Por Cesar Gerardo Reyes Romero

SOC LATAM @ S21sec

El Estudio sobre la Demografía de los Negocios 2020 (EDN) del INEGI arrojó que de los 4.9 millones de establecimientos del sector privado y paraestatal registrados en los Censos Económicos 2019, 99.8% pertenecen al conjunto de establecimientos micro, pequeños y medianos. Por otro lado, el EDN 2020 estima que sobrevivieron 3.9 millones, que representan el 79.19%.

Esto inevitablemente nos lleva a cuestionar en el caso de las PyMEs si, a partir de la pandemia de COVID-19 como catalizador tanto en el trabajo remoto como las compras en línea, cubrieron las necesidades, al menos básicas, en torno a la ciberseguridad. Esta fue la realidad de muchas empresas e incrementó sustancialmente los riesgos y las vulnerabilidades asociadas. Esto se confirma con el 43% de los ciberataques que afectaron a pequeños negocios. Los ataques entre un año y otro a estas organizaciones crecieron 424%. (https://www.fundera.com/resources/small-business-cyber-security-statistics) siendo los ataques por estafa BEC (correo corporativo comprometido), fraude por romance/confianza y la falsificación de identidad (spoofing) las más costosas.

Sin dejar de lado al ransomware, vale la pena mencionar que las cantidades que los criminales exigen también se han disparado. De acuerdo con un reporte de la firma de seguridad Coveware, en el último trimestre de 2019 la cantidad de dinero solicitado aumentó un 104% (https://www.coveware.com/blog/2020/1/22/ransomware-costs-double-in-q4-as-ryuk-sodinokibi-proliferate). Una de las mayores consideraciones en esta alza es que las víctimas más usuales han sido pequeñas y medianas empresas, en ellas se concentró el 71% de los ataques de acuerdo con The Beazley Group (https://www.beazley.com/news/2019/beazley_breach_briefing_2019.html).

La Agencia de la Unión Europea para la Ciberseguridad (ENISAE) y la National Cyber Security Alliance (NCSA) han identificado cuatro retos principales de ciberseguridad a los que se enfrentan las PyMEs impulsados por la pandemia de COVID-19, estos son:

• Baja ciber-conciencia / ciber-cultura: la ciberseguridad puede ser un problema complejo relacionado con las soluciones técnicas, pero debe ser parte de la cultura de las PyMEs, ya que un ciberataque exitoso puede causar graves daños financieros y/o de reputación.
• Falta de seguridad remota de TI: a medida que más empleados inician sesión en sus computadoras para trabajar, se transmiten más datos y comunicaciones a través de canales inseguros, lo que finalmente puede comprometer contenido confidencial de la empresa.
• Alto costo de las soluciones de ciberseguridad: el costo de las soluciones, las capacitaciones y la experiencia en ciberseguridad requieren inversiones que muchas empresas simplemente no tienen.
• Aumento de los ataques de phishing: el trabajo remoto ha abierto nuevas oportunidades para los ciberdelincuentes a través de correos electrónicos "urgentes" y "basados en el miedo" para enganchar a los usuarios y que revelen información personal, hagan clic en enlaces o archivos adjuntos maliciosos y descarguen malware directamente en sus equipos informáticos propiciando una gran superficie de exposición y riesgo asociado.

En ese sentido, en el caso de México, el Observatorio de la Ciberseguridad en América Latina y el Caribe en su Reporte de Ciberseguridad 2020 (https://observatoriociberseguridad.org/) dice que de acuerdo al Modelo de Madurez de Capacidad de Seguridad Cibernética (CMM), en el país la Mentalidad de Seguridad Cibernética tanto para los sectores privado, gobierno, así como de los usuarios, se encuentra en un grado de madurez evaluado en un nivel tres de cinco, es decir, refiere que existen indicadores que están implementados y funcionando, sin embargo, no se le ha dado mucha consideración a la asignación de recursos y se han tomado pocas decisiones estratégicas acerca de los beneficios con respecto a la inversión relativa en torno a la ciberseguridad.

En concordancia con lo anterior, desde S21sec queremos ayudar a promover una cultura de buenas prácticas en ciberseguridad dirigidas a las PyMEs a través de las siguientes recomendaciones:

• Establece y haz cumplir políticas de seguridad de TI. Primero, debes evaluar los principales activos de tu negocio y las posibles amenazas, es decir, realizar un análisis de riesgos tanto internos como externos. Una vez que identifiques lo que está protegiendo, puedes implementar las políticas y supervisar su implementación.
• Garantiza copias de seguridad y actualizaciones periódicas. Establece un plan para que tus empleados realicen copias de seguridad de los datos de forma regular. Esto te preparará para enfrentar ataques como ransomware. Asimismo, aplica todas las actualizaciones de software recomendadas por los fabricantes.
• Cambia tus contraseñas con regularidad y asegúrate de que sean únicas. Los actores maliciosos están capitalizando cada vez más el relleno de passwords automáticos y aprovechándose de los malos hábitos de los usuarios en el uso de las contraseñas.
• Implementa acceso remoto seguro. Asegúrate de proteger el acceso remoto tanto como sea posible. Puedes hacer esto mediante el uso de una red privada virtual (VPN), cifrando las comunicaciones y aplicando contraseñas seguras.
• Propicia un espacio de reunión confiable. Esto es, que tus empleados utilicen canales de colaboración digitales como chat, audio, video y uso compartido de pantalla de una manera segura al exigirles que sigan buenas prácticas como autenticación con contraseña para todas las reuniones o al realizar videoconferencias asegurarse de que el fondo visual no revele datos personales o profesionales a los usuarios.
• Trata los correos electrónicos extraños o sospechosos con cautela. Los piratas informáticos se dirigen a los trabajadores remotos haciéndose pasar por marcas conocidas o ejecutivos de confianza, engañándolos para que compartan información sensible o descarguen malware en sus equipos.
• Elabora un plan de gestión de incidentes. Generar un plan que establezca cómo manejar los incidentes de ciberseguridad que incluya una política de respuesta. Luego lleva a cabo ciberejercicios para valorar su alcance e impacto para un evento real.
• Aprovecha los servicios administrados. Existen servicios administrados especializados en ciberseguridad acotados para PyMEs y acordes en costos que bien pueden ser considerados como un aliado estratégico en la consecución de objetivos de las empresas ayudando a reducir la exposición de los riesgos y amenazas.