Fundamentos de Ciberseguridad para Fabricantes: Perspectivas de Pat Toth

El número de ciberataques sigue aumentando y los criminales cibernéticos se vuelven más determinados. Las empresas quedan intentando navegar guías técnicas confusas en un panorama digital que cambia rápidamente. Los pequeños fabricantes a menudo no creen que sus empresas estén en riesgo. Al fin y al cabo, ¿por qué alguien querría atacar a un pequeño fabricante rural cuando hay negocios más grandes?

Para entender qué está pasando y descubrir qué necesitan saber realmente los fabricantes sobre ciberseguridad, me senté con Pat Toth. Pat es Científica Informática en NIST Manufacturing Extension Partnership con más de 30 años de experiencia en ciberseguridad y ha trabajado en numerosos documentos de guía de ciberseguridad de NIST.

Pregunta: ¿Están los fabricantes realmente en riesgo de ciberataques comparado con otras industrias? Si es así, ¿por qué?

Pat: Según el Departamento de Seguridad Nacional de EE. UU., la industria manufacturera es la segunda más atacada basada en número de ciberataques reportados.

Creo que los pequeños fabricantes son especialmente vulnerables porque se les ve como puntos de entrada fáciles a cadenas de suministro mayores. Piénselo así: Si es un criminal planeando entrar a un edificio y robarlo, ¿intentará entrar a uno con vigilancia, alarma y guardias, o apuntará a uno sin estas medidas? Típicamente lo segundo, por eso los criminales cibernéticos atacan específicamente a fabricantes. Desafortunadamente, muchos pequeños negocios no tienen medidas de seguridad adecuadas porque no creen que sean objetivos.

Los criminales cibernéticos pueden estar interesados en su propiedad intelectual (PI) o en acceder a información sobre con quién trabaja o emplea. La brecha de datos de clientes de Target en 2013 es uno de los casos más conocidos. Su proveedor de sistemas HVAC fue atacado intencionalmente porque los hackers sabían que podían acceder a los sistemas de Target a través de este proveedor. La brecha resultó en el robo de información de tarjetas de crédito de millones de personas.

Pregunta: Dado que pequeños y medianos fabricantes (PYME) son a menudo objetivos principales, pero también a menudo tienen recursos limitados, ¿qué pueden hacer estas PYME?

Pat: Puede parecer complicado y probablemente un poco abrumador, pero hay cosas que las PYME pueden hacer que son de bajo o nulo costo y fáciles de implementar.

Realmente se reduce a establecer políticas y educar empleados. Varios estudios han encontrado que los empleados son uno de los puntos más vulnerables en la seguridad de cada empresa. La mayoría simplemente no sabe qué vigilar ni cómo identificar un incidente cibernético potencial o real hasta que es demasiado tarde. Las empresas deben comunicarse regularmente para ayudar a empleados a entender tácticas de criminales cibernéticos y el papel crítico que juegan en prevenir incidentes.

Por ejemplo, su empresa debería tener una política para el uso de redes sociales en el trabajo. Algunos empleados esperarán acceder a redes sociales durante el día. Hay un acto de equilibrio: permitir acceso a redes sociales y proteger sistemas. ¿Cómo hacerlo? Establece una política. Podría ser no permitir uso de redes sociales en sistemas de la empresa. Quizás proporcione una red separada semi-pública para acceder a redes sociales sin exponer a la empresa a riesgos. Sea cual sea su política, asegúrese que empleados la conozcan, entiendan por qué existe y las consecuencias potenciales si se viola.

Pregunta: Es bueno saber que hay soluciones de bajo/nulo costo. Si una empresa está lista para mejorar su ciberseguridad, ¿por dónde empezar?

Pat: Empiece viendo el Marco de Ciberseguridad de NIST y NISTIR 7621 Small Business Information Security: The Fundamentals. El Marco consiste en estándares, guías y mejores prácticas para gestionar riesgo relacionado con ciberseguridad. Proporciona un enfoque priorizado, flexible y rentable para proteger sistemas. Small Business Information Security: The Fundamentals se basa en el Marco y da una visión más manejable para tomadores de decisión sin antecedentes técnicos. También se enfoca en cómo evaluar y priorizar funciones de seguridad.

Para empezar, aquí un resumen breve de lo que encontrará en el Marco.

El primer paso es Identificar. Identifique la información más valiosa para su empresa. Esta es la información que si se pierde o modifica, detendría sus operaciones. Por ejemplo, digamos que es un fabricante de alimentos y hace galletas de chispas de chocolate con la receta de su abuela. Esa receta es vital para su negocio y debe protegerse contra robo o modificación para que el negocio continúe.

El segundo paso es Proteger. Ha hablado con gerentes y personal y usado esta retroalimentación para identificar la información más importante. Ahora es hora de decidir qué hacer para protegerla adecuadamente. Este paso depende en gran medida de amenazas y vulnerabilidades específicas de su negocio. Empresas pequeñas que solo trabajan con clientes cara a cara o por teléfono no tendrán tanto que proteger como las que operan por email y portales web. Realmente depende de su entorno operativo qué protección implementar.

El tercer paso es Detectar. Necesita poder detectar cuándo ha ocurrido un incidente cibernético. Debe tener sistemas anti-spyware, antivirus y detección de intrusión actualizados. También debe considerar su espacio físico. Considere cosas como si necesita alertas cuando gente accede a áreas que no debería. Sea un incidente digital o físico, es importante saber cuándo ocurrió y a qué accedió la persona(s).

El cuarto paso es Responder. Cuando ocurre un incidente cibernético, su empresa necesitará responder rápido para mitigar daño potencial. Necesita un plan antes de que algo pase. El plan debe incluir quién es responsable y a quién contactar cuando algo ocurre. Además, empleados deben saber cómo acceder al plan durante y fuera de horario laboral.

Recuerde la escuela primaria cuando practicábamos simulacros de incendio varias veces al año. Igual que esos simulacros, su empresa debería practicar regularmente su respuesta a incidentes cibernéticos para que empleados sepan exactamente qué hacer si ocurre uno.

El quinto y último paso es Recuperar. Debe realizar copias de seguridad regulares para poder recuperar sus sistemas. Estas deben guardarse en ubicación separada o en la Nube. Debe probar sus copias de seguridad. Si no las prueba, no puede estar seguro de poder recuperar totalmente de un evento. Con qué frecuencia probar depende de qué tan vital es la información para las operaciones.

No es "talla única", y debe decidir qué funciona para su empresa y cultura. Para una, probar una vez al año puede bastar. Para otra, puede necesitar probar semanalmente. No es una respuesta fácil, pero requiere mirar sus sistemas para ver dónde es vulnerable, conocer amenazas y cómo contrarrestarlas.

Pregunta: Digamos que mi empresa ha puesto medidas de seguridad y creado plan de respuesta: ¿Qué sigue?

Pat: Esto no es una actividad "hecho y listo". No puede escribir un plan y dejarlo en un estante. Debe ser un documento vivo. Todos necesitan conocer su postura de ciberseguridad y cómo seguir mejorándola.

Cada vez que compre nuevo equipo o contrate nuevo empleado, debe pensar cómo impactan su seguridad. Para empresas pequeñas, esto puede ser difícil. A menudo veo casos donde una empresa crece rápido y olvida que no todos necesitan acceso a toda la información. Lleva tiempo, pero la gerencia debe revisar lista de empleados y ver qué deben y no deben acceder. Alguien en planta no necesita acceso a nómina. Definir roles e implementar separación de roles puede ser difícil, pero es necesario para proteger su empresa de amenazas cibernéticas.

Creo que ciberseguridad y calidad tienen muchas similitudes en adopción. Muchas empresas fueron lentas adoptando sistemas de calidad como ISO 9000. Un componente mayor de calidad es la mentalidad en una empresa. La ciberseguridad no se relega solo al personal de TI o encargado de ciber —cada empleado en cada nivel tiene alguna responsabilidad. La ciberseguridad debe ser parte de la cultura de una empresa —igual que la calidad— para ser efectiva.

Preguntas: ¿Dónde encuentro información para educar a mis trabajadores en cosas que pueden hacer para reducir riesgo cibernético de la empresa?

Pat: Vaya a la página web de Recursos de Ciberseguridad NIST MEP. Encontrará varios recursos incluyendo una herramienta simple de autoevaluación (basada en el Marco de Ciberseguridad de NIST) para autoevaluar el nivel de riesgo cibernético de su empresa. La autoevaluación puede ayudar a determinar dónde están las debilidades y dónde enfocar recursos para mejorarlas. No rastreamos su información ni guardamos resultados. Tras la evaluación, recibirá una puntuación para saber dónde están sus debilidades en esfuerzos de ciberseguridad. También puede contactar a uno de los 51 Centros MEP, en los 50 estados y Puerto Rico, parte de la Red Nacional MEP™ para preguntas o asistencia.