El insumo más importante de una compañía es la información y resulta de vital importancia tener el debido cuidado para preservarla, partiendo de tres principios fundamentales como: la confidencialidad, integridad y disponibilidad.

Hoy en día, el mundo de la virtualidad y el teletrabajo han impuesto nuevos retos en cuanto a la seguridad informática y de ahí surge la necesidad de tener la información disponible para quién la requiera, que tenga acceso sólo quién corresponda y evitar que ésta sea alterada, tanto a nivel interno, por parte de los colaboradores de la compañía, como a nivel externo, de parte de los usuarios.

Para lograr sistemas de información seguros, las empresas cuentan con herramientas de software como Daruma, que les permiten gestionar, crear y actualizar la documentación en línea para que los colaboradores puedan acceder y dar continuidad a sus labores de forma remota desde cualquier dispositivo. No obstante, se deben tener en cuenta procesos y conceptos adicionales para prevenir los riesgos a los que se enfrenta la información.

Evaluación y gestión del riesgo: En primera instancia, la evaluación permite determinar y medir a qué peligros se exponen los activos de información dependiendo de sus usuarios, interacciones y accesos. A partir de aquí, se implementan controles y un plan de tratamiento de riesgos. Luego, es posible poner a prueba el grado de exposición de la información para determinar si un ciberatacante externo puede robar los datos o si un empleado inconforme puede vulnerar la confidencialidad.

Ethical Hacking: Es la prueba que hace una persona experta, un ethical hacker, para ver si se puede alterar el funcionamiento normal informático de una compañía, si se puede sacar información o filtrar software malicioso. En este proceso se evalúan la arquitectura, las redes y las telecomunicaciones, a través de la simulación de ciberataques y la evaluación de la efectividad de los controles y estrategias implementados. Ésta es una evaluación más profunda y técnica.

Ingeniería social: Otro aspecto a tener en cuenta a la hora de proteger la información son las personas. La ingeniería social se ocupa directamente de la parte humana a través del perfilamiento de personalidades. Se ponen a prueba las contraseñas con el desciframiento de patrones usuales y el grado de aceptación de ofertas (posiblemente falsas) que permiten el acceso de malware a la compañía. Este es un punto muy vulnerable y que genera mucho rédito para los ciberatacantes.

Evaluación de vulnerabilidades: A diferencia del ethical hacking, esta evaluación se ocupa de aspectos técnicos como: la infraestructura, los sistemas operativos y servidores para saber si presentan algún error de diseño conocido o reportado por los proveedores. En el caso de encontrar vulnerabilidades, se evalúa el nivel: críticas, altas, medias y bajas para tomar las medidas necesarias en cuanto a la actualización, instalación e implementación de nuevas herramientas.

Remediación: A partir de las vulnerabilidades encontradas, se procede a la remediación, que consiste en diseñar y aplicar la estrategia para resolver los problemas, denominada plan de remediación. Esta estrategia buscará mitigar los hallazgos y riesgos en el menos tiempo posible.

Y ahora que estamos trabajando desde casa, ¿cómo protegemos la información de la empresa?

Hablamos con nuestros aliados de FIVE STRATEGY, expertos en el tema y estas son sus recomendaciones:

Muchas organizaciones no estaban preparadas para el teletrabajo o no lo contemplaban dentro de sus dinámicas laborales ni dentro de su plan de riesgos, por eso, debido a la pandemia tuvieron que dar acceso a sus sistemas de información de forma remota y de manera imprevista. Así que es importante:

• Que el equipo de TI de la organización evalúe el grado de seguridad de la máquina desde la que se está conectando el colaborador en casa y definir los lineamientos técnicos y operativos que ésta deben cumplir para preservar los activos de información.

• Tener en cuenta la trazabilidad del trabajo del colaborador: ¿Qué hace? ¿qué permisos tiene? Para evitar abuso y arrastre de privilegios en el uso de la información.

• Mantener los sistemas actualizados, sobre todo las aplicaciones que se usan para hacer reuniones, controlando los accesos debidos y configurando contraseñas seguras.

Además de estas acciones, las empresas cuentan con la ISO 27002 que es un manual de buenas prácticas para elevar el nivel de protección en el teletrabajo y así dar continuidad a sus labores de forma segura y sin perder de vista los objetivos.