Preguntas frecuentes: ¿Cómo protejo a mi pequeña empresa de los ataques cibernéticos?

Los hechos: las pequeñas empresas subestiman su vulnerabilidad.

La semana pasada provocó ataques cibernéticos contra varios bancos estadounidenses. Aunque los hackers a menudo se dirigen a grandes empresas, las pequeñas empresas también son cada vez más vulnerables.

Las pequeñas empresas tienden a subestimar su vulnerabilidad a los ataques cibernéticos porque subestiman su valor para los ciberthieves. Creen que no valen la pena el esfuerzo de piratear, pero los propietarios de pequeñas empresas a menudo no se dan cuenta del poco esfuerzo que supone piratear una empresa con la mínima seguridad para un ciber-ladrón experimentado.

La Encuesta de Concientización sobre Amenazas de Symantec mostró que las pequeñas empresas tienden a hacer muy poco para protegerse de los ataques:

• El 50% de los propietarios de pequeñas empresas piensan que son demasiado pequeños para ser un objetivo de ataques cibernéticos
• El 61% de las pequeñas empresas no instala software antivirus en todos los equipos de escritorio.
• El 47% no usa seguridad en servidores de correo.
• El 67% no utiliza ninguna seguridad basada en web.

Verizon Business realizó un extenso estudio de violaciones a la ciberseguridad en 2011, con algunos resultados sorprendentes sobre las tendencias de los piratas informáticos para apuntar a pequeñas empresas:

• El 72% de los piratas informáticos informados infringe negocios específicos con 100 o menos empleados
• El 79% de las víctimas de ciberataques 2011 fueron objetivos de oportunidad.

Aunque las pequeñas empresas pueden considerarse lo suficientemente pequeñas como para caer bajo el radar de los ciberthieves, las medidas de seguridad generalmente poco estrictas implementadas por las pequeñas empresas los convierten en un blanco fácil para los piratas informáticos. La mayoría de las víctimas no eran negocios con activos considerables o secretos comerciales, identificados por ladrones antes de un ataque muy planificado; más bien, la mayoría de las víctimas simplemente tenían una ciberseguridad débil que los ladrones explotaban.

Hackear a través de los empleados.

El 81% de las violaciones en 2011 utilizaron algún tipo de piratería y el 69% usó malware.

Una forma común para que los ciberdelincuentes ingresen a la infraestructura de la empresa es mediante la piratería de los empleados en lugar de la administración. Los delincuentes cibernéticos pueden enviar correos electrónicos de suplantación de identidad a empleados individuales, y cuando estos correos electrónicos se abren en el servidor de la empresa, el software malintencionado puede robar la información de la empresa.

Las empresas deben establecer una política clara de la compañía sobre qué información de la compañía se puede divulgar a través de las redes sociales, los sitios web a los que los empleados no deben acceder en el trabajo, cómo identificar los correos electrónicos de phishing y cómo preservar la seguridad de los dispositivos móviles, especialmente si pueden iniciar sesión en una empresa Servidor a través de su dispositivo personal.

Nuestros consejos sobre el sitio: ¿Cómo debe proteger su negocio?

La FCC tiene una herramienta útil de planificación de ciberseguridad para pequeñas empresas que les permite a los propietarios de pequeñas empresas crear un plan de ciberseguridad personalizado con consejos de expertos en doce temas, incluida la seguridad de redes, dispositivos móviles, seguridad de instalaciones y desarrollo de políticas.

Investmentmatome recomienda que las empresas tomen cuatro pasos iniciales para protegerse:

1. Evalúe su estado de seguridad. ¿Dónde están todas sus posibles violaciones de datos y brechas de seguridad?
2. Implementar un firewall y software antivirus.
3. Organice una sesión de capacitación para empleados y comuníqueles las políticas de la empresa sobre ciberseguridad.
4. Cree contraseñas administrativas que sean difíciles de adivinar, idealmente aquellas compuestas de una combinación de números y letras

Al implementar un plan integral de ciberseguridad y educar a los empleados sobre este plan, las empresas pueden proteger sus activos.

Otras opiniones de expertos

• Robert Siciliano, experto en seguridad en línea de McAfee, ofrece cinco consejos para garantizar la ciberseguridad de su empresa

"1. No todos los datos son hackeados. Ejercicio básico a premisa avanzada / físico. Seguridad como control de acceso, cámaras de seguridad y alarmas.

2. Limite la cantidad de datos requeridos de los clientes. Si realmente no necesita un número de Seguro Social y luego no lo almacene. Si tarjeta de credito la información no necesita ser almacenada, entonces no la almacene.

3. Reconocer que las preguntas de autenticación basada en el conocimiento como contraseña Los reinicios pueden derribar la casa. Muchas de las respuestas se pueden encontrar en las redes sociales. sitios de medios

4. Las computadoras portátiles son uno de los mayores puntos de violación de datos. Los datos de la computadora portátil deben ser cifrado Las computadoras portátiles nunca deben dejarse en un automóvil durante la noche o dejarse en una habitación de hotel u oficina solo o en una mesa de café en una cafetería desatendida. El software de rastreo portátil que localiza y borra datos es esencial.

5. Tren, tren, tren, tren. Formación en seguridad de datos y qué hacer. Y lo que no se debe hacer es la prioridad número uno. Al hacer clic en los enlaces en los correos electrónicos, descargando cualquier cosa de la web o correo electrónico, abriendo archivos adjuntos en correos electrónicos, Todas han sido formas exitosas recientes de infectar una red ".

• Nathan Corbier, fundador de Corbier and Associates, habla sobre los dispositivos de los empleados

"No permitimos que nadie conecte dispositivos no autorizados en nuestras estaciones de trabajo o portátiles de la empresa. Eso incluye reproductores de MP3, teléfonos celulares, llaves USB, nada. Si alguien lo hace, inmediatamente bloquea la PC con un azul Pantalla de la muerte y envía una alarma SMTP. Los únicos dispositivos USB autorizados que permitimos son Yubikeys y Iron Keys.

Necesitamos que todos los teléfonos inteligentes Android estén sincronizados con nuestras aplicaciones de Google Cuenta, tenga habilitada la autenticación de contraseña y esté encriptada ".

• Michelle Schenker, propietaria de Cover Story Media, habla sobre la importancia de cambiar las contraseñas con frecuencia

“Cambie las contraseñas con frecuencia y siempre use contraseñas complejas y únicas para cualquier cosa que esté haciendo en línea. Las contraseñas se vuelven más difíciles de decodificar cuando contienen una gran variedad de caracteres, por lo general, lo mejor es incorporar números, letras, mayúsculas y símbolos en su contraseña. Las contraseñas deben ser difíciles de adivinar y es importante que se cambien regularmente. Se sugiere que cambie sus contraseñas en línea una vez al mes para mantenerlas dinámicas y reducir la probabilidad de que alguien obtenga acceso a su información personal. "

• Kyle Marks, fundador de Retire-IT, dice que debe deshacerse de la vieja tecnología de forma segura

“Cuando una organización retira tecnología no deseada, enfrenta riesgos asociados con la seguridad de los datos y el cumplimiento ambiental. Las amenazas de personas de confianza y vendedores negligentes aumentan el desafío. Las empresas deben ser conscientes de las amenazas de seguridad de datos que vienen con la actualización de TI ".

• John S. Pitts, fundador de Tekcetera, Inc., fomenta el uso de firewalls y VPN.

“Con el creciente número de piratas informáticos y víctimas de robo de identidad, es imperativo que proporcione a su empresa una protección confiable mediante el uso de cortafuegos. Estos pueden ser basados ​​en software o hardware y se usan para ayudar a mantener una red segura. En última instancia, los cortafuegos analizan los paquetes de datos y determinan qué información se debe permitir, según un conjunto de reglas predeterminado.

Las redes privadas virtuales (VPN) proporcionan seguridad a través de protocolos de túneles y procedimientos de seguridad como el cifrado. Por ejemplo, una VPN podría usarse para conectar de forma segura las sucursales de una organización a una red de la oficina central a través de la Internet pública ".

• Alfea Principe, Directora de Marketing Global para Servicios de Reciclaje de Electrónicos, recuerda a los propietarios de pequeñas empresas que deben reciclar las computadoras de manera segura

“Un problema común que los asuntos financieros y gubernamentales desconocen es el Peligros asociados con no reciclar computadoras, teléfonos celulares, impresoras, fax Máquinas, etc. correctamente. Si estos componentes electrónicos no se desmontan correctamente. y poner en las manos equivocadas, esta información muy sensible y confidencial (crédito "Tarjeta, información bancaria, números de seguridad social, etc.) pueden ser extraídos".

• Michael Becce, MRB Relaciones Públicas, advierte de los keyloggers

“La verdadera amenaza para las pequeñas empresas son los keyloggers. Keyloggers es una forma de malware que realiza un seguimiento de cada pulsación de tecla que realiza en su teclado y lo hace Disponible para hackers. La mayoría de las personas asumen que el producto antivirus Evitar que los keyloggers entren en sus sistemas, después de todo, así lo dice. la caja. La realidad es que los mejores productos antivirus pueden detectar. Menos del 25% de los keyloggers conocidos. Muchos sistemas ya están infectados. Los registradores de teclado rastrean todo, desde su inicio de sesión de Windows, formularios bancarios, finanzas Información, correo electrónico, redes sociales, incluso mensajería instantánea. Cada pequeño las empresas deben asumir que al menos una persona en la organización ha sido golpear o será. Muchas pequeñas empresas han sido completamente cerradas ya. Para evitar que robe sus pulsaciones de teclado (y sus datos, secretos, dinero, etc.), use una herramienta de cifrado de pulsaciones para cifrar cada pulsaciones de teclado a medida que lo haces para que los keyloggers lean datos falsos ".

• Sid Haas, Vicepresidente de Desarrollo de Negocios en LKCS, habla sobre la contratación de una firma de seguridad de redes de terceros y la realización de capacitaciones.

“Contratamos a una empresa de seguridad de redes independiente de terceros para realizar evaluaciones de vulnerabilidad externas en nuestros servidores y sitios web cada 6 meses. Estas evaluaciones identifican vulnerabilidades de seguridad específicas según el nivel de riesgo. Utilizamos la información contenida en estos informes de evaluación para mitigar la mayor cantidad de vulnerabilidades posible, comenzando con las identificadas como de alto riesgo pero también abordando los elementos identificados como de riesgo medio y bajo.

Hemos encontrado que la ciberseguridad tiene tanto que ver con la educación y la capacitación como con todos estos otros pasos. "Realizamos sesiones anuales de capacitación en seguridad con todos los empleados y recordamos continuamente a todos nuestros empleados sobre problemas de seguridad, estafas y amenazas durante todo el año a través de correo electrónico y pequeños carteles que se muestran en nuestras instalaciones".

• Doug Landoll, estratega jefe de Lantego LLC, alienta a las empresas a revisar su seguridad regularmente

“Revisamos los controles administrativos, físicos y técnicos actuales, ayudamos a completar las encuestas de seguridad y hacemos que la pequeña empresa vuelva al cumplimiento. Esto implica inspeccionar físicamente la protección de los sistemas y el almacenamiento de datos confidenciales, desarrollar políticas de seguridad y bloqueo de nuestros sistemas.

Los piratas informáticos suelen atacar a las pequeñas empresas porque anticipan controles débiles. La probabilidad de que su información confidencial se vea comprometida podría ser muy probable. Con un esfuerzo mínimo, se pueden implementar controles básicos para no solo cumplir con las normas, sino también para proteger la información confidencial de sus clientes y aumentar su satisfacción con su servicio ".

• Mark J. Sexton, propietario de Nevada Medical Security Technologies, habla sobre la importancia de capacitar al personal

“Cuando se habla de ciberseguridad para pequeñas empresas, el objetivo principal es crear conciencia de seguridad con el propietario y el personal de la empresa. No puede proteger lo que no sabe, por lo que informarse sobre la naturaleza de los delitos cibernéticos, los métodos que usan los malos para obtener información protegida o dinero / activos es clave. Una vez que las personas tienen una comprensión básica de cómo los ladrones usan la tecnología para robar, pueden ver sus propios sistemas y procesos y ver si faltan lagunas o piezas.

Cosas básicas como usar contraseñas complejas y cambiarlas regularmente, manteniendo los sistemas y el software antivirus actualizados.Usando una aplicación de escaneo de malware / spyware en sus sistemas regularmente. Educar al personal sobre el uso apropiado de la tecnología y cómo funcionan los ataques de phishing e ingeniería social, tener políticas sobre el uso apropiado de las computadoras de la empresa y no permitir que los usuarios sean administradores completos de sus sistemas constituye el fruto más bajo aquí. Los derechos administrativos son importantes. Si los usuarios pueden instalar software, pueden convertirse en un nexo para un ataque o permitir que el software del registrador de claves y otro software malintencionado en sus sistemas y potencialmente en todos los sistemas de la empresa.

Al final, todo se trata de conocimiento y de estar informado. Es casi imposible compensar las malas prácticas informáticas de los empleados y, como resultado, la capacitación se vuelve clave ”.