Por qué la ciberseguridad de pequeñas empresas es el doble de importante que el pumpkin spice

Este artículo apareció originalmente en el blog NIST Taking Measure.

Creo que hemos llevado esto del pumpkin spice demasiado lejos. No me malinterprete, amo el otoño. Esa primera noche fresca cuando necesitas ponerte un suéter, el crujido de las hojas bajo tus pies, los partidos de fútbol de homecoming, pero ¿pumpkin spice? Es obvio que el equipo de marketing del consejo del pumpkin spice ha hecho un trabajo sobresaliente porque ahora está en todo: galletas, dulces de chocolate, helado, avena, panqueques, malvaviscos, e incluso en una «edición limitada» especial de mi cereal de desayuno favorito.

¡Basta! Estoy declarando un tiempo fuera al pumpkin spice.

Quizás encuentre la temporada de pumpkin spice desagradable porque ha eclipsado un evento anual de octubre mucho menos conocido pero mucho más importante: el Mes Nacional de Concientización sobre Ciberseguridad.

Aunque muchos de ustedes no anticipen el Mes Nacional de Concientización sobre Ciberseguridad con el mismo deleite que la llegada del pumpkin spice, para mí es un momento de esperanza renovada y celebración. Como Linus sentado en el campo de calabazas esperando la llegada de la Gran Calabaza, cada año me pregunto: «¿Será este el año en que las pequeñas empresas realmente reconozcan la importancia de la ciberseguridad? ¿Actuarán para proteger su información y activos empresariales?»

Muchas empresas más grandes en EE. UU. tienen recursos dedicados —incluyendo personas, tecnología y presupuestos— para protegerse contra amenazas de ciberseguridad. Como resultado, se han vuelto objetivos mucho más difíciles para ataques maliciosos de hackers y cibercriminales. En consecuencia, los hackers y cibercriminales ahora están enfocando con éxito más de su atención no deseada en empresas pequeñas, incluyendo fabricantes.

Por ejemplo, muchos cibercriminales ven a las empresas más pequeñas como menos seguras y más vulnerables a ataques como el ransomware. Su negocio puede tener activos que pueden ser valiosos para un criminal; las computadoras de su empresa pueden verse comprometidas y usarse para lanzar un ataque contra alguien más, p. ej., una botnet, o su negocio puede proporcionar acceso a objetivos de alto perfil a través de sus productos, servicios o papel en una cadena de suministro. Esto preocupa a los proveedores en la cadena de suministro del Departamento de Defensa, ya que sus sistemas deben cumplir con NIST SP 800-171 para el 31 de diciembre de 2017.

Es importante señalar que los criminales no siempre buscan beneficiarse de sus ataques. Algunos pueden atacar su negocio por venganza, p. ej., por despedirlos a ellos o a alguien que conocen, o simplemente por la emoción de causar estragos. Del mismo modo, no todos los eventos de ciberseguridad son causados por criminales. Eventos naturales como incendios, inundaciones o huracanes también pueden dañar severamente los sistemas de TI. Todos hemos visto los efectos de los huracanes recientes en Texas, Florida y Puerto Rico. ¿Podría su negocio recuperarse de una tormenta similar?

El impacto general de un incidente de ciberseguridad podría incluir:

• daño a la información o sistemas de información;
• multas regulatorias y sanciones/honorarios legales;
• disminución de la productividad;
• pérdida de información crítica para operar su negocio;
• daño a su reputación o pérdida de confianza del consumidor;
• daño a su crédito e incapacidad para obtener préstamos de bancos; o
• pérdida de ingresos empresariales.

Desafortunadamente, los pequeños fabricantes a menudo tienen más que perder simplemente porque un evento de ciberseguridad —un hacker, desastre natural o pérdida de recursos empresariales— puede ser lo suficientemente costoso como para sacarlos del negocio por completo. Las pequeñas empresas a menudo están menos preparadas para manejar estos eventos que las empresas más grandes, pero como generalmente tienen necesidades operativas menos complejas, hay muchos pasos que una pequeña empresa puede tomar para protegerse.

El Mes Nacional de Concientización sobre Ciberseguridad puede ayudarle a aprender cómo proteger su negocio. Aunque la ciberseguridad está continuamente en las noticias —casi no pasa un día sin alguna brecha o evento cibernético— rara vez escuchamos sobre formas de prevenir que estos incidentes ocurran. ¡ESTE ES EL MOMENTO para difundir buenas prácticas de seguridad dentro de su negocio! La concientización, capacitación y educación son herramientas fundamentales para que las pequeñas empresas protejan su información, activos, sistemas de TI y reputación.

La ciberseguridad en una pequeña empresa no necesariamente significa contratar a un experto en plantilla o como consultor. NIST Hollings Manufacturing Extension Partnership tiene recursos de ciberseguridad para fabricantes, al igual que el Centro de Pequeñas Empresas de NIST.

Algunos temas básicos de ciberseguridad que puede considerar para capacitación de concientización para sus empleados incluyen:

• reconocer ataques de phishing;
• entender los riesgos asociados con el uso de redes sociales;
• mantener sus sistemas limpios instalando parches y usando las versiones más recientes de software; y
• evitar Wi-Fi público al usar dispositivos móviles como teléfonos inteligentes o tabletas.

Que sus empleados entiendan estos problemas de ciberseguridad y cómo abordarlos en el lugar de trabajo podría salvar su negocio. Sus empleados son su primera línea de defensa para proteger su negocio contra ciberataques.

Octubre es un buen momento para disfrutar un pumpkin spice latte —o cereal— si eso es lo suyo. Pero espero que se tome al menos unos momentos para enseñar a sus empleados a ser más conscientes de los riesgos, amenazas y vulnerabilidades de ciberseguridad para su pequeña empresa. Al final, 'tis the season para que sus empleados aprendan cómo pueden ayudar a prevenir un incidente cibernético en el lugar de trabajo.

¡Y devuélvanme mi cereal!

Crédito de foto destacada: ©juliasudnitsaya/shutterstock.com