han optado por dos soluciones: ·Cargar con su equipo de sobremesa para casa… pantalla, teclado, ratón y CPU·Y la otra solución, que es la peor, utilizar equipos domésticos para teletrabajar. En esta situación es donde existen más riesgos de ciberseguridad para la organización. Esos equipos los suelen utilizar todos los miembros de la familia para cualquier actividad. Ni tiene las medidas de seguridad adecuadas, puede tener software instalado que sea peligroso…. Es la opción menos segura para teletrabajar.3. Conexión a la oficina. Se ha optado por dos tipos de conexiones:·La peligrosa, que son las conexiones RDP, lo que conocemos por escritorio remoto. Desde casa te conectas a tu equipo de la oficina, a servidores de la oficina. Este se ha convertido en el principal vector de entrada de ramsonware, por encima incluso de un correo electrónico con un link maligno. El ramsonware es el secuestro de información por un atacante, que luego exige un rescate, normalmente en pago por bitcoins. Esto pasa todos los días en Asturias.·La más adecuada, las VPN, redes privadas virtuales. El problema de las empresas que tenían VPN es que no estaban configuradas para ese volumen de trabajo, sino para una serie de equipos. Pero no para que todo el mundo en la empresa solicitara información a la vez a través de la VPN. Durante los primeros días del confinamiento hubo problemas de saturación, no había suficientes licencias de usuarios para la VPN… ese tipo de incidencias».
Escuchar el podcast de Francisco Menéndez sobre Ciberseguridad
En general, «se han tomado decisiones que han puesto en peligro la seguridad de la empresa porque se ha primado la operatividad frente a la seguridad, algo lógico por parte de la empresa, porque necesita trabajar ante todo. Se han saltado bastante sistemas de ciberseguridad por trabajar lo antes posible».Francisco Menéndez también enumera algunos ejemplos de «buenas prácticas en ciberseguridad de las empresas: -Digitalizar todo lo digitalizable ante una situación que nos haga teletrabajar. Cuanto más pequeña sea una empresa, más pyme, más micropyme, más aconsejable es que se migre a la nube. Más barato, más eficiente, no depende de informáticos internos… está disponible desde cualquier sitio en cualquier momento.Más problema hay cuando la empresa lo tiene todo en sus propios servidores en la propia en la sede o sistemas híbridos, parte en la nube, parte en la sede, donde hay que dar acceso a la gente con sistemas no preparados para ello.-Montar una VPN segura, cifrada, monitorizada siempre-Cifrar los equipos portátiles y los móviles, la informacion que sale fuera de la empresa que esté cifrada siempre por si nos roban el dispositivo que no puedan acceder a la información».A nivel organizativo, «es vital que la empresa tenga una buena política de ciberseguridad», afirma Francisco. «Debe ser ampliamente difundida y conocida por todos sus empleados y también por todos los que intervienen con la empresa, sus clientes y proveedores. Debe incluir una política adecuada de los recursos: qué se puede hacer y qué no se puede hacer o no se debe hacer con os equipos de la empresa, cuando está en casa, por ejemplo. Uso adecuado de los recursos de la empresa. Formación y concienciación. El usuario es el eslabón más débil de la cadena de la seguridad».
