5 Preguntas Esenciales para su Profesional de Ciberseguridad

Casi semanalmente oímos de otra empresa u organización víctima de un ciberataque. Sabemos que los criminales cibernéticos son más persistentes y debemos ser más diligentes protegiendo información.

Creo que en nuestra vida personal la mayoría intenta ser más cuidadoso. Espero que hayan quedado atrás los días de poner todas nuestras contraseñas personales en 123456. Sin embargo, no parece que llevemos el mismo nivel de preocupación a la oficina. Como nuestro profesional de TI seguramente tiene controlada nuestra ciberseguridad, no debería preocuparme… ¿verdad?

El hecho es que nosotros como empleados jugamos un papel vital protegiendo la empresa para la que trabajamos, y solo se necesita un clic equivocado para comprometer un negocio. Un estudio reciente de Willis Towers Watson encontró que el 90% de reclamaciones por incidentes cibernéticos resultan de algún tipo de error humano o comportamiento. Aquí hay cinco preguntas y respuestas para guiarle en su camino a hacer su empresa más segura.

1. ¿Cuáles son los principales riesgos cibernéticos que enfrenta mi empresa?

El riesgo de una empresa varía considerablemente según su entorno operativo único, así que hay muchas cosas que evaluar y considerar.

¿Tiene muchos empleados que usan email? El spear phishing podría ser un riesgo principal. ¿Está asegurado cada dispositivo con dirección IP en su planta? Si no, código malicioso, acceso no autorizado y uso o exfiltración de datos podrían ser riesgos principales.

Realizar evaluaciones de riesgo de ciberseguridad debe ser parte clave del programa de gestión de seguridad de la información de su organización. Todos saben que hay algún nivel de riesgo con datos críticos, activos de información e instalaciones. Pero, ¿cómo cuantificar y prepararse para este riesgo? El propósito de una evaluación de riesgo de seguridad TI es determinar qué riesgos enfrentan los activos críticos de su empresa y cuánto financiamiento y esfuerzo debe usarse para protegerlos.

El Marco de Gestión de Riesgos (RMF) de NIST es un gran recurso para empezar. El RMF proporciona un enfoque estructurado pero flexible para gestionar la porción de riesgo resultante de sistemas que su empresa puede controlar y procesos de negocio de su organización.

2. ¿Está bien usar un gestor de contraseñas?

Si bien usar un gestor de contraseñas para sus cuentas personales en línea es una forma estupenda de mantenerse seguro, recuerde revisar las políticas de su empresa antes de usar cualquier software en el trabajo.

Los gestores de contraseñas pueden ayudarle a almacenar contraseñas y generar unas únicas para cada sitio. Sin embargo, guardar todas sus contraseñas en un lugar es arriesgado. Es importante entender cómo se protegen y si están encriptados. Hay varios productos comerciales que funcionan con múltiples dispositivos y navegadores, así que investigue para encontrar el que mejor se adapte a sus necesidades.

3. ¿Mi empresa cumple con marcos o estándares líderes de seguridad de la información y necesita hacerlo?

Proteger su propiedad intelectual e información sensible de clientes y empleados puede darle a usted y sus clientes tranquilidad. También es una práctica empresarial sólida si mira el impacto financiero, disminución de productividad y pérdida de confianza que un ciberataque puede costar.

Para empresas en la cadena de suministro del Departamento de Defensa (DoD), tal protección es obligatoria. Estas empresas deben cumplir los estándares mínimos de seguridad del Defense Federal Acquisition Regulation Supplement (DFARS) o arriesgar perder sus contratos DoD.

Aquí hay varios ejemplos de marcos o estándares de seguridad que pueden ayudarle a entender y mitigar su riesgo: Marco de Ciberseguridad NIST, NIST SP 800-53 - Controles de Seguridad y Privacidad para Sistemas de Información y Organizaciones, Manual de Autoevaluación de Ciberseguridad NIST MEP, y Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS). Es fácil confundirse sobre qué documento referenciar, así que aquí más información:

• El Marco es más alto nivel (y conciso) vs NIST SP 800-53, que es un catálogo de controles. El Marco es más manejable para ejecutivos y tomadores de decisión sin antecedentes técnicos. También se enfoca en cómo evaluar y priorizar funciones de seguridad y referencia documentos existentes como NIST SP 800-53, mejor usado por personal técnico que implementará seguridad y entenderá su información detallada sobre qué controles seleccionar e implementar.
• El Manual de Autoevaluación de Ciberseguridad NIST MEP ayudará a su empresa a cumplir con Requisitos de Seguridad NIST SP 800-171 en Respuesta a Requisitos de Ciberseguridad DFARS. El manual da una guía paso a paso para evaluar sistemas de información de un pequeño fabricante contra requisitos de seguridad en NIST SP 800-171 rev 1, "Protegiendo Información No Clasificada Controlada en Sistemas y Organizaciones No Federales".

• El Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) es un conjunto ampliamente aceptado de políticas y procedimientos para optimizar la seguridad de transacciones con tarjetas de crédito, débito y efectivo. Creado en 2004 por Visa, MasterCard, Discover y American Express. Mantener seguridad de pagos es obligatorio para todas las empresas que almacenan, procesan o transmiten datos de titulares de tarjetas. La brecha o robo de datos afecta todo el ecosistema de pagos. Ejemplos de impactos: pérdida de confianza del cliente, ventas disminuidas, pérdidas por fraude, costos legales, multas, y terminación de capacidad para aceptar tarjetas. Mantener cumplimiento PCI DSS es vital para el éxito a largo plazo de empresas que procesan pagos y mantienen defensas contra ataques a datos de titulares. La mayoría de pequeñas empresas pueden usar una herramienta de autovalidación para evaluar su nivel de seguridad de datos de titulares.

4. ¿Qué es la autenticación de dos factores y cómo la habilito? ¿Por qué las contraseñas no son suficientes?

La autenticación de dos factores (2FA) es una capa extra de seguridad para asegurar que usted es quien dice ser. El problema es que nombres de usuario y contraseñas solos se adivinan fácilmente, y la gente usa las mismas contraseñas en múltiples sitios. Incidentes públicos revelan que 5.518 registros se filtran cada minuto.

2FA evita que otros accedan fácilmente a sus cuentas. Cuando 2FA está activado, ingresa usuario y contraseña en la página de inicio de sesión. Luego, en lugar de acceder inmediatamente, se le requiere otra información. Este segundo factor podría ser:

• Algo que sabe – un número de identificación personal (PIN), frase de contraseña o respuestas a preguntas secretas.
• Algo que tiene – una tarjeta de crédito, llavero, smartphone, token hardware o software o notificación del sitio.
• Algo que es – un patrón biométrico de huella dactilar, escaneo de iris o huella de voz.

Si no está seguro si sus sitios o apps tienen 2FA, visite TwoFactorAuth.org.

Active 2FA en todas las cuentas. Vea instrucciones paso a paso de Telesign para habilitar 2FA: https://www.turnon2FA.com.

5. ¿Hay un proceso de aprobación para comprar aplicaciones que encuentro útiles para mi trabajo?

La mayoría de empresas tienen políticas sobre cómo comprar software (ya sea en caja/en línea o alojado externamente en la nube). Es importante saber qué aplicaciones puede usar inmediatamente y cuáles pueden necesitar más investigación para asegurar que son lo bastante seguras para su uso y los datos que se procesarán/almacenarán. Sepa qué se requiere y trabaje con su profesional de ciberseguridad para pasar por los procesos requeridos y asegurar que la información se proteja adecuadamente.

Si desea entender mejor su riesgo de ciberseguridad, puede usar la Herramienta de Autoevaluación de Ciberseguridad de la Red Nacional MEP™. Si tiene preguntas o quiere hablar con un profesional de ciberseguridad, conéctese con su Centro local de la Red Nacional MEP.