Identificación de riesgos de ciberseguridad: Guía práctica para su empresa

Este artículo apareció originalmente en IndustryWeek. Publicación invitada de Traci Spencer, Gerente de Programa de Subvenciones para TechSolve, Inc., el socio regional suroeste de Ohio MEP, parte de la Red Nacional MEP^TM.

Este artículo es la primera entrega de una serie de cinco partes que describe las mejores prácticas en «Ciberseguridad para Fabricantes». Estas recomendaciones siguen el marco de ciberseguridad del Instituto Nacional de Estándares y Tecnología (NIST), que se ha convertido en el estándar para el sector manufacturero de EE. UU.

Según un estudio de 2018 patrocinado por IBM del Instituto Ponemon, el promedio global de una filtración de datos es de $3.86 millones. Eso se desglosa en casi $150 por registro robado. Si es un fabricante pequeño o mediano, puede pensar que estadísticas como estas no se aplican a usted. Pero de 17 industrias representadas en el informe, los sectores más afectados fueron financiero, servicios y, espere, manufactura.

Debido a que los fabricantes a menudo dedican menos recursos a la seguridad de la información, son un objetivo popular para cibercriminales. Y solo se necesita un ciberataque para devastar todo el sistema operativo de un fabricante más pequeño. Maquinaria en red, proveedores, distribuidores o incluso clientes podrían ser hackeados a través de una computadora/dispositivo en una instalación manufacturera.

Otros riesgos incluyen:

• Pérdida de información crítica para operar su negocio
• Impacto negativo en la confianza del cliente
• Multas regulatorias y honorarios legales resultantes
• Disminución o detención de la productividad.

Afortunadamente, puede aprender a proteger sus operaciones con la ayuda del Instituto Nacional de Estándares y Tecnología (NIST), que ha desarrollado un marco de cinco pasos para la ciberseguridad que puede ser implementado por una empresa de cualquier tamaño. Disponible en línea, el Marco de Ciberseguridad de NIST puede ser explicado más a fondo por su representante local de la Red Nacional MEP, los expertos de referencia para avanzar la manufactura estadounidense. También puede ver la Guía del Fabricante para Ciberseguridad (añadir enlace cuando sepamos la ubicación del documento) que proporciona a los fabricantes prácticas y herramientas básicas necesarias para desarrollar un programa de ciberseguridad.

¿Listo para dar su primer paso hacia la seguridad de datos? El proceso comienza identificando sus riesgos.

Controle quién tiene acceso a su información

Haga una lista de empleados con acceso a computadoras e incluya todas sus cuentas comerciales, el tipo de acceso (físico o contraseñas), y asegure físicamente todas las laptops y dispositivos móviles cuando no estén en uso. Haga que sus empleados usen una pantalla de privacidad o posicionen la pantalla de la computadora para que las personas que pasen no puedan ver la información en pantalla, y hágales configurar el bloqueo de pantalla para que se active cuando la computadora no esté en uso.

No permita acceso físico a computadoras o sistemas por personal no autorizado, como:

• Equipos de limpieza o personal de mantenimiento
• Personal de reparación de computadoras o red no supervisado trabajando en sistemas o dispositivos
• Individuos no reconocidos que entran a su oficina o planta sin ser cuestionados por un empleado

Solo toma segundos para que un criminal acceda a una máquina desbloqueada. No se lo ponga fácil para que roben su información sensible.

Realice verificaciones de antecedentes y seguridad para todos los empleados

Las verificaciones de antecedentes son esenciales para identificar sus riesgos de ciberseguridad. Se deben realizar búsquedas nacionales completas para todos los empleados prospectivos u otros que tendrán acceso a sus computadoras y sistemas y equipos de la empresa.

Estas verificaciones deben incluir:

• Verificaciones de antecedentes penales
• Verificaciones de delincuentes sexuales
• Verificaciones de crédito, si es posible (algunos estados de EE. UU. limitan el uso de verificaciones de crédito)
• Referencias para verificar fechas trabajadas para empleadores anteriores
• Verificación de educación y títulos

También puede considerar realizar una verificación de antecedentes sobre usted mismo, lo que puede alertarle rápidamente si sin saberlo se ha convertido en víctima de robo de identidad.

Exija cuentas de usuario individuales para cada empleado

Si experimenta pérdida de datos o manipulación no autorizada de datos, puede ser difícil investigar sin cuentas individuales para cada usuario. Configure una cuenta separada para cada empleado y contratista que necesite acceso. Exíjales que usen contraseñas fuertes y únicas para cada cuenta.

Limite el número de empleados que tienen acceso administrativo, especialmente si no es necesario para realizar sus tareas diarias. Considere cuentas de invitado con solo acceso a Internet para visitantes o clientes en su instalación.

Cree políticas y procedimientos de ciberseguridad

Aunque crear su primera política de ciberseguridad puede parecer una tarea desalentadora, hay muchos consejos fáciles de seguir de la Red Nacional MEP que pueden ayudarle a comenzar. También puede querer consultar con un profesional legal familiarizado con la ley cibernética para revisar sus políticas y asegurarse de que cumple con las leyes y regulaciones locales.

Su nueva política de ciberseguridad debe incluir:

• Sus expectativas de los empleados para proteger la información de la empresa
• Recursos esenciales que deben protegerse y cómo espera que sus empleados protejan esa información
• Un acuerdo firmado por cada empleado para confirmar que han leído la política y la entienden.

Guarde el acuerdo firmado en el archivo de RR. HH. de cada empleado. Revise la política al menos una vez al año y actualícela cuando haga cambios en la tecnología de su empresa. Luego puede usar su política de ciberseguridad para capacitar a sus nuevos empleados sobre sus responsabilidades de seguridad de la información y establecer prácticas aceptables para todas sus operaciones comerciales.

Ahora que ha aprendido cómo identificar sus riesgos y evaluar sus recursos, es hora de pensar en protegerlos. En la segunda parte de nuestra serie de cinco partes «Ciberseguridad para Fabricantes» de la Red Nacional MEP, recorremos los pasos clave para proteger sus valiosos datos e información de amenazas cibernéticas.