La pandemia por COVID-19 aceleró la digitalización en el sector empresarial, las pequeñas y medianas empresas (PyMEs) tuvieron que subirse al barco de la transformación digital o de lo contrario su desaparición estaba asegurada. Esta situación propulsó un mayor riesgo cibernético a un sector ya vulnerable, convirtiéndolas en un blanco perfecto para la ciberdelincuencia.

El impacto que esto tiene es de gran consideración ya que de acuerdo con el Instituto Nacional de Estadística y Geografía ( INEGI), de los 4,7 millones de negocios en  México, 95% son tamaño micro (0 a 10 personas), 4% son pequeñas (11 a 50 personas), 0.8% son medianas (51 a 250 personas) y solo el 0.2% restante son grandes (251 y más personas).

Asimismo, el sondeo “Combatir el cibercrimen en la nueva realidad”, realizado en julio de 2020 por KPMG en México, muestra que los ataques a las empresas han aumentado. Tras la pandemia, 79% de las organizaciones enfrentó un mayor número de ciberataques en México. El 97% de las empresas mencionó incrementos de entre 6% y más de 15% de los ciberataques bajo la coyuntura actual.

Seis de cada diez (60%) organizaciones han experimentado ataques de phishing en el último año, siendo la amenaza más común. Los virus y ransomware son el segundo más frecuente: 43% de las empresas recibieron este tipo de ataques. El phishing acompañado de la utilización de malware está siendo una combinación destructiva para los negocios en México, y el impacto de fugas o filtración de información, así como las interrupciones en los procesos son ya económicos, siendo la principal preocupación para el 74% de las empresas, según dicha encuesta.

Además, los ciberdelincuentes persiguen a las PyMEs porque las consideran objetivos más fáciles. De acuerdo con un estudio de abril de 2020 realizado por Infrascale, el 46% de las pequeñas empresas fueron atacadas específicamente con ransomware y el 73% de ellas pagaron el dinero que se les exigía.

Pese a este incremento de incidentes digitales, Luis Fornelli, Country Manager de Tenable en México, informó que muchas PyMEs siguen pensando que no son susceptibles de sufrir un ciberataque, sin embargo cualquier empresa que almacene información de clientes, como direcciones de correo electrónico, números de teléfono y direcciones de facturación, o que opere en un entorno de nube, es un motivador para los piratas informáticos. 

Desafortunadamente, las PyMEs no cuentan con los mismos recursos humanos, tecnológicos y financieros que las empresas más grandes para protegerse contra los ciberataques. No obstante, sí pueden poner en marcha mejores prácticas de “higiene cibernética” que minimicen el riesgo en esta nueva normalidad,  considerando que hoy los hackers tienen  más opciones de explotar vulnerabilidades en las plataformas de trabajo remoto.  

Luis Fornelli profundizó en tres estrategias claves para una “higiene cibernética” exitosa, de gran utilidad en nuestros días:

Comprender el riesgo de vulnerabilidad. Es importante comprender que el término vulnerabilidadsignifica cualquier debilidad dentro de la red pueda ser explotada. Las vulnerabilidades pueden ser errores en la codificación de aplicaciones, fallas sin parchar en los sistemas operativos de los hosts de la red, dispositivos en la red con medidas de seguridad insuficientes u otras complicaciones. El malware y otras amenazas cibernéticas a menudo ingresan a las redes debido a vulnerabilidades pero no son vulnerabilidades en sí mismas. Reconocer cuáles son estas debilidades es el primer paso para establecer la higiene cibernética.

“Shadow IT ” y su superficie de ataque. Una de las principales amenazas del teletrabajo en tiempos de COVID-19 es el Shadow IT, así que el siguiente paso hacia la higiene cibernética es desarrollar una conciencia total de la red.  En este contexto, las PyMEs deben prestar especial atención a los dispositivos que no son emitidos por la compañía: las computadoras personales, teléfonos inteligentes y tabletas pueden no contar con las mismas protecciones que sus contrapartes provistas por la organización y, por lo tanto, representan un grave riesgo latente.

Del mismo modo, es primordial estar al tanto de todas las aplicaciones que se ejecutan en la red. Las aplicaciones no autorizadas y desconocidas siempre son una señal de alerta importante, pero también lo son las aplicaciones que no se han actualizado en un tiempo: las últimas pueden ser tan peligrosas como las primeras, debido a su mayor probabilidad de presentar vulnerabilidades sin parchear.

Implementar protecciones fundamentales de ciberseguridad. Hacer uso de soluciones de escaneo ayuda a identificar vulnerabilidades específicas donde sea que se encuentren en la red. Muchas de ellas se pueden solucionar fácilmente descargando e instalando los últimos parches de seguridad de los fabricantes. Otra remediación de vulnerabilidades puede requerir que se eliminen aplicaciones excesivamente comprometidas y se reemplacen con programas similares no vulnerables.

Pero existe otra opción de hacerlo, al emplear una gestión de vulnerabilidades basada en el riesgo, los equipos de seguridad pueden concentrarse en las vulnerabilidades y los activos que más importan y, al mismo tiempo, eliminar la prioridad de aquellas vulnerabilidades que probablemente nunca se exploten.

Por último, Luis Fornelli hizo un llamado a aquellas pequeñas y medianas empresas a implementar de inmediato estas mejores prácticas de higiene cibernética y sensibilizar a los empleados sobre su importancia;  además recomendó no perder tiempo en vulnerabilidades que no representan un verdadero riesgo.

Es importante comprender el contexto de cada vulnerabilidad, incluyendo la criticidad de los activos afectados y realizar una evaluación de la actividad actual y probable de los atacantes. Eliminar amenazas definitivas o potenciales es solo la mitad de la batalla, por supuesto; también se debe reducir la posibilidad  de exposición futura.