La clave de wifi que te dan en recepción es el primer paso para paralizar a toda tu empresa
Una compañía de cobranza, por ejemplo, puede tener pocos empleados, pero manejar datos financieros y personales de cientos o miles de personas. Lo mismo puede ocurrir con un despacho de abogados que tenga menos de 10 trabajadores, pero almacene información confidencial de sus clientes.
“Realmente, ¿cómo dimensionar en qué riesgo estamos? En la cantidad de información que manejamos y la sensibilidad de la misma”, plantea.
Por eso, dice, el primer error sería pensar que una Pyme puede postergar la seguridad simplemente porque no tiene el tamaño o el presupuesto de una gran corporación.
La consecuencia puede ir mucho más allá de una falla técnica. Campa recuerda el caso de una compañía que tenía comprometidas las tarjetas de lealtad de sus clientes. Sin dar nombre, el especialista comparte que las llaves utilizadas para generarlas no estaban debidamente protegidas, no estaba claro quién las administraba y tampoco existían procedimientos documentados. Parte del personal que había trabajado en ciberseguridad ya no estaba en la empresa.
El resultado fue operativo y financiero, pues se duplicaban transacciones, se realizaban reversos y se utilizaba dinero que no existía. La compañía perdió “miles de dólares”, de acuerdo con Campa, llegó a estar cerca de la quiebra antes de invertir en una estrategia criptográfica.
Es así como compartir una contraseña con un compañero, dejar una sesión abierta, entregar las credenciales a un tercero o utilizar una red pública para realizar operaciones críticas son acciones que pueden parecer inofensivas, pero que forman parte de la superficie de riesgo de una organización.
“La compañía debe no solamente tener la infraestructura adecuada, sino también capacitar y hacer la concientización de todos los usuarios”, explica Campa.
Qué debería revisar una empresa
Para Campa, el primer paso es dejar de tratar la seguridad como un gasto que solo aparece cuando ocurre un incidente y comenzar a incorporarla en la estrategia y el presupuesto de la compañía.
El responsable de tecnología debe saber qué infraestructura tiene la empresa, qué herramientas utiliza, qué proveedores intervienen y qué cambios requieren actualización o sustitución. También debe mantener comunicación con los proveedores de nube, bases de datos y otros servicios para conocer los riesgos y cambios que puedan afectar la operación.
El punto de partida más básico es poder responder preguntas aparentemente sencillas: ¿cuántos certificados tenemos?, ¿dónde están?, ¿quién los administra?, ¿cuándo vencen?, ¿qué sistema depende de cada uno?, ¿qué ocurre si uno deja de funcionar? Si una empresa no puede responderlas, dice Campa, tiene un problema de visibilidad.
